1. 前言

今年 Ubiquiti（简称 UI）将他们的主题从 Simplifying IT 转变到 Rethinking IT，其实是挺有深意的。想当初，Ubiquiti 是做网络设备起家的，所以时至今日，大众的脑海里面，一提到 Ubiquiti，第一反应这是一家网络设备公司。但是经过这几年的发展创新，其实他们已经拓展了 安全监控、电话系统、门禁系统 等等产品线，现在也跟上了 EV 世代，提供了 家庭充电桩系统。（虽然电话系统、充电桩系统中国大陆暂不销售）

虽然我暂时还没有用上 UI 家除了网络以外的产品，但是单单从网络这个层面，我们也能针对目前 UI 的产品进行一下 Rethinking。

1. 首先，并不是人人家里都有空间可以放置像 UDM-Pro/UDM-SE 这样的 1U 机架式设备，特别是一些城市房价特高，寸土寸金。
2. 现在的新房子几乎都是入户一个弱电箱，而弱电箱往往是绝大部分家庭的 网线汇聚中心，低阶一点的 UDM/UDR 又无法放置在弱电箱内，哪怕放进去了，WiFi 功能也是直接残废。（其实对于大多数家用路由器而言，这个问题一直是一大痛点，特别是那些外置天线一大堆，像八爪鱼一样的路由器。我见过非常多的家庭解决办法就是弱电箱门半掩着，挂着一个庞大的路由器裸露在外面，鉴于弱电箱的位置一般相对偏僻，这样其实对于 WiFi 质量也是有非常大的影响）
3. 更糟糕的是，弱电箱通往家庭中每一个位置往往也都只会 提供一条网线，倘若将路由器放置在网线外端，那么结局基本就是有去无回，弱电箱内其他通往其他位置的网线又会成为摆设。（除非你折腾 WAN/LAN 单线复用，但是这样不仅使用门槛增高，而且我为什么不直接用一个纯有线可放置在弱电箱的路由器呢？）

其实，说到这里，有些坛友应该会想起一个产品 “EdgeRouter”。这个产品是 UI 家一款经典的弱电箱神器，同时，也是一款奇葩的产品。这么多年过去了，这个东西一直都处于在售状态，也一直在更新固件 FW。不过新一代的硬件产品改叫 UISP 了（国内没有销售），已经不再使用 EdgeRouter 这个老名称。遗憾的是，不管是旧的 EdgeRouter 还是新的 UISP，均属于 UI 家另外一条产品线，而不是 Unifi，所以 无法与 Unifi AP 使用同一套管理平台进行管理。曾经 UI 还有一款产品 “USG-3P”，尺寸大小也是可以塞进弱电箱，但是这个设备发热量有点大，我曾经遇到过热死机的现象，所以也不适合在弱电箱使用，而且这个产品目前也已停产停售了。我之前也有向 UI 原厂反馈希望能出一款适合弱电箱的 Unifi 系列产品，当然能不能实现，在当下只能说是个未知数。

那么，我们是否还有其他可以替代的产品，当然有，隔壁 MikroTik 家就有好几个适合用于弱电箱的产品，比如：RB750Gr3、hAP ac2、RB450Gx4、RB4011iGS+RM、RB5009UG+S+IN 等等。然而 MikroTik 家的 WiFi 产品一直都是一言难尽，所以我们何不 集合两家品牌优势项进行整合 呢？我相信这也是很多网友的疑问之一，Unifi 设备一定要全家桶买吗？Unifi 设备能否和其他品牌设备搭配使用？我可以很明确的跟大家说，这是完全没有问题的，因为大家都是基于一套成熟的网络标准来制定的，你想用 Unifi 设备搭配 Cisco、Huawei、H3C 等品牌，也是可以的。

2. 规划

2.1. 拓扑设计

朋友家这套房子面积大概 136 平方米，弱电箱到客厅和房间的网线的位置如图，由于无法进行任何改造，所以也是没有什么好过多规划的，在 Design Center 中分别模拟安排好适合型号的 AP 即可。

