UniFi Network 10.5, czyli mniej ryzyka przy zmianach w sieci

UniFi Network 10.5 to aktualizacja, którą można potraktować jak zwykłą listę nowych funkcji w panelu. Pojawiły się nowe ustawienia, dodatkowe widoki, zmiany w sekcji firewall, poprawki związane z PPPoE i kilka funkcji dla większych środowisk. W praktyce najciekawsze jest jednak coś innego.

Ta wersja pokazuje, że UniFi coraz mocniej idzie w stronę bezpieczniejszego zarządzania siecią i lepszej diagnostyki problemów, które pojawiają się już po wdrożeniu. Nie chodzi tylko o to, żeby utworzyć sieć, dodać VLAN, skonfigurować port albo włączyć kolejną regułę firewall. Chodzi też o to, żeby takie zmiany dało się wprowadzać z mniejszym ryzykiem, szczególnie wtedy, gdy pracujemy zdalnie i nie mamy urządzenia pod ręką.

Najważniejsze nowości w UniFi Network 10.5 skupiają się wokół dwóch tematów. Pierwszy to Safe Ops, czyli zestaw mechanizmów, które mają chronić przed skutkami błędnej konfiguracji i pomagać w automatycznym odtwarzaniu urządzeń. Drugi to Client Observability, czyli dokładniejszy podgląd tego, co działo się z konkretnym klientem w sieci.

To szczególnie przydatne w codziennej pracy administratora. Ktoś zmienia ustawienia WAN, przypisanie VLAN albo konfigurację portu i nie chce odciąć sobie dostępu do kontrolera. Użytkownik zgłasza, że „WiFi zrywało”, ale nie potrafi powiedzieć, czy problem był z sygnałem, roamingiem, punktem dostępowym, aplikacją czy internetem. Reguła firewall wygląda dobrze w konfiguracji, ale nie wiadomo, czy faktycznie obsługuje jakikolwiek ruch.

UniFi Network 10.5 próbuje odpowiedzieć właśnie na takie sytuacje. Nie rozwiązuje każdego problemu automatycznie, ale daje więcej informacji i kilka zabezpieczeń, które mogą oszczędzić sporo czasu przy utrzymaniu sieci.

Safe Ops, czyli mniej ryzyka przy zmianach w sieci

Jedną z najważniejszych nowości w UniFi Network 10.5 jest Safe Ops. To zestaw funkcji, które mają ograniczyć ryzyko problemów po zmianach w konfiguracji i pomóc sieci wrócić do poprawnego działania, jeśli coś przestanie odpowiadać.

W praktyce chodzi o sytuacje, które wielu administratorów zna bardzo dobrze. Zmieniamy ustawienia portu, VLAN, WAN albo sieci zarządzającej i przez chwilę nie mamy stuprocentowej pewności, czy po zapisaniu konfiguracji nadal będziemy mieli dostęp do urządzenia. Jeśli jesteśmy lokalnie, problem jest mniejszy. Można podejść do szafy, podpiąć się przewodem albo przywrócić ustawienia ręcznie. Przy pracy zdalnej robi się z tego dużo większe ryzyko.

Safe Ops ma pomóc właśnie w takich scenariuszach. W tej sekcji UniFi zbiera mechanizmy, które zabezpieczają przed błędną konfiguracją, automatycznie cofają niepotwierdzone zmiany, reagują na urządzenia, które przestały odpowiadać, i pomagają ograniczać skutki krótkich problemów z linkiem.

Nie oznacza to, że można przestać uważać przy zmianach. Nadal trzeba wiedzieć, co się konfiguruje, szczególnie przy VLAN, portach trunk, sieciach zarządzających i ustawieniach WAN. Różnica polega na tym, że UniFi Network 10.5 daje dodatkową warstwę bezpieczeństwa. Jeśli zmiana okaże się błędna albo urządzenie stanie się niedostępne, system może pomóc wrócić do poprzedniego stanu.

Najbardziej praktyczną częścią Safe Ops jest Test & Confirm, czyli możliwość przetestowania zmiany przed zapisaniem jej na stałe. Oprócz tego mamy też Device Auto Recovery, Auto STP Edge, Data Plane Protection i Link Debounce. Każda z tych funkcji dotyka trochę innego problemu, ale razem tworzą jeden kierunek: mniej przypadkowych przestojów i mniej zgadywania podczas utrzymania sieci.

