Idee: Stückwerk aus Dual-OPNsense mit unbound, Mikrotik und Omada durch Unifi ersetzen

Shihatsu

Legende
Thread Starter
Mitglied seit
16.08.2005
Beiträge
5.465
Moin!
Ich fahre zur Zeit einen tollen Netzwerk-Stack, der leider zuviel meiner Freizeit frisst. Solange ich beruflich in diesen Themen unterwegs war, war das für mich fein. Jetzt ist das aber durch berufliche Veränderung nicht mehr gegeben und es fängt an mich zu stören.
So sieht mein Stack im Moment aus:
  • Dual WAN: DSL via Fritzbox, Fallback via Mikrotik LTE-Router
  • Dual OPNsense im HA-Cluster inkl. Dual WAN, DHCP und DNS Server (DNS via Unbound)
  • Mikrotik CRS328-24P-4S+RM Switch (24*Poe 1Gbit, 4* 10Gbit)
  • MikrotikCRS326-24S+2Q+RM Switch (24*SFP+ 10Gbit)
  • 2 * Omada EAP660 HD via PoE
Die Idee ist jetzt tatsächlich nach und nach alles durch Unifi ersetzen. So wie ich das verstanden habe ist das bei den einfachen Dingen ohne Probleme möglich, meine nicht-einfachen Fragen:
  • Kann ich Unbound auch in Unifi nutzen? Also dann auf z.B. der Dream Machine Pro?
  • Krieg ich in Unifi Maulti-WAN mit Failover rein?
Was haltet ihr von der Idee?
P.S.: Ich bin bisher nicht zu Unifi gegangen weil sie einen goldenen Käfig bauen - ist mir mitlerweile egal, Omada ist leider nicht besser.
 
Wenn Du diese Anzeige nicht sehen willst, registriere Dich und/oder logge Dich ein.
Was haltet ihr von der Idee?
Ich würde mir nur den HA-Cluster-Krampf sparen und alles andere lassen, wie es ist. ;)
UniFi ist ja sicher ganz nett, aber ich denke, mit 'ner Sense hast Du einfach mehr Möglichkeiten/Freiheiten. Viele nutzen ja auch ne Sense plus Switches und APs von UniFi.
 
Die Freiheiten der Sense nutze ich - glaube ich - nicht.
Was mache ich mit meiner Sense:
  • HA
  • Dual GW
  • Netzwerke und VLANs
  • Diese zusätzlich geschützt durch die Firewall-Regeln
  • Blocken von DNS und Umleitung auf OPNsense via Firewall-Regel
  • Unbound
Warum will ich das nicht mehr: Ich muss bei Themen wie "Welche IP hat WLAN Client XYZ" an bis zu drei Stellen gucken. Die Convinience alles auf einer Oberfläche zu sehen ist es mir wert. Und bei deinem Vorschlag habe ich immer noch Pflegeaufwand an zu vielen Stellen. Genau das will ich nicht mehr.
 
Ich muss bei Themen wie "Welche IP hat WLAN Client XYZ" an bis zu drei Stellen gucken.
Kann ich (noch) nicht nachvollziehen. Wenn die Sense die IPs vergibt, dann sollte das die einzige Stelle sein.
Da ich das anderswo schon nicht nachvollziehen konnte, hier ein Beispiel, dass auch der AdGuard noch die Namen auflösen kann. Die Namen kommen von Unbound auf der pfSense.
Screenshot 2025-09-17 133246.png
 
Ubiquiti sammelt möglicherweise immer noch Telemetrie- bzw. Analytics-Daten, selbst wenn man viele Optionen deaktiviert.
Zumindest war dies in der Vergangenheit der Fall, z.B. https://www.golem.de/news/netzwerke...ne-einwilligung-weiter-daten-2103-154971.html
Uff, krasser Burner.... ich glaub dann will ich das nicht :(
Kann ich (noch) nicht nachvollziehen. Wenn die Sense die IPs vergibt, dann sollte das die einzige Stelle sein.
Da ich das anderswo schon nicht nachvollziehen konnte, hier ein Beispiel, dass auch der AdGuard noch die Namen auflösen kann. Die Namen kommen von Unbound auf der pfSense.
Anhang anzeigen 1141458
IPs sind eine Sache, Hostname bzw. sprechender NAme eine andere. Nimms mir nicht übel, aber ich will gerade von dem Flickwerk ja weg, weil: Du ignorierst den Pflegeaufwand und meine sonstigen Dinge komplett.
 
