[Ubiquiti-Netwerkapparatuur] Ervaringen & Discussie - Deel 4

[ASS-Ware]

posttoast schreef op donderdag 27 februari 2025 @ 10:16:
[...]

Klinkt wel tof, maar wat is precies het voordeel van minder SSID's hebben (beetje een lekenvraag)?

Nou, ik heb zo'n 20 vlans en 20 SSID's gaat niet ;-)
Maar volgens mij hou je ook minder bandbreedte over als je meerdere SSIDs gebruikt.

Wat ik nu overigens heb gedaan is dat alle apparaten die met mijn SSID verbinden, die komen in een vlan zonder toegang naar andere vlans en zonder toegang naar internet.
Daar kun je dus weinig slopen.

Ik moet deze apparaten vervolgens een vlan toekennen voor ze wat kunnen doen.

[ Voor 40% gewijzigd door ASS-Ware op 27-02-2025 11:26 ]

[hgwj1983]

ASS-Ware schreef op woensdag 26 februari 2025 @ 22:37:
Tippie van mij.
Als je in een Unifi netwerk gebruik wilt maken van 1 SSID waarbij diverse clients in verschillende vlans terecht moeten komen, dan kun je meerdere passwords op 1 SSID zetten en elk password linken aan een vlan en je kan per device een vlan toekennen in de device list.
Bij de eerste kun je alleen WPA2 gebruiken en bij de tweede ook WPA2/WPA3.
Ik gebruikte eerst optie 1 en heb net alles overgezet naar 1 SSID met 1 password en centraal de vlans toegekend.
Superblij mee.

PPSK is mij wel bekend maar dit is niet beschikbaar met WPA3 of 6GHz. De 2e optie ken ik niet klinkt interessant. Mijn solaredge omvormer wil bijvoorbeeld niet verbinden met een hidden netwerk (iot) dus zit nu op de guest wifi. Ik ga er eens naar kijken

[laurens0619]

ASS-Ware schreef op donderdag 27 februari 2025 @ 11:23:
[...]

Nou, ik heb zo'n 20 vlans en 20 SSID's gaat niet ;-)
Maar volgens mij hou je ook minder bandbreedte over als je meerdere SSIDs gebruikt.

Wat ik nu overigens heb gedaan is dat alle apparaten die met mijn SSID verbinden, die komen in een vlan zonder toegang naar andere vlans en zonder toegang naar internet.
Daar kun je dus weinig slopen.

Ik moet deze apparaten vervolgens een vlan toekennen voor ze wat kunnen doen.

Hoe werkt dat dan in de praktijk?
Kent die dan een vlan toe obv mac adres oid?

[ASS-Ware]

laurens0619 schreef op donderdag 27 februari 2025 @ 11:40:
[...]

Hoe werkt dat dan in de praktijk?
Kent die dan een vlan toe obv mac adres oid?

Ik vermoed dat het gaat op MAC adres ja.

[Mr-D.]

Jammer de meeste mobieltjes staan op random Mac, word dan wel weer lastig.
zeker op het "gasten" netwerk die moet je dan dus echt scheiden dus een tweede SSID.

meeste users zijn niet bekend met dit en kan je gasten ook niet dwingen om dit aan te passen.

maar voor de huidige prijzen hoeven ze ook niet meer op jouw WiFi

[ Voor 34% gewijzigd door Mr-D. op 27-02-2025 11:57 ]

[laurens0619]

Valt wel mee hoor.
Random MAC is in de praktjk meestal uniek MAC per SSID die hetzelfde blijft mits je 1x in de x maanden verbinding hebt gemaakt met dat SSID.

Security technisch heb ik wat meer vraagtekens erbij hoe makkelijk je VLAN kunt hoppen als toekenning op basis van MAC wordt gedaan (alhoewel ik daar voor thuissituatie niet teveel zorgen over zou maken)

[ASS-Ware]

Mr-D. schreef op donderdag 27 februari 2025 @ 11:55:
Jammer de meeste mobieltjes staan op random Mac, word dan wel weer lastig.
zeker op het "gasten" netwerk die moet je dan dus echt scheiden dus een tweede SSID.

meeste users zijn niet bekend met dit en kan je gasten ook niet dwingen om dit aan te passen.

Dan komen ze vanzelf naar me toe om te melden dat het niet werkt en dan pas ik het wel even aan.

maar voor de huidige prijzen hoeven ze ook niet meer op jouw WiFi
[Afbeelding]

Niet al onze gasten komen uit Nederland en niet iedereen wil voor een weekend of week even een prepay ofzo aanschaffen.
En dan zijn er nog de vriendjes en vriendinnetjes van kinderen, die niet allemaal een SIM hebben in hun tablet of telefoon.

[ASS-Ware]

laurens0619 schreef op donderdag 27 februari 2025 @ 11:58:
Valt wel mee hoor.
Random MAC is in de praktjk meestal uniek MAC per SSID die hetzelfde blijft mits je 1x in de x maanden verbinding hebt gemaakt met dat SSID.

Security technisch heb ik wat meer vraagtekens erbij hoe makkelijk je VLAN kunt hoppen als toekenning op basis van MAC wordt gedaan (alhoewel ik daar voor thuissituatie niet teveel zorgen over zou maken)

Als ik de randomization aanzet in mijn iPhone, dan hop ik inderdaad naar een ander vlan, maar als je alles in 1 IOT netwerk zet, dan kunnen alle IOT devices ook met elkaar spelen.

[stormfly]

RobertMe schreef op woensdag 26 februari 2025 @ 19:27:
[...]

Gaat IDS/IPS dan ook via hardware offloading? Geen idee of dat uberhaupt mogelijk is namelijk. Laat staan of UI dat dan ook doet toepassen.

UGC-Fiber speeds
https://community.ui.com/...d1-40ee-aa4d-b74e04dcce75

De eerste Tweakers waardige review, geef de beste man een upvote👍 tagging @Will_M @ed1703 @xbeam

Nog een review van hem met de UDM-SE.
https://community.ui.com/...85-4b52-ae8c-df6c689573f3


9,39Gbps met IPS/IDS ingeschakeld 🤣 met PPPoE zakt het naar 8,5/6,5Gbps waarbij zijn test server 100% CPU bereikt. Er kan nog meer performance in de UCG-Fiber zitten.

[ Voor 22% gewijzigd door stormfly op 27-02-2025 17:12 ]

[RobertMe]

stormfly schreef op donderdag 27 februari 2025 @ 12:17:
met PPPoE zakt het naar 8,5/6,5Gbps

Met een korrel zout zoals die zelf aangeeft. De PPPoE server die hij gebruikte (Intel N305 systeem) trok 100% CPU en kan dus de botteleneck zijn geweest, en niet de UCG Fiber dus.

[duvekot]

stormfly schreef op donderdag 27 februari 2025 @ 12:17:
[...]


https://community.ui.com/...d1-40ee-aa4d-b74e04dcce75

De eerste Tweakers waardige review, geef de beste man een upvote👍 tagging @Will_M @ed1703 @xbeam

9,39Gbps met IPS/IDS ingeschakeld 🤣 met PPPoE zakt het naar 8,5/6,5Gbps

Dat is een stuk sneller dan de 5Gbit/s met IPS/IDS aan die ze zelf door geven ...

Kan iperf3 wel goed de IDS/IPS testen?

[stormfly]

duvekot schreef op donderdag 27 februari 2025 @ 12:27:
[...]

Dat is een stuk sneller dan de 5Gbit/s met IPS/IDS aan die ze zelf door geven ...

Kan iperf3 wel goed de IDS/IPS testen?

Dat is de korrel zout: zijn testlab kan dus eigenlijk niet deze router volledig testen. Mogelijk is het nog hoger.

De inspectie loopt via een “packetcapture” (bij de UCG-Max in hardware) die wordt getoetst op een database met known IPS. Ik weet niet of packetsize of veel variatie in externe IPs invloed heeft op de doorvoersnelheid.

Voor mij heeft het niet veel toegevoegde waarde ik zou er mijn koop niet vanaf laten hangen. Zoals iemand anders deze week schreef: concurrenten hebben deze optie IPD/IDS niet. Je kan ook DNS 9.9.9.9 of controlD gebruiken als je veiligheid wilt. Nu heb ik geen idee wat de resultaten zijn met de betaalde CyberSecure abonnementen. Misschien dat het dan meer veiligheid biedt de database zal dan vollediger zijn.

RobertMe schreef op donderdag 27 februari 2025 @ 12:24:
[...]

Met een korrel zout zoals die zelf aangeeft. De PPPoE server die hij gebruikte (Intel N305 systeem) trok 100% CPU en kan dus de botteleneck zijn geweest, en niet de UCG Fiber dus.

Exact als PPPoE stagneert op de bron server vanwege 100% CPU dan is het mooi dat hij 5Gbps als bodemwaarde heeft dan gaat het prima passen op KPN 4/4Gbps PPPoE.

[ Voor 6% gewijzigd door stormfly op 27-02-2025 12:51 ]

[bommel]

De gisteren bestelde Unifi Cloud Gateway Fiber is net binnen gekomen dus wilde even wat eerste ervaringen delen. Ik heb KPN glasvezel (4 gbps) en kom vanaf een Unifi Cloud Gateway Ultra (UCG-U).

Ik heb de UCG-F via RJ45 aangesloten op de FTU (ik wil later nog direct naar SFP+) en een laptop via kabel aan Ethernet poort 1.

Via een wizard wordt je door wat stappen geleid:


Je moet dan onderin op "Other Configuration Options" klikken en vervolgens voor PPPoE


Vul vervolgens vlan 6 in en gebruikernaam/wachtwoord internet.

In de volgende stap kun je een backup restoren, ik koos in eerste instantie voor restore van de cloud backup:


Helaas blijft deze steeds hangen op de laatste stap (Restore van de OS settings) en alleen met een restore dmv pinnetje achterop de unit kom je weer terug.

Ik heb uiteindelijk daarom gekozen op de backup niet terug te zetten en toen in eerste instantie geprobeerd om de settings backup van de UCG-U terug te zetten (de .unf ipv de .unifi) maar toen kreeg ik de melding dat de network applicatie te oud was. Dat was een aha moment dus toen via Control Plane -> Updates de Network Application een update gegeven (zat op 8.x):



Hierna alsnog restore van de cloud backup gedaan (maar nu via deze interface) en dat ging wel goed!



EDIT:

Ik heb de volgende "add-ons" die ik gebruik getest:

NextDNS: werkt, na reboot ook nog steeds actief
UDM-IPTV (van Fabian): detecteert UCG-F niet (zelf juiste interface instellen) -> pull request.
On Boot Script (van Unifi OS Utilities): herkent UCG-F niet -> pull request.
SONOS multicast script: werkt.

[ Voor 7% gewijzigd door bommel op 27-02-2025 14:34 ]

[Tortelli]

De hoofd vraag is: welke snelheden haal je? (en met welke cpu load)?

[stormfly]

bommel schreef op donderdag 27 februari 2025 @ 13:06:
De gisteren bestelde Unifi Cloud Gateway Fiber is net binnen gekomen dus wilde even wat eerste ervaringen delen. Ik heb KPN glasvezel (4 gbps) en kom vanaf een Unifi Cloud Gateway Ultra (UCG-U).

Ik heb de UCG-F via RJ45 aangesloten op de FTU (ik wil later nog direct naar SFP+) en een laptop via kabel aan Ethernet poort 1.

Via een wizard wordt je door wat stappen geleid:
[Afbeelding]

Je moet dan onderin op "Other Configuration Options" klikken en vervolgens voor PPPoE
[Afbeelding]

Vul vervolgens vlan 6 in en gebruikernaam/wachtwoord internet.

In de volgende stap kun je een backup restoren, ik koos in eerste instantie voor restore van de cloud backup:
[Afbeelding]

Helaas blijft deze steeds hangen op de laatste stap (Restore van de OS settings) en alleen met een restore dmv pinnetje achterop de unit kom je weer terug.