Test & Confirm, czyli zmiana nie musi od razu być trwała

Najbardziej praktyczną funkcją w SafeOps jest Test & Confirm. To mechanizm, który pozwala najpierw przetestować zmianę konfiguracji, a dopiero potem zapisać ją na stałe.

W codziennej pracy ma to duże znaczenie. Przy zmianach wykonywanych zdalnie najgorszy scenariusz jest prosty: zapisujemy konfigurację, urządzenie traci łączność, a my tracimy dostęp do panelu. Może się to zdarzyć przy zmianie ustawień WAN, VLAN, sieci zarządzającej albo profilu portu. Czasem wystarczy jedna źle dobrana opcja i trzeba szukać kogoś na miejscu, kto podepnie się lokalnie albo wykona restart urządzenia.

Test & Confirm ogranicza takie ryzyko. Po włączeniu tej funkcji wybrane zmiany mogą być najpierw uruchomione testowo. Administrator dostaje czas na potwierdzenie, że wszystko działa poprawnie. Jeśli zmiana jest dobra, można ją zatwierdzić. Jeśli po zmianie urządzenie przestanie być osiągalne albo administrator nie potwierdzi operacji, UniFi może wrócić do poprzedniego stanu.

Nie jest to funkcja, która zastępuje poprawne planowanie zmian. Nadal trzeba wiedzieć, co zmieniamy i jaki może być skutek. Przy sieciach produkcyjnych nadal warto robić takie operacje w oknie serwisowym, szczególnie jeśli dotyczą dostępu do internetu, VLAN zarządzającego albo portów uplink. Różnica polega na tym, że UniFi Network 10.5 daje dodatkowe zabezpieczenie na wypadek pomyłki.

W pokazanym przykładzie zmiana dotyczyła przypisania portu 4 jako WAN2. Po wprowadzeniu zmiany UniFi nie wymusił od razu trwałego zapisu konfiguracji. Zamiast tego pojawił się przycisk Test, który pozwolił uruchomić zmianę w trybie testowym.

Po uruchomieniu testu panel przeszedł w stan Pending Confirmation. Administrator miał kilka minut na sprawdzenie, czy sieć działa poprawnie i czy panel nadal jest dostępny. Jeśli wszystko jest w porządku, zmianę można zatwierdzić przyciskiem Confirm. Jeśli coś pójdzie nie tak, można użyć Revert Now albo poczekać, aż UniFi samoczynnie wróci do wcześniejszej konfiguracji.

Device Auto Recovery, czyli automatyczne odtwarzanie urządzeń

Kolejnym elementem SafeOps jest Device Auto Recovery. Ta funkcja odpowiada za automatyczną reakcję na urządzenia, które przestały odpowiadać. W praktyce może to dotyczyć punktu dostępowego, kamery, switcha albo innego urządzenia widocznego w UniFi.

Najprostszy przykład to urządzenie zasilane przez PoE. Jeżeli punkt dostępowy albo kamera przestanie odpowiadać, UniFi może spróbować automatycznie przywrócić je do działania, na przykład przez restart portu. W wielu sytuacjach może to skrócić czas niedostępności, zanim administrator zacznie dokładniejszą diagnostykę.

Nie należy jednak traktować tego jako zamiennika normalnego sprawdzania problemu. Jeśli urządzenie regularnie przestaje odpowiadać, trzeba ustalić przyczynę. Może to być problem z przewodem, zasilaniem PoE, portem switcha, firmware, temperaturą albo samym urządzeniem. Device Auto Recovery ma pomóc w szybkim przywróceniu działania, ale nie powinno maskować powtarzających się awarii.

W ustawieniach można określić między innymi częstotliwość sprawdzania urządzeń oraz próg ciszy, po którym UniFi uzna urządzenie za wymagające reakcji. W pokazanym przykładzie Heartbeat ustawiony jest na 1 minutę, a Silence Threshold na 15 minut.