Hast du denn schonmal über ne professionelle Lösung wie Draytek nachgedacht?
Die haben auch ein entsprechendes central MGMT und sich nicht so Bastelbuden wie Ubi oder TPLink.

Ich bin dennoch ein Freund davon gewisse Sachen zu trennen.
WLAN/AP MGMT Firma X und Netzwerk/Routing Firma Y.
Für gewöhnlich haben beide Sachen nichts miteinander zu tun. @home
1x alle VLANs in Kombination mit SSIDs eingestellt und man muss an der Verquickung der Firmen nicht mehr ran.
WLAN Sachen macht man dann über Firma X MGMT (gerade PatchMGMT/Passwordrotation) und alles was dann IPs/DNS/Firewall ist, dann über Firma Y.

Ich benutze Draytek seit >20 Jahren und möchte meine "Armada" an 3910 Routern nicht mehr missen.

EDIT:
Wenn ich ne IP zu nem Client suche, dann schaue ich nur auf dem Router (der der DHCP ist), egal ob der direkt angeschlossen ist, an einem Switch oder über WLAN kommt.
Das WLAN suche ich nur auf, um in aller Unregelmäßigkeit mal auch den Patchknopf zu drücken, sonst ist mein Hauptansprechpartner der Router.

PS: Der 3910 kann 8x WAN, nur fürs Protokoll. (was auch immer MultiWAN bei dir bedeutet)
 
Zuletzt bearbeitet:
Ich würde mir nur den HA-Cluster-Krampf sparen und alles andere lassen, wie es ist. ;)
UniFi ist ja sicher ganz nett, aber ich denke, mit 'ner Sense hast Du einfach mehr Möglichkeiten/Freiheiten. Viele nutzen ja auch ne Sense plus Switches und APs von UniFi.
Genau das wäre auch mein Vorschlag. Den HA-Geraffel weg und alles andere so nutzen. Bist doch gut aufgestellt. :) Und UniFi soll zwar theoretisch einfach sein, praktisch aber nicht. Alleine Failover hat knapp 1 Jahr gedauert, bis die Firmware es fehlerfrei auch mit IPv6 konnte. Und richtig zuverlässig ist es noch immer nicht. Mein Schwager beitreibt das bei den Schwiegereltern und der hat nur geflucht. Allgemein halte ich die Software-Qualität bei Ubiquiti für grenzwertig. Damals, als sie angefangen haben, war's gut. Dann kamen IP-Kameras, Telefone, Türklingeln und weiß der Geier dazu und damit ging es nur bergab.

Inzwischen sind zumindest die APs und Switche aber wieder ganz okay. Lange keinen Bock mehr in der Firmware gehabt. Die Gateways sind aber immernoch mehr Bastelbude als alles andere. Lange Rede kurzer Sinn: lass es lieber mit Unifi. Gerade jemand, der auch "richtige" Hardware kennt, wird damit nur unglücklich. Fire and forget ist das trotz anders lautender Werbeversprechen nämlich auch nicht.
 
Das HA-GEraffel läuft super und macht weniger Aufwand als mehr - beisst euch daran nicht fest, das habe ich ganz gut im Griff...
 
UNifi ist da schon der rchtige weg, die machen im Bereich Firewall einiges anders und Mirkosegmentation ist sehr benutzerfreundlich.
 
Selbst wenn ich HA ignoriere, halte ich Unifi nicht für die beste Lösung. 🙃 Dafür sind gerade die Dream Machines einfach zu unausgereift.

