UniFi Site Magic: locaties verbinden zonder handmatige VPN’s

Leestijd: 5 minuten

Meerdere vestigingen met elkaar verbinden betekent normaal gesproken handmatig VPN-tunnels opzetten tussen elke locatie: IP-adressen uitwisselen, sleutels genereren, routes configureren. UniFi Site Magic (voorheen bekend als Magic Site-to-Site VPN) doet dit voor je: je selecteert in de UniFi Site Manager welke locaties je wilt verbinden, en de tunnels worden automatisch opgezet.

Hoe het werkt

Site Magic bouwt de verbinding met WireGuard en OSPF: WireGuard voor snelle, versleutelde tunnels, OSPF om automatisch de beste route tussen locaties te bepalen. Zolang minstens één kant van een verbinding een publiek IP-adres heeft, kunnen ook gateways achter NAT of op een 4G/5G-verbinding meedoen.

Mesh of Hub & Spoke: twee opzetten

Site Magic ondersteunt twee topologieën. Welke je kiest hangt af van hoeveel locaties je hebt en of er een centrale locatie is.

Mesh: elke locatie met elke locatie

Bij Mesh krijgt elke site in de groep een directe tunnel naar elke andere site, zonder tussenkomst van een centrale hub. Geschikt als je een klein aantal, gelijkwaardige locaties hebt die allemaal met elkaar moeten praten. Maximaal 20 sites per mesh-groep.

Hub & Spoke: alles via één centrale locatie

Bij Hub & Spoke verbinden alle vestigingen (spokes) via één of meerdere centrale hubs, bijvoorbeeld je hoofdkantoor of datacenter. Handiger zodra je centrale diensten hebt die elke vestiging moet kunnen bereiken, zoals een centrale server of camera-opslag. Hub & Spoke ondersteunt ook SNAT, handig als twee vestigingen toevallig hetzelfde IP-bereik gebruiken.

De hub-capaciteit hangt af van het gatewaymodel: de Enterprise Fortress Gateway en UXG-Enterprise ondersteunen tot 1000 tunnels, de UDM Pro Max tot 200, overige ondersteunde modellen tot 100.

Wat heb je nodig?

• Als hub: een Enterprise Fortress Gateway, UDM Pro Max, UDM SE, UDM Pro, UDW, UXG-Enterprise of UXG-Pro
• Als spoke: vrijwel elke UniFi cloud gateway, met uitzondering van de UniFi Express
• Gateway-firmware 4.1.3 of hoger, UniFi Network 9.0.108 of hoger
• Minimaal één van de betrokken locaties met een publiek WAN IP-adres
• Alle betrokken consoles onder hetzelfde UI-account (of beheerd binnen dezelfde Fabric)
• Niet-overlappende netwerken tussen de locaties (Mesh), of SNAT ingeschakeld bij overlap (Hub & Spoke)

Zo zet je de verbinding op

1. Open de UniFi Site Manager en ga naar de SD-WAN-sectie.
2. Kies je topologie: Mesh of Hub & Spoke.
3. Selecteer de locaties die je wilt verbinden. Alleen locaties die aan de vereisten voldoen, verschijnen in de lijst.
4. Geef de groep een herkenbare naam, bijvoorbeeld de vestigingen die erin zitten.
5. Bepaal per locatie welke netwerken toegankelijk worden gemaakt voor de andere kant.
6. Klik op verbinden. Site Magic bouwt de tunnels automatisch op.

Veelgestelde vragen over Site Magic

Wat als het WAN IP-adres van een van de locaties verandert?
Een wijzigend IP-adres wordt automatisch bijgewerkt in de tunnel, zolang er minimaal één kant met een vast of publiek IP-adres beschikbaar blijft. De verbinding blijft actief.

Werkt dit ook met een USG of USG-Pro-4?
Nee. Site Magic werkt alleen op een UniFi Console die UniFi Network als applicatie draait. De USG en USG-Pro-4 zijn hiervoor niet compatibel.

Is er een limiet op het aantal locaties?
Bij Mesh ja: maximaal 20 sites per groep. Bij Hub & Spoke ligt de grens bij de tunnelcapaciteit van je hub-apparaat, en die varieert van 100 tot 1000 tunnels per hub, afhankelijk van het model.

Wordt IPv6 ondersteund?
Nog niet. Ubiquiti heeft dit aangekondigd als toekomstige toevoeging, maar zonder concrete releasedatum.

Conclusie

Voor 2 tot een handvol vestigingen die onderling moeten kunnen communiceren is Mesh de snelste weg naar een werkende VPN. Heb je een duidelijk hoofdkantoor met centrale diensten en meerdere vestigingen eromheen, dan is Hub & Spoke de logischere keuze, ook met het oog op SNAT bij overlappende netwerken.

Twijfel je welke opzet bij jouw vestigingen past, of loop je vast bij het instellen? Neem contact met ons op, wij denken graag met je mee. Wil je ook de rest van je netwerk beter beschermen tegen storingen? Lees ook onze blog over netwerkredundantie.