Teleport, WireGuard en site-to-site: VPN op een UniFi-gateway

Of: een VPN uitdelen zoals een uitnodiging, met een vervaldatum erop

Wie op kantoor een gateway van UniFi heeft, heeft toegang op afstand tot kantoor al ingebouwd. Ubiquiti onderscheidt in zijn overzicht van de VPN-functies drie soorten: een VPN-server op de gateway, een VPN-client die verkeer naar een externe server stuurt, en site-to-site-VPN’s tussen vestigingen. Als server ondersteunt de gateway OpenVPN, WireGuard, L2TP en Teleport.

Het korte antwoord: geef gsm’s toegang met Teleport, laptops met WireGuard, en laat L2TP links liggen. Dat is ook wat Ubiquiti zelf aanraadt.

VPN-server op UniFi instellen: drie soorten toegang

Je hebt een UniFi Gateway of een UniFi Cloud Gateway nodig. De instellingen staan in de Network-app, onder Network Settings > VPN.

Teleport: uitnodigen in plaats van configureren

Teleport is volgens Ubiquiti een VPN zonder configuratie. Het werkt op de nieuwere gateways en de Cloud Gateways met UniFi OS, en gebruikt WireGuard om het verkeer te versleutelen.

1. Zet Teleport aan onder Network Settings > VPN.
2. Maak een uitnodiging aan en stuur ze naar de persoon die toegang nodig heeft.
3. Heeft die de WiFiman-app al, op iOS, op Android of als WiFiman Desktop, dan voegt de uitnodiging de VPN automatisch toe. Anders vraagt ze eerst de app te installeren, en klik je daarna opnieuw op de uitnodiging.

De uitnodiging verloopt na 24 uur en kan maar door één toestel tegelijk gebruikt worden. Een uitnodiging die nog niet aanvaard is, trek je in via Invitation History. Is ze wel aanvaard, dan verwijder je de toegang via de Teleport-client onder Client Devices.

Het grote voordeel: Teleport werkt ook als zowel de gateway als het toestel achter NAT zitten. Je hoeft dus geen poort door te sturen op de modem van je provider. Ubiquiti vermeldt wel dat Teleport in sommige gevallen IPv6 nodig heeft op de WAN-kant van de gateway. Verbonden toestellen gebruiken de DNS-servers van de gateway.

Kmo-Kristof: Ik stuur de boekhouder een uitnodiging. Na 24 uur is zijn toegang weg, toch?

Security-Sofie: Na 24 uur kan hij de uitnodiging niet meer aanvaarden. Heeft hij ze aanvaard, dan blijft hij binnen tot jij hem verwijdert.

Kmo-Kristof: En als ik dat vergeet?

Security-Sofie: Dan is hij een vaste gast.

WireGuard: de klassieke server

Voor laptops en computers raadt Ubiquiti de WireGuard-server aan. Je zet WireGuard aan, kiest een poort (standaard UDP 51820), voegt een client toe en bezorgt die het configuratiebestand. De ontvanger installeert de WireGuard-app en importeert het bestand; op een gsm kan dat ook met een QR-code.

Staat de gateway achter de router van je provider, dan moet die router UDP-poort 51820 doorsturen naar het WAN-adres van de gateway. Ubiquiti raadt aan WireGuard te gebruiken op een gateway met een publiek IP-adres, omdat problemen op de router ervoor de VPN kunnen verbreken. Bij Telenet bijvoorbeeld kan de modem in bridge-modus het publieke adres aan je gateway doorgeven.

Maak per persoon en per toestel een aparte client aan, met een herkenbare naam. Wie vertrekt, verwijder je, en de anderen merken er niets van.

L2TP en OpenVPN

L2TP bestaat nog, maar Ubiquiti is er duidelijk over: het protocol verliest zijn ondersteuning op verschillende besturingssystemen, heeft problemen achter NAT, vraagt op Windows een aanpassing in het register en op Android de optie Weak Ciphers. Voor gsm’s raadt Ubiquiti Teleport aan, voor laptops WireGuard. OpenVPN is er voor wie al OpenVPN-clients gebruikt.

Twee kantoren koppelen

Heb je twee vestigingen met elk een UniFi-gateway, dan kun je ze met een site-to-site-VPN verbinden. UniFi ondersteunt daarvoor IPsec en OpenVPN, onder Network Settings > VPN. Bij IPsec tussen twee UniFi-gateways raadt Ubiquiti de automatische instellingen aan. Daarnaast is er SD-WAN (Site Magic SD-WAN), dat je instelt in de UniFi Site Manager onder Settings > SD-WAN. Voor een opstelling met een centrale hub vraagt Ubiquiti dat alle gateways onder dezelfde eigenaar van het UI-account vallen, dat minstens één hub een publiek IP-adres heeft, en dat de Network-app versie 9.0.108 of nieuwer en de gateway versie 4.1.3 of nieuwer draait. Hoe je vestigingen in het algemeen koppelt, is een onderwerp op zich.

Een voorbeeld. Een interieurbureau met een showroom in Gent en een atelier in Lokeren koppelt beide gateways met een site-to-site-VPN, geeft de twee verkopers Teleport op hun gsm en de ontwerpster een WireGuard-profiel op haar laptop. Drie soorten toegang, één scherm om ze te beheren.

Hou de gateway en de Network-app bij, beveilig het account waarmee je ze beheert met tweestapsverificatie, en verwijder clients die niet meer gebruikt worden.

Als de poort toch open moet

Kies je voor WireGuard achter de modem van je provider, dan moet UDP-poort 51820 tot bij je gateway geraken. Hoe dat gaat bij Proximus, Telenet en Orange, staat bij port forwarding bij Belgische providers.

Een andere router met WireGuard

Heb je geen UniFi maar een FRITZ!Box, dan werkt de WireGuard-server daar anders, met MyFRITZ! en een eigen assistent. Dat lees je bij de VPN van een FRITZ!Box.

Hetzelfde idee, zonder gateway

Teleport werkt zonder doorgestuurde poort, maar alleen met een gateway van UniFi. Tailscale en ZeroTier bieden iets vergelijkbaars, los van je router: zie een netwerk zonder open poort.