English
Deutsch
PolskiUniFi Zone Matrix: stany reguł dla sieci serwerowej, CCTV i IoT
Spis treści
Zarządzanie regułami zapory sieciowej (firewalla) za pomocą tradycyjnych list LAN IN / LAN OUT bywa koszmarem, zwłaszcza gdy sieć rozrasta się o urządzenia IoT, kamery i prywatne serwery. Ubiquiti zrewolucjonizowało ten proces w ekosystemie UniFi dzięki Zone Matrix – wizualnej reprezentacji polityk bezpieczeństwa.
Jak widać na powyższym print screenie, Zone Matrix to siatka, w której oś Y to Źródło (Source) ruchu, a oś X to Cel (Destination).
Zrozumienie Stanów Polityk
Matryca używa bloków oznaczonych kolorami do określania zachowania sieci:
- Allow All (Zielony): Źródło może swobodnie nawiązywać nowe połączenia z Celem.
- Allow Return (Niebieski): Źródło nie może inicjować nowych połączeń z Celem. Może jedynie odpowiadać na ruch, który został najpierw zainicjowany przez Cel (tzw. pakiety powrotne).
- Block All (Czerwony): Całkowita izolacja. Żaden ruch nie przejdzie od Źródła do Celu.
Scenariusz 1: Zabezpieczenie Sieci Serwerowej (Server Network)
Dobrą praktyką bezpieczeństwa jest zezwolenie zaufanym urządzeniom wewnętrznym na dostęp do lokalnego serwera (np. NAS lub Home Assistant), przy jednoczesnym zablokowaniu serwerowi możliwości aktywnego skanowania lub łączenia się z prywatnymi urządzeniami (na wypadek jego zhakowania).
Print-Screen na górze pokazuje, jak to osiągnąć:
- Ustawić politykę ze Źródła: Internal do Celu: Server Network na Allow All (Zielony). To pozwala laptopowi połączyć się z serwerem.
- Ustawić politykę ze Źródła: Server Network do Celu: Internal na Allow Return (Niebieski). Taka konfiguracja sprawia, że serwer „widzi” zapytania z laptopa i może na nie odpowiedzieć, ale fizycznie nie jest w stanie samemu zainicjować nowego połączenia do sieci wewnętrznej.
Scenariusz 2: Izolacja CCTV i Smart Home (IoT)
Urządzenia Smart Home i kamery IP są notorycznie podatne na ataki. Nigdy nie powinny mieć swobodnego dostępu do głównej, zaufanej sieci. Zone Matrix pozwala stworzyć kuloodporną izolację:
- Przypisać kamery i urządzenia smart do dedykowanego VLANu, a ten do konkretnej Strefy (nadaje się strefa DMZ, Hotspot albo własna strefa „IoT”).
- Ustawić Źródło: Internal do Celu: IoT na Allow All. Pozwala to smartfonowi w głównej sieci Wi-Fi na lokalne podglądanie kamer czy sterowanie światłem.
- Ustawić Źródło: IoT do Celu: Internal na Allow Return (lub Block All, jeśli sterowanie odbywa się wyłącznie przez chmurę).
- Aby zablokować kamerom dostęp do internetu, ustawić Źródło: IoT do Celu: External na Block All.
Pytania i odpowiedzi
Czy pojedyncze urządzenie może trafić do innej strefy niż reszta jego VLAN-u, żeby dostać szersze uprawnienia?
Nie może, bo strefy grupują sieci, a nie pojedyncze urządzenia. Przypisanie odbywa się na poziomie VLAN-u i jest to świadome uproszczenie tego modelu.
Zostają dwie drogi. Pierwsza to własny VLAN dla tego urządzenia: więcej pracy przy wdrożeniu, ale reguła pozostaje czytelna, a za rok nikt nie musi zgadywać, dlaczego jedno urządzenie zachowuje się inaczej. Druga to zawężenie polityki wewnątrz komórki matrycy do konkretnego adresu. Działa od razu, ale reguła zaczyna zależeć od tego, czy adres pozostanie ten sam.
Przy drugiej drodze rezerwacja DHCP jest częścią zabezpieczenia, a nie wygodą. Adres przydzielany dynamicznie może się zmienić, na przykład po dłuższym wyłączeniu, a reguła nadal będzie wskazywać poprzedni. Wtedy albo to urządzenie traci uprawnienia, albo, co gorsze, dostaje je inne, które przejęło ten adres.
Źródła
Powiązane artykuły