Warto też sprawdzić, które urządzenia są objęte nadzorem. W naszym przykładzie na liście urządzeń nadzorowanych widoczny jest punkt dostępowy U7 Pro podłączony do switcha USW Lite 8 PoE. Administrator może sprawdzić, które urządzenia są objęte nadzorem, jaki mają status, adres IP, uplink, urządzenie nadrzędne oraz port.

Auto STP Edge i Data Plane Protection

W UniFi Network 10.5 w sekcji SafeOps pojawiają się też funkcje związane ze stabilnością portów i zachowaniem przełączników. W naszym środowisku widoczne były między innymi Auto STP Edge oraz Data Plane Protection.

Auto STP Edge dotyczy sposobu, w jaki switch traktuje porty podłączone do urządzeń końcowych. Inaczej powinien zachowywać się port, do którego podłączony jest komputer, kamera albo punkt dostępowy, a inaczej port, który łączy dwa switche albo bierze udział w większej topologii sieciowej.

W praktyce oznacza to, że UniFi może automatycznie rozpoznawać porty prowadzące do urządzeń końcowych i oznaczać je jako Edge. Dzięki temu takie porty mogą szybciej przejść do pracy, a sama topologia sieci może być mniej podatna na niepotrzebne zmiany wynikające z podłączania i odłączania zwykłych klientów.

Drugą widoczną funkcją jest Data Plane Protection. Jej zadaniem jest ochrona podstawowego ruchu sieciowego w sytuacji większego obciążenia. UniFi może ograniczać mniej istotne usługi, żeby zachować działanie najważniejszej części przełączania ruchu.

W materiałach dotyczących UniFi Network 10.5 pojawia się również Link Debounce, czyli mechanizm ograniczający wpływ bardzo krótkich przerw linku na pracę sieci. W testowanym środowisku ta opcja nie była widoczna w panelu SafeOps. Najbardziej prawdopodobną przyczyną jest wersja firmware switcha. Testowany USW Lite 8 PoE działał na firmware 7.4.1, a Link Debounce wymaga nowszego firmware urządzeń przełączających.

Firewall Hits, czyli widać, czy reguły faktycznie pracują

Kolejną praktyczną zmianą w UniFi Network 10.5 są liczniki trafień reguł firewall. W tabeli reguł pojawia się informacja o tym, ile razy dana polityka została użyta. Na pierwszy rzut oka jest to niewielka zmiana w interfejsie, ale przy codziennej administracji może być bardzo pomocna.

W większych konfiguracjach firewall często pojawia się ten sam problem. Reguł jest coraz więcej, część powstała dawno temu, część została dodana do testów, część obsługuje konkretne segmenty sieci, a część jest już nieaktualna. Sama obecność reguły w tabeli nie mówi jeszcze, czy ona faktycznie pracuje.

Kolumna Hits pomaga szybko ocenić, które reguły są realnie wykorzystywane. Jeżeli reguła ma dużą liczbę trafień, widać, że bierze udział w obsłudze ruchu. Jeżeli przez dłuższy czas ma zero trafień, można zacząć sprawdzać, czy jest jeszcze potrzebna, czy może została zastąpiona inną polityką albo nigdy nie była dopasowywana do ruchu.

Przydaje się to szczególnie po zmianach w segmentacji sieci. Jeśli tworzymy osobne sieci dla gości, kamer, IoT, urządzeń biurowych albo administracji, dobrze jest wiedzieć, czy reguły blokujące i zezwalające faktycznie działają tak, jak zakładaliśmy. Licznik trafień nie zastępuje pełnej analizy ruchu, ale daje szybki punkt odniesienia.

Na pokazanym przykładzie dobrze widać, że nie wszystkie reguły mają taką samą aktywność. Reguła Block Invalid Traffic ma ponad pięć milionów trafień, Allow All Traffic kilkaset tysięcy, a część reguł nie ma żadnego widocznego trafienia. Dzięki kolumnom Hits i Last Hit administrator szybciej widzi, które polityki faktycznie pracują, a które wymagają sprawdzenia albo uporządkowania.

Client Observability, czyli diagnostyka klienta

Kolejnym bardzo ważnym obszarem w UniFi Network 10.5 jest Client Observability. Chodzi o lepszy podgląd tego, co działo się z konkretnym urządzeniem w sieci. Nie tylko z punktem dostępowym, switchem albo gatewayem, ale właśnie z klientem, którego dotyczy zgłoszenie.

