Concevoir un réseau UniFi professionnel : console, VLAN, DHCP et DNS

Périmètre et versions

Ce guide pose les décisions d’architecture d’un réseau UniFi pour une PME de 20 à 300 postes : où tourne l’application UniFi Network, comment découper le réseau, où appliquer l’isolation et comment articuler DHCP et DNS avec un annuaire existant. Le pare-feu par zones, le Wi-Fi, l’accès distant et l’exploitation font chacun l’objet d’un guide dédié de la série.

Ce que change la version 11.0

• Les passerelles USG ne sont plus prises en charge : 10.6 est la dernière version qui les gère. Un site encore équipé d’une USG doit planifier son remplacement avant de passer en 11.0.
• Network Application Server (l’application auto-hébergée sous Windows, macOS ou Linux) n’est plus prise en charge ; Ubiquiti oriente vers UniFi OS Server.
• Tous les sites sont migrés automatiquement vers le pare-feu par zones (voir le guide pare-feu).
• La base de données passe sous PostgreSQL et l’historique des statistiques est remis à zéro après la mise à jour : exportez les rapports utiles avant.

Choisir le plan de contrôle

Le premier choix est celui de l’hôte de l’application UniFi Network, qui porte la configuration de tous les équipements. Trois modèles coexistent aujourd’hui, mais l’un d’eux est en fin de vie.

Prérequis de UniFi OS Server

• Linux : Ubuntu 24.04 ou plus récent, Debian 13 ou plus récent, ou une distribution moderne avec systemd, libc 2.31+, podman 4.9.3+ et slirp4netns 1.2+.
• Windows : Windows 10 ou plus récent, ou Windows Server 2022 ; WSL 2 est installé pendant l’installation. L’installation dans une VM invitée Hyper-V n’est pas prise en charge à ce jour.
• Matériel minimal : processeur x86-64, 2 Go de RAM, Ethernet filaire 100 Mb/s, 10 Go d’espace libre.
• Le serveur doit rester en ligne en permanence. S’il s’arrête, les équipements continuent avec leur dernière configuration, mais vous perdez la gestion et la supervision.
• Ne clonez pas une VM UniFi OS Server, sauf pour la haute disponibilité ou la bascule : les clones partagent les mêmes jetons d’accès distant.

Sous Linux, le service s’appelle uosserver. Commandes documentées par Ubiquiti (la première est en lecture seule, les suivantes modifient l’état du service) :

# Lecture seule : état du service
systemctl status uosserver

# Modification : arrêt, démarrage et démarrage automatique au boot
sudo systemctl stop uosserver
sudo systemctl start uosserver
sudo systemctl enable uosserver

Plan de segmentation pour une PME

Un bon découpage suit les usages et les niveaux de confiance, pas l’organigramme. Pour une PME, sept segments couvrent la plupart des cas. Comme les VLAN sont des domaines de couche 2, tout échange entre deux segments passe par la passerelle, ce qui donne un point unique pour filtrer.

• Gestion sur le VLAN natif. Les points d’accès dialoguent par défaut avec UniFi Network sur le VLAN 1, sauf réglage contraire. Garder la gestion sur ce VLAN simplifie l’adoption ; si vous la déplacez, faites-le de façon cohérente sur tous les équipements, l’un après l’autre.
• Des blocs d’adressage alignés par site. Réservez un /16 par site (10.10.0.0/16, 10.11.0.0/16…) : les VPN et le SD-WAN entre sites restent lisibles et vous évitez les chevauchements.
• Un /23 pour les utilisateurs si le parc dépasse 200 appareils, Wi-Fi compris : les smartphones et les adresses MAC aléatoires consomment vite les baux.

Créer et affecter les VLAN

Dans UniFi Network, un réseau se crée dans Settings > Networks : nom, VLAN ID, sous-réseau, DHCP, isolation, filtrage de contenu et DNS. Créer le réseau ne place encore aucun équipement dedans : l’affectation se fait ensuite, de façon statique ou dynamique.

1. 01

   Créez les réseaux dans l’ordre du plan, en commençant par ceux qui n’hébergent encore rien (Invités, IoT), pour tester sans risque.

2. 02

   Avec une passerelle tierce, créez d’abord le VLAN et son DHCP sur cette passerelle, puis déclarez le réseau dans UniFi avec le routeur « Third-party Gateway » et le même VLAN ID. Le routage et le filtrage inter-VLAN se règlent alors sur la passerelle tierce.

3. 03

   Affectez les ports d’accès des postes, imprimantes et téléphones à leur réseau (profil de port). Laissez les ports d’uplink des points d’accès en trunk, comme le recommande Ubiquiti.