Omada hätte den "Vorteil", dass man den auch selbst betreiben kann, ohne Cloud. Geht bei Unifi ja auch. Sonst wurde DrayTek ja schon genannt. Ich könnte mir vorstellen, dass das ein guter Mittelweg ist:


Kenne das VigorACS nicht aus eigener Erfahrung, aber die DrayTek-Hardware, die ich bisher hatte, lief immer sehr unauffällig. Und ich könnte mir vorstellen, dass das eher den Anforderungen entspricht.
 
Die Frage die ich mir stelle, was frisst denn genau deine Zeit ? Also welche Arbeiten bereiten dir bei deinem aktuellen Setup Kopfschmerzen ? HA ist es scheinbar schon mal nicht, das Dual WAN ?
 
Mirkosegmentation ist sehr benutzerfreundlich.
Seit wann beherrscht Ubi Mikrosegmentierung?
Das wäre mir doch sehr neu.

Ich persönlich halte Ubi maximal fürs WLAN den richtigen Weg.
Da braucht so einiges sehr lange, bis es mal umgesetzt ist, aber dann läufts eigentlich.
Wenn sie soviel Energie in die Entwicklung der Software/Firmware legen würden, wie in das Gerätedesign, wäre die schon weiter.
Allerdings sieht man ja eher das äußere und die Kunden kaufen dann und denken, das wäre geil.
Allein das Etherlighting...
Ich wüsste jetzt nicht, wo der Netzwerkadmin die letzten 20 Jahre genau darauf gewartet hat, aber hey, es verkauft sich (optisch) ganz gut.
Es ist halt ne "Apple" Lösung. Sieht schon aus, kann was, wenn man damit aber ernsthaft und tief drin arbeiten will, nimm lieber was anderes. Jedes System, was einem viel abnimmt, nimmt einem gleichzeitig auch vieles weg, dessen muss man sich bewusst sein.
Wie gesagt, fürs WLAN ist das OK, aber im (tiefen) Netzwerkbereich gibt es bessere Lösungen, wenn gleich man dann eben auch was können muss.
Da sich aber heute jeder Netzwerkadmin nennt, der weiß, wie rum man ein Netzwerkkabel in einen Switch steckt, sind solche Lösungen eben schon ein Verkaufsschlager.
 
Zuletzt bearbeitet:
Mikrosegmentation kam mit dem letzten Update.

Weiterhin gibt es inzwischen das Unifi OS Server, was sozusagen das komplette Unifi OS abbildet, so wie beim Router. Also Unifi OS als Base OS, und dann die network Applicatrion oben drauf. Das wird vermutlich dann auch weiter so ausgebaut, das man Unifi Protect etc. zukünftig über das Unifi OS als virtuelle Maschine betreiben kann.
 
Uff, krasser Burner.... ich glaub dann will ich das nicht :(
Mir geht es genauso. Ubiquiti ist in der Vergangenheit mehrfach negativ aufgefallen. Das Thema wurde und wird von vielen ignoriert. Wie der aktuelle Stand aussieht, weiß ich allerdings nicht.
Schon seltsam, wenn manche User auf allen Ebenen versuchen, Tracking zu vermeiden, dann aber ausgerechnet bei Netzwerk- und Sicherheitshardware auf einen Hersteller setzen, der dafür (aber auch bei anderen Themen) bereits mehrfach negativ aufgefallen ist... .
 
Ich finde nichts zum Thema micro segmentation, nur ACL und device isolation.
Links?

 
Das mögen die micro segmentation nennen, ist fernab jeder Lösung am Markt, die das seit 10 Jahren machen.
Das, was sie machen, ist objektbasiertes (Teilnehmer) SDN und damit fernab jeder Lösung, die auf Skalierung abzielt.

Aber da sieht man wieder einmal, wie Ubi den Kunden in sein Ökosystem zieht. Wer glaubt Cisco war schon schlimm, der wird durch Ubi eines besseren belehrt.
Mit dieser Lösung kauft sich der Kunde nicht nur teure HW, die ein schlechtes Preis-/Leistungsverhältnis hat, sondern auch gleich einen teuren 24/7 Netzwerksupport (nonHome), der einem ständig am Netzwerk rumspielt und Configs pusht, weil irgendwo ein Gerät kommt und geht.
Ist natürlich gut, für die Firmen, die den Service anbieten, aber richtig ist das bei weitem nicht, in meinen Augen.