网络拓扑如下，附带解释下一些其他设备：

1. Proxmox VE 虚拟化使用的是零刻的 N305 + 16G + 512G 小主机，618 使用 88Vip 优惠券拿下，用来跑 OpenWRT 虚拟机、Unifi Network 容器 以及其他容器都是绰绰有余了。
2. NAS 这里安排的是 Synology DS1621+，618 让朋友下单，虽然比不上前两年双十一的 BUG 价，但是相对于日常价格，以及代理商的价格来说，还是合适入手了。由于后续我家跟朋友家网络是打通 Site to Site WG，所以我的 DS1821+ 准备和他的 DS1621+ 使用 Hyper Backup 搭配 Snapshot Replication 做重要工作数据的异地容灾备份。

2.2. 产品选型

基于上面的拓扑设计，我在主路由选择了 MikroTik RB5009UG+S+IN，PoE 交换机选择了 Unifi Lite 8 PoE，AP 则是客厅选择 Unifi U6 LR，两个房间选择 Unifi U6 IW，当然，电视柜的位置还有一台 MikroTik CRS326-24G-2S+IN，不过这是用来连接软路由小主机、Synology NAS、Apple TV、Playstation 等设备用，与本文主题关系不大，本文不过多赘述。

2.2.1. MikroTik RB5009UG+S+IN

RB5009 基本上是 MikroTik 家当前家用路由器系列的天花板了，而且现在不仅是有最基础的 RB5009UG+S+IN，还有全 PoE 接口的 RB5009UPr+S+IN，更有适合室外场景使用的 RB5009UPr+S+OUT，MikroTik 几乎是将 RB5009 这个平台压榨到底了。当然，这时候有朋友会问，为什么不直接使用全 PoE 接口的 RB5009UPr+S+IN 呢？我问了下价格 RB5009UPr+S+IN 基本上相当于 RB5009UG+S+IN 和 Unifi Lite 8 PoE 的总价了，那么为了让我们 Unifi 拓扑更好看一点，肯定是选择分开购买咯。

2.2.2. Unifi Lite 8 PoE（官网 618 活动购入）

2.2.3. Unifi AP（官网 618 活动购入）

Unifi AP 天线辐射模式介绍

• 中文：UniFi - 天线辐射模式介绍
• 英文：UniFi - Introduction to Antenna Radiation Patterns

Unifi AP 天线辐射方位图

• 中文：UniFi - UAP 天线辐射方位图
• 英文：UniFi Network - AP Antenna Radiation Patterns

2.2.4. MikroTik CRS326-24G-2S+IN

考虑这个交换机主要是看中有 10G SFP+ 口，而且宽度是机柜半宽。与 RB5009UG+S+IN 的 10G SFP+ 可以分别使用光转电模块进行连接，这样也能保证电视柜设备与主路由之间，不会出现链路瓶颈，毕竟各个网段的网关还是终结于 RB5009UG+S+IN，所以跨 VLAN 流量还是需要经过这条线路到达 RB5009UG+S+IN。而且这台交换机也有点小故事，是我从《RouterOS入门到精通》的作者 余松老师 那收的，刚好有一次在余老师群里看到他准备出售这台仅测试的设备，我就果断拿下了。

2.3. 网络规划

说到这里，又不得不说一些事情。之前我的上一篇文章中有些坛友会说，家用环境使用 VLAN 做什么？人家之前不用 VLAN 也用得好好的，为什么画蛇添足？那么我就举几个实际应用场景来跟各位说一说，各位不妨看看有没有道理。

