Zapora strefowa w UniFi: ruch powrotny, strefa gateway i ruch wewnątrz strefy

Sprawdzono: 24 października 2026 r. Strefa grupuje interfejsy sieciowe, na przykład VLAN-y lub VPN-y. VLAN to logicznie wydzielona sieć. W macierzy stref wiersz wskazuje strefę źródłową, a kolumna strefę docelową. Sama macierz nie dowodzi, że każde dozwolone połączenie działa ani że wszystkie niepożądane drogi są zablokowane. Przydatna kontrola śledzi konkretne połączenie od źródła do usługi, a następnie sprawdza odpowiedź i faktycznie pasujące reguły.

Minimalne wersje i odpowiednia brama

Ubiquiti wymienia UniFi Gateway lub Cloud Gateway, Network od 9.0 i oprogramowanie bramy od 4.1. ZBF pojawił się w oficjalnym wydaniu 9.0.108. Sama aktualizacja kontrolera nie wystarcza. [1]

Inwentaryzacja powinna oddzielnie zapisywać model bramy, oprogramowanie bramy i aplikację Network. Numer wersji bez nazwy produktu jest niejednoznaczny. Przed migracją zapisana konfiguracja oraz sprawdzony sposób uzyskania dostępu administracyjnego ułatwiają przywrócenie działania. Spełnienie wymagania wersji nie potwierdza jeszcze poprawności projektu reguł.

Ruch powrotny potrzebuje skutecznego zezwolenia

Auto Allow Return Traffic tworzy dodatkową regułę; istniejąca pasująca reguła może już zapewniać zezwolenie. Śledzenie stanu nie oznacza omijania wszystkich reguł przez odpowiedzi. [1]

Komputer administracyjny może na przykład rozpocząć połączenie z urządzeniem IoT. Odpowiedź w ramach tego połączenia różni się od nowego połączenia rozpoczętego przez urządzenie IoT. Szerokie zezwolenie z IoT do LAN dopuszcza więcej, niż wynikało z pierwotnej potrzeby. Między innymi dlatego test powinien obejmować dozwolone żądanie z odpowiedzią i niezależne rozpoczęcie połączenia w przeciwną stronę, które powinno się nie udać.

Czujnik publikujący dane do brokera MQTT ma inne wymaganie: połączenie rozpoczyna czujnik. Adres docelowy i używany port usługi należą do planu. Potoczne nazwanie wiadomości „odpowiedzią” nie czyni wiadomości ruchem powrotnym innego połączenia.

Brama jest celem, nie gwarancją zestawu usług

Strefa Gateway obejmuje ruch do samej bramy lub z bramy. Ruch przekazywany między dwiema innymi sieciami to odrębny przypadek. Przy dostępie klienta do usługi na bramie źródłem jest strefa klienta, a celem — Gateway. Potrzebny jest zatem spis usług rzeczywiście działających na bramie. Klient może korzystać z DNS na bramie, ale oddzielny resolver oznacza inny cel. Podobnie dopuszczenie UDP 123 do bramy nie tworzy usługi NTP. Skonfigurowany serwer czasu musi istnieć i odpowiadać.

Praktyczna lista usług zawiera sieć źródłową, host docelowy, protokół, port docelowy i oczekiwaną funkcję. Osobna kontrola przydziału adresu, rozwiązywania nazw i synchronizacji czasu ułatwia diagnozę. Udany ping nie potwierdza działania tych usług.

Ta sama strefa nie oznacza tej samej sieci

UniFi obsługuje reguły wewnątrz strefy, na przykład Internal do Internal. Oddzielne routowane sieci mogą więc podlegać filtrowaniu mimo wspólnej strefy. [1]

Urządzenia komunikujące się bezpośrednio w jednym VLAN-ie korzystają z innej drogi. Reguła bramy nie zastępuje kontroli w przełączniku lub punkcie dostępowym. Ubiquiti rozróżnia segmentację na bramie, listy ACL przełącznika i izolację klientów w AP. Wybór zależy od drogi ruchu oraz możliwości sprzętu. [2]

Różnicę pokazują cztery przypadki: urządzenia w różnych strefach, różne VLAN-y jednej strefy, urządzenia przewodowe jednego VLAN-u i klienci bezprzewodowi punktu dostępowego. Poprawny wynik jednego testu izolacji nie potwierdza pozostałych trzech.

Kontrola dająca konkretne dowody

1. Zapisanie każdego zamierzonego połączenia z konkretnym źródłem i celem.
2. Sprawdzenie obu kierunków inicjowania oraz reguły dopuszczającej odpowiedzi.
3. Ustalenie rzeczywistej drogi przez bramę, przełącznik lub punkt dostępowy.
4. Test wymaganych usług i wybranych, wyraźnie zabronionych połączeń.
5. Osobne sprawdzenie IPv4 i IPv6, jeśli obie wersje są aktywne; reguła dotycząca tylko IPv4 nie dowodzi izolacji IPv6.
6. Udokumentowanie wersji, istotnej kolejności reguł, wyników i planu przywrócenia.

Planer macierzy stref UniFi pomaga zapisać założenia. Nie odczytuje wdrożonych reguł, nie potwierdza możliwości bramy ani nie dowodzi izolacji. Użyteczny wynik to plan połączony z obserwacjami rzeczywistej sieci.

Ograniczenie planera: Obecny wynik traktuje ruch powrotny jako automatycznie dozwolony i pomniejsza znaczenie kolejności reguł. Takie uproszczenia nie opisują wiarygodnie wdrożonej zapory. Reguła ruchu powrotnego oraz kolejność nadal wymagają sprawdzenia w rzeczywistej konfiguracji.