【Rethinking IT】如何结合 Unifi 和 MikroTik 设备打造家庭网络

ryoma1836

目录

• 1. 前言
• 2. 规划
• 3. 设置
• 4. 照片
• 5. 总结
• 6. 参考
  

前言

今年 Ubiquiti（简称 UI）将他们的主题从 Simplifying IT 转变到 Rethinking IT，其实是挺有深意的。想当初，Ubiquiti 是做网络设备起家的，所以时至今日，大众的脑海里面，一提到 Ubiquiti，第一反应这是一家网络设备公司。但是经过这几年的发展创新，其实他们已经拓展了安全监控、电话系统、门禁系统等等产品线，现在也跟上了 EV 世代，提供了家庭充电桩系统。（虽然电话系统、充电桩系统中国大陆暂不销售）

AI DSLR

Phone Touch Max

Access Reader G2 Professional

G4 Doorbell Professional PoE Kit

EV Station

虽然我暂时还没有用上 UI 家除了网络以外的产品，但是单单从网络这个层面，我们也能针对目前 UI 的产品进行一下 Rethinking。

• 首先，并不是人人家里都有空间可以放置像 UDM-Pro/UDM-SE 这样的 1U 机架式设备，特别是一些城市房价特高，寸土寸金。
• 现在的新房子几乎都是入户一个弱电箱，而弱电箱往往是绝大部分家庭的网线汇聚中心，低阶一点的 UDM/UDR 又无法放置在弱电箱内，哪怕放进去了，WiFi 功能也是直接残废。（其实对于大多数家用路由器而言，这个问题一直是一大痛点，特别是那些外置天线一大堆，像八爪鱼一样的路由器。我见过非常多的家庭解决办法就是弱电箱门半掩着，挂着一个庞大的路由器裸露在外面，鉴于弱电箱的位置一般相对偏僻，这样其实对于 WiFi 质量也是有非常大的影响）
• 更糟糕的是，弱电箱通往家庭中每一个位置往往也都只会提供一条网线，倘若将路由器放置在网线外端，那么结局基本就是有去无回，弱电箱内其他通往其他位置的网线又会成为摆设。（除非你折腾 WAN/LAN 单线复用，但是这样不仅使用门槛增高，而且我为什么不直接用一个纯有线可放置在弱电箱的路由器呢？）
  

其实，说到这里，有些坛友应该会想起一个产品 “EdgeRouter”。这个产品是 UI 家一款经典的弱电箱神器，同时，也是一款奇葩的产品。这么多年过去了，这个东西一直都处于在售状态，也一直在更新固件 FW。不过新一代的硬件产品改叫 UISP 了（国内没有销售），已经不再使用 EdgeRouter 这个老名称。遗憾的是，不管是旧的 EdgeRouter 还是新的 UISP，均属于 UI 家另外一条产品线，而不是 Unifi，所以无法与 Unifi AP 使用同一套管理平台进行管理。曾经 UI 还有一款产品 “USG-3P”，尺寸大小也是可以塞进弱电箱，但是这个设备发热量有点大，我曾经遇到过热死机的现象，所以也不适合在弱电箱使用，而且这个产品目前也已停产停售了。我之前也有向 UI 原厂反馈希望能出一款适合弱电箱的 Unifi 系列产品，当然能不能实现，在当下只能说是个未知数。

那么，我们是否还有其他可以替代的产品，当然有，隔壁 MikroTik 家就有好几个适合用于弱电箱的产品，比如：RB750Gr3、hAP ac2、RB450Gx4、RB4011iGS+RM、RB5009UG+S+IN 等等。然而 MikroTik 家的 WiFi 产品一直都是一言难尽，所以我们何不集合两家品牌优势项进行整合呢？我相信这也是很多网友的疑问之一，Unifi 设备一定要全家桶买吗？Unifi 设备能否和其他品牌设备搭配使用？我可以很明确的跟大家说，这是完全没有问题的，因为大家都是基于一套成熟的网络标准来制定的，你想用 Unifi 设备搭配 Cisco、Huawei、H3C 等品牌，也是可以的。