1. 我相信现在很多坛友家里也会使用 OpenWRT 进行一些 XX 上网的操作，不少人也是使用旁路网关的操作，在主路由的 DHCP 服务器上将客户端的网关指向 OpenWRT。但是你我都明白，这种情况下，一旦 OpenWRT 出故障，或者意外断电（无论是物理机亦或是虚拟机），那么 所有客户端都将无法上网。如果自己家里用，出问题能自己排障当然无可厚非。但是给朋友家安排的时候，万一出问题，如何能通过外行人几句话描述就能远程、快速排查问题就是一个很大的麻烦。这就好像医生给你看病，不给你做系统的检查，直接微信问你哪里痛一样。所以，最好是将正常上网和 XX 上网的客户端 分配在不同的 VLAN 网段，这样出问题时，至少 能很容易通过切换 WiFi SSID 来发现故障点究竟是主路由器还是 OpenWRT。
2. 下面说说 IoT 设备。相信最近有一则新闻《用户发帖称爱奇艺 TV 客户端 “白嫖”电视机引热议，后台满速上传》，应该不少坛友也有看到了。爱奇艺客户端将服务端压力转移到客户端的举动，将用户终端作为 爱奇艺的 PCDN 服务器，因此会在后台持续执行上传任务。我只想说，这年头，流氓软件防不胜防，如何用最简单的方式对付流氓呢？通过专门给 IoT 设备划分单独的 VLAN，一样可以解决问题。由于 IoT 设备流量使用并不多，所以可以 对 IoT 网段下载/上传流量进行适当限速，这样就能防止一些流氓软件持续白嫖你家的带宽。同时我们也应该设置相应的 防火墙阻断策略，阻止 IoT 设备对内网其他客户端进行一些无谓的扫描行为，避免个人隐私被无良厂商用于数据分析和广告推送，甚至隐私泄露。详细风险点可以参考这篇文章《如何增强智能家居设备的安全性》。
3. 至于访客网络，其实也是刚需。问题主要还是出在一些流氓软件上，比如曾经风靡一时的 WiFi 钥匙类的软件，如果不知道 WiFi 钥匙是什么的可以看这里《曾有8亿用户，现在被骂流氓软件，WiFi万能钥匙冤不冤？》。如果到访你家里的人，使用手机连接过你家的 WiFi，而他手机里依然有这类流氓软件，那么你家的 WiFi 设置的密码，对于使用这类流氓软件来说，无异于 皇帝的新衣。如果有人不怀好意，利用这类流氓软件进行蹭网，并主动或者被动（系统中毒变成肉鸡）进行违法行为，那对你造成的后果不堪设想。所以，访客网络使用 Portal 认证，设置会话有效时间，搭配跟 IoT 网络相仿的 限速、防火墙阻断策略，可以有效规避这类风险的发生。

2.3.1. Unifi VLAN & MikroTik VLAN

下面我来说说我在 MikroTik 设备上进行 VLAN 划分与之前 Unifi 全家桶时候的区别。用过 Unifi 的坛友都知道，他家设备默认会有个 Default 网络，这个网络按照 UI 团队在 UI 官方论坛对于网友的解答如下：

说明

The default LAN subnet is VLAN 1, which I think you may already be aware of (by the way I'm reading this). The default port setting of All would untag VLAN 1 and tag the rest (based on what I see in your Network settings).

The UniFi switch is managed over the untagged network, so the port/device it is connected to needs to have VLAN 1 untagged/set as native or PVID (as you want to manage it over 1). The UniFi switch will pick up an IP from whatever the untagged/native VLAN is.

If the switch is adopted, you can click on it from Devices and then go to Configuration>Networks/VLANs. In there you can create new port profiles. So, you can define the native VLAN, and the tagged VLANs. You can actually tag VLAN 1 within this area, if you need to.

这代表什么呢？一般来说，使用 Unifi 全家桶的话，那么就使用 Default 网络来负责 设备的管理网络 即可，这样对于你的 Unifi Console、Unifi Switch 甚至于 Unifi IW 设备这种带有网口可以作为交换机使用的设备来说，他们的接口配置默认就是隶属于 Default 网络，当设备接上之后，就能从 Unifi Network 上发现并采用。

但是在 MikroTik 设备上，我一般不这么做，我的选择是将 所有网络 都打上 VLAN Tag，那么这就将会成为第一个 难点 了，我如何将 Unifi AP 的管理网络 修改成为我需要的 VLAN ID 呢？那么就请继续往下看。

2.3.2. VLAN 规划

这里是安排 5 个网络：Default、Proxy、IoT、Guest、NFS

• Default Network：普通上网客户端、网络设备管理、软路由设备管理、NAS 设备管理
• Proxy Network：XX 上网客户端
• IoT Network：智能家居客户端
• Guest Network：访客上网客户端
• NFS Network：仅在 MikroTik CRS326-24G-2S+IN 上规划，纯二层网络，用于将 NFS 流量与管理流量分开，分摊网络流量负载

2.3.3. IP 地址规划

2.3.4. RB5009UG+S+IN 接口规划

重点

这里不熟悉 MikroTik 的坛友可能会问，Trunk Port 里面的 bridge 是什么？其实这是 MikroTik 配置 VLAN 的一个坑，对于不管是没有网络基础的朋友，还是经验老道的技术，都很容易被绕进去。其实简单来说，就是这个 VLAN 接口需要配置三层 IP 地址，那么就需要将 bridge 打 Tag，若不需要三层 IP 地址，则不需要将 bridge 打 Tag。当然，详细请阅读余松老师的《RouterOS bridge vlan与华为交换机vlan配置对照》