Ik heb uiteindelijk daarom gekozen op de backup niet terug te zetten en toen in eerste instantie geprobeerd om de settings backup van de UCG-U terug te zetten (de .unf ipv de .unifi) maar toen kreeg ik de melding dat de network applicatie te oud was. Dat was een aha moment dus toen via Control Plane -> Updates de Network Application een update gegeven (zat op 8.x):

[Afbeelding]

Hierna alsnog restore van de cloud backup gedaan (maar nu via deze interface) en dat ging wel goed!

[Afbeelding]

Speedtest🙃? Via een stevig device en dan bij voorkeur met de speedtest.net app ivm multi core gebruik. Of op CLI in Linux.

[TweakGP]

bommel schreef op donderdag 27 februari 2025 @ 13:06:
Hierna alsnog restore van de cloud backup gedaan (maar nu via deze interface) en dat ging wel goed!

Bedankt dat je zo snel de moeite neemt maar het zijn nou niet echt de ervaringen waar we op zitten te wachten.... we willen performance gegevens zien, niet jouw specifieke problemen met een oude backup versie :-).

Liever iets later en wat meer inhoud graag .

[ Voor 5% gewijzigd door TweakGP op 27-02-2025 13:13 ]

[laurens0619]

ASS-Ware schreef op donderdag 27 februari 2025 @ 12:05:
[...]

Als ik de randomization aanzet in mijn iPhone, dan hop ik inderdaad naar een ander vlan, maar als je alles in 1 IOT netwerk zet, dan kunnen alle IOT devices ook met elkaar spelen.

Bedoel meer dat als een client een packet capture doet hij de MAC adressen van de andere clients kan zien, deze kan clonen en makkelijk hoppen.

Niets iets waar ik mij in thuissituaties druk over zou maken

[bommel]

TweakGP schreef op donderdag 27 februari 2025 @ 13:13:
[...]

Bedankt dat je zo snel de moeite neemt maar het zijn nou niet echt de ervaringen waar we op zitten te wachten.... we willen performance gegevens zien, niet jouw specifieke problemen met een oude backup versie :-).

Liever iets later en wat meer inhoud graag .

Uhm de backup was van vandaag, het issue was dat de netwerk applicatie op de UCG-F ouder was dan die op mijn UCG-U. En daardoor gaat dus het automatische restore process mis...

[bommel]

stormfly schreef op donderdag 27 februari 2025 @ 13:11:
[...]


Speedtest🙃? Via een stevig device en dan bij voorkeur met de speedtest.net app ivm multi core gebruik. Of op CLI in Linux.

Nieuwe switch, 10 gbps NIC en nieuwe AP staan nog in bestelling dus ik kan vooralsnog alleen speedtest doen op een device met gigabit NIC of op Unifi zelf maar die laatste is ook niet echt representatief.

[ASS-Ware]

laurens0619 schreef op donderdag 27 februari 2025 @ 13:14:
[...]

Bedoel meer dat als een client een packet capture doet hij de MAC adressen van de andere clients kan zien, deze kan clonen en makkelijk hoppen.

Niets iets waar ik mij in thuissituaties druk over zou maken

Ik begreep hem, vandaar dat ik zei "Als ik de randomization aanzet in mijn iPhone, dan hop ik inderdaad naar een ander vlan".
Het is echter de vraag of je MAC adressen van andere VLANs voorbij ziet komen.
Als iemand dit weet, dan hoor ik het graag.

[Tortelli]

bommel schreef op donderdag 27 februari 2025 @ 13:20:
[...]

Nieuwe switch, 10 gbps NIC en nieuwe AP staan nog in bestelling dus ik kan vooralsnog alleen speedtest doen op een device met gigabit NIC of op Unifi zelf maar die laatste is ook niet echt representatief.

Wat laat de unifi zelf zien dan? Want dit geeft wel een aardig beeld volgens mij.

[ASS-Ware]

hgwj1983 schreef op donderdag 27 februari 2025 @ 11:30:
[...]


PPSK is mij wel bekend maar dit is niet beschikbaar met WPA3 of 6GHz. De 2e optie ken ik niet klinkt interessant. Mijn solaredge omvormer wil bijvoorbeeld niet verbinden met een hidden netwerk (iot) dus zit nu op de guest wifi. Ik ga er eens naar kijken

Een hidden SSID is sowieso een wassen neus he.

[bommel]

Tortelli schreef op donderdag 27 februari 2025 @ 13:22:
[...]


Wat laat de unifi zelf zien dan? Want dit geeft wel een aardig beeld volgens mij.

[_AcS_]

bommel schreef op donderdag 27 februari 2025 @ 13:24:
[...]

[Afbeelding]

In de afbeelding staat Ultra, geen Fiber.

[SgtElPotato]

_AcS_ schreef op donderdag 27 februari 2025 @ 13:28:
[...]


In de afbeelding staat Ultra, geen Fiber.

Maar aan de afbeelding te zien is het wel de Fiber.

[bommel]

_AcS_ schreef op donderdag 27 februari 2025 @ 13:28:
[...]


In de afbeelding staat Ultra, geen Fiber.

Dat komt uit de backup van de UCG-U en is alleen een naam, aan te passen onder Control Plane -> Console -> Name (en ga deze uiteraard aanpassen)

[_AcS_]

SgtElPotato schreef op donderdag 27 februari 2025 @ 13:34:
[...]


Maar aan de afbeelding te zien is het wel de Fiber.

Bij mijn Ultra ziet het er net zo uit, vandaar de opmerking.

[jadjong]

ASS-Ware schreef op donderdag 27 februari 2025 @ 13:20:

Het is echter de vraag of je MAC adressen van andere VLANs voorbij ziet komen.
Als iemand dit weet, dan hoor ik het graag.

Het is wifi, alles komt voorbij.

[Kodess]

ASS-Ware schreef op donderdag 27 februari 2025 @ 12:05:
[...]

Als ik de randomization aanzet in mijn iPhone, dan hop ik inderdaad naar een ander vlan, maar als je alles in 1 IOT netwerk zet, dan kunnen alle IOT devices ook met elkaar spelen.

Dat laatste deel snap ik niet wat je bedoelt?
Dat hangt er namelijk vanaf hoe je je VLAN instelt. Ik heb mijn IoT VLAN ingesteld dat ze alleen bij het internet kunnen en niet bij andere verbonden apparaten.
Mijn NoT VLAN mogen ze zelfs niet op het internet, alleen reageren op requests die naar hen zijn gestuurd, en dan mag mijn Home Assistant device wel bij praten met de apparaten op NoT.
Alles is inte stellen

[Mr-D.]

Kodess schreef op donderdag 27 februari 2025 @ 14:34:
[...]

Dat laatste deel snap ik niet wat je bedoelt?
Dat hangt er namelijk vanaf hoe je je VLAN instelt. Ik heb mijn IoT VLAN ingesteld dat ze alleen bij het internet kunnen en niet bij andere verbonden apparaten.
Mijn NoT VLAN mogen ze zelfs niet op het internet, alleen reageren op requests die naar hen zijn gestuurd, en dan mag mijn Home Assistant device wel bij praten met de apparaten op NoT.
Alles is inte stellen

ik heb ook een IOT netwerk en die mogen alleen met HA praten vanuit het verleden ook een FW rule (nu zit er in de GUI een vink boxje internet aan of uit) aangemaakt dat ze geen internet hebben, is ook niet nodig als het werkt waarom updaten? en praten ook niet met elkaar, en dit draait nu al meer dan 2 jaar goed, ook heb ik er een paar in mijn gewone lan zitten maar door fw rules praten deze ook niet met internet, maar ik kan wel bij hun webinterface.

maar deze snap ik dan weer niet:

ASS-Ware schreef op donderdag 27 februari 2025 @ 12:05:
[...]

Als ik de randomization aanzet in mijn iPhone, dan hop ik inderdaad naar een ander vlan

omdat ik het liefst maar 1 SSID wil hebben vanwege de bandbreedte leek mij de dubbele wachtwoorden wel een uitkomst.leuke toevoeging.
maar als ik de willekeurige mac adresen aanzet blijf ik gweoon in het zelfde vlan en kan niet communiceren met de andere vlan's (zoals ik het verwacht)

ga het voorlopig wel even testen met een extra test SSID totdat ik zeker weet dat niemand zomaar naar een ander vlan word geschopt.

[ Voor 0% gewijzigd door Mr-D. op 27-02-2025 14:46 . Reden: een , geplaatst ]

[Kodess]

Mr-D. schreef op donderdag 27 februari 2025 @ 14:45:
[...]

ik heb ook een IOT netwerk en die mogen alleen met HA praten vanuit het verleden ook een FW rule (nu zit er in de GUI een vink boxje internet aan of uit) aangemaakt dat ze geen internet hebben, is ook niet nodig als het werkt waarom updaten? en praten ook niet met elkaar, en dit draait nu al meer dan 2 jaar goed, ook heb ik er een paar in mijn gewone lan zitten maar door fw rules praten deze ook niet met internet, maar ik kan wel bij hun webinterface.

maar deze snap ik dan weer niet:

[...]

omdat ik het liefst maar 1 SSID wil hebben vanwege de bandbreedte leek mij de dubbele wachtwoorden wel een uitkomst.leuke toevoeging.
maar als ik de willekeurige mac adresen aanzet blijf ik gweoon in het zelfde vlan en kan niet communiceren met de andere vlan's (zoals ik het verwacht)

ga het voorlopig wel even testen met een extra test SSID totdat ik zeker weet dat niemand zomaar naar een ander vlan word geschopt.

Je haalt de twee manieren door elkaar gok ik?
Je kan 1 SSID met meerdere VLANs op twee manieren doen:
- Meerdere wachtwoorden
- Op MAC adres manueel een VLAN setten

Op MAC adres is natuurlijk niet helemaal waterdicht ivm spoofing inderdaad.
Je geeft eerst aan dat dubbele wachtwoordeen een uitkomst lijkt en dan ga je het testen door randomized MAC aan te zetten op je telefoon? Er is al eerder gezegd in dit topic dat random niet echt random is. Het is per SSID stabiel (als je niet meer dan een bepaalde tijd, eg een maand, niet actief bent), en je zal dus maar 2 MAC's doorgeven aan je netwerk; je echte fysieke MAC en de randomized MAC die bij je SSID hoort.

Ik heb gewoon 1 SSID, en een simpel wachtwoord dan kom je in de GUEST VLAN terecht. Andere wachtwoorden gaan naar andere VLAN's.

[Leussink]

Voor onze nieuwbouw woning 3x de U7 Pro gekocht en was van plan de Cloud Gateway Max aan te schaffen. Zie dat sinds kort de Cloud Gateway Fiber beschikbaar is. Welke kan ik het beste aanschaffen om toekomst proof te zijn?

[duvekot]

Leussink schreef op donderdag 27 februari 2025 @ 16:55:
Voor onze nieuwbouw woning 3x de U7 Pro gekocht en was van plan de Cloud Gateway Max aan te schaffen. Zie dat sinds kort de Cloud Gateway Fiber beschikbaar is. Welke kan ik het beste aanschaffen om toekomst proof te zijn?

Wat ga je gebruiken van het UniFi spectrum aan opties (bv Protect?) en hoe snel is de maximale aansluiting van je internet provider (meer dan 1Gbit/s of minder) en denk je dat je die snelheid binnen 5 jaar hoger gaat krijgen? (Dus hoger dan 1Gbit/s)

[RobertMe]

duvekot schreef op donderdag 27 februari 2025 @ 17:31:
[...]

Wat ga je gebruiken van het UniFi spectrum aan opties (bv Protect?) en hoe snel is de maximale aansluiting van je internet provider (meer dan 1Gbit/s of minder) en denk je dat je die snelheid binnen 5 jaar hoger gaat krijgen? (Dus hoger dan 1Gbit/s)

De Max doet al 2,5GbE he. De vraag is dus of @Leussink verwacht binnen de levensduur van deze router sneller dan 2,5Gbit/s internet af te nemen.

