Veilig netwerk in Ubiquiti voor Chinese apparatuur

[Scott81]

Goedemiddag,

Ik heb bij de Action van die LSC lampen gekocht. Nu wil ik die liever niet laten verbinden met al mijn andere netwerk apparaten en vraag me af hoe ik het beste een "los" internet netwerk kan instellen zodat dit nooit bij mijn andere apparaten kan komen.

Ik heb de Ubiquiti Accesspoints en heb de Unief Controller geïnstalleerd op mijn Sinology.
Moet ik bij "Netwerken" een nieuw netwerk aanmaken met nieuw VLAN ID en dan een wifi netwerk waarbij ik dat nieuwe VLAN selecteer? Of gaat dit niet zo gemakkelijk als ik denk?

Alvast bedankt

[True]

Wil je dat je lampen niet bij de rest van je netwerk kunnen komen of wil je niet dat de lampen richting China kunnen communiceren?

[Scott81]

Mja in principe het eerste. Dat de lampen naar china communiceren kan ik niet voorkomen zolang ze maar niet bij mijn "persoonlijke" gegevens kunnen.

Wat zou het probleem zijn met communiceren naar China?

[Scott81]

Niemand?

[Dracoz]

Gewoon verbinden met een gastnetwerk?

[Scott81]

Dat kan maar daar zitten af en toe natuurlijk ook andere computers op. Een 2e netwerk is dan niet veiliger? Alleen voor deze apparaten

[DukeBox]

Een los VLAN gaan niet zomaar ook internet toegang leveren, daar moet je router ook mee overweg kunnen. Je zou nog AP isolation kunnen gebruiken als alles wireless is maar meestal loop je dan ook al snel tegen de nadelen ervan op.

[BCC]

Gewoon een extra guest netwerk toevoegen aan je Ubiquiti inderdaad, en daar die action spullen opzetten.

[Scott81]

Ik heb erachter een Netgear Nighthawk(R) X4S R7800 staan maar daar heb ik wifi op uitgezet. Kan ik dit beter ervoor gebruiken of juist niet?

@BCC Ah, je reactie kwam later. Dit staat dan dus volledig los van het andere netwerk?

[BCC]

Ja, een “guest network” is bij Ubiquity by default isolated (lekker Nederlandse zin ). Je kan er een heleboel aanmaken bij Ubiquity.

[Scott81]

Ahja, klopt idd, Hier kan ik denk ik niet de "SSID Broadcasting" bij uitschakelen neem ik aan? Andere hoeven dit netwerk in principe niet te zien

[Barrycade]

Maar hoe ga je lampjes bedienen? Uiteindelijk via een app of door verbinding te maken met dat netwerk toch?

Maar ben geen ervaringsdeskundige. Dus wellicht kan je ze met niet Action software of apps bedienen. Maar klinkt een beetje als penny wise pound foolish.

[Scott81]

Ze hebben gewoon een app “lsc”. Dus via die app kan ik ze bedienen

[caspervc]

Scott81 schreef op donderdag 4 augustus 2022 @ 21:31:
Ze hebben gewoon een app “lsc”. Dus via die app kan ik ze bedienen

En die app staat op je telefoon? En met welk netwerk is die verbonden?

[Scott81]

Dat klopt, maar ik ga er niet van uit dat de app via mijn iphone gegevens van andere apparaten uit mijn netwerk kan halen. Wat de eigen hardware van de lampen (en firmware) misschien wat meer kan

[ Voor 4% gewijzigd door Scott81 op 04-08-2022 21:37 ]

[caspervc]

Maar je kan je lampen alleen bedienen als ze op hetzelfde netwerk zitten toch? Lamp en telefoon?
Dan ben je dus continue netwerk aan t wisselen? Of met je foon altijd op t guest netwerk?

[Scott81]

Nee, de lampen zijn via internet toegankelijk. Hoef ik niet op hetzelfde netwerk voor te zitten. De lampen zullen idd via de chinese servers communiceren

[NielsFL]

Extra netwerk aanmaken is het makkelijkst. Kost je wel een heel klein beetje performance omdat er een extra beacon uitgezonden moet worden.

SSID verbergen heeft geen zin. De AP zend de SSID dan weliswaar niet meer uit, maar de clients wel. Iemand die iets verder kijkt dan de standaard wifi gebruiker ziet de SSID dus alsnog.

[Barrycade]

Dit wil de app allemaal in Android kunnen. Dus wellicht is het in Apple beter, maar geeft me qua privacy weinig vertrouwen om lampjes aan en uit te kunnen doen.

[Scott81]

Het is puur dat het niet bij de netwerken komt te staan.