To ma duże znaczenie przy typowych problemach użytkowników. Ktoś mówi, że „WiFi zrywało”, „internet działał wolno”, „rozmowa się zacinała” albo „laptop co chwilę tracił połączenie”. Bez dodatkowych danych takie zgłoszenie jest trudne, bo administrator musi sprawdzać wiele miejsc naraz: sygnał WiFi, roaming, obciążenie punktu dostępowego, jakość połączenia, ruch aplikacyjny, gateway, WAN i ewentualne zdarzenia w sieci.

Nowy widok klienta w UniFi Network 10.5 porządkuje te informacje w jednym miejscu. Można sprawdzić historię połączenia, zdarzenia z ostatnich godzin, jakość WiFi, punkt dostępowy, z którym klient był połączony, używane aplikacje oraz log zdarzeń dotyczących łączności.

Największa zaleta takiego podejścia polega na tym, że diagnostyka zaczyna się od konkretnego urządzenia. Nie trzeba od razu zakładać, że problem był po stronie AP, internetu, VLAN albo samego klienta. Najpierw można zobaczyć, co faktycznie wydarzyło się w czasie, którego dotyczy zgłoszenie.

W widoku diagnostycznym klienta widać między innymi Client Health, AP Health i Site Health. Dzięki temu można zestawić informacje o jakości połączenia klienta z parametrami punktu dostępowego i podstawowym stanem całej lokalizacji. W jednym miejscu pojawiają się dane o sygnale, retransmisjach, aktywności klienta, zajętości czasu antenowego, interferencjach, opóźnieniu oraz utracie pakietów.

Niżej dostępne są Connectivity Logs, czyli historia połączeń i rozłączeń klienta. Widać tam momenty połączenia i rozłączenia, czas trwania sesji, ilość przesłanych danych, punkt dostępowy, kanał radiowy, szerokość kanału, poziom sygnału oraz adres IP klienta. Przy zgłoszeniach problemów z WiFi jest to bardzo praktyczny widok.

Uzupełnieniem logów są Flows. Ten widok pokazuje ruch generowany przez klienta. Można sprawdzić, z jakimi adresami urządzenie się komunikowało, z jakich usług korzystało, jaki poziom ryzyka został przypisany do danego ruchu oraz czy połączenie zostało przepuszczone przez polityki bezpieczeństwa.

To nie oznacza, że UniFi sam rozwiąże każdy problem. Nadal trzeba umieć czytać te dane i łączyć je z topologią sieci. Różnica polega na tym, że administrator dostaje więcej kontekstu w jednym miejscu. Przy większej liczbie klientów i punktów dostępowych to może być dużo wygodniejsze niż przeklikiwanie się osobno przez AP, logi, statystyki klienta i listę zdarzeń.

Najbardziej praktyczne zastosowanie tej funkcji pojawia się przy zgłoszeniach, których nie da się łatwo odtworzyć. Użytkownik zgłasza problem po fakcie, a administrator nie widział go w czasie rzeczywistym. Dzięki historii klienta można wrócić do danego okresu i sprawdzić, czy widać rozłączenia, zmianę jakości WiFi, problem z AP, zdarzenie po stronie internetu albo nietypowy ruch.

Pozostałe zmiany w UniFi Network 10.5

Oprócz SafeOps i Client Observability w UniFi Network 10.5 pojawia się też sporo mniejszych zmian, które mogą mieć znaczenie w konkretnych środowiskach. Nie wszystkie są tak widoczne jak nowe ekrany diagnostyczne, ale część z nich może ułatwić codzienną administrację.

Jedną z bardziej praktycznych zmian jest obsługa PPPoE 1500 MTU. To istotne głównie tam, gdzie operator dostarcza internet przez PPPoE. W takich konfiguracjach MTU potrafi wpływać na stabilność i wydajność wybranych usług, szczególnie gdy w sieci pojawiają się tunele VPN albo dodatkowa enkapsulacja ruchu.

