Ubiquiti UniFi USG PRO Gateway Router

Ubiquiti Intro

Ubiquiti, intussen een merk dat hard in opmars is. Voorheen alleen bekend van wireless outdoor point-to-point spullen en een verdwaald accesspoint (en de datacenter spullen). Intussen mag je wel zeggen dat ze zijn doorgebroken met hun unifi lijn. De Unifi lijn bestaat uit routers (de USG en de USG Pro), een rij switches (het gros met PoE), een lijn met Wireless Accesspoints (de Pro, de Long Range, de "gewone", de Mesh modellen en nog veel meer) en de VOIP telefoons. Ik ben er een redelijk fan van door hun waanzinnig goede accesspoints en bijbehorende software.

De USG Pro Unboxing

Toen ik de USG Pro uit de doos haalde, voelde het toch een beetje vreemd aan. Ik ben wel gewend enterprise hardware te hanteren en dit voelde te "licht" voor enterprise hardware. Het hele apparaat is uit alu opgetrokken en weegt dus heel weinig. Het tweede dat opvalt is de stroomstekker. Dat is een C5/C6 en dat is raar voor een datacenter / professioneel product. Als pro's zijn wij gewend aan C13/C14 en C19/C20. C5 hebben we niet. Hij kon dus ook niet op m'n APC UPS aangesloten worden. Met de inzet van een striptang en een schroevendraaier heb ik er een C14 aan geknutseld zodat ie nu wel op de PDU past.

Verder valt op dat de USG Pro qua portlayout niet matcht met de switches. De poorten zit net wat verschoven. Niet dat dat een probleem is, het ziet er alleen wat raar uit en het lijkt dan ook duidelijk dat de ontwerpers van de USG andere waren dan die van de Unifi Switches. De rackmount 'oortjes' zitten aan de frontplate en kun je dus niet afnemen. Ook dit is anders dan bij de switches, die gewoon afschroefbare rackmounts hebben. De frontplate lijkt driedubbeldik, in ieder geval bij de rackmounts, zodat je het lichte aluminium niet zomaar kapotdraait, denk ik. Het voelt te licht en ik heb nog niet besloten of ik 'm ook echt in een rack ga schroeven met het risico op beschadigingen of andere problemen.

De USG Pro in software

Omdat ik zowel Accesspoints als een switch van Ubiquiti bezit, leek het opnemen (of adopteren, zoals Ubiquiti het noemt in de sofware) een fluitje van een cent. Dat bleek echter iets of wat tegen te vallen. Standaard heeft de USG Pro het IP adres 192.168.1.1 en daar lijkt ie niet van af te brengen te zijn zonder dat je met SSH op de box inlogt en met de Cli 'm op andere gedachten brengt. Tot die tijd is het resultaat bij een 'adopt' helaas een FAIL. Dat gezegd hebbende, het is een apparaat voor professionals en niet voor consumenten. Wie als pro bang is voor SSH en een Cli moet nog eens nadenken over z'n beroepskeuze Maar dat het nodig is, is wel een beetje jammer. Het lijkt mij iets dat simpel op te lossen is.

Dan het configureren. Dat was hier een geval apart. Onze ISP is XS4All met een mooie FTTH verbinding. Daarbij wordt een Fritzbox modem / router geleverd die in principe prima werk doet maar redelijk lak heeft aan (professionele) netwerkstandaarden. Gelukkig maakt het XS4All niet uit wat je er als klant aanhangt, dus we kunnen 'm vrolijk instellen. Dit instellen zou via een JSON file moeten waarin we de config van XS4All (erg lijkend op KPN maar op cruciale punten net wat anders) zouden moeten hangen. Inloggend op de USG Pro blijkt dat deze draait op EdgeOS, evenals de Edge Routers van Ubiquiti, maar een Unifi extensie heeft waarmee hij door de Unifi Controller kan worden aangestuurd.

En hier ging het bij ons in eerste instantie mis. De USG werd via de CLI geconfigureerd, getest en bleek te werken. Na het rebooten maakte ik een NAT rule aan in de firewall op de Controller, die zette de wijziging door naar de USG die prompt in een reboot loop raakte. De config die direct in de USG gemaakt was bleek slecht te kunnen tegen wijzigingen die vervolgens vanuit de GUI gemaakt werden. Resultaat: geen internet en een hard reset van de USG was de enige oplossing.