In iOS werkt het anders. Daar moet de app voor elke optie toegang vragen, die toegang geef ik niet. Financiele informatie, foto’s en video’s, gezondheid en fitness vind ik zowieso apart op android voor deze app

[Scott81]

Ps, het werkt ook gewoon met de tuya app

[nelizmastr]

Zonder een router die VLAN’s aankan en switches die dat kunnen krijg je het verkeer niet echt gescheiden. Als je die apparatuur wel hebt:

1. VLAN aanmaken in router, DHCP scope instellen, regels maken die al het verkeer tegenhoudt van dat VLAN naar je “trusted LAN”.
2. VLAN aanmaken op de switches. Taggen op de poorten naar router, switch uplinks en access points.
3. VLAN aanmaken in Unifi controller, koppelen aan een SSID en daar de lampen mee verbinden.
4. Profit.

Anders idd via een extra gastennetwerk.

[ Voor 4% gewijzigd door nelizmastr op 05-08-2022 06:48 ]

[Scott81]

Dan wordt het toch maar een gastennetwerk. Ik heb er te weinig verstand van om alles op die manier correct in te stellen. Iig stap 2 (het tangen naar de routers en accesspoints) wordt me te onduidelijk

Bedankt voor de reacties!

[Scott81]

Toch nog even gekeken of ik het wel op bovenstaande manier kan doen en op de switch (HP 2920-48G-POE+) kan ik het volgens mij redelijk simpel instellen.

Het probleem licht denk ik bij de Netgear R7800. Deze kan volgens snel Googlen geen VLAN aanmaken. Met een gasten netwerk zit ik wel safe?

[Midas.e]

Je zou als je Home assistant gebruikt local tuya kunnen gebruiken, dat is wat de LSC lampen gebruiken. Daarmee kan je het hele data naar china weglaten.

[ Voor 18% gewijzigd door Midas.e op 05-08-2022 09:47 ]

[Scott81]

Ik heb ooit geprobeerd Home Assistant te gebruiken, maar weet niet exact hoe ik dit gebruik (programmeer normaal gesproken alles zelf dus toen snel de keuze gemaakt dit achterwege te laten).

Als ik Home Assistant gebruik, hoe "herprogrammeer" ik de lampen dan dat ze niet met China verbinden (Tuya convert?)

En heeft Home Assistant dan een app die ik ervoor kan gebruiken? Of kan ik dit zelf programmeren via API's bijvoorbeeld?

[True]

Scott81 schreef op donderdag 4 augustus 2022 @ 22:21:
Het is puur dat het niet bij de netwerken komt te staan.

In iOS werkt het anders. Daar moet de app voor elke optie toegang vragen, die toegang geef ik niet. Financiele informatie, foto’s en video’s, gezondheid en fitness vind ik zowieso apart op android voor deze app

Dat is tegenwoordig in Android net zo, bovenstaand zijn alle reqs. die je eventueel ook kunt blokkeren.

Let wel op met AP isolation kunnen wireless devices op dit netwerk ook niet met elkaar praten. Als je iets van een aansturende controller hebt kan die niet via WiFi met je lampjes praten. Wel WiFi en internet en internet en WiFi terug.
Dus heb je iets van een controller moeten aanschaffen voor je lampjes?

[Midas.e]

Scott81 schreef op vrijdag 5 augustus 2022 @ 09:49:
Ik heb ooit geprobeerd Home Assistant te gebruiken, maar weet niet exact hoe ik dit gebruik (programmeer normaal gesproken alles zelf dus toen snel de keuze gemaakt dit achterwege te laten).

Je kan in HA via yaml alles bij elkaar harken, niet echt programmeren.

Als ik Home Assistant gebruik, hoe "herprogrammeer" ik de lampen dan dat ze niet met China verbinden (Tuya convert?)

Je herprogrammeert ze niet, je maakt een lokale API en daarmee bedien je de lampen, op het IOT platform van Tuya expose je alleen de devicekey zodat je deze lokaal kan beheren.

En heeft Home Assistant dan een app die ik ervoor kan gebruiken? Of kan ik dit zelf programmeren via API's bijvoorbeeld?

Yep, android en IOS app waarmee je kan losgaan.

[Scott81]

Okay, ik ga eens kijken of ik een op mijn Synology een virtuele machine kan draaien met Home Assistant.

Je herprogrammeert ze niet, je maakt een lokale API en daarmee bedien je de lampen, op het IOT platform van Tuya expose je alleen de devicekey zodat je deze lokaal kan beheren.

Dit heb ik volgens mij ooit eens geprobeerd, maar als ik mij goed herinner moeten ze dan toch al verbonden zijn met WiFi, of vergis ik me?

En kan ik ze via de Home Assistant app bedienen of bijvoorbeeld ook via de iPhone Woning app?

[Scott81]

True schreef op vrijdag 5 augustus 2022 @ 09:51:
[...]


Dat is tegenwoordig in Android net zo, bovenstaand zijn alle reqs. die je eventueel ook kunt blokkeren.

