Omada Fusion 2.5G Cloud Gateway

Eerst even wat korte toelichting en context voor deze review:

Enige tijd geleden zag ik op "The Official Subreddit for Omada" (/r/Omada_Networks/) een post voorbij komen om je in te schrijven voor het Omada Pioneer Program. Dit hield in dat je kans maakte om de nieuwe Fusion gateways als eerste te kunnen testen. Wie niet waagt, niet wint natuurlijk. Ik heb me hiervoor ingeschreven, moest een aantal vragen beantwoorden over je huidige setup, waarom je geselecteerd wil worden, en of je actief bent op de verschillende officiële en officieuze Omada subreddits en het Omada Business forum.

Enkele weken later kreeg ik plots de e-mail dat ik geselecteerd werd, en een weekje later zat mijn Pioneer Kit in de bus. Bestaande uit een SG2210XMP-M2 10-poorts 2.5G switch, een EAP772 Wi-Fi 7 access point, en natuurlijk de Fusion 2.5G Gateway. Met handgeschreven bedankbriefje en QR code om de private Discord te joinen.



Dus, voor de volledige transparantie: Ik heb deze kit gratis gekregen om als een van de eersten te testen, en intern feedback te geven. Ik word niet vergoed door TP-Link voor het schrijven van een review. Een review schrijven is zelfs niet verplicht. Ik probeer deze dus zo neutraal mogelijk te schrijven, en niet rozer te kleuren dan het is.

Huidige setup

Ik had thuis uiteraard al een volledige Omada setup draaien. Deze bestaat uit:

• ER707-M2 Gateway
• SG2210MP switch
• ES206GP switch
• EAP653 access point
• EAP615-Wall access point
• EAP610-Outdoor access point
• Software controller (Docker container)

Best al een vrij volledig setup dus. Alles werd aangestuurd door een Software Controller die in een Docker container op mijn homeserver draait.

Onboarding

Eerste struikelpunt! Aangezien de Pioneer Kit verscheept werd vanuit de US, waren alle stroomadapters ook van het US-type. De Fusion gateway heeft een USB-C poort voor power, dus dat is makkelijk opgelost door eender welke standaard USB-C adapter die voldoende stroom geeft. De switch werd van stroom voorzien door een power brick zoals een laptop, dus ook hier kon ik gemakkelijk een van de vele stroomkabels die we allemaal wel hebben liggen gebruiken. Dit is natuurlijk een non-issue als je deze hardware lokaal koopt. Maar het is al goed dat er geen proprietary connectors gebruikt worden.

Helaas heb ik niet veel foto's gemaakt tijdens het uitpakken en onboarding proces, maar woordelijk omgeschreven: Dit ging van een leien dakje.

De Fusion Gateway heeft een mooi kleurendisplay aan de voorkant. Over het praktische nut daarvan kom ik later terug, maar voor het onboarding proces vergemakkelijkt dit uiteraard alles wat. Je kan netjes opvolgen wanneer het toestel volledig is opgestart, en vervolgens krijg je een QR code te zien om de Omada app te downloaden. Deze detecteert de Fusion gateway onmiddellijk via Bluetooth. Vanaf dan is het een kwestie van next-next-finish.



Ik heb tijdens de onboarding de WAN kabel nog niet aangesloten. Hierdoor werd mij gevraagd om eerst een lokale account aan te maken. Ik weet niet of de koppeling met een TP-Link account verplicht of optioneel is wanneer de WAN wel geconnecteerd is. Ik vermoed van niet, want je kan dit achteraf altijd nog veranderen in de instellingen.

Het standaard IP adres van de gateway is 192.168.188.1. Dit is anders dan bij de "oude", niet-Fusion hardware. Hier was het default netwerk 192.168.68.0/24. Geen probleem, gewoon iets om in het achterhoofd te houden.

TP-Link maakt zich sterk dat configuratie volledig mogelijk is met de Omada app. Maar ik geef toch de voorkeur aan de web interface. Daar zijn de mogelijkheden toch echt nog wel een pak uitgebreider, en persoonlijk gebruik ik de app amper. Enkel om even snel iets na te kijken of te troubleshooten.

Na de initiële configuratie via de app, sloot ik een van de LAN kabels aan op mijn computer en stootte daar toch even op een vreemd issue. Mijn CachyOS Linux leek het even moeilijk te hebben met auto-negotiation. De poorten van de Fusion zijn 2.5G, en de NIC van mijn PC is 1G. Auto-negotation maakte daar 100Mbps van. De poorten manueel op 1G zetten, hetzij aan PC, hetzij aan Fusion-kant, maakte dat ik geen verbinding meer had. Na een reboot was dit probleem van de baan en werkte de poort netjes op 1G. Daarna heb ik het ook niet meer voorgehad, dus geen idee wat hier precies misliep.

