Smart Queues i IDS/IPS w UniFi: jak ustawić QoS i ochronę przed zagrożeniami

Dwie funkcje bramy UniFi najczęściej budzą pytanie "włączyć czy nie": Smart Queues, czyli kolejkowanie dbające o opóźnienia, oraz IDS/IPS, czyli system wykrywania i blokowania zagrożeń. Obie kosztują moc obliczeniową bramy i obie mają sens tylko w określonych sytuacjach. Poradnik zakłada, że znasz podstawy UniFi Network. Jeśli nie, zacznij od pierwszej sieci UniFi.

UCG MaxBrama z IDS/IPSUCG FiberBrama z zapasem mocy

Krótko

• Smart Queues włączasz, gdy przy pełnym łączu rośnie ping i zacinają się rozmowy wideo lub gry (bufferbloat). Ustawiasz realną prędkość łącza w dół i w górę.
• IDS/IPS włączasz, gdy chcesz blokować znane złośliwe adresy i sygnatury ataków. Zmniejsza maksymalną przepustowość routingu, więc przy szybkim łączu sprawdź wydajność swojej bramy.
• Nazwy i ścieżki menu zależą od wersji aplikacji UniFi Network. Szukaj ustawień w sekcji Internet (Smart Queues) i Security lub Protection (IDS/IPS).

Smart Queues: o co chodzi

Bufferbloat powstaje, gdy łącze jest zapchane, a pakiety czekają w długich kolejkach w modemie lub u dostawcy. Pobieranie pliku wtedy "zabija" rozmowę. Kolejkowanie typu Smart Queues (algorytmy z rodziny fq_codel/CAKE, szczegóły zależą od wersji systemu) pilnuje, by żaden przepływ nie zajął całej kolejki.

Warunek: musisz podać bramie prędkość, do której ma kolejkować. Brama nie widzi wąskiego gardła za modemem, więc sama je sobie narzuca. Dlatego ustawia się wartość nieco niższą od realnej prędkości łącza.

Konfiguracja krok po kroku

1. Zmierz prędkość łącza w dół i w górę, najlepiej kilka razy o różnych porach, kablem.
2. W ustawieniach połączenia internetowego (WAN) włącz Smart Queues.
3. Wpisz prędkości w dół i w górę. Zacznij od około 90-95% zmierzonych wartości.
4. Sprawdź test bufferbloat (np. w przeglądarce) przy pełnym obciążeniu i zobacz, czy opóźnienie przestało rosnąć.
5. Koryguj w dół w małych krokach, aż opóźnienie będzie stabilne.

Jeśli łącze ma zmienną prędkość (LTE, radiolinia), Smart Queues daje mniej, bo stała wartość nie pasuje do zmiennego łącza.

Ograniczenia

• Włączenie kolejkowania zwykle wyłącza część przyspieszenia sprzętowego, więc maksymalna przepustowość routingu spada. Przy łączu gigabitowym lub szybszym sprawdź w karcie bramy, czy to akceptowalne.
• Przy łączu, które i tak ma niski ping pod obciążeniem, zysk jest niewielki.
• Przy multi-WAN ustawiasz wartości osobno dla każdego łącza.

IDS/IPS: ochrona przed zagrożeniami

IDS wykrywa podejrzany ruch na podstawie sygnatur i zgłasza go, IPS dodatkowo go blokuje. W UniFi włączasz to w ustawieniach ochrony sieci, wybierasz poziom (zakres sygnatur) i sieci, które mają być chronione.

Zalecenia

• Zacznij od trybu wykrywania i przejrzyj logi przez kilka dni, zanim włączysz blokowanie. Zobaczysz, czy nie blokuje legalnych aplikacji.
• Wybierz kategorie sygnatur adekwatne do sieci. Nie musisz włączać wszystkiego.
• Dla sieci IoT i gości ochrona jest szczególnie użyteczna, bo urządzenia bywają niezałatane. Zobacz segmentację VLAN.
• Ustaw wyjątki dla zaufanych adresów, gdy usługa jest blokowana przez fałszywe alarmy.

Wpływ na wydajność

Inspekcja pakietów obciąża procesor bramy. Efekt zależy od modelu i liczby aktywnych sygnatur. Dla łącza gigabitowego i większego dobierz bramę z zapasem mocy, np. UCG-Fiber, i sprawdź dane producenta o przepustowości z włączonym IDS/IPS.

Jak połączyć obie funkcje

Obie funkcje konkurują o zasoby. Rozsądna kolejność wdrożenia:

1. Zmierz wydajność bez dodatkowych funkcji.
2. Włącz Smart Queues i sprawdź pingi pod obciążeniem.
3. Włącz IDS (tryb wykrywania), obserwuj logi.
4. Dopiero potem przełącz na IPS i zmierz ponownie przepustowość.

Jeśli wydajność jest za niska, rozważ mocniejszą bramę albo rezygnację z jednej funkcji. Częściej opłaca się Smart Queues w sieci z grami i rozmowami, a IDS/IPS w sieci, gdzie są niezałatane urządzenia.

Najczęstsze błędy

• Wpisanie w Smart Queues prędkości z umowy zamiast zmierzonej.
• Włączenie IPS bez okresu obserwacji i blokowanie legalnego ruchu.
• Zdziwienie, że przepustowość gigabitowa spadła po włączeniu inspekcji.
• Brak ponownego testu po zmianie dostawcy lub łącza.

Co dalej

Przejrzyj bramy UniFi i Cloud Gatewaye, a regułami firewalla zajmij się w poradniku o zone-based firewallu. Potrzebujesz dobrać bramę do łącza? Napisz do nas.

Przygotowane przez AI, zredagowane przez człowieka