Letztendlich ist es das genaue Gegenteil von dem, was der TE hier will, nämlich ein fire&forget Netzwerk und keines, wo man ständig auf dem MGMT Interface rumspielt.
Mirkosegmentation ist sehr benutzerfreundlich.
Und damit eben extrem benutzerunfreundlich. (Klicken schön und gut, das aber ständig tun zu müssen, also ich weiß nicht...)

EDIT:
Micro segmentation ist der Ansatz, dass man im Vorfeld Netzwerk(sub)segmente bildet und dann die Geräte so rein- und raushängt, dass die gewünschte Segmentierung besteht.
Das ist eigentlich ein statischer Aufbau, außer man muss isolation/community verschieben.
1x eingerichtet, läuft das in der Infrastruktur durch.
Auch Firewallregeln werden grundsätzlich voreingerichtet, mit maximaler Restriktion und dann werden, auf der Firewall, eben die Sachen noch freigeschaltet, die noch fehlen. Eigentlich ist nur noch dort die Dynamik zu finden, sonst nirgends.
 
Zuletzt bearbeitet:
Omada hätte den "Vorteil", dass man den auch selbst betreiben kann, ohne Cloud.
Wit haben hier rund 8APs und den Omada Cloud Controller.
Aber ehrlich gesagt kapier ich nicht für was man den braucht. Die ganzen Accesspoints verbreiten ja nur stupide das WLAN. DHCP/DNS Läuft auf nem separaten Server.
 
Ich bin da auch nicht grad ein Fan, aber bei so einem Netzwerk-Apple ;) dürftige Skalierung der Mikrosegmentierung zu bemängeln... Als wenn Apple einfach deswegen nichts taugt, weil sie keine Server bauen...
So schließt sich aber auch der Kreis, weil im Vergleich zu der Apple-Apotheke, über die Preise von Ubi meckern, das dann aber mit echtem pro Equipment und seinen Lösungen/Skalierungen vergleichen, wo das meiste mind. das doppelte vom Ubi Gedöns kostet... Schwierig :hust:

@Haldi
Man hat bei Omada halt DREI Optionen. Cloud, den OC200 oder einfach die Soft auf einem PC/Server. Beim heimischen Gefuchtel - nicht nur meinem, allgemein - ist mir noch nicht eingefallen wo man auch nur eine davon wirklich nötig hätte.
 
Zuletzt bearbeitet:
Vielleicht mal anders gefragt, brauchst du denn alles genauso wie es derzeit existiert?
Also Ports, anschlüsse, APs usw.

Also was sind die "harten vorraussetzungen" die am ende dennoch da sein müssen..
 
So schließt sich aber auch der Kreis, weil im Vergleich zu der Apple-Apotheke, über die Preise von Ubi meckern, das dann aber mit echtem pro Equipment und seinen Lösungen/Skalierungen vergleichen, wo das meiste mind. das doppelte vom Ubi Gedöns kostet... Schwierig :hust:
Das Problem ist nicht der Preis als solches, sondern das, was man für das Geld bekommt.
Ein Porsche ist auch 10x so teuer wie nen Dacia.
Beides sind aber, für die Relation, OKe Autos.

Würde aber ein Dacia anstatt 15k 150k kosten, für das gleiche Gerät, dann sind das Apothekenpreise.

Es geht also nicht um die Zahl als solches, sondern eben in Relation zu anderem.
Glaube mir, wenn ich dir sage, dass im Enterpriseumfeld du für den Preis eines Ubi-Gerätes nicht mal nen (ausgewachsenen) SFP bekommst.