碰巧在去年《【让 IT 更简单】使用 Ubiquiti 全家桶对朋友家进行网络改造》我这篇帖子的回复留言中，也有位坛友 @mx0827 提到

mx0827 发表于 2022-12-23 15:51
等MikroTik恢复生产供应，我也想买台MikroTik的升级一下家里的网络，到时候期待LZ的文章~~

这不，这次刚好又是有朋友家装修改造，我就给他安排上了。当然，由于这位朋友家装修是小改，所有墙内线槽并没有重新规划铺设，弱电箱到客厅和两个房间仅仅是各有 1 条网线，所以我这安装师傅又是只能看菜下饭咯。那么今天，就由我来给大家介绍下怎么结合 Unifi 和 MikroTIk 设备打造家庭网络。

ryoma1836

2. 规划

2.1. 拓扑设计

朋友家这套房子面积大概 136 平方米，弱电箱到客厅和房间的网线的位置如图，由于无法进行任何改造，所以也是没有什么好过多规划的，在 Design Center 中分别模拟安排好适合型号的 AP 即可。

Design Center

网络拓扑如下，附带解释下一些其他设备：

• Proxmox VE 虚拟化使用的是零刻的 N305 + 16G + 512G 小主机，618 使用 88Vip 优惠券拿下，用来跑 OpenWRT 虚拟机、Unifi Network 容器以及其他容器都是绰绰有余了。
• NAS 这里安排的是 Synology DS1621+，618 让朋友下单，虽然比不上前两年双十一的 BUG 价，但是相对于日常价格，以及代理商的价格来说，还是合适入手了。由于后续我家跟朋友家网络是打通 Site to Site WG，所以我的 DS1821+ 准备和他的 DS1621+ 使用 Hyper Backup 搭配 Snapshot Replication 做重要工作数据的异地容灾备份。
  

Topology

2.2. 产品选型

基于上面的拓扑设计，我在主路由选择了 MikroTik RB5009UG+S+IN，PoE 交换机选择了 Unifi Lite 8 PoE，AP 则是客厅选择 Unifi U6 LR，两个房间选择 Unifi U6 IW，当然，电视柜的位置还有一台 MikroTik CRS326-24G-2S+IN，不过这是用来连接软路由小主机、Synology NAS、Apple TV、Playstation 等设备用，与本文主题关系不大，本文不过多赘述。

2.2.1. MikroTik RB5009UG+S+IN

RB5009 基本上是 MikroTik 家当前家用路由器系列的天花板了，而且现在不仅是有最基础的 RB5009UG+S+IN，还有全 PoE 接口的 RB5009UPr+S+IN，更有适合室外场景使用的 RB5009UPr+S+OUT，MikroTik 几乎是将 RB5009 这个平台压榨到底了。当然，这时候有朋友会问，为什么不直接使用全 PoE 接口的 RB5009UPr+S+IN 呢？我问了下价格 RB5009UPr+S+IN 基本上相当于 RB5009UG+S+IN 和 Unifi Lite 8 PoE 的总价了，那么为了让我们 Unifi 拓扑更好看一点，肯定是选择分开购买咯。

2.2.2. Unifi Lite 8 PoE（官网 618 活动购入）

这个其实就不用多说了，基本上家庭场景，Unifi Lite 系列交换机已经足够满足绝大部分需求，如果有安全监控方面的需求，也可以选择接口更多的 Lite 16 PoE。

这里再次给 UI 官网商城做个宣传，每年 618、双十一都会有全场 9 折优惠，参加征文更可以获得额外的 9 折优惠券，保修时间都是 2 年，心动不如行动！从去年开始，我除了第一次购买没有 9 折活动，后续都是参与了官网的优惠活动的。

历史订单

2.2.3. Unifi AP（官网 618 活动购入）

由于朋友家客厅需要 WiFi 覆盖的面积相对还是比较大的，而且又不愿走明线吊顶安装 AP，所以这里还是选择信号覆盖范围更广的 U6 LR。至于 U6 IW 就不过多赘述了，房间使用，自然还是面板型号即可。

