VLAN su UniFi: separare PC, stampanti, IoT e ospiti

In tanti uffici la rete è ancora una sola: PC, stampanti, la smart TV della sala riunioni, le telecamere, il condizionatore “intelligente” e il telefono dell’ospite stanno tutti nella stessa 192.168.1.0/24. Funziona, finché un dispositivo da quattro soldi con firmware mai aggiornato non diventa la porta d’ingresso verso il gestionale.

Dividere la rete in VLAN su UniFi oggi è molto più semplice di qualche anno fa, grazie al firewall a zone. Il punto delicato è un altro: separare senza rompere le cose che devono “vedersi”, come AirPrint, AirPlay o Chromecast. Lo spunto me l’ha dato un progetto molto ben documentato di Robert McLeay pensato per una casa; qui lo riporto su un ufficio.

Prima di iniziare

serve un gateway UniFi e UniFi Network 9.0.108 o successivo, la versione in cui il firewall a zone è uscito ufficialmente;
fate un backup della configurazione da Settings → Control Plane → Backups;
fate l’inventario: per ogni dispositivo, chi deve raggiungerlo e se deve uscire su Internet;
lavorate fuori orario e con un cavo collegato direttamente al gateway: una regola sbagliata può tagliarvi fuori.

Lo schema delle VLAN

Il consiglio più utile del progetto originale è raggruppare i dispositivi in base a cosa devono poter fare, soprattutto verso Internet, e non in base a cosa sono. Per un ufficio io parto da qui:

VLAN 10, Uffici: PC e portatili aziendali;
VLAN 20, Server: NAS, server, controller;
VLAN 30, Stampa e AV: stampanti, schermi e Apple TV delle sale riunioni;
VLAN 40, IoT: climatizzatori, centraline, tutto ciò che parla con un cloud del produttore;
VLAN 50, Telecamere: telecamere e NVR;
VLAN 60, Ospiti.

Le reti si creano da Settings → Networks. Per gli ospiti usate il tipo di rete Guest e non una rete normale con la VLAN 60: è il tipo di rete che vi dà l’isolamento dei client.

Le zone del firewall

Il firewall a zone ragiona per gruppi di reti. Quelle predefinite sono Internal, External, Gateway, VPN, Hotspot e DMZ, e tutte le reti nuove finiscono in Internal, dove si parlano liberamente. È proprio quello che vogliamo evitare. Create quindi zone vostre (in Settings → Zones, o Policy Engine → Zones nelle versioni 9.3) e spostate le reti:

Uffici e Server restano in Internal;
Stampa e AV in una zona “AV”;
IoT in una zona “IoT”;
Telecamere in una zona “Telecamere”;
Ospiti in Hotspot, dove la rete Guest va da sola.

Attenzione: non mettete la rete IoT nella zona Hotspot per comodità: si porta dietro il captive portal e i dispositivi non si collegano più.

Le regole che servono

Poche regole, chiare, con un nome che dica cosa fanno:

Internal → AV: Allow, così i PC stampano e mandano lo schermo in sala riunioni;
AV → Internal: niente, basta il traffico di ritorno;
IoT → External: Allow solo verso i servizi che servono davvero, il resto bloccato;
Telecamere → External: Block; Telecamere ↔ NVR: Allow in entrambe le direzioni;
IoT, AV, Telecamere → Gateway: Allow almeno per DHCP e DNS.

Tre cose che fanno perdere tempo. Le regole personalizzate vengono valutate in ordine e vince la prima che corrisponde: controllate l’ordine con Reorder. “Stateful” vuol dire che passa la risposta, non che l’altra parte possa aprire una connessione nuova: per questo telecamere e NVR vogliono due regole. E se bloccate il traffico verso la zona Gateway, DHCP e DNS smettono di funzionare.

Dopo aver creato un gruppo di regole, ordinate la tabella per azione e rileggetela: una “Allow” salvata per sbaglio come “Block” è l’errore più comune, e il più difficile da notare.

mDNS: far vedere stampanti e schermi tra le VLAN

AirPrint, AirPlay e Chromecast si trovano tramite mDNS, che di suo non attraversa le VLAN. UniFi ha un proxy mDNS che lo ripete tra le reti, in Settings → Networks. Il problema è che di default ripete tutti i servizi su tutte le reti, e così la separazione appena fatta perde metà del senso.

Io lo imposto sempre in modalità Custom, limitato alle reti Uffici e Stampa/AV e ai soli servizi che servono:

_ipp._tcp.local
_ipps._tcp.local
_airplay._tcp.local
_raop._tcp.local
_googlecast._tcp.local

Sulle reti IoT, Telecamere e Ospiti il proxy va disattivato esplicitamente, perché sulle reti nuove è attivo di default. Tenete presente anche il limite di reti mDNS per gateway: sugli UniFi Express sono solo due.

Un solo Wi-Fi con le PPSK

Invece di trasmettere sei SSID, potete usarne uno solo con le Private Pre-Shared Keys: ogni password porta il dispositivo su una VLAN diversa. Si attivano in Settings → WiFi, nella configurazione della rete, creando una password per ogni VLAN.

Attenzione: le PPSK funzionano solo in WPA2, quindi niente WPA3 e niente 6 GHz su quell’SSID. La mia scelta è un SSID WPA2/WPA3 per i PC aziendali, uno con le PPSK per AV e IoT e la rete Guest per gli ospiti. Sull’SSID aziendale attivate anche Multicast Filtering, altrimenti gli access point inoltrano ai client Wi-Fi tutto il multicast della rete cablata.

Se qualcosa non si vede più

alcuni dispositivi IoT si trovano con broadcast UDP e non con mDNS: quelli non attraversano le VLAN, e l’app di controllo deve stare nella stessa rete;
la messa in servizio di dispositivi Matter va fatta dalla stessa VLAN;
un server con un’interfaccia su più VLAN (Home Assistant, un controller) fa da ponte e scavalca il firewall: usatelo solo se serve, e con un solo gateway predefinito;
per i dispositivi che non rispondono più, collegatevi in SSH e guardate i log come descritto in Comandi SSH per UniFi.

Avete già diviso la rete del vostro ufficio, o vi siete fermati davanti alla stampante che spariva? Raccontate nei commenti com’è andata: può essere utile ad altri.