Aanloggen via web browser op https://192.168.188.1, brengt je op de interface van de Fusion Gateway, die op dit moment de meest recente versie van de Controller draait 6.3. De software controller en "oude" hardware controllers zoals de OC220,300,400 zitten momenteel nog op 6.2.

Next up: Mijn huidige hardware migreren naar de nieuwe Fusion. Maar dit was jammer genoeg niet zo evident...

Migratie

Aangezien ik al volledig in het Omada-ecosysteem zit, leek het mij het makkelijkste om een backup te nemen van mijn huidige Controller en die te restoren op de Fusion. Helaas leek dit niet mogelijk te zijn. Even in de Discord ten rade gaan, ik was lang niet de enige die hier op botste.

Het is momenteel NIET mogelijk om een restore/migratie te doen van een huidige hardware of software controller.

De reden die TP-Link hiervoor geeft is dat de architectuur volledig anders is. Bij een software of hardware controller, definieer je verschillende Sites. Dit maakt dat je bijvoorbeeld als MSP een controller kan onderhouden, en elk van je klanten een eigen site kan geven. Of, binnen een bedrijfscontext, 1 controller met verschillende vestigingen. Alle hardware wordt dan toegekend aan een site.

De Fusion is een all-in-one toestel. De hardware IS de controller. En het is niet mogelijk om verschillende Sites te definiëren in de web interface van de Fusion Gateway. Daardoor is het dus ook momenteel niet mogelijk om een backup/restore te doen. De tech reps van TP-Link hebben echter al wel aangegeven dat ze door de grote vraag gaan bekijken wat mogelijk is.

Omwille van het feit dat migratie niet mogelijk was, moest alles weer opnieuw manueel geconfigureerd worden. Dat wil zeggen: VLANs, WLANs, ACLs, VPN profielen, DPI, IDS/IPS,... Alles.

Ook mijn huidige hardware kon niet zomaar verhuisd worden van mijn bestaande Site naar de Fusion gateway. Dus: Forget, Reset, en opnieuw Adopten. Zorg voor een screenshot of Excelletje van je poort configuratie! Want ook die zullen dus opnieuw geconfigureerd moeten worden.

Voor een green-field deployment waar er niks van Omada draait is de Fusion is een hele goede keuze. Voor een bestaande omgeving zal je toch een paar uur kwijt zijn om alles netjes over te zetten.

Het schermpje vooraan op de Fusion. Tja. Wat mij betreft eerder een gimmick. Het geeft een handige overview van je huidige verbruik, top clients, performance, logging. Misschien handig voor remote troubleshooting en initiële setup, maar ik gebruik het zelf niet. De Gateway hangt hier in een kast, met het schermpje naar boven gericht.

Over mounting gesproken: De Fusion Gateway is een desktop model. Er zijn geen gaten voorzien om hem te wall-mounten. Als je hem tegen de muur wil hangen, moet je de (nog niet verkrijgbare) magnetic mount kopen. Wat ik heb gedaan is een rookmelder magneet gebruikt om hem op te hangen... Voor mensen met een rack, er komt ook nog een rack-mounting kit, of je kan nu al wel 3d-printable rack mounts online vinden.

De Controller

Zoals hierboven gezegd draait de Fusion gateway momenteel de laatste 6.3 versie van de controller. Sinds 6.2 heeft deze een serieuze visuele upgrade gegeven, en met 6.3 wordt dit nog verder doorgetrokken.

Op het dashboard zie je in een oogopslag wat de status van je netwerk is. Je algemene Health Score (combinatie van WAN, Device, Wi-Fi, en Client health), CPU, Memory, Alerts, Activity,...



Klik je door naar Clients, zie je meteen welke clients een goed Wi-Fi signaal hebben. Bij Traffic zie je, als je DPI geactiveerd hebt, welke applicaties er met al je bandbreedte gaan lopen.





Een opmerking hierbij is dat het, in tegenstelling tot de Software Controller, niet mogelijk is om verkeer per client te zien. Bij de Software Controller kon je bijvoorbeeld specifiek doorklikken op een applicatie, en nagaan welke client pakweg het meeste Netflix gekeken heeft. Dit is (momenteel) in de Fusion gateway niet mogelijk. Je krijgt enkel een algemeen overzicht van de applicaties.

Configuratie van LANs, WAN, VLANs, DPI, ACLs, Routing, PPSK,... Is allemaal logisch ingedeeld en heel duidelijk.



Een van de grootste verschillen in controller versie 6.3 is dat ze ACLs helemaal hebben aangepakt. Het is nu mogelijk om voor bepaalde netwerken bepaalde applicaties te blokkeren. Al dan niet met een tijdsschema aan gekoppeld. Wil je bijvoorbeeld het netwerk van de kinderen de toegang ontzeggen tot TikTok na 10u 's avonds? Kan perfect! Nieuw is ook de Hit Counter zodat je meteen kan zien welke ACLs gehit worden. Logging laat echter te wensen over. Meer daarover verder.