Ik zal het proces wat daarop volgde verkorten door te zeggen dat dit dagen van m'n leven heeft gekost maar dat de uiteindelijke oplossing, zoals zovaak, simpeler was dan je je kon voorstellen. Mij was verteld dat de XS4All config alleen via Cli gemaakt kon worden en na een export van de config en het plaatsen van de config file in een specifieke directory op de Unifi Controller tot werken met XS4All overtuigd moest worden. Bij het booten zou de USG deze config geprovisioned krijgen vanuit de controller. Wijzigingen op de config moest je dan ook in de file doen of rechtstreeks op de router, dan weer exporteren en op de controller plaatsen. Eerlijk gezegd zag ik dit niet zo zitten en begon te twijfelen of ik de USG niet te 'vroeg' gekocht had omdat de software (zowel de firmware van de USG als de controller software) niet om konden gaan met een redelijk standaard config als voor XS4All.

Echter, er bleek een update te zijn van die betreffende firmware en onder het motto "niet geschoten is altijd mis" heb ik de verbindingsgegevens van XS4All gewoon eens in de GUI van de controller ingegeven en wat schetst mijn verbazing: het werkt! Kennelijk had mijn gezeur op het Ubiquiti forum samen met dat van talloze anderen ervoor gezorgd dat er een aantal cruciale features werden toegevoegd aan de Unifi Controller GUI zodat het configureren nu een fluitje van een cent is. Verademing.

De USG verbonden met XS4All
[img=620]LRQBVlit[/img]

Zowel de Unifi controller als de firmware van de USG is zwaar in ontwikkeling. Dat wil niet zeggen dat dat wat er nu staat, instabiele beta is. Zeer zeker niet. Maar de functie omvang is nog niet klaar. In de diverse beta's van Ubiquiti, waaraan je zonder problemen kunt deelnemen, worden constant features toegevoegd en bugs gefixt. Je kunt op de stabiele tak blijven zitten en wachten tot ze klaar zijn. Of je neemt de gok en je gaat mee met de beta's en hebt binnen de kortste keren de beschikking over nieuwe functionaliteiten. Het is de keuze die je zelf maakt.

De Unifi Controller Dashboard
[img]ye7gQAOD[/img]

USG prestaties

Wat direct opvalt: de respons van de internet verbinding is een stuk vlotter. Omdat de USG offloading in hardware doet, gaan bepaalde zaken zoals resolving van hostnames als een speer. Websites stonden nog nooit zo snel op m'n scherm. Indrukwekkend. Ook samenwerkend met de Unifi Switches werkt het nog steeds uitstekend.

Een recente controller en firmware update maakt het mogelijk dat diverse VPN opties vanuit de GUI geconfigureerd kunnen worden. Ik heb nog een server in colocating elders staan en uiteraard wil je in deze tijden ook wel graag een VPN naar huis. Beiden bleek geen probleem. Met IPSec hebben we nu een transparante lijn naar onze server in de colo en de daarop draaiende virtuele machines zijn dus 1 op 1 bereikbaar. Ook remote user VPN werkt als een speer en heeft absoluut geen last van lag of uitval.

Een opmerking

EdgeOS heeft ondersteuning voor Quality of Service of QoS. QoS is redelijk noodzakelijk als je streaming gaat doen van video of audio (VoIP). Je wilt niet dat je TV beeld of je telefoongesprek te kens ga at ha pe ren omd at de lij n vol zit. Daar is QoS goed voor. De USG heeft een soort van automatische QoS die Smart Queues heeft. SQ kijkt naar een datastroom en als dat een constante datastroom is, wordt deze in een gereserveerd deel van de bandbreedte geplaatst. Je geeft vooraf dus een percentage aan van je internet connectie dat je wilt reserveren voor dit soort verkeer en SQ plaatst het daarin.
MAAR: het activeren van QoS en SQ betekent dat je hardware offloading wordt uitgeschakeld. Je kunt niet QoS en Offloading tegelijk hebben. Dat kan een probleem vormen omdat je zonder offloading misschien niet de volledige bandbreedte van je WAN connectie kunt gebruiken. En als je gebruik maakt van bijvoorbeeld VOIP diensten van XS4All (of anderen), dan moet je goed opletten of je jezelf niet klem rijdt hiermee. Tot nu toe hebben wij geen last gehad maar ik heb nog niet getest wat er gebeurt als de internet lijn tot de aanslag belast wordt en we worden gebeld op de VOIP lijn.
Dit dilemma lijkt een hardware beperking te zijn, wie weet bouwen ze hier in de toekomst nog een betere implementatie van.