依旧是再次附上 UI 官网对于不同型号 AP 的天线辐射方位和强度的说明介绍。

Unifi AP 天线辐射模式介绍

• 中文：UniFi - 天线辐射模式介绍
• 英文：UniFi - Introduction to Antenna Radiation Patterns
  

Unifi AP 天线辐射方位图

• 中文：UniFi - UAP 天线辐射方位图
• 英文：UniFi Network - AP Antenna Radiation Patterns
  

2.2.4. MikroTik CRS326-24G-2S+IN

考虑这个交换机主要是看中有 10G SFP+ 口，而且宽度是机柜半宽。与 RB5009UG+S+IN 的 10G SFP+ 可以分别使用光转电模块进行连接，这样也能保证电视柜设备与主路由之间，不会出现链路瓶颈，毕竟各个网段的网关还是终结于 RB5009UG+S+IN，所以跨 VLAN 流量还是需要经过这条线路到达 RB5009UG+S+IN。而且这台交换机也有点小故事，是我从《RouterOS入门到精通》的作者余松老师那收的，刚好有一次在余老师群里看到他准备出售这台仅测试的设备，我就果断拿下了。

ryoma1836

2.3. 网络规划

说到这里，又不得不说一些事情。之前我的上一篇文章中有些坛友会说，家用环境使用 VLAN 做什么？人家之前不用 VLAN 也用得好好的，为什么画蛇添足？那么我就举几个实际应用场景来跟各位说一说，各位不妨看看有没有道理。

• 我相信现在很多坛友家里也会使用 OpenWRT 进行一些 XX 上网的操作，不少人也是使用旁路网关的操作，在主路由的 DHCP 服务器上将客户端的网关指向 OpenWRT。但是你我都明白，这种情况下，一旦 OpenWRT 出故障，或者意外断电（无论是物理机亦或是虚拟机），那么所有客户端都将无法上网。如果自己家里用，出问题能自己排障当然无可厚非。但是给朋友家安排的时候，万一出问题，如何能通过外行人几句话描述就能远程、快速排查问题就是一个很大的麻烦。这就好像医生给你看病，不给你做系统的检查，直接微信问你哪里痛一样。所以，最好是将正常上网和 XX 上网的客户端分配在不同的 VLAN 网段，这样出问题时，至少能很容易通过切换 WiFi SSID 来发现故障点究竟是主路由器还是 OpenWRT。
• 下面说说 IoT 设备。相信最近有一则新闻《用户发帖称爱奇艺 TV 客户端 “白嫖”电视机引热议，后台满速上传》，应该不少坛友也有看到了。爱奇艺客户端将服务端压力转移到客户端的举动，将用户终端作为爱奇艺的 PCDN 服务器，因此会在后台持续执行上传任务。我只想说，这年头，流氓软件防不胜防，如何用最简单的方式对付流氓呢？通过专门给 IoT 设备划分单独的 VLAN，一样可以解决问题。由于 IoT 设备流量使用并不多，所以可以对 IoT 网段下载/上传流量进行适当限速，这样就能防止一些流氓软件持续白嫖你家的带宽。同时我们也应该设置相应的防火墙阻断策略，阻止 IoT 设备对内网其他客户端进行一些无谓的扫描行为，避免个人隐私被无良厂商用于数据分析和广告推送，甚至隐私泄露。详细风险点可以参考这篇文章《如何增强智能家居设备的安全性》。
• 至于访客网络，其实也是刚需。问题主要还是出在一些流氓软件上，比如曾经风靡一时的 WiFi 钥匙类的软件，如果不知道 WiFi 钥匙是什么的可以看这里《曾有8亿用户，现在被骂流氓软件，WiFi万能钥匙冤不冤？》。如果到访你家里的人，使用手机连接过你家的 WiFi，而他手机里依然有这类流氓软件，那么你家的 WiFi 设置的密码，对于使用这类流氓软件来说，无异于皇帝的新衣。如果有人不怀好意，利用这类流氓软件进行蹭网，并主动或者被动（系统中毒变成肉鸡）进行违法行为，那对你造成的后果不堪设想。所以，访客网络使用 Portal 认证，设置会话有效时间，搭配跟 IoT 网络相仿的限速、防火墙阻断策略，可以有效规避这类风险的发生。
  

2.3.1. Unifi VLAN & MikroTik VLAN

下面我来说说我在 MikroTik 设备上进行 VLAN 划分与之前 Unifi 全家桶时候的区别。用过 Unifi 的坛友都知道，他家设备默认会有个 Default 网络，这个网络按照 UI 团队在 UI 官方论坛对于网友的解答如下：

说明
The default LAN subnet is VLAN 1, which I think you may already be aware of (by the way I'm reading this). The default port setting of All would untag VLAN 1 and tag the rest (based on what I see in your Network settings).
The UniFi switch is managed over the untagged network, so the port/device it is connected to needs to have VLAN 1 untagged/set as native or PVID (as you want to manage it over 1). The UniFi switch will pick up an IP from whatever the untagged/native VLAN is.
If the switch is adopted, you can click on it from Devices and then go to Configuration>Networks/VLANs. In there you can create new port profiles. So, you can define the native VLAN, and the tagged VLANs. You can actually tag VLAN 1 within this area, if you need to.