Die Welt des Ethernet hat sich in den letzten 50Jahren sehr darum bemüht, Standards zu schaffen, so dass Geräte miteinander interoperabel sind. Das bezieht sich nicht nur auf ein paar Geräte zusammenstecken, sondern viel mehr oben drüber, also die Protokollwelt innerhalb der Infrastruktur.
Die Konsequenz ist, eigentlich, dass du alles mögliche zusammenstecken kannst, auch herstellerübergreifend, und der Spaß am Ende dann dennoch geht. Das ist primär darin begründet, dass Hersteller/Geräte in machen Bereichen Vorteile und in anderen Bereichen Nachteile haben. Und so setzt man das Gerät da ein, wo es gerade passt und ein Anderes eben woanders.
Dennoch kann man, auch im SDN Kontext Geräte mischen, nicht mehr so einfach wie ohne SDN, aber das geht dennoch.

Und das System bricht Ubi komplett, also nicht nur so ein bisschen, sondern durch die Bank.
Man ist also darauf angewiesen, dass man alles aus einer Hand kauft, und das hat sich in den letzten Jahren massiv verschärft.
Man muss diesen Weg also immer weiter gehen, wie Alice im Wunderland, und findet nur schwer wieder raus.
Und genau dafür ist das Zeug von Ubi einfach zu teuer, für meinen Geschmack, insbesondere die Infrastrukturkomponenten.

Und dass die bei Ubi Lack saufen, erkennt man schon daran, dass man APs, die sich nicht im selben L2-Segment wie der Controller befinden, nur anbinden kann, wenn man sich nen Arm abhackt und seinen Erstgeborenen opfert. Für so ne Aktion darf der AP nicht mal 50EUR kosten.
Nach vorne ist alle schön und sexy, sowohl physisch als auch der UI, aber wehe man schaut in den Unterbau, dann sieht man, dass 90% der Leue UI-Entwickler sind und die restlichen 10% sich dann um Technik kümmern.

@Haldi
Der Vorteil von Controllern ist, dass die eben zentral das Netzwerk managen. Was genau versteht man darunter?
z.B. dass der Controller ein Deviceroaming anstoßen kann, sogar seamless. Ob das TPLink kann, keine Ahnung.
Ich sehe insbesondere da den Vorteil, dass man so ein AssetMGMT hat.
Man sieht auf einer Oberfläche, welche Infrastrukturkomponenten da sind und wie deren Status ist.
Insbesondere beim WLAN ist für mich die Firmware relevant. Denn WLAN APs sollten mehr als regelmäßig gepatcht werden.
Sieht man an den Releasezyklen der Hersteller.
Aber auch das konsistente Verteilen von SSIDs/VLANs in dem Bereich ist mehr als hilfreich. Hat man das nicht, schleicht sich schonmal schnell der Fehlerteufel ein. Klar, wenn es läuft, dann läuft es.
Weiter geht es mit der Diagnose, insbesondere wenn man viel WLAN macht, besonders Automation.
Warum geht die Steckdose nicht. Das Gerät ist Online, hat aber keinen Traffic, also abgestürzt.

Für mich besteht @home der primäre Zweck einer solchen Lösung im WLAN-Bereich.
Ich patche 1-2x im Monat mein WLAN und das eben zentral über mehrere Standorte hinweg. Ich muss mich nicht 100x einloggen, sondern 1x, sehe alles und kann dann an einer Stelle zielgerichtet updaten und sehe den Status und kann dann das entsprechende Redundanzgerät ebenfalls updaten.
Das spart Zeit. Klar, kann man das auch alles von Hand machen, aber so vergisst man nichts; Wo wir wieder bei der Konsistenz wären.
Ob das nun Cloud, dediziert, Raspi oder auf einem Gerät mitläuft, sind einfach nur Geschmacksrichtungen des selben Joghurts.
Persönlich alles onprem ohne Heimtelefonie.

@Zeitmangel
Nochmal zur Empfehlung zu Draytek.
Ich habe in den letzten 20Jahren nicht so oft über Draytek geflucht, wie in den letzten 5 Jahren über Ubi.
Daher auch mein Anraten. Ja, auch Draytek hat so seine Schmerzen, wie jeder andere Hersteller auch. Was sich aber Ubi leistet, lässt sich eigentlich nur so erklären, dass die irgendwie nen Innovationsminister haben, der jeden Tag ne neue Idee aus seinem Morgenschiss rausliest, die dann umgesetzt werden muss.
Kann man machen, aber eigentlich nicht bei der Zielgruppe von denen, nämlich SoHo.
 