[duvekot]

RobertMe schreef op donderdag 27 februari 2025 @ 17:43:
[...]

De Max doet al 2,5GbE he. De vraag is dus of @Leussink verwacht binnen de levensduur van deze router sneller dan 2,5Gbit/s internet af te nemen.

Hij zat te denken / was van plan .. dus hij had het nog niet gekocht .. en wie weet dacht hij dat max beter was dan ultra bijvoorbeeld

[RobertMe]

duvekot schreef op donderdag 27 februari 2025 @ 17:54:
[...]

Hij zat te denken / was van plan .. dus hij had het nog niet gekocht .. en wie weet dacht hij dat max beter was dan ultra bijvoorbeeld

Ik las de vraag toch als Max vs Fiber En dan is de Fiber pas relevant vanaf 2,5Gbit/s+. Zonder PPPoE & IDS/IPS dan. Geen idee wat de Max met doet.

[duvekot]

RobertMe schreef op donderdag 27 februari 2025 @ 17:55:
[...]

Ik las de vraag toch als Max vs Fiber En dan is de Fiber pas relevant vanaf 2,5Gbit/s+. Zonder PPPoE & IDS/IPS dan. Geen idee wat de Max met doet.

2.3 volgens de specs .. maar ja ..de Fiber zou maar 5 Gbit/s doen.. maar dat lijkt ook sneller te kunnen

[nero355]

stormfly schreef op woensdag 26 februari 2025 @ 19:03:
Het is volgens mij de snelste CPU tot nu toe in een UnFi product, een mooie stap voorwaarts.

Nee, want er is ook een model met een dikke Intel Xeon erin

En als er hardware offloading in zit gebruik je deze A73 nagenoeg niet voor het netwerkverkeer maar eerder voor de UI applicaties.

Je kan vaak niet alles Offloaden en ook niet op het moment dat je bepaalde features combineert dus doe maar gewoon die dikke CPU/ARM SoC erin

glnk schreef op woensdag 26 februari 2025 @ 19:18:
Wie heeft er nou zon kastje op zn bureau staan met 2x fiber en 5x ethernet.
Zo wordt het wel afgebeeld.

Ik vind het ook maar raar...

En waarom 1 RJ45 en 2 x SFP+ en niet gewoon 2 x RJ45 en 2 x SFP+ voor de 10 Gbps poorten

Gelukkig kan je alles aan de muur hangen in principe, maar toch : Met rackoortjes links en rechts is dat een stuk makkelijker

RobertMe schreef op woensdag 26 februari 2025 @ 19:27:
Gaat IDS/IPS dan ook via hardware offloading? Geen idee of dat uberhaupt mogelijk is namelijk. Laat staan of UI dat dan ook doet toepassen.

Kwestie van de juiste module in je SoC proppen gok ik

Maar in principe heb je gelijk. @nero355 loopt wel continu op de CPU te hameren.

Mijn punt was meer "Let goed op wat je koopt als het om ARM based produkten gaat !!" dus ook bijvoorbeeld een Android TV kastje of zo

En hetzelfde/extremer bij een managed switch ik ga geen €100 of meer extra betalen voor een switch met de nieuwste en coolste ARM CPU zodat het provisionen van wijzigingen een paar tiende seconden sneller is of de terminal van het ding een fractie sneller / minder laggy is.

Volgens mij is het daar totaal niet relevant als ik op https://techspecs.ui.com/...subcategory=all-switching rondkijk, want zoals je zelf al zegt :

En het daadwerkelijke switchen gebeurt toch door een switching chip.

ocf81 schreef op woensdag 26 februari 2025 @ 20:46:
Als je het mij vraagt is IPS geen een of andere luxe versie en moet je de waarde van de router bepalen aan de hand van of IPS of lijnsnelheid kan draaien of niet.

Als je echt fatsoenlijk IDS/IPS wilt doen dan heb je in principe nog 2 apparaten nodig rondom je Router :
- Één als Transparent Bridge aan je WAN kant.
- Één als Transparent Bridge aan je LAN kant.

Maar dat doe je thuis over het algemeen niet

ocf81 schreef op woensdag 26 februari 2025 @ 23:48:
Voor mij is het fijn als dat verkeer ook in de gaten kan worden gehouden, zodat kwaadwillenden niet mijn hele netwerk om zeep helpen.
Ik draai ook servers van mijn gaming clan, dus ben ik niet het enige slachtoffer als er iets mis gaat.
En omdat er wel eens een onredelijk geïrriteerde figuur wraak wil hebben heb ik voor mijzelf in ieder geval zowel naar buiten als tussen de VLANs voor het verkeer van en naar de extern gerichte diensten IPS draaien. En om het zeker te weten wil ik ook het verkeer van en naar mijn NAS zo veel mogelijk in de gaten houden.

Vandaar de noodzaak voor IPS.

Zolang je op elke poort die jij open zet ook daadwerkelijk iets draait en ook nog eens up-to-date houdt dan kan er in principe niet heel veel raars gebeuren, tenzij je heel veel pech hebt...

stormfly schreef op woensdag 26 februari 2025 @ 20:48:
Ja de CPU is vrij krachtig als er ook HW offloading in zit. Misschien toekomst plannen met meer software opties? Het CyberSecure pakket met extra signatures gaat dat soms over de CPU?

Ik denk eigenlijk dat vooral het laatste helemaal afhankelijk is van de CPU in de SoC

De prijs is ook erg aangenaam, tov van een UDM 19inch model. Scheelt 240e met een UDM-SE.
Nu ben ik niet thuis met alle camera en deurbellen software, misschien vergelijk ik appels met peren.

Het lijkt me sowieso fijn voor de klanten die gewoon een Router willen en niet al die poespas eromheen dat ze dan € 240 besparen waar ze dus weer een mooie Switch of zo van kunnen kopen

ed1703 schreef op woensdag 26 februari 2025 @ 21:20:
De fixatie hier op IPS/IDS vind ik soms wel bijzonder.

Lijkt een beetje een trend te zijn, want ik zie het ook op andere fora voorbijkomen en ook daar elke keer weer de "Weet je zeker dat je dat wel wilt/nodig hebt ?!" uitleg van heel veel mensen...

Heeft een router dan geen andere mogelijkheden nodig?

Je zou het bijna gaan denken... LOL!

Ik vind afgezien van IPS/IDS en die camera-shizzle dat een mikrotik van 200 euro veel meer kan op gebied van routing en L2 dan een 400 euro UI machine, voor bijvoorbeeld iemand die graag speelt met een lab of als je dat ding in bedrijven gaat gebruiken.

De MikroTik RB5009 is inderdaad al heel lang verdomd interessant !!

Verder heb ik geen mening over UI, qua Wifi en Switching is het allemaal dik in orde.

- In Walls zijn AWESOME!!!
Maar dat heb ik al vaker gezegd
- Switches zou ik eigenlijk wel een beetje anders willen zien, maar kunnen er opzich wel mee door...

ASS-Ware schreef op woensdag 26 februari 2025 @ 22:37:
Tippie van mij.

Als je in een Unifi netwerk gebruik wilt maken van 1 SSID waarbij diverse clients in verschillende vlans terecht moeten komen, dan kun je meerdere passwords op 1 SSID zetten en elk password linken aan een vlan en je kan per device een vlan toekennen in de device list.
Bij de eerste kun je alleen WPA2 gebruiken en bij de tweede ook WPA2/WPA3.

Ik gebruikte eerst optie 1 en heb net alles overgezet naar 1 SSID met 1 password en centraal de vlans toegekend.

Superblij mee.

NICE!!!

ASS-Ware schreef op donderdag 27 februari 2025 @ 11:23:
Nou, ik heb zo'n 20 vlans en 20 SSID's gaat niet ;-)

Ik zou het niet eens willen

Maar volgens mij hou je ook minder bandbreedte over als je meerdere SSIDs gebruikt.

"Des te minder zooi in de ether, des te beter!" inderdaad

Wat ik nu overigens heb gedaan is dat alle apparaten die met mijn SSID verbinden, die komen in een vlan zonder toegang naar andere vlans en zonder toegang naar internet.
Daar kun je dus weinig slopen.

Ik moet deze apparaten vervolgens een vlan toekennen voor ze wat kunnen doen.

Soort RADIUS Authentication maar dan anders : Lekker!!!

sOid schreef op donderdag 27 februari 2025 @ 10:58:
Ik wil mogelijk de Cloud Gateway Fiber gaan aanschaffen, als vervanging van m'n Mikrotik HexS. Laatstgenoemde werkt echt prima, maar ik vind Unifi-spul toch gebruiksvriendelijker.

In de HexS heb ik nu deze SFP-module zitten: Cisco GLC-BX-20U Compatible 1000BASE-BX-U SFP BiDi 1310nm-TX/1550nm-RX 20km DOM Simplex LC/UPC SMF Optical Transceiver Module

Gaat dit werken in de Cloud Gateway Fiber icm Odido glasvezel?

Over het algemeen doen UniFi produkten niet moeilijk over SFP/SFP+ modules die je erin stopt, maar hou er wel rekening mee dat je die module sowieso een keer zal moeten omruilen voor een ZARAM of iets dergelijks als je straks van AON naar XGS-PON wordt overgezet

hgwj1983 schreef op donderdag 27 februari 2025 @ 11:30:
Mijn solaredge omvormer wil bijvoorbeeld niet verbinden met een hidden netwerk (iot) dus zit nu op de guest wifi.

En terecht!

Hidden Networks zijn eigenlijk iets wat nooit heeft mogen bestaan en verstoren de ether alleen maar voor iedereen !!

Gewoon weer zichtbaar maken en je bent van het gezeik af en je "WiFi buren" zijn dan ook van eventuele (toekomstige) problemen af

Mr-D. schreef op donderdag 27 februari 2025 @ 11:55:
Jammer de meeste mobieltjes staan op random Mac, word dan wel weer lastig.
zeker op het "gasten" netwerk die moet je dan dus echt scheiden dus een tweede SSID.

Als je telefoon niet in mijn handen is geweest voordat je op mijn WiFi komt dan kom je nooit erop dus die Random MAC Address bullshit staat sowieso ALTIJD lekker UIT op mijn WiFi Clients

meeste users zijn niet bekend met dit en kan je gasten ook niet dwingen om dit aan te passen.

Dus wel...

maar voor de huidige prijzen hoeven ze ook niet meer op jouw WiFi
[Afbeelding]

Hoe goedkoop het ook is : Het blijft oplichterij en niet van toepassing op visite uit het buitenland

ASS-Ware schreef op donderdag 27 februari 2025 @ 13:20:
Het is echter de vraag of je MAC adressen van andere VLANs voorbij ziet komen.
Als iemand dit weet, dan hoor ik het graag.

jadjong schreef op donderdag 27 februari 2025 @ 14:22:
Het is wifi, alles komt voorbij.

Als je in een apart VLAN terecht komt dan zou je de rest in de andere VLANs niet mogen zien...

Leussink schreef op donderdag 27 februari 2025 @ 16:55:
Welke kan ik het beste aanschaffen om toekomst proof te zijn?

"There is no such thing..."

Koop gewoon wat je NU nodig hebt en KLAAR!!!

duvekot schreef op donderdag 27 februari 2025 @ 17:54:
Hij zat te denken / was van plan .. dus hij had het nog niet gekocht .. en wie weet dacht hij dat max beter was dan ultra bijvoorbeeld

Al die nieuwe modelnamen zijn dan ook nog raarder geworden dan alle mogelijke X-Box uitvoeringen bij elkaar...

[ Voor 3% gewijzigd door nero355 op 27-02-2025 18:27 ]

[sOid]

nero355 schreef op donderdag 27 februari 2025 @ 18:24:

[...]

