使用 Ubiquiti Networks UniFi 设备构建安全的高可视性 WiFi 网络 |欢迎来到公海710

我长期以来一直想对我的 WiFi 网络进行彻底检修。经过几个月的研究，我决定继续使用 Ubiquiti Networks (UBNT) UniFi 系列 WiFi 产品来帮助构建我的新网络。我以前的 WiFi 设备速度快、覆盖范围广、易于分段和管理，但缺少一件事……易于查看。我觉得我真正感兴趣的指标很难从设备本身中获取。我对消费者物联网、企业物联网和工业物联网 (IIoT) 设备进行了测试，我需要能够了解产生的流量类型。我不得不求助于第三方工具来收集我需要的信息，但感觉太麻烦了。我在职业生涯中使用过一些其他企业级设备，它们可以完全满足我的需求，但价格远不足以证明家庭网络的合理性。一些本来可以使用的价格较低的设备需要附加年费。 UBNT 设备价格合理，并且不收取任何订阅费。但价格并不是我选择 UBNT UniFi 的原因。

为什么我最终决定使用 UniFi 设备

我研究了较新的消费者网状 WiFi 技术，例如eero, Google Wifi，甚至Ubiquiti 网络 AmpliFi但最终决定网状 WiFi 不适合我。我一直是有线回程的支持者。切换到网状网络或使用无线回程会减少可用带宽。我已经运行了 CAT5e 来继续为所有 AP 提供有线回程基础设施，因此我决定坚持使用这种方法以获得尽可能最佳的 WiFi 性能。许多人研究网状网络以实现更好的漫游，但如果正确调整 AP 上的最小 RSSI，您也可以获得相同类型的体验。顺便说一下，这些 AP 确实具有无缝漫游（零切换）功能，但有一些额外的要求。我还发现，在探索我的选择时，UniFi 控制器软件让我能够通过这些其他平台全面了解我的 WiFi 网络（以及更多），而且这些平台的价格都非常接近相同的范围。如果您是普通消费者，我认为您实际上会更好，并且我会全心全意地将它们推荐给我的非 IT 家人和朋友。如果您是那种喜欢运行稳定网络但也喜欢修补和榨取所有性能的最后一点的人，那么我不会推荐这些平台并告诉您真正仔细看看 UniFi。当我将来添加更多除 WiFi 设备之外的 UniFi 设备时，我将能够使用 UniFi 控制器进行集中管理和分析。有点像 Citrix NetScaler 粉丝的 NetScaler MAS

我买了一个Ubiquiti Unifi 云密钥内置 UniFi 控制器。这用于混合云设备管理。您也可以选择将其安装在您自己的系统上，甚至是 Raspberry Pi 上，但对于低于 80 美元的价格，我宁愿只拥有坚固耐用的设备，而不必担心更新，因为它可以自行更新。另外，它还可以进行 PoE，因此只需将其插入 PoE 交换机即可。稍后我将详细介绍 Cloud Key。

The next step was choosing the proper Access Points (APs). UniFi 系列有相当多的内容，您可以在这里看到：https://www.ubnt.com/products/#unifi

我研究了较新的消费者网状 WiFi 技术，例如 eero、Google Wifi，甚至 Ubiquiti Networks AmpliFi，但最终认为网状 WiFi 不适合我。我一直是有线回程的支持者。切换到网状网络或使用无线回程会减少可用带宽。我已经运行了 CAT5e 来继续为所有 AP 提供有线回程基础设施，因此我决定坚持使用这种方法以获得尽可能最佳的 WiFi 性能。许多人研究网状网络以实现更好的漫游，但如果正确调整 AP 上的最小 RSSI，您也可以获得相同类型的体验。顺便说一下，这些 AP 确实具有无缝漫游（零切换）功能，但有一些额外的要求。我还发现，在探索我的选择时，UniFi 控制器软件让我能够通过这些其他平台全面了解我的 WiFi 网络（以及更多），而且这些平台的价格都非常接近相同的范围。如果您是普通消费者，我认为您实际上会更好，并且我会全心全意地将它们推荐给我的非 IT 家人和朋友。如果您是那种喜欢运行稳定网络但也喜欢修补和榨取所有性能的最后一点的人，那么我不会推荐这些平台并告诉您真正仔细看看 UniFi。当我将来添加更多除 WiFi 设备之外的 UniFi 设备时，我将能够使用 UniFi 控制器进行集中管理和分析。有点像 Citrix NetScaler 粉丝的 NetScaler MAS？