这代表什么呢？一般来说，使用 Unifi 全家桶的话，那么就使用 Default 网络来负责设备的管理网络即可，这样对于你的 Unifi Console、Unifi Switch 甚至于 Unifi IW 设备这种带有网口可以作为交换机使用的设备来说，他们的接口配置默认就是隶属于 Default 网络，当设备接上之后，就能从 Unifi Network 上发现并采用。

但是在 MikroTik 设备上，我一般不这么做，我的选择是将所有网络都打上 VLAN Tag，那么这就将会成为第一个难点了，我如何将 Unifi AP 的管理网络修改成为我需要的 VLAN ID 呢？那么就请继续往下看。

2.3.2. VLAN 规划

这里是安排 5 个网络：Default、Proxy、IoT、Guest、NFS

• Default Network：普通上网客户端、网络设备管理、软路由设备管理、NAS 设备管理
• Proxy Network：XX 上网客户端
• IoT Network：智能家居客户端
• Guest Network：访客上网客户端
• NFS Network：仅在 MikroTik CRS326-24G-2S+IN 上规划，纯二层网络，用于将 NFS 流量与管理流量分开，分摊网络流量负载
  

2.3.3. IP 地址规划

VLAN	用途	网络	网关	DHCP 池
1812	Default Network	172.18.12.0/24	172.18.12.254	172.18.12.101-172.18.12.200
1813	Proxy Network	172.18.13.0/24	172.18.13.254	172.18.13.101-172.18.13.200
1912	IoT Network	172.19.12.0/24	172.19.12.254	172.19.12.51-172.19.12.200
1913	Guest Network	172.19.13.0/24	172.19.13.254	172.19.13.51-172.19.13.200
3012	NFS Network	172.30.12.0/23	None	None

2.3.4. RB5009UG+S+IN 接口规划

重点
这里不熟悉 MikroTik 的坛友可能会问，Trunk Port 里面的 bridge 是什么？其实这是 MikroTik 配置 VLAN 的一个坑，对于不管是没有网络基础的朋友，还是经验老道的技术，都很容易被绕进去。其实简单来说，就是这个 VLAN 接口需要配置三层 IP 地址，那么就需要将 bridge 打 Tag，若不需要三层 IP 地址，则不需要将 bridge 打 Tag。当然，详细请阅读余松老师的《RouterOS bridge vlan与华为交换机vlan配置对照》

VLAN	用途	Trunk 接口	Access 接口
1812	Default Network	bridge,sfp-sfpplus1,bond_5-8	ether2,ether3
1813	Proxy Network	bridge,sfp-sfpplus1,bond_5-8	ether4
1912	IoT Network	bridge,sfp-sfpplus1,bond_5-8
1913	Guest Network	bridge,sfp-sfpplus1,bond_5-8

2.3.5. Lite 8 PoE 接口规划

这里我将 RB5009 的 5-8 接口做了链路聚合，同样的我在 Lite 8 PoE 的 5-8 接口也做了链路聚合，两台机器做 4 口互联，这样哪怕未来有接口损坏、网线损坏也不至于让 Lite 8 PoE 下连 AP 的带宽受到影响。

VLAN	用途	Trunk 接口	Access 接口
1812	Default Network	Port1,Port2,Port3,Port5-8	Port4
1813	Proxy Network	Port1,Port2,Port3,Port5-8
1912	IoT Network	Port1,Port2,Port3,Port5-8
1913	Guest Network	Port1,Port2,Port3,Port5-8

2.3.6. AP 接口规划

VLAN	用途	Trunk 接口	Access 接口
1812	Default Network	Port1
1813	Proxy Network	Port1
1912	IoT Network	Port1
1913	Guest Network	Port1