4. 04

   Associez chaque SSID à un seul réseau. Pour plusieurs VLAN sur un même SSID, utilisez PPSK (WPA2 uniquement) ou l’affectation RADIUS (WPA2/WPA3 Enterprise).

5. 05

   Pour les appareils sans 802.1X qui doivent toujours rester dans le même VLAN, utilisez l’affectation par adresse MAC via RADIUS ou Virtual Network Override, qui exigent tous deux une passerelle UniFi.

Isoler au bon niveau

UniFi propose quatre mécanismes d’isolation qui agissent à des niveaux différents. Les combiner, c’est appliquer la défense en profondeur sans multiplier les règles.

Le détail des zones et la matrice de politiques recommandée pour une PME sont dans le guide sur le pare-feu par zones.

DHCP et DNS avec Active Directory

La passerelle UniFi sert le DHCP de chaque réseau et peut répondre au DNS. Dans une PME avec Active Directory, la règle reste simple : les postes du domaine résolvent auprès des contrôleurs de domaine, et la passerelle ne sert de DNS qu’aux segments qui n’ont pas besoin de l’annuaire.

• Réseaux Utilisateurs et Serveurs : dans les réglages du réseau, désactivez le DNS automatique et saisissez les adresses des contrôleurs de domaine, qui distribueront ainsi le DNS par DHCP.
• Réseaux IoT, VoIP et Invités : laissez la passerelle comme DNS. Les enregistrements locaux (A, AAAA, CNAME, MX, TXT, SRV) et les domaines transférés (« Forward Domain ») se créent dans la table des politiques.
• Noms locaux sur réservation DHCP : sur la fiche d’un client, l’adresse fixe et l’option « Local DNS Record » créent un nom local. Ce nom ne se résout que pour les clients qui interrogent la passerelle.
• Filtrage de contenu et AD : le filtrage redirige le DNS vers la passerelle. Créez une règle de transfert DNS pour le domaine AD (le domaine de base seulement, sous-domaines inclus) afin de ne pas casser la résolution interne.

Pièges fréquents

• Serveur auto-hébergé derrière un pare-feu tiers. Les équipements doivent joindre l’application : TCP 8080 (communication), UDP 3478 (STUN), UDP 10001 (découverte à l’adoption). Avec une passerelle UniFi, ces ports sont ouverts automatiquement ; avec un pare-feu tiers, c’est à vous de le faire.
• Passerelle tierce : la plupart bloquent par défaut le trafic entre VLAN. Le symptôme le plus fréquent est une imprimante injoignable après le découpage.
• Isolation activée trop tôt : activer Network Isolation sur le réseau Utilisateurs avant d’avoir ouvert les flux vers les serveurs coupe la production. Commencez par les réseaux sans dépendance.
• Clone de VM UniFi OS Server pour faire un test : les jetons d’accès distant sont dupliqués. Faites une nouvelle installation et restaurez une sauvegarde.
• Réseaux sans gestion IPv6 : si vous activez IPv6 sur le WAN, appliquez la même rigueur de segmentation aux préfixes IPv6 qu’aux sous-réseaux IPv4.

Vérification

Avant de déclarer la conception terminée, vérifiez chaque point avec une preuve, pas de mémoire :

1. 01

   Liste des réseaux exportée (nom, VLAN, sous-réseau, zone) et comparée au plan. Le script Get-UniFiInventory.ps1 du guide exploitation produit ce CSV en lecture seule via l’API officielle.

2. 02

   Depuis un poste de chaque VLAN : bail DHCP reçu dans la bonne plage, DNS attendu (contrôleur de domaine ou passerelle), résolution du domaine AD et d’un nom public.

3. 03

   Depuis le réseau Invités et le réseau IoT : aucun accès aux sous-réseaux Serveurs et Gestion (test de ping et de port, par exemple Test-NetConnection 10.10.10.5 -Port 445 sous Windows).

4. 04

   Topologie UniFi : chaque point d’accès est en ligne, son port d’uplink est en trunk et tous les VLAN des SSID y passent.

5. 05

   Une sauvegarde de configuration a été faite après la mise en place (voir sauvegardes et migration).

Sources

• Ubiquiti : note de version UniFi Network 11.0.97
• Ubiquiti : note de version UniFi Network 10.6.109
• Ubiquiti : UniFi OS Server, installation et FAQ
• Ubiquiti : créer des réseaux virtuels (VLAN)
• Ubiquiti : VLAN, sécurité et performance
• Ubiquiti : isolation des réseaux et des clients
• Ubiquiti : affecter des VLAN aux SSID
• Ubiquiti : DNS sur passerelle UniFi
• Ubiquiti : filtrage de contenu et DNS local
• Ubiquiti : ports utilisés par UniFi