我购买了内置 UniFi 控制器的 Ubiquiti Unifi Cloud Key。这用于混合云设备管理。您也可以选择将其安装在您自己的系统上，甚至是 Raspberry Pi 上，但对于低于 80 美元的价格，我宁愿只拥有坚固耐用的设备，而不必担心更新，因为它可以自行更新。另外，它还可以进行 PoE，因此只需将其插入 PoE 交换机即可。稍后我将详细介绍 Cloud Key。

下一步是选择合适的接入点 (AP)。 UniFi 系列有相当多的内容，您可以在这里看到：

https://www.ubnt.com/products/#unifi

我选择了 2 个 Ubiquiti Networks Unifi AC PRO AP (UAP-AC-PRO-US)，因为它们的速度高达 1300 Mbps，这与我以前的设备的性能相似。经过几周的测试，我认为这绝对是适合我的平台，并购买了第三个。我唯一希望做的就是购买 2 个 UniFi AP 入墙式 AC 版本，在测试版可用时可以达到 5 Ghz。现在您只能购买 2.4 Ghz 版本。当 AC 版本可供购买时，我计划将它们添加到组合中。这并不是说 3 AC Pro AP 的覆盖范围不好，它们实际上很棒。只是我的一些 2×2 MIMO（2 个天线）或 3×3 MIMO（3 个天线）设备使用 5 Ghz 频段，为了真正获得宣传的速度，我必须提高 5 GHz 无线电以使用 VHT80 通道宽度。我现在还在测试这个。这样做的缺点是它的穿透性较差，因此即使是几层干墙，信号也会显着下降。在家里的这些区域中，我真正想要 800+ Mbps 的速度，我计划用 AC 入墙式 AP 替换入墙式 CAT5e 墙板/梯形插孔，应该会很好。顺便说一句，我测试过的最快的设备是 2×2 MIMO 设备，它可以在这些 AP 上轻松达到 867 Mbps。随着更好的设备问世，我确信我会看到这些速度爬得更高，所以我认为我还没有充分利用这些接入点接近其真正潜力。有些人可能会问为什么无线设备需要像 LAN 一样的本地速度。例如，如果您拥有 Plex 媒体服务器和非常高质量的内容，则几乎可以使服务器上的 1 Gbps NIC 完全饱和，从而推送单个高质量视频/多通道音频流。我什至无法想象一旦完全支持 4K/UHD 播放会是什么样子。我喜欢提前思考并确保我正在构建的基础设施能够为我的未来提供良好的服务。

UBNT 没有技术支持电话号码，这让我非常失望。你打电话给任何 IoT 供应商，如 Ring、Rachio 等，你都会立即获得电话支持，但对于通过以企业为中心的网络公司的消费者来说，据我所知，UBNT 没有电话选项。您必须访问他们的网站并开始聊天才能获得帮助。在我的测试阶段出现了一些问题。固件升级后，AP 认为它正在由“幽灵”控制器管理，并且不会让它再次被“采用”。论坛上没有关于如何重新采用的答案。另一个问题是 Cloud Key 固件更新后，它将不再执行 SSO。我有两次需要联系支持人员，他们很有帮助，第一次我在 15 分钟内启动并运行，第二次聊天从未连接上，但第二天他们通过电子邮件跟进，此时我自己解决了问题。我只是为大家设定期望，不要以为遇到障碍时会立即获得 UBNT 的帮助。话虽如此，论坛才是 UBNT 的亮点。有时，一个乐于助人且热情的社区会让产品变得有吸引力，并真正帮助我做出选择。我要做的很多高级配置已经被其他人完成并分享了：https://community.ubnt.com/t5/custom/page/page-id/Forums

仅仅几周后，我大约 95% 的 WiFi 设备都安装了这款新设备，我确信我做出了正确的选择。我什至还没有在可用功能中触及该服务。我将介绍我现在使用的一些基本内容，因此请将此指南视为 UniFi 设备的介绍。