2.3.7. CRS326-24G-2S+IN 接口规划

VLAN	用途	Trunk 接口	Access 接口
1812	Default Network	bridge,sfp-sfpplus1,sfp-sfpplus2,ether24,bond_5-6	ether7,ether9,ether11,ether23,bond_1-2
1813	Proxy Network	sfp-sfpplus1,sfp-sfpplus2,ether24,bond_5-6	ether8,ether10,ether12
1912	IoT Network	sfp-sfpplus1,sfp-sfpplus2,ether24,bond_5-6
1913	Guest Network	sfp-sfpplus1,sfp-sfpplus2,ether24,bond_5-6
3012	NFS Network	bond_5-6	bond_3-4

2.3.8. 防火墙策略

源地址	目的地址	动作
172.18.12.0/23	172.19.12.0/23	允许
172.19.12.0/23	172.18.12.0/23	阻止

ryoma1836

3. 设置

3.1. 设备版本信息

设备	功能	版本	管理 IP
RB5009UG+S+IN	主路由	RouterOS 7.10.2	172.18.12.254
CRS326-24G-2S+IN	接入交换机	RouterOS 7.10.2	172.18.12.1
Unifi Network	AC 控制器	7.4.162	172.18.12.51
Lite 8 PoE	PoE 交换机	6.5.59	由 DHCP 分配
U6 LR	AP	6.2.46	由 DHCP 分配
U6 IW	AP	6.5.54	由 DHCP 分配
Proxmox VE	虚拟化	7.4-15	172.18.12.11

3.2. RB5009UG+S+IN 设置

本文由于篇幅以及主题原因，我仅写出与 Unifi 设备搭配使用中相关的 VLAN 设置内容，而且我自己使用 RouterOS 时，都是使用命令行操作的，WinBox 图形化操作在简单配置时候还行，稍微复杂配置下就没有效率了，所以本文我就只提供对应的操作指令。其他像设置 PPPoE 拨号、Masquerade 地址伪装、防火墙安全策略、限速策略、Hotspot 热点设置等等就不在本文赘述了，详细可以参考 MikroTIk 官方英文文档或者余松老师的《RouterOS入门到精通》。

3.2.1. Trunk 接口设置

设置 sfp-sfpplus1、bond_5-8 为 Trunk 接口。

1. /interface bridge port
   
2. set bridge=bridge interface=sfp-sfpplus1 frame-types=admit-only-vlan-tagged ingress-filtering=yes
   
3. set bridge=bridge interface=bond_5-8 frame-types=admit-only-vlan-tagged ingress-filtering=yes

复制代码

3.2.2. VLAN1812 (Default)

创建 Default Network，VLAN ID 为 1812。

1. /interface vlan
   
2. add comment="Default Network" interface=bridge name=vlan1812 vlan-id=1812

复制代码

创建 VLAN1812 的 IP 地址，即该 VLAN 网络的网关。

1. /ip address
   
2. add address=172.18.12.254/24 interface=vlan1812 network=172.18.12.0

复制代码

设置 ether2、ether3 为 VLAN1812 的 Access 接口。

1. /interface bridge port
   
2. set bridge=bridge frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether2 pvid=1812
   
3. set bridge=bridge frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether3 pvid=1812

复制代码

设置 VLAN 接口规则。

1. /interface bridge vlan
   
2. add bridge=bridge tagged=bridge,sfp-sfpplus1,bond_5-8 untagged=ether2,ether3 vlan-ids=1812

复制代码

重复以上步骤设置其他 VLAN。

3.2.3. VLAN1813 (Proxy)

1. /interface vlan
   
2. add comment="Proxy Network" interface=bridge name=vlan1813 vlan-id=1813

复制代码

1. /ip address
   
2. add address=172.18.13.254/24 interface=vlan1813 network=172.18.13.0

复制代码

1. /interface bridge port
   
2. set bridge=bridge frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether4 pvid=1813

复制代码

1. /interface bridge vlan
   
2. add bridge=bridge tagged=bridge,sfp-sfpplus1,bond_5-8 untagged=ether4 vlan-ids=1813