Nog een opmerking

Wij hebben ook IPTV van XS4All. Dit komt via een ander VLAN va extern binnen. Ter illustratie: Het standaard internet verkeer zit bij XS4All (en KPN) op VLAN6, het IPTV verkeer op VLAN4. Bij KPN doet men het VOIP verkeer ook nog over een andere VLAN, bij XS4All gaat dat 'gewoon' mee in VLAN6. Om hiermee te kunnen werken, hebben wij door heel het huis managed switches met VLAN Trunks zodat we streaming IPTV kunnen kijken. We hebben dit een keer via Wireless LAN geprobeerd maar dat resulteert in een diashow ipv een TV signaal. Er is een andere oplossing. Je kunt het ook routed ipv switched regelen maar dan komen we weer op het config bestanden feest uit en daar wilde ik niet meer aan beginnen.
De oplossing voor dit dilemma is zo simpel als het klinkt: Ik heb 2 poorten op een Unifi Switch toegewezen aan VLAN150 (ISP). Deze poorten accepteren TAGGED VLAN4 en VLAN6. Op de eerste poort prikken we het signaal van buiten in, de tweede poort is verbonden met de WAN1 poort op de USG. De LAN port van de USG is vervolgens weer op een reguliere poort van diezelfde switch gestoken. Nu kan ik met een Trunk port VLAN4 (IPTV) en VLAN1 (normaal LAN) routeren en hebben we dus nog steeds overal IPTV. Bijkomend voordeel: met monitoring op de eerste poort waarop de binnenkomende lijn is gestoken, kan ik ALLES zien dat binnenkomt, inclusief IPTV. Dit level van visibility had ik nog nooit.

De Prijs

De USG Pro kost momenteel zo'n goeie 300 euro. Dat is best fors voor een apparaat voor thuis maar eigenlijk belachelijk weinig voor een professionele router. Maar kan het zich ook meten met de UTM's van Sophos, Palo Alto en consorten? Ik vind dat de USG daar functioneel nog flink wat tekort komt. Het mist thread management, antivirus, antimalware etcetera. Aan de andere kant, de prijs is ook een stuk vriendelijker dan van de competitie. Dus als u alle toeters en bellen van een professionele UTM niet nodig heeft maar wel op zoek bent naar VPN opties en een goeie stabiele router, dan kwalificeert de USG zich zeker.

Conclusie

Ik heb lang getwijfeld of ik de USG zou moeten kopen en welk model dan (de Pro of de 'gewone'). Uiteindelijk heb ik de Pro gekocht en er geen seconde spijt van. Zelden zulke consistente prestaties gezien van een internet lijn. De Fritzbox moest je nog wel eens herstarten als het tempo eruit was. Ik kan me dit ook van diverse ZIGGO klanten herinneren. Na een tijdje lijkt de router zo vol van troep dat met een rebootje even alle buffertjes verfrist moeten worden. Hier heeft de USG dus geen centje last van. Hij draait nu al een maand op dezelfde firmware release zonder een hik of een reboot. Beduidend stabieler dan de Fritzbox, beduidend sneller dan de Fritzbox.

Zijn er ook nadelen? Ja die zijn er. Niet alle functionaliteit is zomaar over te zetten. Maak je gebruik van de standaard VOIP capaciteiten van de Fritzbox, dan moet je een andere constructie verzinnen als je daarmee door wilt gaan. Ook heeft de USG geen NAS functie of DECT modem.

Een ander "nadeel" ervaar ik nu nog niet als zodanig, maar op termijn waarschijnlijk wel: Er is nog geen volledige IPv6 support vanuit de Controller GUI. Op CLI kun je een heel eind komen, maar in de GUI wordt het nu nog redelijk doodgezwegen. Wil je nu al op IPv6 en niet knutselen op de CLI, dan moet je de USG even links laten liggen.

Daarnaast heb ik 2 dingen die specifiek voor XS4All zijn, de IPTV en een gerouteerd /29 subnet, die ik niet goed in de USG config krijg. Er zijn wel mogelijkheden maar het is mij niet gelukt het aan de praat te krijgen zonder dat het goed samenwerkt met de Controller GUI of eindigt in een reboot loop.

Er zitten dus plussen en minnen aan de USG. De samenwerking met de diverse ISP configuraties alhier is niet optimaal. Het is geen plug-and-play zoals met heel veel consumer spullen wel is. Maar het is dan ook geen consumer hardware.

De prestaties zijn top en blijven top. Mijn ervaring met de Unifi Accesspoints is dat het een fire-and-forget missie is: je configureert 't, je start het, het werkt en je raakt het niet meer aan. Voor de USG blijkt dit ook op te gaan. Eenmaal geconfigureerd werkt het als een speer en is het zo solide als beton. Van mij krijgt ie 5 sterren voor prestatie en stabiliteit.