分段网络流量

UniFi 的美妙之处在于创建无线网络非常容易。我决定暂时以与处理旧设备相同的方式来细分流量。其中每一个都有自己的 SSID：

适用于旧设备的 2.4 Ghz SSID
5 Ghz SSID 用于其他所有内容
用于访客流量的双无线电 (2.4 Ghz/5 Ghz) SSID
用于 IoT 流量的双无线电 (2.4 Ghz/5 Ghz) SSID
用于实验室流量的双无线电 (2.4 Ghz/5 Ghz) SSID（仅在需要时启用）

我喜欢强制我的 5 Ghz 设备使用自己的无线电，这就是我将旧设备和新设备分开的原因。我想了解 5 Ghz 的问题所在，并使用兼容 802.11ac 的入墙式接入点改善这些区域的覆盖范围。特别是因为我现在使用的是 VHT80 通道宽度。我永远不想让他们降级到 2.4 Ghz 无线电。

对于访客流量，UniFi 提供了一些我认为非常棒的开箱即用功能，例如带有优惠券的强制门户。当客人过来询问 WiFi 密码时，真是令人惊叹。稍后我会详细介绍这一点。

UniFi 允许您向 SSID 添加 VLAN，这样我的 IoT 流量就可以像访客流量一样与网络的其余部分分开，但又不需要所有额外的花哨功能。我可以让我的常规设备与 IoT 网络通信并允许这些 IoT 设备做出响应，但 IoT 网络永远无法发起与常规设备的通信。请记住，许多 IoT 设备都是 2.4 Ghz 设备，因为您更关心信号和范围，而 2.4 Ghz 比 5 Ghz 更优越。因此，它们只有单个无线电，无法连接到 5 Ghz。只是让您知道，这样当您看到如此多的 2.4 Ghz 设备连接时，您就不会感到震惊，即使您可能刚刚购买了它们。这是为了节省成本和电力。

最后，我仅在需要时才启用实验室流量 SSID。这是为了在我进行一些相关测试时完全隔离流量。它位于自己的 WLAN 组中，当我需要时，我可以在实验室的壁橱 AP 上启用它。

AC Pro AP

You walk into Best Buy and look at their access point/routers these days and they look like they came out of臭鼬工厂。我不需要我的 AP 看起来像 Darth Vader，有 14 根天线伸出来。 AC Pro 是漂亮干净的圆盘，老实说让我想起了我职业生涯早期的旧 Cisco Aironet AP。它们只是与装饰融为一体。

可以看出他们在设计上花了很多心思。只需 1 个小锁定片即可轻松取下背面安装环。

它有一个辅助 RJ45 端口，如果需要，您可以将其用于桥接。它具有可拆卸的通道件，因此您可以轻松布线 CAT5e/CAT6 电缆。 LED 是蓝色的，可以通过闪烁来定位它们（考虑大型部署），或者您可以完全关闭它们，如果您打算将这些家伙安装在卧室中，这会很方便。它们还具有耐候性，因此将它们放在露台上没有任何问题。

漂亮的小橡胶盖，可保持端口不受天气影响。 RJ45 连接器可以很好地穿过该孔。不需要剪掉末端，将电缆穿过，然后压接新的连接器，就像我乍一看所想的那样。

如果您购买单个装置，您将获得一个电源注射器壁疣。如果您购买散装包装，他们不会附带电源注入器，因为他们希望您使用 PoE 交换机。电源注入器看起来像一个普通的交流适配器，只是它有 2 个 RJ45 端口。您将一个端口插入常规的非 PoE 交换机，另一个端口将数据+来自墙上的电源组合到 AC Pro 中。我喜欢这种设计的原因是，如果您的房子已经使用 CAT5e 布线并且您不想使用 PoE 交换机，则只需将 AC Pro 插入这些 RJ45 端口之一即可。然后，在运行所有 CAT5E 的低压面板中，您只需将所有 PoE 注入器插入 UPS，现在当出现电源故障时您就可以获得一些冗余。这可以让您在要安装这些 AP 的所有位置上进行非常干净的安装。