复制代码

3.2.4. VLAN1912 (IoT)

1. /interface vlan
   
2. add comment="IoT Network" interface=bridge name=vlan1912 vlan-id=1912

复制代码

1. /ip address
   
2. add address=172.19.12.254/24 interface=vlan1912 network=172.19.12.0

复制代码

1. /interface bridge vlan
   
2. add bridge=bridge tagged=bridge,sfp-sfpplus1,bond_5-8 vlan-ids=1912

复制代码

3.2.5. VLAN1913 (Guest)

1. /interface vlan
   
2. add comment="Guest Network" interface=bridge name=vlan1913 vlan-id=1913

复制代码

1. /ip address
   
2. add address=172.19.13.254/24 interface=vlan1913 network=172.19.13.0

复制代码

1. /interface bridge vlan
   
2. add bridge=bridge tagged=bridge,sfp-sfpplus1,bond_5-8 vlan-ids=1913

复制代码

3.2.6. 启用 VLAN 过滤

请注意，执行完以下命令后，会失去路由器的管理，此时只有把电脑与 ether2、ether3 和 ether4 之一连接才可访问路由器。

1. /interface bridge
   
2. set bridge frame-types=admit-only-vlan-tagged ingress-filtering=yes vlan-filtering=yes

复制代码

ryoma1836

3.3. Unifi Network 设置

这里我使用在 Proxmox VE 上面安装 CT 容器嵌套 Docker 方式部署 Unifi Network 应用。具体如何在 Proxmx VE 部署 CT 容器，请参考一些网红 UP 主（比如司波图等等 Up 主）的视频即可。

3.3.1. Docker 设置

我的步骤从安装好 Docker 之后开始，安装好 Docker 之后，我会对 Docker 配置文件进行如下修改：

• Bridge 网段：我一般会改掉 Docker 默认的 Bridge 网段，用一个我几乎不会用到的 IP 网段，避免与现网中出现网段冲突，导致使用 Docker 主机的网络路由出现问题。
• Docker 镜像加速器：由于众所周知的原因，所以配置加速器是必须的。
  

修改 /etc/docker/daemon.json 文件。（当前的 Docker 版本默认无此文件，所以这里其实相当于全新创建的文件）

1. nano /etc/docker/daemon.json

复制代码

键入以下内容。

1. {
   
2.   "default-address-pools" : [
   
3.     {
   
4.       "base" : "172.31.0.0/16",
   
5.       "size" : 24
   
6.     }
   
7.   ],
   
8.   "registry-mirrors": [
   
9.     "https://hub-mirror.c.163.com",
   
10.     "https://dockerproxy.com",
    
11.     "https://docker.nju.edu.cn",
    
12.     "https://docker.m.daocloud.io"
    
13.   ]
    
14. }

复制代码

重启 Docker 服务。

1. systemctl daemon-reload

复制代码

1. systemctl restart docker

复制代码

3.3.2. Macvlan 创建

一般家用环境，我建议在 Docker 中使用 Macvlan，这样可以避免一些容器由于端口号相同导致映射冲突，需要修改端口号的问题，在 Macvlan 下一个容器一个 IP 地址，每个容器都是基于自己 IP 地址的 Host 模式。

创建 Macvlan。

1. docker network create -d macvlan \
   
2.   --subnet=172.18.12.0/24 \
   
3.   --gateway=172.18.12.254 \
   
4.   -o parent=eth0 \  # 此处 parent 接口应填入你 Docker 主机对应的接口名称，请勿照抄
   
5.   macvlan

复制代码

检查 Macvlan 是否创建成功。

1. docker network ls

复制代码

检查 Macvlan 详细信息。

1. docker network inspect macvlan

复制代码

3.3.3. Unifi Network 部署

创建 Unifi Network 数据存储目录。

1. mkdir -p /docker/unifi-controller

复制代码

运行 Unifi Network 容器，当前版本已经支持中文界面显示，对于头疼英文的用户来说是一大福音。

1. docker run -d \
   
2.   --network macvlan \
   
3.   --ip=172.18.12.51 \  # Unifi Network 的 IP 地址
   
4.   --name=unifi-controller \
   
5.   -v /etc/localtime:/etc/localtime:ro \  # 只读挂载本地时区，对于一些外国网友制作的容器镜像，建议都进行时区挂载，确保容器应用时区正常
   
6.   -v /docker/unifi-controller:/config \
   
7.   --restart always \
   
8.   linuxserver/unifi-controller:7.4.162

复制代码

检查 Unifi Network 容器运行状态。

1. docker ps -a

复制代码

在浏览器中访问 https://172.18.12.51:8443 进行初始化，由于初始化 Unifi Network 步骤相对简单，且我之前的文章中也有写过该步骤，故不在此重复赘述。

ryoma1836

3.4. Lite 8 PoE 设置

3.4.1. Lite 8 PoE 采用

重点来了，我在前面设置 RB5009UG+S+IN 的 ether2、ether3 是 VLAN1812，所以将电脑和 Lite 8 PoE 前 4 接口任意一口分别直连这两个接口，此时 Unifi Network 上应该会出现该交换机，单击采用。



