VLAN configurations - Unifi

[Dimebag Darrell]

Bonjour tout le monde,

Suite au tutorial, très complet, j'ai néamoins quelques questions techniques

https://www.tech2tech.fr/ubiquiti-configuration-avancee-reseau-vlan-et-firewall-sur-unifi/

 

Je souhaiterais faire deux VLANs (ceux-ci seraient isolés l’un par rapport à l’autre)
VLAN 1 : Smartphone, laptops, tablettes et serveur Synology
VLAN 2 : IOT + camera

 

 

Ma question, si les deux vlans ne communiquent pas ensemble, comment ma camera IP (VLAN2) pourra-t-elle communiquer avec le surveillance station qui sera sur le VLAN1

Au même titre que certaines applications qui utilisent le reverse proxy du synology (VLAN1) pour des IOT qui seront sur le VLAN2 ?

D’avance merci pour votre aide

Je me suis permis de créer ce sujet, afin de mettre plus de visibilité sur ma question.

 

 

[ramius179]

Salut,

 

Il faut que tu crées une règle dans ton pare-feu pour autoriser la communication entre ta caméra et ton NAS.

 

Après, il serait à mon sens préférable de faire un VLAN supplémentaire pour tes caméras, qui aura l'accès au NAS (tu pourrais ainsi plus facilement en rajouter par la suite).

 

[Dimebag Darrell]

@ramius179
Merci beaucoup pour la réponse,

Donc, ça implique que le NAS doit être dans le même VLAN que les caméras (du moins l'application surveillance station ?)

 

Pour faire simple, une partie de "l'intelligence" se situe dans le NAS, comme l'application surveillance station, mais aussi la fonction reverse proxy.

 

[ramius179]

Non pas nécessairement.

 

Il te suffit d'autoriser les communications entre ton NAS et le VLAN de tes caméras.

 

L'avantage de faire un VLAN différent pour tes caméras et que tu pourras en rajouter facilement sans être obligé de refaire des règles de pare-feu à chaque fois.

 

https://kb.synology.com/fr-fr/DSM/tutorial/What_network_ports_are_used_by_Synology_services

a priori, c'est le 5000 et 5001 par défaut.

[Dimebag Darrell]

@ramius179

Salut,

Merci beaucoup pour les recommandations,

Néanmoins, j'ai une question plus large quant à l'utilité de mettre en place plusieurs VLAN, si c'est pour au final ouvrir certaines portes à mon NAS

Mon but étant d'isoler le matériel IOT sur lequel je n'ai "aucun contrôl"

Prenons l'exemple de mon thermostat Bosch qui utilise Easy Control, celui-ci est connecté au réseau (LAN), aucun moyen de voir ce qu'il se passe derrière et ce qui trafique dessus.

On peut multiplier les exemples avec Philips Hue, Cozy Touch, SolarCloud (onduleur)... tous ces devices sont en plug&play... (LAN).

 

Belle journée,

 

 

[ramius179]

Salut !

 

Le principe même des VLANS est de segmenter ton réseau.

Le but étant de mieux surveiller ton réseau, augmenter les performances, détecter de potentiels problèmes techniques plus rapidement (également potentiellement les restreindre à une partie de ton réseau !), mais aussi (surtout !!) renforcer la sécurité.

 

Exemple, en empêchant les périphériques autres que ton NAS à accéder à tes caméras.

 

D'où l'intérêt de bien réfléchir à ce que tu souhaites faire !

 

Un exemple à mon taf, l'atelier est complétement isolé du reste du réseau.

Afin d'éviter si on a une machine avec un cryptolocker (ou autre) sur le réseau que l'infection se propage !

Un autre exemple, dans un hôtel ou un restaurant, il est (VRAIMENT TRÈS FORTEMENT) recommandé d'isoler le réseau Client, du réseau administratif.

[Dimebag Darrell]

Salut @ramius179, oui en effet, dans un cadre pro, c'est tout à fait logique d'isoler certaines applications ou machines.

Dans un cadre privé comme le mien, je me demande si ce n'est pas trop "overkill" sauf peut-être pour s'amuser avec ce type de fonctionalités.

 

Dans mon cas, il est vrai que "l'intelligence" ce situe sur le NAS (le noeud central.) 
Au final, si c'est pour faire un VLAN uniquement pour 3 IOT...

 

Merci pour les conseils.

[ramius179]

Tout dépend de la raison de le faire.

 

Je pense que tu devrais tout de même t'essayer à mettre en place les VLAN à des fins de formation.

C'est toujours intéressant de monter en compétence