现在，我的房子在插座高度处预装了 CAT5e 墙壁插孔，这些 AP 真正设计为安装在天花板上，向下分散信号。楼上的位置很容易在天花板上部署，因为您有阁楼空间可以工作。在楼下的位置，我总是可以在天花板附近的干墙上切一个小孔，断开壁板上的梯形插孔并将双绞线拔下，将电缆向上穿过整个顶部，添加 RJ45 连接器，然后将此 CAT5e 插入 AP，以便我可以将它们安装在墙上更高的位置。最初，我考虑从我的出口高度端口连接一根小的白色 CAT5e 跳线，并将 AP 安装在插孔上方，以保持简单。在我将 AP 放置在梯子底部和顶部的超级科学测试中，我发现 AP 越高，附近连接的设备上的信号越好。

底部梯级上的设备报告的信号：

顶部梯级上的设备报告的信号，如上图所示：

因此，为了获得最佳覆盖范围，最好将接入点安装得尽可能高，但如果不这样做并将其安装在出口高度，也不是世界末日。它们仍然可以很好地工作。

目前我不会将安装支架拧到墙上。由于我仍在确定最终的位置，并想等到最终确定，直到我得到那些 AC In-Walls，所以我正在使用这个名为的奇妙东西3M 双锁将我的 AP 安装到墙上。

最近我在很多事情上都使用它而不是尼龙搭扣，我想我不会再回去了。买一卷然后谢谢我就行了。这些东西的一点点就足够坚固，可以毫无困难地容纳轻型 AP。如果您不确定放置位置，我强烈建议您在开始钻孔和永久安装之前使用此方法或其他临时方法（例如 3M Command Hooks）。警告，3M Dual Lock 非常坚固，如果您将其拉下，将会弄乱您的油漆，因此，如果您稍后将其取下，请做好轻微的油漆修补工作。

Cloud Key 和 UniFi 控制器

UniFi 控制器是集中管理所有 UniFi 设备（WiFi 接入点、交换机、网关、摄像头等）的软件名称。它是他们的SDN（软件定义网络）平台的核心。它可以安装在各种操作系统上，如您所见https://www.ubnt.com/download/unifi但老实说，只需购买 Cloud Key 即可。 UniFi Cloud Key 是一款经过强化的专用混合云设备，其上运行 Unifi 控制器，但还允许您通过云安全地远程管理网络。

我真正喜欢它的是它支持 PoE，因此您只需将其插入任何交换机，它就会获得电源并能够管理您的网络。现在我已将其插入我的非 PoE 交换机（如您在此处看到的那样），因此我必须使用交流适配器并将其像这样挂起来。当我得到一些 PoE 交换机时，我只需将其插入并将其塞到一边即可。

另一个很棒的功能是自动备份。它配有一张 8 GB microSD 卡，您可以将其插入此处，它会每周或您设置的任何时间间隔对该 microSD 卡进行备份。您甚至可以选择保留多少备份。当 Cloud Key 的成本不多并且可以给你带来这些好处时，对我来说，专用一个系统甚至一个 Raspberry Pi 是没有意义的。

现在让我们进入一些控制器屏幕。公平警告，我只是向您展示一些我认为非常酷的基础知识。还有很多东西，我必须写一系列文章才能真正详细地了解这些内容。

主仪表板

您可以看到这里现在非常空白，因为其中一些图表需要 UniFi 安全网关 (USG) 和 UniFi 交换机来获取 WAN 和 LAN 数据。目前仅填充 WLAN，因为我只有无线 AP。当你让这些设备收集数据时，这个屏幕会更加令人印象深刻，我将很快添加这些设备。我确实想指出，USG 的 DPI（深度数据包检查）并不是我们在企业中习惯的真正的 DPI。您不会获取 URL 和 GET/POSTS。它不会对表明存在妥协迹象的异常 DNS 请求发出警报。据我所知，没有那种程度的数据包头检查。一旦我很快拿到 USG，我就能够进一步深入研究它并验证它的功能。

统计视图

此时我有 18 个客户端连接，这显示了我的每个 SSID 以及通过每个接入点的流量。底部还有一个历史图表，您可以看到人们何时开始入睡和醒来。

地图视图

如果您有房屋（或办公室、酒店、体育场等）的平面图，您可以将其上传到此处并放置 AP，这样您就可以通过热图了解您的覆盖范围。我还没有上传我的，但我将我的 AP 放在默认示例地图上，让您了解我的 5 Ghz 覆盖范围如何。