等待 Lite 8 PoE 进入 Online 状态。



3.4.2. 网络新建

导航到网络，单击虚拟网络右侧新建。



网络名称键入 Default Network，VLAN ID 键入 1812。



同理依次创建 Proxy Network、IoT Network、Guest Network。



3.4.3. 链路聚合创建

单击 USW-Lite-8-PoE，单击端口管理器。



单击端口 5。



选择手动，运行选择聚合，聚合端口选择端口 - 8，单击应用更改。



链路聚合创建完成。



此时将 RB5009UG+S+IN 与 Lite 8 PoE 连接的网线分别更换至两台设备的 ether5 和 Port 5，此刻两台设备就已经是 Trunk 互通了。

3.4.4. Access 接口设置

其实规划中是 Port 4 为 Access 接口，但是之前操作的时候用了 Port 3，所以截图中是有与规划冲突，请大家原谅。

ryoma1836

3.5. AP 设置

说说上面 Lite 8 PoE 这个 Access 接口的目的：为什么我要将一个 PoE+ 接口设置为 Access 口呢？由于其他 3 个 PoE+ 接口都是 Trunk 口，这些接口的流量都需要被 Tag 才可使用，所以如果此时将 Unifi AP 直接接上这些接口，那么 AP 是无法被发现和采用的。因此，这个 Access 接口就是为了让 Unifi AP 第一次被采用时候能够被发现。

其实主要还是 Unifi AP 只有一个接口，如果是 Aruba、Cisco 等品牌的企业级 AP，他们有单独的 Console 口，可以通过 Console 口进行 AP 设置，就不需要考虑这种问题。当然，产品价格毕竟相差不少，不能这么直接对比咯。

3.5.1. U6 AP 采用

先将 U6 AP 和 Lite 8 PoE 的 Access 接口连接，单击采用。



单击 U6-IW，单击设置，在 IP 设置下方，勾选网络覆盖，虚拟网络选择 Default Network，单击应用更改。其实这个设置，可以跟上面 MikroTik VLAN 设置中的 Tag bridge 进行类比，这两者的原理是相似的。



稍等片刻之后，U6-IW 会处于离线状态，这时候将 U6 AP 和 Lite 8 PoE 的 Trunk 接口连接，就会发现，U6-IW 回归 Online 状态了，而且在网络栏，之前显示的是 Unifi 默认的 Default，而现在是我们手动指定的 Default Network 了，就意味着 Unifi 设备的管理网络已经是 VLAN1812 了。



重复以上步骤完成所有 Unifi AP 的采用设置。

3.5.2. WiFi 设置

后续的 WiFi 设置，我还是沿用上一篇文章的设置，用满 Unifi 支持的 4 个 SSID，搭配设置的 4 个网络。可以发现，使用第三方路由器的情况下，其实 Unifi Network 可以设置的部分也就 WiFi、网络、配置文件，所以其实还是相当容易上手的。当然有些中文翻译还是有些让人摸不着头脑，比如 AP 站点设置的“无线网格划分”，我感觉这就是机翻问题，这个英文原文是 WiFi Meshing，即允许 AP 之间使用无线 Meshing。不过瑕不掩瑜，有了中文界面之后，对于绝大部分用户来说肯定是更友好了。

ryoma1836

4. 照片

由于目前房子还在装修过程中，要到八月中下旬才能实施安装，所以这里暂时只能用设备照片代替，没有安装图片啦。而且我写文章的重点还是集中在上面的整体规划设计以及设备配置上。

ryoma1836

5. 总结

不知道有多少坛友能有耐心坚持看到这里，其实本文的内容对于稍有网络基础的坛友来说，这绝对是一个非常非常简单基础的网络架构，但是对于其他人来说，吸收起来还是多少有些难度的。我相信也是有不少坛友曾经看过或者 Rethinking 过我在上面 2.3. 网络规划章节中提到的一些当前家用网络环境中的一些可靠性风险、安全风险，但是在中文论坛下苦于没有一些专注于设置说明的文章进行一些学习。