Over het algemeen doen UniFi produkten niet moeilijk over SFP/SFP+ modules die je erin stopt, maar hou er wel rekening mee dat je die module sowieso een keer zal moeten omruilen voor een ZARAM of iets dergelijks als je straks van AON naar XGS-PON wordt overgezet

Is er toevallig eentje die je kan aanraden? Bedoel je dit? (Wat een geld ) https://www.routershop.nl...-pon-onu-sfp-module-84384

[ Voor 9% gewijzigd door sOid op 27-02-2025 18:43 ]

[nero355]

sOid schreef op donderdag 27 februari 2025 @ 18:40:
Is er toevallig eentje die je kan aanraden?

Bedoel je dit? (Wat een geld ) https://www.routershop.nl...-pon-onu-sfp-module-84384

Volgens mij moet dat goedkoper kunnen dus check effe [Delta XGS-PON Glas] Eigen ONT/modem/router installeren - 2 waarin een of andere gast zit die daar een handeltje van heeft gemaakt, maar wel goedkoper is als het goed is

[jadjong]

nero355 schreef op donderdag 27 februari 2025 @ 18:24:
Als je in een apart VLAN terecht komt dan zou je de rest in de andere VLANs niet mogen zien...

Het ging hier om scheiden van apparaten in aparte vlans terwijl er een enkel SSID gebruikt wordt met voor alle apparaten hetzelfde password. Dus niet elk SSID een eigen vlan of PPSK met verschillende passwords. In het bekabelde gedeelte heb je vlan scheiding, in het draadloze gedeelte is die er niet. Om pakketjes van de verschillende apparaten naar het juiste vlan te leiden wordt er gefilterd op mac in geval van wifi > kabel. Andersom wordt de vlan tag er af gesloopt en zoals het wifi betaamd op de grote hoop naar buiten geslingerd en mag de ontvanger bepalen of het pakket gewenst is of niet.

[nero355]

jadjong schreef op donderdag 27 februari 2025 @ 19:02:
Het ging hier om scheiden van apparaten in aparte vlans terwijl er een enkel SSID gebruikt wordt met voor alle apparaten hetzelfde password.

Ehh...

Het was toch een apart password voor elk VLAN via hetzelfde SSID

Dus niet elk SSID een eigen vlan of PPSK met verschillende passwords.

Dan heeft één van ons ergens iets niet goed gelezen/begrepen...

In het bekabelde gedeelte heb je vlan scheiding, in het draadloze gedeelte is die er niet.
Om pakketjes van de verschillende apparaten naar het juiste vlan te leiden wordt er gefilterd op mac in geval van wifi > kabel.

Er is toch een type Firewall actief op alle UAP's die ingezet kan worden om dat onderlinge MAC verkeer te blokkeren

De naam leek op nftables als ik me niet vergis...

Andersom wordt de vlan tag er af gesloopt en zoals het wifi betaamd op de grote hoop naar buiten geslingerd en mag de ontvanger bepalen of het pakket gewenst is of niet.

zoals jij het allemaal vertelt lijkt het me totaal niet handig en veel te gevoelig voor "loops" maar dat kan aan mij liggen...

[franssie]

Wat ik lees https://help.ui.com/hc/en...-Network-in-UniFi-Network

een ander WW (PPSK) per VLAN. Ik ga er eens mee spelen.

[Yzord]

Nu heb ik een vraagje over mijn UDM-SE. Het heeft Bluetooth maar ik zie in de settings er helemaal niks van terug. Heeft de UDM-SE wel BT dan?

[Donstil]

Is de verzending altijd zo traag bij de ubiquiti store?
Ik had gisteren avond Dream machine 7 besteld en zou vrijdag geleverd worden, daar moest ik wat aan toevoegen maar dat ging helaas niet en heb daarom vanmorgen opnieuw besteld. Alles op voorraad maar toch pas maandag geleverd.

Ik had juist dit weekend lekker de tijd 🤓

[Mr-D.]

Kodess schreef op donderdag 27 februari 2025 @ 15:57:
[...]

Je haalt de twee manieren door elkaar gok ik?
Je kan 1 SSID met meerdere VLANs op twee manieren doen:
- Meerdere wachtwoorden
- Op MAC adres manueel een VLAN setten

Op MAC adres is natuurlijk niet helemaal waterdicht ivm spoofing inderdaad.
Je geeft eerst aan dat dubbele wachtwoordeen een uitkomst lijkt en dan ga je het testen door randomized MAC aan te zetten op je telefoon? Er is al eerder gezegd in dit topic dat random niet echt random is. Het is per SSID stabiel (als je niet meer dan een bepaalde tijd, eg een maand, niet actief bent), en je zal dus maar 2 MAC's doorgeven aan je netwerk; je echte fysieke MAC en de randomized MAC die bij je SSID hoort.

Ik heb gewoon 1 SSID, en een simpel wachtwoord dan kom je in de GUEST VLAN terecht. Andere wachtwoorden gaan naar andere VLAN's.

Ik haalde het ff snel idd in de war.

Ik heb het idd alleen getest met de verschillende wachtwoorden en dan werkt het inderdaad goed.
Vond het al zo vreemd.

[ed1703]

nero355 schreef op donderdag 27 februari 2025 @ 19:27:
[...]
De naam leek op nftables als ik me niet vergis...

Dat is ebtables en gebruikt de AP als je guest/normaal network in standalone modus werkt.
Dus zonder Unifi.. (werkt dat standalone eigenlijk nog?)

https://ebtables.netfilter.org/examples/basic.html#all

[ Voor 7% gewijzigd door ed1703 op 27-02-2025 19:48 ]

[Ruben279]

jadjong schreef op donderdag 27 februari 2025 @ 19:02:
[...]

Het ging hier om scheiden van apparaten in aparte vlans terwijl er een enkel SSID gebruikt wordt met voor alle apparaten hetzelfde password. Dus niet elk SSID een eigen vlan of PPSK met verschillende passwords. In het bekabelde gedeelte heb je vlan scheiding, in het draadloze gedeelte is die er niet. Om pakketjes van de verschillende apparaten naar het juiste vlan te leiden wordt er gefilterd op mac in geval van wifi > kabel. Andersom wordt de vlan tag er af gesloopt en zoals het wifi betaamd op de grote hoop naar buiten geslingerd en mag de ontvanger bepalen of het pakket gewenst is of niet.

Om via een enkel SSID meerdere VLAN's aan te bieden moet je een RADIUS server hebben die dit kan regelen. Dit wordt al gesupport vanaf WPA2-Enterprise.

De opties voor RADIUS staan onder Settings -> Profiles -> RADIUS

[Ruben279]

Yzord schreef op donderdag 27 februari 2025 @ 19:33:
Nu heb ik een vraagje over mijn UDM-SE. Het heeft Bluetooth maar ik zie in de settings er helemaal niks van terug. Heeft de UDM-SE wel BT dan?

Bluetooth is alleen aangezet om configuratie met een mobiele telefoon mogelijk te maken.
De radio wordt weer uitgezet wanneer je door de initital config heen bent.

[nero355]

Yzord schreef op donderdag 27 februari 2025 @ 19:33:
Nu heb ik een vraagje over mijn UDM-SE.

Het heeft Bluetooth maar ik zie in de settings er helemaal niks van terug. Heeft de UDM-SE wel BT dan?

Helaas wel...


/Those who know, know...

ed1703 schreef op donderdag 27 februari 2025 @ 19:45:
Dat is ebtables en gebruikt de AP als je guest/normaal network in standalone modus werkt.
Dus zonder Unifi.. (werkt dat standalone eigenlijk nog?)

https://ebtables.netfilter.org/examples/basic.html#all

Die inderdaad!

Maar het wordt dus ook gebruikt als je in de UniFi Controller een (Guest) SSID aanmaakt en onderlinge communicatie uitschakelt als het goed is

Ruben279 schreef op donderdag 27 februari 2025 @ 19:47:
Om via een enkel SSID meerdere VLAN's aan te bieden moet je een RADIUS server hebben die dit kan regelen. Dit wordt al gesupport vanaf WPA2-Enterprise.

De opties voor RADIUS staan onder Settings -> Profiles -> RADIUS

Dat is de ouderwetse methode die altijd al mogelijk was en eigenlijk sowieso bij elke Accesspoint aan boord moet zitten als feature

[Ruben279]

nero355 schreef op donderdag 27 februari 2025 @ 20:05:
[...]

Dat is de ouderwetse methode die altijd al mogelijk was en eigenlijk sowieso bij elke Accesspoint aan boord moet zitten als feature

Ouderwets?
Maar je kan hetzelfde trucje ook met PPSK's doen onder Settings -> WiFi -> Advanced op manual zetten -> Private Pre-Shared Key en daar kan je het Network selecteren.

[Yzord]

Ruben279 schreef op donderdag 27 februari 2025 @ 19:49:
[...]


Bluetooth is alleen aangezet om configuratie met een mobiele telefoon mogelijk te maken.
De radio wordt weer uitgezet wanneer je door de initital config heen bent.

Ok apart. Is er een manier om te zien hoe deze zich bezig houdt? En kan ik hem ook gebruiken via ssh ofzo?

[qwasd]

Waarschijnlijk verspilling van mijn geld maar ik heb de UCG Fiber besteld. De UDM Pro gaat de verkoop in want 19 inch in mijn niet zo diepe meterkast is niet zo fijn. Ik hoop wel dat er een soort mounting bracket komt voor de UCG Fiber. Moet ook nog een M2 bestellen maar ik lees nu verschillende verhalen welke wel of niet ondersteund worden dus ik ga nog even verder onderzoeken. Wat gebeurt er eigenlijk als ik geen storage heb en Protect wil draaien?

[duvekot]

qwasd schreef op donderdag 27 februari 2025 @ 21:18:
Waarschijnlijk verspilling van mijn geld maar ik heb de UCG Fiber besteld. De UDM Pro gaat de verkoop in want 19 inch in mijn niet zo diepe meterkast is niet zo fijn. Ik hoop wel dat er een soort mounting bracket komt voor de UCG Fiber. Moet ook nog een M2 bestellen maar ik lees nu verschillende verhalen welke wel of niet ondersteund worden dus ik ga nog even verder onderzoeken. Wat gebeurt er eigenlijk als ik geen storage heb en Protect wil draaien?

Er zal vast wel zo'n magnetic base voor komen zoals die er ook is voor bijvoorbeeld de Ultra.
Je zou kunnen kijken of er al wat ijzer of magnetisch in zit als die binnen is.
Maar er zullen ook wel 3D mounts voor komen ...die zijn er ook voor allerlei andere apparaten van UI.

[ Voor 6% gewijzigd door duvekot op 27-02-2025 21:28 ]

[makooy]

qwasd schreef op donderdag 27 februari 2025 @ 21:18:
Waarschijnlijk verspilling van mijn geld maar ik heb de UCG Fiber besteld. De UDM Pro gaat de verkoop in want 19 inch in mijn niet zo diepe meterkast is niet zo fijn. Ik hoop wel dat er een soort mounting bracket komt voor de UCG Fiber. Moet ook nog een M2 bestellen maar ik lees nu verschillende verhalen welke wel of niet ondersteund worden dus ik ga nog even verder onderzoeken. Wat gebeurt er eigenlijk als ik geen storage heb en Protect wil draaien?

Kijk even een paar pagina’s terug. Heb een linkje gedeeld van printables voor 3d printjes

[Samplex]

Vandaag die Gateway Fiber binnen gekregen, een Kingston NV3 1TB M.2 SSD ingezet en deze word herkend gelukkig.