还有一个非常酷的拓扑图，可以显示您的客户端连接到哪些接入点：

设备视图

Really nice way to see all your Unifi devices.您可以安排自动更新并从这里重新启动它们。购买和添加新设备的过程称为“采用”，实际上只需单击一下即可获取其他接入点的配置。太容易了。确保使用右侧的小齿轮，以便您可以添加其他列。您可以在这里看到，我喜欢查看来自美联社无线电的大量数据，因此显示了很多列。

客户视图

终于！我最喜欢的景色！您可以单击齿轮并添加下面显示的额外列。可以轻松地按这些列中的任何一列进行排序，以查看某些区域可能需要更多覆盖范围，或者您拥有非常旧的设备并需要升级。您还可以为您的设备设置别名，这样，如果您有一堆设备的主机名显示为字母数字混乱，您可以将其编辑为更有意义的名称，例如“Amazon-Echo-Kitchen”。非常方便的功能！您可以看到 802.11ac 设备的速度远远超过了旧设备。

见解视图

您可以在此处获取有关您环境中的设备类型的一些非常酷的信息。您可以查看过去的设备连接历史记录以及曾经连接到您的网络的所有已知客户端。还有相邻 AP 视图。我不知道现在有多少车辆内置了WiFi热点。我一直在挑选不断开过我家的 Tahoe、Suburban、Denalis、Cadillac、GMC 等！为战争驾驶带来全新的旋转。他们似乎也在使用 Mitsumi Electric 组件，该公司是为 XM 卫星广播生产仪表板导航部件的公司之一。

事件视图

看到您的设备实时从一个接入点漫游到另一个接入点真是太棒了。

提醒视图

这是我不喜欢的。您无法真正配置任何警报。例如，当新设备添加到我的网络时，我希望收到提醒。或者有人尝试使用错误的 WPA2 密钥登录。我找不到任何方法来为此类事情设置电子邮件警报。我希望有某种“如果这样，那么那样”的逻辑，您可以使用它来根据事件创建自定义警报。从我到目前为止所看到的情况来看，如果它甚至捕获了这些东西，您可能必须将其记录下来。我需要进一步探索这些选项。

UNFI 移动应用

我认为这就是 Cloud Key 真正的亮点。您可以使用该应用程序从世界任何地方管理甚至重新配置您的接入点。您甚至可以阻止网络上的设备或强制它们重新连接。记住2016 年 10 月，大型物联网僵尸网络 DDoS 攻击摧毁了一半的互联网？如果您发现自己有任何受感染的设备并且不在家，您只需通过 Unifi 移动应用/Cloud Key 登录并在这些设备上点击阻止，以便您回家后可以处理它们。

使用 TouchID 进行身份验证后，它会向您显示您的 Cloud Key，点击它：

信息中心为您提供像网络 GUI 一样的快速概览：

您可以查看所有设备并深入了解它们以管理或重新配置它们：

您可以查看所有已连接的客户端，并轻松查看它们是使用 2G 还是 5G（橙色与绿色）：

统计数据非常酷，与网络上的统计数据相同：

最后，“更多”标签为您提供见解、事件、提醒以及非常棒的热点管理器，稍后我将详细介绍：

事件很棒，但同样，无法仅选择它并说“对此类事件发出警报”或其他内容：

最后是 HotSpot Manager 优惠券。这些是给您的客人的。您可以随时打印或生成更多。我对这些最大的抱怨是，您无法单击它们将优惠券代码复制到剪贴板，以便您可以将其通过短信发送给您的客人以方便输入。希望在即将发布的版本中有所改变。如果每个按钮旁边都有一个共享按钮，并且您可以从短信、电子邮件等中进行选择，那就更酷了：

为客人打造酒店般的体验

这让我进入下一个主题……您的客人。我一直讨厌向我家的访客提供访客网络的 WPA2 密钥。他们会过来拜访一次，然后 3 个月后再次出现，并在不知情的情况下自动连接到我的 WiFi。我不想每次有客人离开我的房子时就更换客人钥匙。因此，我使用 WPA2 密钥和强制门户来保护访客网络。客人必须输入一张优惠券，该优惠券可用于 24 小时 WiFi 访问强制门户。他们从我或我认为是“操作员”的任何人那里获得此优惠券代码。不幸的是，操作员必须登录 Web UI 才能执行此操作，因为 UniFi 移动应用程序中没有基于角色的访问权限。我在论坛上看到他们正在考虑发布另一个“UniFi HotSpot Manager”移动应用程序，运营商可以将其用于此目的。