所以继之前我上一篇文章《【让 IT 更简单】使用 Ubiquiti 全家桶对朋友家进行网络改造》是针对于全套 Unifi 设备的家庭网络设置之后，这次我又写了针对 Unifi WiFi 搭配第三方厂家路由交换设备的家庭网络设置。相信如果能吸收本文的知识点，哪怕将 MikroTik 换成 Cisco、Huawei、H3C 这些老牌网络厂商的路由器，Juniper、Fortinet、Hillstone 这些硬件防火墙，又或者 pfSense、OPNsense 这类的软件防火墙，甚至像 Panabit、iKuai 等等国产路由系统，去搭配 Unifi WiFi 设备，都可以轻松应付了。毕竟原理都是相同的，需要的是人用脑去 Rethinking，并不一定要花非常多的金钱去打造非常贵的一套系统，每个人收入情况和居住环境都不一样，根据自己的预算去实现自己的需求才是最好的。

当然，没有使用 Unifi 全家桶还是有一点不是那么完美，就是 MikroTik 的默认访客 Hotspot Portal 页面没有 Unifi 那么的好看，好在可以自己定制化这个页面。那么，这里就用这个图片结束本文，希望坛友们都能找到合适的解决方案，让自家的网络更稳定咯。反正至少我这几年用下来，Unifi WiFi 我自家会一直用下去，也会推荐自己周围觉得家庭网络不太稳定的朋友，不妨在汰换网络设备时，尝试看看 Unifi。

ryoma1836

6. 参考

• 【让 IT 更简单】使用 Ubiquiti 全家桶对朋友家进行网络改造
• RouterOS入门到精通
• 用户发帖称爱奇艺 TV 客户端 “白嫖”电视机引热议，后台满速上传
• 如何增强智能家居设备的安全性
• 曾有8亿用户，现在被骂流氓软件，WiFi万能钥匙冤不冤？
• RouterOS bridge vlan与华为交换机vlan配置对照
  

johnlijing

小骚骚又来教学啦，别教了懒得动手，你来我家弄就好了

ryoma1836

johnlijing 发表于 2023-7-25 00:29
小骚骚又来教学啦，别教了懒得动手，你来我家弄就好了

教学那可不敢，这只能叫分享而已。你钱到位，我就上你家弄去。

johnlijing

ryoma1836 发表于 2023-7-25 00:34
教学那可不敢，这只能叫分享而已。你钱到位，我就上你家弄去。

两馒头一瓶水，量足管饱

ryoma1836

johnlijing 发表于 2023-7-25 00:50
两馒头一瓶水，量足管饱

创死你都会

nohu_zeta

干货干货，楼主有没有一些好用的虚拟FW分享一下

不爱动的山

应该再睡一会，更迷糊了

衣紧还乡

不明觉厉

lyboo

看完了，没看懂。。。。。。家里就一ISP送的终端，然后楼上楼下各接一个无线路由器做mesh，其他全默认。。。膜拜网络大佬

Ownab

好强!! mark一下回头抄作业

NebNaDvoih

技术贴，膜拜

bestleone

看完，烧钱技术贴，感觉抄都有难度

dominicchen

厉害，我家里没那么复杂，一套小主机，PVE打底，ROS，Unifi Network，OpenWrt都跑在上面，POE交换机都没有，只用了POE电源，够用，便宜

creatie

有个小白的问题，有些iot设备要检测手机或电脑app是不是在同一个局域网，把iot和手机电脑划成不同的vlan，检测出来还算一个局域网吗？不知道它这个检测是用subnet mask /24 还是其他什么规则

tonightmare

我之前也帮朋友家升级了网络，没有那么复杂，毕竟万一出问题还要上门免费维护，故我也选了
主路由：N5105 （千兆网络+科学上网）
交换机：Unifi16口交换机 lite -16-poe
AP：Unifi AP 3个 U6-lite
就是主打稳定。。。。不希望出问题。
但是我有个问题就是，好像Unifi的AP跑不满千兆，不知道是不是朋友家线路问题，只能跑600-700M，有线是可以跑满的。
好在主要在乎外网速度，内网是不是跑满千兆无所谓，不过希望LZ有经验的传授一下，难道是Unifi设置问题？

ccj11110708

UBNT的东西就是绣花枕头

Wolverine

图文并茂厉害

marsxiang1230

太专业啦大佬！

晨勃老汉

ubnt实在是太贵了 和国产相比贵到离谱

tellmefather

是我近年来看过最长的帖子了，赞

我很拽的说

技术贴，Mark一下