[ocf81]

nero355 schreef op donderdag 27 februari 2025 @ 18:24:
<knip>
Als je echt fatsoenlijk IDS/IPS wilt doen dan heb je in principe nog 2 apparaten nodig rondom je Router :
- Één als Transparent Bridge aan je WAN kant.
- Één als Transparent Bridge aan je LAN kant.
<knip>

Het is voor de hobby. Dat mag wel wat geld kosten, en ook wel iets meer dan een karig 3^e-rangs gateway voor consumenten, maar het moet nog wel enigszins betaalbaar blijven hè? Het enige van Ubiquiti dat in de buurt komt is de EFG, maar die mij toch wel iets te duur. En zelfs dan weer: eigenlijk halve lijnsnelheid omdat de poorten SFP28 zijn.
IPS is geen luxe, het is broodnodig als de firewall van vandaag de dag, in plaats van domme regeltjes die nooit snel genoeg kunnen worden aangepast.

[RobertMe]

ocf81 schreef op donderdag 27 februari 2025 @ 22:43:
IPS is geen luxe, het is broodnodig als de firewall van vandaag de dag, in plaats van domme regeltjes die nooit snel genoeg kunnen worden aangepast.

Suricata is toch ook gewoon software met allemaal regeltjes? Regels van een ander soort dan een firewall bevat, maar het blijft gewoon software met een (grote) database van regeltjes waartegen verkeer wordt gematcht.

[ocf81]

RobertMe schreef op donderdag 27 februari 2025 @ 22:57:
[...]

Suricata is toch ook gewoon software met allemaal regeltjes? Regels van een ander soort dan een firewall bevat, maar het blijft gewoon software met een (grote) database van regeltjes waartegen verkeer wordt gematcht.

Statische regels die niet worden aangepast versus regels die (doorgaans dagelijks) worden aangepast zonder dat ik daar iets voor hoef te doen als je dat eenmaal hebt geautomatiseerd.

[RobertMe]

ocf81 schreef op donderdag 27 februari 2025 @ 23:02:
[...]

Statische regels die niet worden aangepast versus regels die (doorgaans dagelijks) worden aangepast zonder dat ik daar iets voor hoef te doen als je dat eenmaal hebt geautomatiseerd.

Maar die firewall regels kun je natuurlijk ook automatisch aanpassen. Iets als fail2ban bv. Of regio blokkades. Of....

En uiteindelijk is IPS natuurlijk ook gewoon een firewall. Alleen een L7 firewall. Terwijl een traditionele firewall op L4 en omringende lagen zit.

En daarnaast wat ik meen @nero355 al aangaf (maar kan ook iemand anders zijn geweest). IPS is eigenlijk niet nodig als je applicaties niet lek zijn. Immers werkt het dus op L7 aka de applicatie laag en beschermd het tegen aanvallen op applicaties. olgens mij zit Suricata bv vol met WordPress exploits? Maar als je geen WordPress draait, of een up-to-date versie waar die exploits helemaal niet meer in zitten... is het nogal nutteloos.

[haakjesluiten]

zo udmp vervangen door een cloud gateway fiber. Mooie bijvangst is dat dit allemaal weer kan verhuizen naar de meterkast en ik een bult ruimte terug krijg in de trapkast

Ik lees her en der dat de cloud gateways sinds de laatste unify update PPPoe hardware offloading hebben, maar als ik een groot bestand download met 1gbit glasvezel dan zie ik in htop dat hij toch flink aan de bak moet en zie ik 50% belasting wel netjes over alle 4 de cores ipv singlecore.

Edit:
iemand heeft al nodige tests gedaan en snelheden van 8gbit gehaald met pppoe toch benieuwd of ik dan iets niet goed heb staan

https://community.ui.com/...d1-40ee-aa4d-b74e04dcce75

[ Voor 89% gewijzigd door haakjesluiten op 28-02-2025 08:48 ]

[ed1703]

RobertMe schreef op donderdag 27 februari 2025 @ 23:12:
[...]

Maar die firewall regels kun je natuurlijk ook automatisch aanpassen. Iets als fail2ban bv. Of regio blokkades. Of....

En uiteindelijk is IPS natuurlijk ook gewoon een firewall. Alleen een L7 firewall. Terwijl een traditionele firewall op L4 en omringende lagen zit.

En daarnaast wat ik meen @nero355 al aangaf (maar kan ook iemand anders zijn geweest). IPS is eigenlijk niet nodig als je applicaties niet lek zijn. Immers werkt het dus op L7 aka de applicatie laag en beschermd het tegen aanvallen op applicaties. olgens mij zit Suricata bv vol met WordPress exploits? Maar als je geen WordPress draait, of een up-to-date versie waar die exploits helemaal niet meer in zitten... is het nogal nutteloos.

Net zo nutteloos als 5 miljoen host-records in Pihole zetten waarvan 99% nooit een hit krijgt
Maar ze staan er in, het vreet slechts 2 gig ram en je weet maar nooit

[SpeedfreakR]

Zie net op de unifi community een speedtest van de UCG Fiber met oa PPoE:
https://community.ui.com/...d1-40ee-aa4d-b74e04dcce75
Ziet er niet slecht uit!

[Nitai]

TweakGP schreef op donderdag 27 februari 2025 @ 13:13:
[...]

Bedankt dat je zo snel de moeite neemt maar het zijn nou niet echt de ervaringen waar we op zitten te wachten.... we willen performance gegevens zien, niet jouw specifieke problemen met een oude backup versie :-).

Liever iets later en wat meer inhoud graag .

Hoezo? Mijn Fiber komt vandaag binnen, meer dan prima zijn post, informatief.

[_Slick_Rick_]

Met de komst van de Fiber, een advies vraagje

In mijn bescheiden thuisnetwerkje heb ik de volgende componenten:


Nu ben ik aan het overwegen om de CloudKey Gen2 + Gateway UXG Lite te vervangen voor de nieuwe Fiber.

Het ruimt wat op voor de switch lite 8, er komen 2 PoE poorten vrij, plus 1 GbE poort, die ik kan migreren naar de Fiber.


Ik heb een KPN glasvezel aansluiting 1Gbit/s / 1Gbit/s. Aangesloten middels RJ45 op de gateway.

Vragen:

• Is de config eenvoudig met een backup te migreren van de 2 devices naar de Fiber (controller+gateway)?
• Zal ik (door de snellere Fiber) merkbaar snelheidswinst ondervinden? (ik heb Intrusion Prevention en detections AAN staan).
• Buiten less is more en meer actuele componenten om; zouden jullie een upgrade aanbevelen?

[ Voor 7% gewijzigd door _Slick_Rick_ op 28-02-2025 10:29 . Reden: Leesbaarheid en spelling ]

[duvekot]

_Slick_Rick_ schreef op vrijdag 28 februari 2025 @ 10:24:
Met de komst van de Fiber, een advies vraagje

In mijn bescheiden thuisnetwerkje heb ik de volgende componenten:
[Afbeelding]

Nu ben ik aan het overwegen om de CloudKey Gen2 + Gateway UXG Lite te vervangen voor de nieuwe Fiber.

Fysieke aansluitvoordelen, dit zou aardig wat opruimen op de switch lite 8.
[Afbeelding]

Ik heb een KPN glasvezel aansluiting 1Gbit/s / 1Gbit/s. Aangesloten middels RJ45 op de gateway.

Vragen:

• Is de config eenvoudig met een backup te migreren van de 2 devices naar de Fiber (controller+gateway)?
• Zal ik (door de snellere Fiber) merkbaar snelheidswinst ondervinden? (ik heb Intrusion Prevention en detections AAn staan).
• Buiten less is more en meer actuele componenten om; zouden jullie een upgrade aanbevelen?

Al je UniFi configuratie staat in de cloudkey .. ook van je huidige gateway .. dus als je zorgt dat die controler een up to date versie draait .. die gelijk is aan de versie voor de UCG-fiber .. kan je die backup in een keer overzetten. Lees ook even de nuttige ervaring van een andere tweaker die zijn netwerk heeft overgezet naar de Fiber (eerst dus updates doorvoeren).

Maar zo lang als je je internet aansluiting niet upgrade naar wat snellers ...ga je niet veel verbetering merken verwacht ik.

Je gateway is ook niet heel oud .. dus is er überhaupt een noodzaak om te upgraden?

En vergeet niet dat de aansluitingen achterin de UCG-fiber eigenlijk ook allemaal op een switch zitten .. en je "wint" alleen maar 1 aansluiting ..die van de cloudkey ...

[_Slick_Rick_]

duvekot schreef op vrijdag 28 februari 2025 @ 10:34:
[...]

Al je UniFi configuratie staat in de cloudkey .. ook van je huidige gateway .. dus als je zorgt dat die controler een up to date versie draait .. die gelijk is aan de versie voor de UCG-fiber .. kan je die backup in een keer overzetten. Lees ook even de nuttige ervaring van een andere tweaker die zijn netwerk heeft overgezet naar de Fiber (eerst dus updates doorvoeren).

Dankjewel, goede tip.

duvekot schreef op vrijdag 28 februari 2025 @ 10:34:
[...]
Maar zo lang als je je internet aansluiting niet upgrade naar wat snellers ...ga je niet veel verbetering merken verwacht ik.

Duidelijk.

duvekot schreef op vrijdag 28 februari 2025 @ 10:34:
[...]
Je gateway is ook niet heel oud .. dus is er überhaupt een noodzaak om te upgraden?

En vergeet niet dat de aansluitingen achterin de UCG-fiber eigenlijk ook allemaal op een switch zitten .. en je "wint" alleen maar 1 aansluiting ..die van de cloudkey ...

Nou het draait in principe prima hoor, maar wilde de overweging maken, want weet eigenlijk niet of het een snelheidswinst (bij een 1Gbit internet verbinding) of andere voordelen zal opleveren. Vandaar de vraag

Het geeft me wel wat aansluit winst. Want de PoE poort naar de CloudKey komt dan vrij op de switch, plus nog een PoE poort die nu naar de U6 mesh gaat, die kan ik van de Fiber laten komen.
En nog een normale poort die nu van de switch naar de Shield loopt.

[Verwijderd]

Hier de originele R2D2 Dream Machine vervangen door de Cloud Fiber, blijft toch mooi hoe je met de telefoon in een paar minuten weer online bent met exact dezelfde settings. Had nog een M2280 WD liggen en die werkt prima, alleen geen cams of deurbel dus geen idee wat ik met de extra storage moet.

De Cloud Fiber gaat wel een hit worden en is ook eindelijk een apparaat met de juiste specs.
Nu wachten tot KPN hier hoger dan 1Gbit gaat aanbieden en het ONT kastje gaat vervangen.

Zou ook leuk zijn als ze nu eindelijk eens PPPoE RFC4638 gaan ondersteunen, maar ik zie dat somber in.

[ Voor 23% gewijzigd door Verwijderd op 28-02-2025 11:56 ]

[SgtElPotato]

Ik zie nu ook de Gateway Fiber erbij, heb nu zelf de Max (die al 2,5Gb is, maar geen Fiber heeft). Zodra mijn provider >1Gb aan gaat bieden stap ik over op de Fiber, dan kan de omvormer er ook uit die het signaal omzet.

[duvekot]

_Slick_Rick_ schreef op vrijdag 28 februari 2025 @ 11:31:
Nou het draait in principe prima hoor, maar wilde de overweging maken, want weet eigenlijk niet of het een snelheidswinst (bij een 1Gbit internet verbinding) of andere voordelen zal opleveren. Vandaar de vraag

Het geeft me wel wat aansluit winst. Want de PoE poort naar de CloudKey komt dan vrij op de switch, plus nog een PoE poort die nu naar de U6 mesh gaat, die kan ik van de Fiber laten komen.
En nog een normale poort die nu van de switch naar de Shield loopt.

Ik zou zorgen dat alle WiFi APs altijd bij elkaar op de hoofdswitch zitten .. en zorgen dat eigenlijk alleen uitgaand verkeer richting de gateway gaat (wat je nu ook hebt)

En als je de UCG-fiber hebt wil je eigenlijk ook een andere switch hebben (met 10Gbit SFP uplink) om die snelheid ook daadwerkelijk te kunnen gaan gebruiken (als je je internet sneller gaat maken dan nu het geval is). Dus het is een heel domino spel als je ergens aan gaat frummelen ...

