Peplink o UniFi come gateway? Separare bene i ruoli

"Peplink o UniFi?" suona come una decisione di prodotto e in realtà è una questione di ruoli. I due mondi si sovrappongono in un unico punto — il gateway — e per il resto sono complementari.

Peplink è forte dove più linee Internet devono diventare un'unica connessione affidabile: aggregazione, commutazione senza interruzioni, ridondanza di pacchetto, prioritizzazione nel punto di consegna verso Internet. È il nucleo di SpeedFusion e con questa profondità nel portafoglio UniFi non è presente.

UniFi è forte nella rete a valle: molte porte, alimentazione PoE pulita, un sistema Wi-Fi ben congegnato con gestione unificata, access point economici, separazione in VLAN con pochi clic e un concetto d'uso con cui si trovano anche i non specialisti.

La risposta sensata è quindi quasi sempre: entrambi, con una netta divisione dei ruoli. Il Peplink è router e firewall al passaggio verso Internet. UniFi fornisce switch, access point e la gestione. Interessante diventa solo su due punti — che cosa succede se si aggiunge anche un gateway UniFi, e dove va la prioritizzazione.

I dispositivi gateway di UniFi sono buoni router. Gestiscono più connessioni WAN, rilevano il guasto della linea primaria e commutano sulla seconda. Per la maggior parte degli uffici è del tutto sufficiente.

La differenza sta in ciò che succede durante e dopo questa commutazione. Un failover senza tunnel significa: l'indirizzo pubblico cambia, le connessioni esistenti cadono, le applicazioni si ricollegano. Con siti web e posta elettronica nessuno se ne accorge. Con una videoconferenza in corso tutti i partecipanti vedono l'interruzione.

Al portafoglio UniFi mancano due capacità in questa forma:

• Aggregare più linee in un'unica connessione — non distribuire le sessioni, ma trasportare un singolo trasferimento contemporaneamente su più percorsi.
• Ridondanza di pacchetto su più linee, cioè inviare lo stesso pacchetto in parallelo e usare presso il destinatario la prima copia. È esattamente questo metodo che rende una trasmissione immune ai disturbi brevi.

Ne deriva una semplice regola decisionale: se una trasmissione in corso deve sopravvivere al guasto di una linea, il gateway è un Peplink. Se basta che l'ufficio torni online dopo qualche secondo, un gateway UniFi può assumere quel ruolo — e si risparmia un dispositivo.

Una proposta frequente è prendere il Peplink per le linee e metterci a valle una Dream Machine "per l'esperienza UniFi". Funziona e ciò nonostante non è una buona idea, perché si mettono in serie due router.

Le conseguenze sono concrete:

• Doppia traduzione degli indirizzi. Ogni pacchetto viene riscritto due volte. I port forwarding devono essere configurati in due punti, e i protocolli che portano indirizzi nella parte dati richiedono attenzione doppia.
• Due firewall. Ogni regola esiste potenzialmente due volte, e la ricerca guasti, a ogni tentativo di connessione bloccato, chiede per prima cosa: quale dei due dispositivi è stato?
• Due intervalli di indirizzi e due responsabilità DHCP. I VLAN devono essere mantenuti coerenti su entrambi i dispositivi.
• Nessun guadagno. Le funzioni UniFi interessanti — gestione, Wi-Fi, VLAN, PoE, statistiche — dipendono dal controller, dagli switch e dagli access point. Non hanno bisogno di un gateway UniFi.

La variante più pulita è quindi: Peplink come gateway, UniFi come livello switch e Wi-Fi. Gli access point vengono gestiti dal controller, i VLAN terminano sul Peplink e c'è esattamente un punto in cui si instrada e si filtra.

Un'eccezione esiste: se una sede utilizza comunque un gateway UniFi e il Peplink deve proteggere solo una singola applicazione critica, si può far funzionare il Peplink anche come puro dispositivo di tunnel a valle del gateway. È una soluzione speciale consapevole — non l'architettura standard.

Un errore di ragionamento diffuso riguarda la domanda su dove si dia la precedenza al traffico importante. L'intuizione dice: nello switch, perché è là che i cavi si riuniscono. La fisica dice qualcos'altro.