获取此类访客网络设置的过程非常简单。创建访客网络和安全密钥后，请确保选中访客策略复选框：

现在前往“访客控制”部分并确保访客门户已启用。这是强制门户。确保其设置为热点模式。启用 AngularJS，解锁所有很酷的自定义选项。然后根据需要修改。请记住同时使用桌面预览和移动预览，以便您可以在进行更改时实时查看所有内容的外观。在底部启用基于凭证的身份验证，然后进入HotSpot Manager创建凭证、创建操作员等。

现在的用户体验是，当访客过来访问时，需要先向他们提供 WPA2 密钥。这永远不会改变。输入密钥后，他们将被带到 HotSpot 门户以输入 24 小时一次性使用优惠券。这就是对他们的会话进行限制的原因，因此当他们在 3 个月后回来访问时，他们会自动加入 WiFi，但会登陆强制门户，并且在我向他们发放另一张优惠券之前无法执行任何操作。在移动设备上，我的 HotSpot 强制门户如下所示：

使用条款如下所示。如果您是酒店并使用 DPI，请确保其中包含有关监控的内容，以免被起诉或其他内容：

确认页面很难看。我不确定这是否是因为它重定向到 captive.apple.com 或者其他什么。理想情况下，我希望它符合我的主题：

现在，作为操作员最酷的一点是，我可以看到访客用于登录的代码，还可以通过移动应用和网络用户界面轻松地将他们的会话延长到 24 小时以上。因此，如果我有一位客人周末入住或有其他事情，我会立即进去并按延长几次，我知道他们在住宿期间会很好，而无需另一张优惠券：

使用移动应用时，如何执行此操作可能并不明显。您需要向左滑动才能显示“扩展”选项。每次您按“延长”，优惠券有效期就会额外增加 24 小时：

我要注意的另一件事是，您是否可以应用授权前和授权后子网，以便这些 HotSpot 用户在访问控制的每个阶段只能访问某些子网。非常酷的功能：

未来

使用 UniFi 几周了，我可以体会到它是以工程师至上的心态构建的。我过去使用过很多设备，你可以看出企业营销/GUI 设计师接管了这些设备，并真正简化了一些东西，使其适合大众。 UBNT 并不这么认为，它几乎就像功能是第一位的，然后他们将其包装在一个巧妙的设计中。

那么我未来对 UniFI 有何计划（在资金允许的情况下）？

一旦这些 AC 入墙式接入点可用，就立即获取 2 个。
Researching if everything the EdgeMAX EdgeRouter line my buddy and fellow CTP特隆德·埃里克·哈瓦斯坦谈论他所模仿的这里理查德·帕内尔的SD-WAN 演示将与UniFI 安全网关专业版 (USG Pro 4):http://xenappblog.com/2016/cheapest-dual-wan-router-for-failover/。与 EdgeRouter 系列相比，定制 USG 是一个痛苦的过程，但朋友和 CTP贾里安·吉布森给我看了这篇文章，说不用担心，我想做的很多事情很快就会来到 USG：https://community.ubnt.com/t5/UniFi-Routing-Switching/USG-Feature-Roadmap-January-2017-update/td-p/1792230。我想坚持使用 USG，因为您可以使用 UniFi 控制器查看和管理它。遗憾的是，您无法将 UniFi 控制器与 EdgeMAX 设备一起使用，因为它是完全不同的产品线。
抓住一个Ubiquiti UniFi 24 端口托管 PoE 交换机 (US-24-250W)和UniFi 16 Port Managed PoE Switch (US‑16‑150W)更换我的非 PoE 交换机。如果您在家运行 AP，我建议您使用 PoE。当我提到 PoE 时，人们总是想到 VoIP，但正如您所看到的，它对于 AP、Cloud Key、监控摄像头等非常有用。买一个小UniFi 8 端口 PoE 交换机 (US-8-60W)满足这些需求，如果您不想投资更大的 PoE 交换机，则可以使用常规千兆交换机来满足更多日常需求。

欢迎来到公海710 使用 Ubiquiti Networks UniFi 设备构建安全的高可视性 WiFi 网络