Die poorten op de UCG-fiber zijn in mijn ogen alleen handig als je een klein netwerkje hebt met maar een paar clients ...

[RobertMe]

_Slick_Rick_ schreef op vrijdag 28 februari 2025 @ 11:31:
want weet eigenlijk niet of het een snelheidswinst (bij een 1Gbit internet verbinding) of andere voordelen zal opleveren. Vandaar de vraag

Het kan een marginaal voordeel geven. 1GbE poorten haal je maar ~940Mbit/s aan effectieve snelheid over (1GbE aan ethernet pakketjes haal je de overhead van ethernet + IP + TCP/UDP er af blijft ~940Mbit/s over). Dit terwijl 1Gbit/s internet vaak zelfs net iets sneller is dan de geadverteerde 1Gbit/s, en de snelheid die je dan ziet in een speedtest is dus al alle overhead vanaf. Dus voor die 1Gbit/s+ in een speedtest te halen moet je bv 1,1, 1,2 Gbit/s aan ethernet over de lijn sturen.

Maar persoonlijk zou ik dat de upgrade niet waard vinden. Maar als je spullen toch wilt / gaat vervangen natuurlijk wel een reden om voor (minimaal) 2,5Gbit/s spul te gaan.

[Dennis]

Ik ben wel erg benieuwd naar de Cloud Gateway Fiber. Ik heb nu nog zo'n Chinees routertje staan met pfSense erop maar overweeg die end-of-life (heb 'm nu ruim zes jaar in gebruik) te verklaren en integraal naar Unifi te gaan. Ik heb al Unifi switches en access points.

Voordeel is dat ik dan nèt kan volstaan met mijn 24 poorten zoals ik het gepland heb, omdat er 4 poorten bij komen. Èn ik ben voorbereid op 10Gbit èn ik kan ook direct de fiber in de router stoppen. Ik doe nu converteren van fiber naar ethernet in mijn Unifi switch en vanaf daar gaat hij dan via de router weer terug naar de switch.

In 2018 was wat ik technisch wilde met Unifi nog niet mogelijk maar inmiddels wel. OpenVPN ondersteuning, IPSec en een Radius-server zodat ik mijn WPA3-enterprise wifi (TLS) kan draaien. Iemand die dit laatste trouwens ook gebruikt? Dus met eigen certificaten.

[haakjesluiten]

Hier was het ook precies goed, 10gbit naar mijn computer, 2,5gbit naar home server (huidige mini itx heeft geen ruimte voor 10gbit nic ), komt er zaram sfp module voor KPN glasvezel, en ik heb de 2,5gbit poe poort op mijn lite 8 poe switch aangesloten en die 30watt is net genoeg voor een u6 pro, nanoHD en een deurbel

[ Voor 9% gewijzigd door haakjesluiten op 28-02-2025 18:32 ]

[nero355]

Ruben279 schreef op donderdag 27 februari 2025 @ 20:22:
Ouderwets?

Nou ja...

Meer zo van "Dat kennen we ondertussen wel..."

Maar je kan hetzelfde trucje ook met PPSK's doen onder Settings -> WiFi -> Advanced op manual zetten -> Private Pre-Shared Key en daar kan je het Network selecteren.

En daar hadden we het dus over...

Yzord schreef op donderdag 27 februari 2025 @ 20:44:
Ok apart. Is er een manier om te zien hoe deze zich bezig houdt? En kan ik hem ook gebruiken via ssh ofzo?

NOPE.AVI

Is echt alleen maar voor al die mensen die dol zijn op apps op hun telefoon i.p.v. gewoon effe een PC/Laptop erbij te pakken en aan de slag te gaan via een browser

RobertMe schreef op donderdag 27 februari 2025 @ 23:12:
Iets als fail2ban

De laatste keer dat ik iemand het zag gebruiken was de lijst van "Banned IP Addresses" zo groot geworden dat het inloggen via SSH enorm traag ging door die lijst

Ik zou het dus afraden, tenzij je iets met een snelle database kan doen ondertussen...?!

En daarnaast wat ik meen @nero355 al aangaf (maar kan ook iemand anders zijn geweest). IPS is eigenlijk niet nodig als je applicaties niet lek zijn. Immers werkt het dus op L7 aka de applicatie laag en beschermd het tegen aanvallen op applicaties.

Precies!

Volgens mij zit Suricata bv vol met WordPress exploits? Maar als je geen WordPress draait, of een up-to-date versie waar die exploits helemaal niet meer in zitten... is het nogal nutteloos.

En mag je dus al die dingen gaan finetunen... "Good luck with that!"

ed1703 schreef op vrijdag 28 februari 2025 @ 08:48:
Net zo nutteloos als 5 miljoen host-records in Pihole zetten waarvan 99% nooit een hit krijgt
Maar ze staan er in, het vreet slechts 2 gig ram en je weet maar nooit

In rust zou je die 2 GB RAM niet nodig mogen hebben :
Alleen als er idioot grote lijsten dan wel idioot veel records worden verwerkt en in je gravity.db gepropt worden zal je minimaal 1 GB RAM nodig hebben volgens recente Pi-Hole v6 berichten uit de Beta periode die nu voorbij is

Maar dan moet je het dus echt heel bont maken en waar die grens precies zit durf ik zo gauw niet te zeggen...

_Slick_Rick_ schreef op vrijdag 28 februari 2025 @ 10:24:
Is de config eenvoudig met een backup te migreren van de 2 devices naar de Fiber (controller+gateway)?

Waarom heeft hier iedereen zoveel moeite mee sinds laten we zeggen alweer iets van 1,5 jaar ongeveer toen al die nieuwe Routers ineens op de markt kwamen 1 voor 1 en men hun huidige Router (over het algemeen een EOL USG model) moest vervangen

Het hele idee van de UniFi reeks is tenslotte dat je UniFi Controller een database is voor al je netwerkapparatuur en hun instellingen dus zolang je die niet ineens sloopt mag een migratie van Router #1 naar Router #2 toch geen probleem heten ?!

Ik kan me zelfs herinneren dat ik ten tijde van de eerste versies van de 5.x.x generatie UniFi Controller alvast instellingen erin had gezet voor op het moment dat ik mijn USG zou aansluiten : Het kan gewoon allemaal !!!

En een backup van diezelfde 5.x.x Controller kan je zo in een 6.x.x/7.x.x/8.x.x/9.x.x generatie UniFi Controller importeren dus waar maak je jezelf druk om ?!

SgtElPotato schreef op vrijdag 28 februari 2025 @ 11:56:
Zodra mijn provider >1Gb aan gaat bieden stap ik over op de Fiber, dan kan de omvormer er ook uit die het signaal omzet.

Als in je XGS-PON ONT

Eigenlijk moet je dat niet willen :
- Als er wat raars aan de hand is met je verbinding mag je van de Helpdesk van je ISP alle door de ISP geleverde apparatuur terug gaan hangen dus :
1. De ONT weer aan zien te sluiten zonder je glasvezelkabel te slopen/vervuilen.
2. De Router die zij leveren ook.
3. En dus ook weer plek zien te vinden voor de adapters van die twee...

Zit je bij Delta als ISP dan mag je dat ook nog eens bij elke snelheidsverhoging of andere aanpassing aan je abonnement gaan doen...
Bij hen heb je namelijk geen losse ONT helaas : Dat leveren alleen andere ISP's op het Delta Glasvezel Netwerk !!

Terwijl als je bij een ISP zit die een losse ONT levert je dus alleen effe die suffe Router van ze moet aansluiten

duvekot schreef op vrijdag 28 februari 2025 @ 12:00:
Ik zou zorgen dat alle WiFi APs altijd bij elkaar op de hoofdswitch zitten.

Gezien er de laatste tijd steeds meer 'Ik wil een In Wall als een "tafelmodel Accesspoint" gebruiken!' berichten tevoorschijn komen is dat niet altijd een optie

en zorgen dat eigenlijk alleen uitgaand verkeer richting de gateway gaat (wat je nu ook hebt).

Huh

Dennis schreef op vrijdag 28 februari 2025 @ 13:43:
Ik heb nu nog zo'n Chinees routertje staan met pfSense erop maar overweeg die end-of-life (heb 'm nu ruim zes jaar in gebruik) te verklaren en integraal naar Unifi te gaan. Ik heb al Unifi switches en access points.

Dat laatste heb ik ook, maar de reden dat ik een TopTon met OPNsense heb is juist omdat ik die eigenlijk wel van plan ben minimaal 10 jaar lang te gebruiken zonder stomme EOL berichten vanuit de fabrikant van mijn Router

Nou moet ik daarbij wel zeggen dat ik laatst erachter kwam dat mijn oude DrayTek 2860 na 10 jaar nog steeds firmware updates ontvangt, maar dat is DrayTek natuurlijk en geen Ubiquiti en andere merken...

In 2018 was wat ik technisch wilde met Unifi nog niet mogelijk maar inmiddels wel.
OpenVPN ondersteuning, IPSec en een Radius-server zodat ik mijn WPA3-enterprise wifi (TLS) kan draaien.

Iemand die dit laatste trouwens ook gebruikt? Dus met eigen certificaten.

- IPSec wil je niet meer gebruiken...
- OpenVPN kon je altijd gewoon zelf hosten ?!
- RADIUS ondersteuning was er al sinds de USG tijd nog als het goed is...

haakjesluiten schreef op vrijdag 28 februari 2025 @ 18:31:
2,5gbit naar home server (huidige mini itx heeft geen ruimte voor 10gbit nic )

En daarom moet je dus nooit zo'n kreupel moederbord kopen voor je DIY NAS/Server/PC/enz.

Altijd minimaal Full ATX sized moederbord met Z Chipset om het in Intel taal te zeggen...
Het liefst natuurlijk HEDT of nog beter spul, maar dat is ondertussen niet meer leuk geworden qua prijzen

[ Voor 3% gewijzigd door nero355 op 28-02-2025 18:42 ]

[haakjesluiten]

Nah verbruik moet ook nog leuk blijven dit gebruikt 8-10watt voor 20 docker containers maar is inmiddels ook al 6 jaar oud dus mooi excuus om eens rond te kijken naar wat nieuws

[duvekot]

[quote]nero355 schreef op vrijdag 28 februari 2025 @ 18:39:

Huh

Je wil eigenlijk alleen verkeer naar je router hebben die daar echt nodig is (dus bedoeld uiteindelijk om naar buiten te gaan).. dus als je naast de 10 Gbit/s poort ook nog de 2.5Gbit/s poorten gaat gebruiken .. dan gaat er verkeer via de router lopen .. wat lokaal verkeer is . Wat extra load op de router oplevert wat daar eigenlijk niet nodig is.
Dus vandaar dat ik altijd zeg .. zorg dat lokaal verkeer altijd weg blijft van de router als dat kan ...

Als je een klein netwerkje heb .. dan kan je wel die aansluitingen gebruiken omdat er beperkt lokaal verkeer dan loopt ..

[jadjong]

nero355 schreef op donderdag 27 februari 2025 @ 19:27:
[...]

Ehh...

Het was toch een apart password voor elk VLAN via hetzelfde SSID

Beide, je kan kiezen. Waarvan de variant met enkel SSID en enkel PSK op de achtergrond radius met mac authenticatie gebruikt zoals Robin uitlegde. Jat het mac-adres van je buurman en je zit in een ander vlan.

[jadjong]

duvekot schreef op vrijdag 28 februari 2025 @ 19:15:


Je wil eigenlijk alleen verkeer naar je router hebben die daar echt nodig is (dus bedoeld uiteindelijk om naar buiten te gaan).. dus als je naast de 10 Gbit/s poort ook nog de 2.5Gbit/s poorten gaat gebruiken .. dan gaat er verkeer via de router lopen .. wat lokaal verkeer is . Wat extra load op de router oplevert wat daar eigenlijk niet nodig is.
Dus vandaar dat ik altijd zeg .. zorg dat lokaal verkeer altijd weg blijft van de router als dat kan ...