La prioritizzazione agisce solo nel punto in cui davvero si crea una strettoia. Con una connessione da 300 Mbit/s in upload e uno switch a 24 porte con porte Gigabit o da 2,5 Gbit il collo di bottiglia è chiaramente il passaggio verso Internet, non la rete locale. Uno switch che serve 24 porte Gigabit non si congestiona mai con quattro access point e una postazione di lavoro.

Ne segue: la prioritizzazione va sul gateway. Là Peplink offre gruppi di utenti con riserva di banda, limitazioni per dispositivo, precedenza in base all'applicazione e regole di traffico che indirizzano i flussi di dati in modo mirato in un tunnel o direttamente su una linea. È il livello sul quale si impedisce a un backup di soffocare uno stream di conferenza.

Gli switch UniFi possono certamente prioritizzare — per porta si possono riconoscere le classi di traffico, rimarcarle e assegnarle a code; le serie più grandi portano in più profili già pronti per applicazioni audio e video. È utile, ma diventa rilevante solo quando la strettoia nasce nella LAN: molte telecamere e un backup sullo stesso uplink, oppure un sistema di storage che riempie in permanenza un collegamento Gigabit. Allora la risposta giusta è comunque, di solito, un uplink più veloce e un VLAN dedicato, non una coda.

La regola empirica: al passaggio verso Internet prioritizza il Peplink, nella LAN si evitano le strettoie con la topologia.

Una rete UniFi ha bisogno di un controller. Gestisce access point e switch, conserva configurazione e statistiche e fornisce l'interfaccia. Per questo ci sono tre strade.

Una console in sede — per esempio un Cloud Key. Collaudata, gestibile, costa un'unità di altezza nell'armadio, corrente e manutenzione. Importante sapere: per UniFi Protect, cioè l'applicazione per le telecamere, una console Ubiquiti di questo tipo è obbligatoria secondo le indicazioni del produttore. Chi pianifica telecamere ne ha quindi bisogno in ogni caso — meglio allora prevederla subito che intervenire due volte.

Gestito in proprio su un server dedicato. Ubiquiti lo supporta per l'applicazione di rete, ma espressamente solo per questa; Protect, Access e le altre applicazioni richiedono hardware Ubiquiti. Come soluzione permanente per una rete produttiva è piuttosto una cosa per chi amministra comunque dei server.

Ospitato. Gestiamo un controller UniFi nel nostro data center e su richiesta vi colleghiamo i dispositivi — con fatturazione per dispositivo collegato e mese. Questo evita l'acquisto, lo spazio nell'armadio, l'assorbimento elettrico e soprattutto la manutenzione: aggiornamenti e backup del controller li facciamo noi. Per una rete con una manciata di access point e uno switch è la variante meno onerosa — e si può passare più tardi a una console propria, quando si aggiungono le telecamere.

La decisione dipende meno dal prezzo che dalla domanda su chi aggiorna il controller quando serve davvero.

Per una sede con più linee Internet, postazioni di lavoro cablate, Wi-Fi e forse in futuro telecamere, si è dimostrato valido il seguente impianto:

1. Le linee al Peplink. Due connessioni WAN cablate sono la regola nei modelli compatti; un terzo percorso si aggiunge tramite un modem mobile integrato o tramite la funzione Virtual WAN.
2. Un tunnel SpeedFusion con un punto remoto in un data center. Al suo interno un sub-tunnel con ridondanza di pacchetto per il traffico critico, il resto tramite commutazione senza interruzioni o diretto.
3. Uno switch PoE di UniFi come unico centro di distribuzione. Alimenta gli access point e separa le reti a livello di porta.
4. VLAN con un compito chiaro: postazioni di lavoro e apparati critici separati dalla rete privata o degli ospiti, telecamere in una rete dedicata senza accesso a Internet, ospiti isolati.
5. Access point sui cavi che già esistono. Due dispositivi per piano sono una buona dimensione di partenza per la maggior parte delle planimetrie; decisivo è il posizionamento, non il numero.
6. Il controller là dove viene tenuto aggiornato in modo affidabile — in sede oppure ospitato.

Così c'è esattamente un punto in cui si instrada, si filtra e si prioritizza, ed esattamente un punto in cui si gestiscono Wi-Fi e porte. Questa separazione è il vero motivo per cui la combinazione dei due produttori funziona così bene — e per cui riunire i due ruoli in un solo dispositivo è quasi sempre la scelta peggiore.

Questo articolo è stato documentato e redatto con il supporto dell'IA e verificato prima della pubblicazione dai tecnici di Ascend.