Zuletzt bearbeitet:
Geht vielleicht am Thread vorbei, aber ich war mit Zyxel 10 Jahre ganz zufrieden. Hätte mir sofort wieder eine Zywall hin gestellt, wenn es die in schnell und bezahlbar geben würde. Brauche auch noch zwei Switches, da gehe ich dann auch wieder auf Zyxel. In der Schweiz auch mit unkomplizierten und zuvorkommenden Support von der Studerus AG.

Aber bin eigentlich ganz froh, jetzt bei den Senses gelandet zu sein. Zyxel lässt sich halt jeden Furz fürstlich bezahlen. Von daher war meine Zywall ein mehrbesserer Router.
 
Vorab. Alles was ich davon nicht gequotet habe, finde ich richtig ;)

Für mich besteht @home der primäre Zweck einer solchen Lösung im WLAN-Bereich.
Ich patche 1-2x im Monat mein WLAN und das eben zentral über mehrere Standorte hinweg.
Passt das wirklich zusammen? Übertreibe ich, wenn ich mir sicher bin, daß wirklich die meisten Leute die sich @home Netzwerk aufbauen und in den Foren darüber quatschen möchten, keine 6 Wohnorte zu pflegen haben?
 
Zuletzt bearbeitet:
Ja, weil du ja auch @home evtl. mehrere APs hast.
Wenn nur einer, bin ich wohl bei dir, aber schon ab 2 könnte das Sinn machen, bei 3 obsiegt bei mir auf jeden Fall die Faulheit.

PS: Spannend wird es dann, wenn man z.B. auch bei der Fam. das Netzwerk macht. Dann hast man auch mehrere Standorte, für die man zuständig ist. Ob das nun die Eltern, die Tante oder die Schwester ist, ist am Ende ja mehr oder minder der selbe Use Case wie bei den Rossmann-Fialen. (alles zentral und "professionell" gemanagt)
Gerade bei WLAN, wo jeder Dulli quasi "Zugriff" hat.
 
Ja, weil du ja auch @home evtl. mehrere APs hast.
Wenn nur einer, bin ich wohl bei dir, aber schon ab 2 könnte das Sinn machen
Also 2 gehen noch. Aus Erfahrung ;)
PS: Spannend wird es dann, wenn man z.B. auch bei der Fam. das Netzwerk macht. Dann hast man auch mehrere Standorte, für die man zuständig ist.
Die lässt man meist auf Autoupdate, die APs hängen am Router im Mesh und du bist raus. Also, ich. Hb schon überlegt, ob die Fritten nicht deswegen so populär sind. Nicht weil die Anwender es haben wollen, sondern die Supporter ihre Ruhe...
 
Ich lasse doch nicht irgendeine Nulpe beim Hersteller auf den Releaseknopf drücken und dann gehen meine Geräte her und schießen sich mit verbugten Firmwareupdates dann selber in den Kopf.
Firmware sind wie ne gute Salami, gut abgehangen schmecken sie am besten.
Das höchste der Gefühle ist noch, dass sich die Geräte die FW beim Hersteller selber runterladen dürfen.
Die Fritte ist deswegen so populär, weil sie alles, was der DAU braucht, in einem Gerät vereint und man das noch ohne IT-Studium hinbekommt. Das kann die Fritte sehr gut, aber zu mehr taugt sie auch nicht.
 
Hardwareluxx setzt keine externen Werbe- und Tracking-Cookies ein. Auf unserer Webseite finden Sie nur noch Cookies nach berechtigtem Interesse (Art. 6 Abs. 1 Satz 1 lit. f DSGVO) oder eigene funktionelle Cookies. Durch die Nutzung unserer Webseite erklären Sie sich damit einverstanden, dass wir diese Cookies setzen. Mehr Informationen und Möglichkeiten zur Einstellung unserer Cookies finden Sie in unserer Datenschutzerklärung.


Zurück
Oben Unten refresh