Als je een klein netwerkje heb .. dan kan je wel die aansluitingen gebruiken omdat er beperkt lokaal verkeer dan loopt ..

Dat hangt af van de architectuur van de router. Heeft die aan de lan kant een switch dan val je de router-chip niet lastig met lokaal verkeer. Is het eentje waarbij iedere poort los aan de chip hangt dan is het niet handig om die software-matig te bridgen.

[duvekot]

jadjong schreef op vrijdag 28 februari 2025 @ 19:37:
[...]

Dat hangt af van de architectuur van de router. Heeft die aan de lan kant een switch dan val je de router-chip niet lastig met lokaal verkeer. Is het eentje waarbij iedere poort los aan de chip hangt dan is het niet handig om die software-matig te bridgen.

Ik denk (met nadruk op denk) dat in de UCG-fiber de 10Gbit/s aansluitingen een losse en eigen aansluiting te hebben naar de CPU .. los van die 2.5Gbit/s aansluiting waar op die 4 poorten achterop zijn aangesloten met een switch.

[Dennis]

nero355 schreef op vrijdag 28 februari 2025 @ 18:39:
Dat laatste heb ik ook, maar de reden dat ik een TopTon met OPNsense heb is juist omdat ik die eigenlijk wel van plan ben minimaal 10 jaar lang te gebruiken zonder stomme EOL berichten vanuit de fabrikant van mijn Router

Wat zijn wat jouw betreft nog voordelen die ik over het hoofd zie en waarom OPNSense een betere propositie is? Bedenk wel dat ik weinig bijzondere dingen doe met mijn pfSense boxje.

Nou moet ik daarbij wel zeggen dat ik laatst erachter kwam dat mijn oude DrayTek 2860 na 10 jaar nog steeds firmware updates ontvangt, maar dat is DrayTek natuurlijk en geen Ubiquiti en andere merken...

Krijgen Ubiquiti producten zo'n korte ondersteuning? Ik ben juist erg content dat ik al bijna een decennium zonder problemen de Unifi producten gebruik en een en ander ook nog steeds probleemloos kan updaten.

- IPSec wil je niet meer gebruiken...
- OpenVPN kon je altijd gewoon zelf hosten ?!
- RADIUS ondersteuning was er al sinds de USG tijd nog als het goed is...

Waarom zou ik IPSec niet meer willen gebruiken?

Ik gebruikte OpenVPN voor site-to-site, maar had het idee dat IPSec meer native was en op termijn ook makkelijker met IPv6 zou integreren.

[qwasd]

Sinds de overstap van mijn UDM Pro naar de UCG-Fiber disconnect mijn glasvezel internet (1Gbps/1Gbps GPON) steeds. Rechtstreeks op de UCG-Fiber aangesloten via een Nokia ONT G-010S-A SFP op poort 7. Meer van jullie met soortgelijke problemen? Voor nu heb ik de NT er eerst weer tussen met een RJ45 naar poort 7 via een SFP naar RJ45 SFP module en hiermee ervaar ik geen problemen. Het vreemde is dat het met mijn UDM Pro al meer dan 2 jaar heeft gewerkt.

[ Voor 15% gewijzigd door qwasd op 28-02-2025 22:21 ]

[stormfly]

Nieuw gelanceerde UGC-Fiber met KPN 4/4Gbps PPPoE internet, direct glas via een FS.com SFP XGS-PON ONU

IPS/DPI on


IPS/DPI off

[ Voor 10% gewijzigd door stormfly op 28-02-2025 20:34 ]

[bommel]

Tortelli schreef op donderdag 27 februari 2025 @ 13:10:
De hoofd vraag is: welke snelheden haal je? (en met welke cpu load)?

Speedtest met 5gbps usb-c adapter op 2,5gbps poort:


Net aangesloten dus nog geen idee waarom upload zo achterblijft...

EDIT: cpu load tijdens speedtest

[ Voor 27% gewijzigd door bommel op 28-02-2025 21:22 ]

[nero355]

Dennis schreef op vrijdag 28 februari 2025 @ 19:57:
Wat zijn wat jouw betreft nog voordelen die ik over het hoofd zie en waarom OPNSense een betere propositie is?

Bedenk wel dat ik weinig bijzondere dingen doe met mijn pfSense boxje.

Ik ook, maar ondertussen heb ik toch wel wat nadelen van de oude USG in ieder geval ontdekt :
- Waarschuwde me niet over A-Symmetric Routing op mijn netwerk.
- Was dus ook niet Stateful qua connecties die worden opgebouwd !!
Zelfs een Novell BorderManager uit de Middeleeuwen kon dat
- Aparte Outgoing NAT Rules zijn toch wel lekker :
Dat er 1 of meerdere Clients op je netwerk(en) graag wil(len) kunnen gamen betekent niet dat iedereen minder veilig achter 1:1 Port Based NAT hoeft te zitten !!
- Eventuele extra Firewall Rules aanmaken is zoveel relaxer : Guest VLAN handmatig aanmaken is 5 minuten werk !!
Nou hebben ze bij Ubiquiti de laatste 2 jaar of zo flink wat verbeterd op dat gebied, maar toch... zie volgende punt...
- Simpelweg de betere webGUI en SSH mogelijkheden

En dus ook hopelijk de ondersteuning van de hardware die veel langer mee zal gaan, want gewoon x86-64 spul waarop je het installeert

Krijgen Ubiquiti producten zo'n korte ondersteuning?

Vergeleken met HP(E) vind ik in ieder geval de garantie voor de Switches belachelijk kort : Na 2 jaar is het feest over...

Verder is dus de USG 3P effectief korter dan 10 jaar lang ondersteund geweest en nou is dat geen ramp voor een € 100 Routertje maar dat geldt dus ook helaas voor de duurdere varianten uit die tijd (€ 300 of zo ?!) en dat is weer behoorlijk flink minder !!

Waarom zou ik IPSec niet meer willen gebruiken?

Volgens mij is dat ondertussen een deprecated protocol wat minder veilig is dan de alternatieven voor zover ik weet

Ik gebruikte OpenVPN voor site-to-site, maar had het idee dat IPSec meer native was en op termijn ook makkelijker met IPv6 zou integreren.

OpenVPN is waarschijnlijk wel zwaarder inderdaad, maar wel veiliger dan IPSec en uitgebreider dan Wireguard van wat ik tot nu toe heb gezien dus het is maar net waar je zin in hebt ?!

[ed1703]

nero355 schreef op vrijdag 28 februari 2025 @ 22:20:
[...]
OpenVPN is waarschijnlijk wel zwaarder inderdaad, maar wel veiliger dan IPSec en uitgebreider dan Wireguard van wat ik tot nu toe heb gezien dus het is maar net waar je zin in hebt ?!

Qua performance is wireguard toch wel een stap vooruit en uitgebreider is niet per definitie beter. Ik gebruik OpenVPN helemaal niet meer. Wireguard is toch ook wel veel simpeler qua opzet dan OpenVPN. Zeker op minder krachtige CPU's is Wireguard een betere keuze.

[_Slick_Rick_]

nero355 schreef op vrijdag 28 februari 2025 @ 18:39:
[...]

Waarom heeft hier iedereen zoveel moeite mee sinds laten we zeggen alweer iets van 1,5 jaar ongeveer toen al die nieuwe Routers ineens op de markt kwamen 1 voor 1 en men hun huidige Router (over het algemeen een EOL USG model) moest vervangen

Het hele idee van de UniFi reeks is tenslotte dat je UniFi Controller een database is voor al je netwerkapparatuur en hun instellingen dus zolang je die niet ineens sloopt mag een migratie van Router #1 naar Router #2 toch geen probleem heten ?!

Ik kan me zelfs herinneren dat ik ten tijde van de eerste versies van de 5.x.x generatie UniFi Controller alvast instellingen erin had gezet voor op het moment dat ik mijn USG zou aansluiten : Het kan gewoon allemaal !!!

En een backup van diezelfde 5.x.x Controller kan je zo in een 6.x.x/7.x.x/8.x.x/9.x.x generatie UniFi Controller importeren dus waar maak je jezelf druk om ?!

Ik heb nog niet eerder een migratie gedaan van controllers. Dus was wel benieuwd naar eventuele aandachtspunten, wellicht extra gezien dit tevens een migratie betreft van de Protect opslag.
En zoals waar @duvekot mij op attendeerde; om eerst de updates te installeren (na ervaringen andere tweaker.)
*Dit als deelvraag over upgrade advies, waar ik (wederom) goed antwoord op heb gekregen van mede Tweakers.

[duvekot]

_Slick_Rick_ schreef op vrijdag 28 februari 2025 @ 23:03:
[...]


Ik heb nog niet eerder een migratie gedaan van controllers. Dus was wel benieuwd naar eventuele aandachtspunten, wellicht extra gezien dit tevens een migratie betreft van de Protect opslag.
En zoals waar @duvekot mij op attendeerde; om eerst de updates te installeren (na ervaringen andere tweaker.)
*Dit als deelvraag over upgrade advies, waar ik (wederom) goed antwoord op heb gekregen van mede Tweakers.

Let echt goed op met die versies ...
Volgens mij heeft de cloudkey 2 firmware GEEN ondersteuning voor versie 9 van UniFi Network (zie bijvoorbeeld de laatste firmware release notes: https://community.ui.com/...86-4aa0-8801-457d78f0f07d

Maar volgens mij komt de UCG-fiber sowieso met versie 9 .. en ik persoonlijk weet niet of die overgang lekker gaat.

[RobertMe]

nero355 schreef op vrijdag 28 februari 2025 @ 22:20:
[...]

OpenVPN is waarschijnlijk wel zwaarder inderdaad, maar wel veiliger dan IPSec en uitgebreider dan Wireguard van wat ik tot nu toe heb gezien dus het is maar net waar je zin in hebt ?!

Wireguard is juist bewust hartstikke simpel. Hoe minder er in zit hoe minder lek kan zijn of attack surfaces er in zitten.

Wil je meer is er ruim voldoende software die AFAIK one way or another "bovenop" Wireguard werken (Tailscale bv, dat toch wel de bekendste is denk ik). Wireguard heeft immers vrij simpel maar een stuk of 5 dingen nodig. Endpoint ("server") IP, het keypair moet worden uitgewisseld, de statische IP adressen, welk verkeer (adressen / subnets) over de tunnel mag en optioneel een DNS server. En met bv Tailscale, maar ook al die andere opties, zal de uitwisseling hiervan out of band verlopen (ik gok via http(s!) APIs) waardoor je het "admin" en "authenticatie" deel zo makkelijk of ingewikkeld kunt maken als je maar wilt. Zolang er uiteindelijk maar die paar gegevens worden uitgewisseld en aan de "server" kant de (nieuwe) client wordt toegevoegd en de juiste client configuratie naar de client gaat.
En daar bovenop kun je dan ook al die andere features, en nog veel meer, toevoegen die OpenVPN ook ondersteund. Pushen van routes (/routing tables bijwerken) zoals OpenVPN kan. Waarom moet dat ingebakken zitten in een VPN? Wireguard ondersteund het niet en hoort ook niet er in. Maar een laag over WG heen kan het prima ondersteunen en out of band dit soort zaken communiceren.
Wellicht wil je per apparaat wel complexe firewall regels maken (zero trust networking? Telefoon mag over VPN wel aan selfhosted service A komen maar laptop mag dat niet), er zijn volgens mij meerdere pakketten die hierin voorzien die gebouwd zijn op Wireguard. Terwijl OpenVPN "juist" dit niet kan (AFAIK).
Wireguard doet geen DHCP en werkt alleen met statische adressen! Klopt, maar een Tailscale en al die andere oplossingen spreken het IP out of band af en is dus effectief gelijk.