Ook nieuw is de built-in Content Filtering met Ad Blocker. Dit is een DNS-based Adblocker zoals je die kent van PiHole, Adguard, of Technitium. Hier kan je ook fine-tunen waar je wil. Adult, Advertising, Phishing, Streaming, Illegale Content,... blokkeren voor bepaalde netwerken, het kan hier allemaal gefine-tuned worden. Alleen loopt het mis wanneer je effectief zaken moet troubleshooten, want:

Er is een groot gebrek aan logging.

Sure, je hebt wel een Hit Counter bij je ACLs. Maar wat wordt er precies geblokkeerd? En ja, je kan de Ad-Blocker activeren. Maar welke sites worden nu geblokkeerde en welke niet? De Fusion Gateway maakt dit momenteel op geen enkele manier inzichtelijk. Er zijn GEEN ingebouwde logs.

De enige mogelijkheid die je momenteel hebt, is in de Advanced Logging instellingen Remote Logging aan te zetten. Dit activeert syslog. Als je zelf een syslog server hebt draaien, heb je via deze weg wél toegang tot de ACL logs. In syslog zie je heel netjes de source IP, MAC, en port. Destination IP, MAC, en port. En welke ACL regel er gehit wordt.

Voor Ad-Blocking wordt er via syslog helemaal niets doorgestuurd. Dus hier blijft het tasten in het duister.

Ook dit is al aangekaart bij TP-Link door meerdere personen, en zal hopelijk in een van de volgende releases aangepakt worden.

Wat echter wel goed gelogged wordt, is IDS/IPS. Hier krijg je netjes een overzicht van welke IP adressen proberen binnen te breken in je netwerk. Alsook een wereldkaart om inzichtelijk te maken vanuit welke landen de aanvallen komen. Met een enkele muisklik kan je hier dan ook meteen een geo-block activeren. (Wat trouwens ook kan via ACLs.)

Performance

Op mijn oude ER707-M2 gateway heb ik IDS/IPS nooit enabled, omdat het de performance van mijn 1Gbps lijn compleet om zeep hielp. Ik haalde nog maar 300-400Mbps. Dit was een gekend probleem, en een beperking bij deze gateway. Wilde je meer dan 1Gbps throughput met IDS/IPS? Dan had je de veel duurdere, en veel grotere, ER8411 nodig.

TP-Link beweert met de Fusion gateway een IDS/IPS throughput van 2.2Gbps. En ik kan dit ook effectief bevestigen! Ik heb momenteel een nieuwe internetlijn van 2.5Gbps (via COAX kabel, nog geen fiber helaas) en ik heb al speedtests zien voorbij komen die de 2.2Gbps naderen, met alle IDS/IPS en DPI toeters en bellen geactiveerd.

Ook de web interface zelf is snel en snappy. Dashboards laden meteen, instellingen wijzigen gaat vlot. Zowel lokaal, als via Cloud toegang.

Wat ook een zeer welkome toevoeging is, is de zogenoemde LightLink VPN. Dit is vergelijkbaar met Ubiquiti's One-Click VPN. Waarbij je, na activatie, met de TP-Link Navi app (niet de Omada app, dus wel jammer dat je hiervoor een aparte app nodig hebt...) instant een VPN verbinding kan maken naar je thuisnetwerk zonder bijkomende configuratie. OpenVPN of Wireguard zijn uiteraard ook nog steeds mogelijk om te configuren.

Conclusie

Voor green-field Omada deployments is de Fusion gateway wat mij betreft een no-brainer. Het maakt dat je geen aparte controller meer nodig hebt, met alle voor- en nadelen van dien uiteraard. Maar tenzij je echt specifieke zaken mist, zoals het beheer van meerdere sites, of per-client application statistieken, is de ingebouwde 6.3 controller meer dan toereikend.

Voor mij zijn de grootste nadelen het feit dat er geen POE op de Fusion zit. Hoewel TP-Link bezig is met een hele line-up van Fusion en Fusion Pro modellen. Waaronder modellen die wél POE hebben, alsook een SFP poort wat op dit model ook ontbreekt. De Fusion Gateway 2.5G die ik hier review is eigenlijk het meest basis instap-model. De Pro-modellen gaan ook een ingebouwde NVR hebben voor TP-Link Vigi camera's. Dus als POE en fiber SFP een must is: Best even de boot afhouden tot TP-Link de Pro modellen aankondigt.

Logging is ontoereikend en op veel plaatsen zelfs onbestaand. Wat troubleshooten van ACLs en Ad-Blocking quasi onmogelijk maakt. Hopelijk opgelost mits een software update.

All in all, zou ik deze Fusion gateways absoluut aanbevelen. Ik ben meestal geen fan van all-in-one toestellen. Maar hier is de uitvoer ervan wat mij betreft echt wel geslaagd. Zeker rekening houdend met de MSRP van 165 USD.