Let wel op met AP isolation kunnen wireless devices op dit netwerk ook niet met elkaar praten. Als je iets van een aansturende controller hebt kan die niet via WiFi met je lampjes praten. Wel WiFi en internet en internet en WiFi terug.
Dus heb je iets van een controller moeten aanschaffen voor je lampjes?

Nee, de lampen hebben geen "Hub" of "Bridge" nodig
Maar ik ga eens proberen met Home Assistant als dat "veiliger" is

[Midas.e]

Je hebt een addon genaamt homebridge waarmee je de lampen ook via je woning app kan bedienen ja.
De lampen moeten inderdaad wel met een wifi verbinding zijn verbonden. LocalTuya haalt daarna lokaal alles op.
Ik raad aan om gelijk HACS te installeren zodat dit soepeltjes gaat.

[Scott81]

Okay bedankt, Dus even voor de structuur,

Ik installeer Home Assistant, dan HACS (zag toevallig een filmpje dat dit tegenwoordig niet meer hoeft? YouTube: The New TUYA Home Assistant Integration (FULL SETUP))

Ik verbind de lampen via het gasten netwerk?
Dan haal ik via een of andere manier de devicekey op en dan koppel ik het aan Home Assist?

[Telesto]

Scott81 schreef op vrijdag 5 augustus 2022 @ 09:41:
Toch nog even gekeken of ik het wel op bovenstaande manier kan doen en op de switch (HP 2920-48G-POE+) kan ik het volgens mij redelijk simpel instellen.

Het probleem licht denk ik bij de Netgear R7800. Deze kan volgens snel Googlen geen VLAN aanmaken. Met een gasten netwerk zit ik wel safe?

Dit is inderdaad de reden dat ik afgelopen week mijn R7800 heb verkocht Guest network vormt een prima oplossing voor je, maar kan voor zover ik weet niet toegepast worden op een van de ethernet ports, dus je zult hiervoor de wifi functie van de R7800 moeten gebruiken.

[Scott81]

Met welke reden moet ik hem toepassen op een ethernet poort? Als ik een guest netwerk maak en daar de lampen mee verbind zit ik toch goed, of ook niet?

[Telesto]

Klopt! Je kan ze dan alleen niet laten uitzenden via een extra AP.

[Scott81]

Wat bedoel je daar precies mee? (Excuses voor mijn onervarenheid hierin)

[HKLM_]

Wat voor Ubiquiti apparatuur gebruik je? Als je een USG of UDM hebt kan je in de Firewall dingen blokken / scheiden. (ook je verkeer naar China)

[Scott81]

Nee, die heb ik niet helaas, alleen de AccessPoints (Lite) in combinatie met de Synology controller.
Maar ik krijg het al niet voor elkaar de lamp via het gastennetwerk te verbinden. Ubiquiti toont namelijk een pagina om het wachtwoord in te vullen.

[Scott81]

Ah, ik heb hem nu wel verbonden. Moest geen gasten hotspot aanmaken maar gasten netwerk.
Het enige wat ik nu niet snap is waarom de lamp nu wel naar China kan communiceren maar via Home Assist niet, de lamp is toch al verbonden?

[breew]

Volgens een snelle google-search is het mogelijk om (iig enkele) LSC lampen de firmware te flashen met tasmota.. dan blijft alles gewoon lokaal.

https://templates.blakadder.com/search.html

Vaak is wel wat soldeerwerk vereist...

[ Voor 11% gewijzigd door breew op 05-08-2022 11:25 ]

[Cyberpope]

breew schreef op vrijdag 5 augustus 2022 @ 11:23:
Volgens een snelle google-search is het mogelijk om (iig enkele) LSC lampen de firmware te flashen met tasmota.. dan blijft alles gewoon lokaal.

https://templates.blakadder.com/search.html

Vaak is wel wat soldeerwerk vereist...

Volgens mij gaat dat niet meer in de nieuwste versies.

[Scott81]

Dat heb ik inderdaad al eens geprobeerd met vorige modellen maar ook daar ging het al niet meer bij.

Maar klopt dit wat ik zeg?

Het enige wat ik nu niet snap is waarom de lamp nu wel naar China kan communiceren maar via Home Assist niet, de lamp is toch al verbonden?

[ijske]

Scott81 schreef op vrijdag 5 augustus 2022 @ 09:41:
Toch nog even gekeken of ik het wel op bovenstaande manier kan doen en op de switch (HP 2920-48G-POE+) kan ik het volgens mij redelijk simpel instellen.

met zo'n switch aanwezig...
ik zou kijken naar een ACL aan te maken (acces control list) , bv ,
ACL1 : client 192.168.0.50 mag wel verkeer naar WAN hebben
ACL2 : client mag niet pingen/broadcasten/etc naar any

ook client isolatie is volgens mij wel iets wat op jou switch kan

half offtopic : ik zou dat ding retourneren... leuk dat zoiets cheap is, maar een Philips Hue heeft dan toch meer mijn vertrouwen