W Policy Engine pojawiły się też usprawnienia przy pracy z regułami. UniFi Network 10.5 dodaje możliwość duplikowania polityk firewall oraz kolumny Firewall Hit i Last Hit. To szczególnie przydatne przy większej liczbie reguł, gdzie łatwo stracić kontrolę nad tym, które polityki są nadal używane, a które zostały po testach albo wcześniejszych zmianach.

Ciekawą zmianą są również ostrzeżenia dla klientów korzystających z prywatnych adresów MAC. Dla użytkownika końcowego jest to funkcja prywatności, ale dla administratora może utrudniać analizę historii połączeń, identyfikację urządzeń i przypisywanie polityk. Taka informacja widoczna w panelu może więc pomóc przy diagnostyce telefonów, tabletów i laptopów.

Rozbudowano też elementy związane z Infrastructure Topology. W release notes pojawiają się między innymi punkty dostępowe z przewodowymi downlinkami, zdarzenia zmiany uplinku, zdarzenia aktualizacji urządzeń oraz zdarzenia połączeń urządzeń firm trzecich. To pasuje do całego kierunku wersji 10.5, czyli lepszej widoczności tego, co faktycznie działo się w sieci.

Warto wspomnieć też o bardziej konfigurowalnym Power Cycle on Internet Loss. UniFi może restartować urządzenie nadrzędne albo modem po utracie internetu, ale w tej wersji pojawia się większa kontrola nad opóźnieniem i zachowaniem przy dłuższej awarii WAN. To ważne, bo automatyczny restart bywa pomocny, ale wykonywany zbyt często może bardziej przeszkadzać niż pomagać.

W obszarze bezpieczeństwa pojawia się migracja z Suricata 6 do Suricata 8 dla CyberSecure. To nie jest funkcja, którą każdy użytkownik od razu zobaczy w codziennej pracy, ale dla środowisk korzystających z IDS/IPS może mieć znaczenie. Release notes wskazują też, że sama migracja może potrwać dłużej po aktualizacji aplikacji Network, dlatego w większych środowiskach warto uwzględnić to przy planowaniu aktualizacji.

Podsumowanie

UniFi Network 10.5 nie jest aktualizacją, którą warto oceniać tylko po liczbie nowych opcji w panelu. Najciekawsze jest to, że Ubiquiti coraz mocniej rozwija funkcje pomagające w codziennym utrzymaniu sieci.

SafeOps zmniejsza ryzyko błędnych zmian w konfiguracji. Test & Confirm pozwala najpierw sprawdzić zmianę, a dopiero później zapisać ją na stałe. Device Auto Recovery może pomóc przy urządzeniach, które przestały odpowiadać. Auto STP Edge i Data Plane Protection dokładają kolejną warstwę stabilności po stronie przełączników.

Z drugiej strony mamy Client Observability, czyli dużo lepszy widok na to, co działo się z konkretnym klientem. Przy zgłoszeniach typu „WiFi zrywało”, „internet działał wolno” albo „aplikacja się zacinała” nie trzeba zaczynać od zgadywania. Można sprawdzić historię połączenia, jakość sygnału, AP, logi łączności i ruch generowany przez urządzenie.

Dobrze wypadają też liczniki Firewall Hit i Last Hit, bo pozwalają szybciej sprawdzić, które reguły faktycznie pracują. Przy większej liczbie polityk firewall taka informacja bardzo ułatwia porządkowanie konfiguracji i diagnostykę.

Nie każda funkcja z UniFi Network 10.5 pojawi się w każdym środowisku od razu. Część zależy od modelu urządzenia, firmware switcha, kanału aktualizacji albo używanych funkcji, takich jak PPPoE, VPN, BGP czy CyberSecure. Dlatego po aktualizacji warto nie tylko sprawdzić numer wersji, ale też przejrzeć konkretne miejsca w panelu: SafeOps, Policy Engine, widok klienta, topologię i ustawienia WAN.

Najkrócej mówiąc, UniFi Network 10.5 to aktualizacja bardziej dla osób, które sieć utrzymują, diagnozują i zmieniają na żywo, niż tylko dla tych, które konfigurują ją pierwszy raz. Nie wszystko jest spektakularne na pierwszy rzut oka, ale sporo zmian może realnie oszczędzić czas wtedy, gdy coś pójdzie nie tak.