Daar waar OpenVPN een shitload aan features heeft, die allemaal buggy, lek, of slecht onderhouden kunnen zijn, heeft Wireguard maar één feature: VPN! En al die extra features heb je (intussen) de keuze om een legio aan software pakketten te kiezen die verder bouwen op deze bewezen VPN technologie. En als een pakket ten onder gaat zijn er nog vele anderen, commercieel en open source. En dus is er veel meer keuze (behalve de echte "core" technologie v.w.b. de onderliggende VPN). Daar waar OpenVPN een monolith is, en als die niet aansluit bij je wensen kun je het helemaal niet gebruiken.

[RobertMe]

duvekot schreef op vrijdag 28 februari 2025 @ 23:11:
[...]

Let echt goed op met die versies ...
Volgens mij heeft de cloudkey 2 firmware GEEN ondersteuning voor versie 9 van UniFi Network (zie bijvoorbeeld de laatste firmware release notes: https://community.ui.com/...86-4aa0-8801-457d78f0f07d

Maar volgens mij komt de UCG-fiber sowieso met versie 9 .. en ik persoonlijk weet niet of die overgang lekker gaat.

UI weet het gelukkig wel. Staat gewoon in de release notes, bv: https://community.ui.com/...3d-46c9-bbbe-74a4a61ac95f

Existing UniFi Network Applications must be on one of the following versions to upgrade directly to this version:
9.0.114 and earlier 9.0.x versions.
8.6.9 and earlier 8.6.x versions.
8.5.6 and earlier 8.5.x versions.
8.4.62 and earlier 8.4.x versions.
8.3.32 and earlier 8.3.x versions.
8.2.93 and earlier 8.2.x versions.
8.1.127 and earlier 8.1.x versions.
8.0.28 and earlier 8.0.x versions.
7.5.187 and earlier 7.5.x versions.
7.4.162 and earlier 7.4.x versions.
7.3.84 and earlier 7.3.x versions.
7.2.97 and earlier 7.2.x versions.
7.1.68 and earlier 7.1.x versions.
7.0.26 and earlier 7.0.x versions.
6.5.55 and earlier 6.5.x versions.
6.4.54 and earlier 6.4.x versions.
6.3.51 and earlier 6.3.x versions.
6.2.26 and earlier 6.2.x versions.
6.1.71 and earlier 6.1.x versions.
6.0.45 and earlier 6.0.x versions.
5.14.25 and earlier 5.14.x versions.
5.13.33 and earlier 5.13.x versions.
5.12.72 and earlier 5.12.x versions.
5.11.52 and earlier 5.11.x versions.
5.10.27 and earlier 5.10.x versions.
5.9.33 and earlier 5.9.x versions.
5.8.30 and earlier 5.8.x versions.
5.7.28 and earlier 5.7.x versions.
5.6.42 and earlier 5.6.x versions.
Most earlier versions are also supported for a direct upgrade, going back to 3.1.0.

Waarschijnlijk kun je dus zelfs nog vanaf 3.1.0 een backup importeren in een 9.0 controller. En een 8.x controller werkt ook prima. Hoogstens scenario's daargelaten dat er wellicht "nu" nog een 8.6 controllee uit zou kunnen komen die dan nieuwer is (in release date) dan de huidige 9.0 en wellicht die upgrade geweigerd wordt. Maar dat is relatief onwaarschijnlijk.

[Will_M]

@RobertMe Ik denk dat de hele/halve wereld tegenwoordig een ander 'idee' heeft aangaande de eigenlijke opzet van een VPN (Virtual Private Network) als dat waar we het hier graag over hebben. Volgens mij hebben we het over een L3 Point-to-Point koppeling (ongeacht het gebruikte protocol) over het WAN als het over een VPN uit gaat...

[duvekot]

RobertMe schreef op vrijdag 28 februari 2025 @ 23:29:
[...]

UI weet het gelukkig wel. Staat gewoon in de release notes, bv: https://community.ui.com/...3d-46c9-bbbe-74a4a61ac95f

[...]


Waarschijnlijk kun je dus zelfs nog vanaf 3.1.0 een backup importeren in een 9.0 controller. En een 8.x controller werkt ook prima. Hoogstens scenario's daargelaten dat er wellicht "nu" nog een 8.6 controllee uit zou kunnen komen die dan nieuwer is (in release date) dan de huidige 9.0 en wellicht die upgrade geweigerd wordt. Maar dat is relatief onwaarschijnlijk.

@bommel had hier toch problemen mee .. dus misschien kan hij zeggen van welke versie naar welke versie het in eerste instantie mis ging ..

[ed1703]

Will_M schreef op vrijdag 28 februari 2025 @ 23:31:
@RobertMe Ik denk dat de hele/halve wereld tegenwoordig een ander 'idee' heeft aangaande de eigenlijke opzet van een VPN (Virtual Private Network) als dat waar we het hier graag over hebben. Volgens mij hebben we het over een L3 Point-to-Point koppeling (ongeacht het gebruikte protocol) over het WAN als het over een VPN uit gaat...

Ik denk dat de halve wereld graag oplossingen zoals tailscale wil omdat het ook veel makkelijker is qua opzet. Paar klikken en je bent klaar. Mij niet gezien trouwens. Ik hou graag zelf alles onder controle, met WireGuard waarbij ik alles achterliggend zelf moet configureren en ook zie wat ik doe.

[ Voor 6% gewijzigd door ed1703 op 28-02-2025 23:58 ]

[dotcom87]

Hey allemaal,

Ik was vorige week bezig met het aanpassen van mijn vlan's.

Het idee was om een aparte management vlan op te zetten, waarop ik al mijn unifi stuff kon zetten.

Ik heb dit gedaan (10.0.10.1) en dan mijn unifi devices overgezet. Maar door onverwachts tijdsgebrek om er toen aan door te doen, heb ik de backup die ik gemaakt had in unifi network terug gezet.

Sindsdien heb ik echter het volgende aan de hand:



Enkel mijn UDM SE is nog online (en pingbaar), de rest van mijn toestellen staan offline in Unifi Network.
Ik kan deze ook niet pingen. Het gekke is wel dat alles wel nog werkt zoals het hoort.

Hier is een screenshot van de instelling van de Pro 24 PoE switch:



Iemand een idee wat hiervoor de reden kan zijn?

[ Voor 16% gewijzigd door dotcom87 op 01-03-2025 07:58 ]

[RobertMe]

ed1703 schreef op vrijdag 28 februari 2025 @ 23:55:
[...]

Ik denk dat de halve wereld graag oplossingen zoals tailscale wil omdat het ook veel makkelijker is qua opzet. Paar klikken en je bent klaar. Mij niet gezien trouwens. Ik hou graag zelf alles onder controle, met WireGuard waarbij ik alles achterliggend zelf moet configureren en ook zie wat ik doe.

Ik gebruik zelf ook gewoon WG. Maar met maar een paar apparaten is dat natuurlijk makkelijk.

Maar @nero355 heeft al eens eerder aangehaald dat het gek is dat WG geen DHCP achtige dingen doet etc etc. En daarvoor zijn dus gewoon oplossingen. En daarbij zitten AFAIK ook prima oplossingen die je zakelijk kunt inzetten. V.w.b. gebruikers indelen in groepen / categorieën en elke groep eigen toegangsregels opleggen etc. En vast ook weer te koppelen met authenticatie mechanismes zoals OAuth2/OpenID Connect en daardoor bv te gebruiken met iets als MS Active Directory / EntraID en andere OAuth2 providers.

En daar zal OpenVPN naar mijn idee toch een stuk meer moeite mee hebben. Want zoals ik al aangaf, OpenVPN kan best veel, maar niet alles. En als je iets mist heb je pech. Terwijl WG door de opzet "alleen VPN en verder niks" uiteindelijk veel modulairder is doordat je zelf kunt kiezen welke schil je er overheen wilt hebben die het beheer veel makkelijker maakt. En als die niet meer bevalt kies je een ander, terwijl je onderwater wel het veilige WG blijft gebruiken.

[ed1703]

dotcom87 schreef op zaterdag 1 maart 2025 @ 07:56:
Hey allemaal,

Ik was vorige week bezig met het aanpassen van mijn vlan's.

Het idee was om een aparte management vlan op te zetten, waarop ik al mijn unifi stuff kon zetten.

Ik heb dit gedaan (10.0.10.1) en dan mijn unifi devices overgezet. Maar door onverwachts tijdsgebrek om er toen aan door te doen, heb ik de backup die ik gemaakt had in unifi network terug gezet.

Sindsdien heb ik echter het volgende aan de hand:

[Afbeelding]

Enkel mijn UDM SE is nog online (en pingbaar), de rest van mijn toestellen staan offline in Unifi Network.
Ik kan deze ook niet pingen. Het gekke is wel dat alles wel nog werkt zoals het hoort.

Hier is een screenshot van de instelling van de Pro 24 PoE switch:

[Afbeelding]

Iemand een idee wat hiervoor de reden kan zijn?

100% kans dat ze nog steeds in het 10.10.10 netwerk zitten. Door een backup terug te zetten kunnen je devices je controller niet meer benaderen. Dat netwerk is er immers niet meer. Netwerk 10.10.10 terugzetten zou ik zeggen en dan je devices zoals het hoort weer terugzetten.

De reden dat je devices het verder nog wel doen is omdat alleen je mgmt weg is. Die is verder niet nodig om de rest te laten werken met een paar dingen voorbehouden.

[SgtElPotato]

nero355 schreef op vrijdag 28 februari 2025 @ 18:39:

Als in je XGS-PON ONT

Eigenlijk moet je dat niet willen :
- Als er wat raars aan de hand is met je verbinding mag je van de Helpdesk van je ISP alle door de ISP geleverde apparatuur terug gaan hangen dus :
1. De ONT weer aan zien te sluiten zonder je glasvezelkabel te slopen/vervuilen.
2. De Router die zij leveren ook.
3. En dus ook weer plek zien te vinden voor de adapters van die twee...

Zit je bij Delta als ISP dan mag je dat ook nog eens bij elke snelheidsverhoging of andere aanpassing aan je abonnement gaan doen...
Bij hen heb je namelijk geen losse ONT helaas : Dat leveren alleen andere ISP's op het Delta Glasvezel Netwerk !!

Terwijl als je bij een ISP zit die een losse ONT levert je dus alleen effe die suffe Router van ze moet aansluiten

Ik zit bij Freedom en de 2 keer dat ik ze aan de telefoon heb gehad ivm de Unifi apparatuur aansluiten waren ze super behulpzaam! Ik had de ballen verstand en zat met verkeerde Nm SFP connector te kloten. Blijkbaar raakt de wijkkast daarvan over de zeik Maar na een korte uitleg wat ik wel moest hebben was het zo geregeld. Ze hingen niet op voordat ik online was met de UXG-MAX

[makooy]

Weet er iemand welke NVMe SSD‘s er in de UCG-Fiber kunnen?

[qwasd]

makooy schreef op zaterdag 1 maart 2025 @ 19:45:
Weet er iemand welke NVMe SSD‘s er in de UCG-Fiber kunnen?

Deze gisteren besteld en vanavond geplaatst en geen issues. Dit had ik hier gelezen. Zullen vast wel meer modellen in kunnen maar ik las op Reddit dat er ook al een paar niet werken.

[ Voor 15% gewijzigd door qwasd op 01-03-2025 20:20 ]

[_Richie_]

Hier ook een UCG fiber met kingston nv3 2tb in gebruik genomen. https://www.amazon.nl/Kin...-1000G/dp/B0DBR6TRZQ?th=1

Migratie ging makkelijk, via backup restore.
Glasvezel via KPN WBA AON dus max 1gb. Nu Odido als ISP.

Via Schenk ICT een SFP module gehaald (nu uitverkocht: https://schenkict.nl/prod...ptical-transceiver-module

Kom van een cloudkey 2 met UXG Lite af.

[ Voor 35% gewijzigd door _Richie_ op 02-03-2025 23:19 ]

[duvekot]

Misschien handig om een lijstje van werkende SSDs op te nemen in de start post van dit topic?
(@Kavaa en misschien een update van de startpost?)