2.3.5. Lite 8 PoE 接口规划

这里我将 RB5009 的 5-8 接口做了链路聚合，同样的我在 Lite 8 PoE 的 5-8 接口也做了链路聚合，两台机器做 4 口互联，这样哪怕未来有接口损坏、网线损坏也不至于让 Lite 8 PoE 下连 AP 的带宽受到影响。

2.3.6. AP 接口规划

2.3.7. CRS326-24G-2S+IN 接口规划

2.3.8. 防火墙策略

3. 设置

3.1. 设备版本信息

3.2. RB5009UG+S+IN 设置

本文由于篇幅以及主题原因，我仅写出与 Unifi 设备搭配使用中相关的 VLAN 设置内容，而且我自己使用 RouterOS 时，都是使用命令行操作的，WinBox 图形化操作在简单配置时候还行，稍微复杂配置下就没有效率了，所以本文我就只提供对应的操作指令。其他像设置 PPPoE 拨号、Masquerade 地址伪装、防火墙安全策略、限速策略、Hotspot 热点设置等等就不在本文赘述了，详细可以参考 MikroTIk 官方英文文档或者余松老师的《RouterOS入门到精通》。

3.2.1. Trunk 接口设置

设置 sfp-sfpplus1、bond_5-8 为 Trunk 接口。

/interface bridge port
set bridge=bridge interface=sfp-sfpplus1 frame-types=admit-only-vlan-tagged ingress-filtering=yes
set bridge=bridge interface=bond_5-8 frame-types=admit-only-vlan-tagged ingress-filtering=yes

3.2.2. VLAN1812 (Default)

创建 Default Network，VLAN ID 为 1812。

/interface vlan
add comment="Default Network" interface=bridge name=vlan1812 vlan-id=1812

创建 VLAN1812 的 IP 地址，即该 VLAN 网络的网关。

/ip address
add address=172.18.12.254/24 interface=vlan1812 network=172.18.12.0

设置 ether2、ether3 为 VLAN1812 的 Access 接口。

/interface bridge port
set bridge=bridge frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether2 pvid=1812
set bridge=bridge frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether3 pvid=1812

设置 VLAN 接口规则。

/interface bridge vlan
add bridge=bridge tagged=bridge,sfp-sfpplus1,bond_5-8 untagged=ether2,ether3 vlan-ids=1812

重复以上步骤设置其他 VLAN。

3.2.3. VLAN1813 (Proxy)

/interface vlan
add comment="Proxy Network" interface=bridge name=vlan1813 vlan-id=1813

/ip address
add address=172.18.13.254/24 interface=vlan1813 network=172.18.13.0

/interface bridge port
set bridge=bridge frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether4 pvid=1813

/interface bridge vlan
add bridge=bridge tagged=bridge,sfp-sfpplus1,bond_5-8 untagged=ether4 vlan-ids=1813

3.2.4. VLAN1912 (IoT)

/interface vlan
add comment="IoT Network" interface=bridge name=vlan1912 vlan-id=1912

/ip address
add address=172.19.12.254/24 interface=vlan1912 network=172.19.12.0

/interface bridge vlan
add bridge=bridge tagged=bridge,sfp-sfpplus1,bond_5-8 vlan-ids=1912

3.2.5. VLAN1913 (Guest)

/interface vlan
add comment="Guest Network" interface=bridge name=vlan1913 vlan-id=1913

/ip address
add address=172.19.13.254/24 interface=vlan1913 network=172.19.13.0

/interface bridge vlan
add bridge=bridge tagged=bridge,sfp-sfpplus1,bond_5-8 vlan-ids=1913

3.2.6. 启用 VLAN 过滤

请注意，执行完以下命令后，会 失去路由器的管理，此时只有把电脑与 ether2、ether3 和 ether4 之一连接才可访问路由器。

/interface bridge
set bridge frame-types=admit-only-vlan-tagged ingress-filtering=yes vlan-filtering=yes

3.3. Unifi Network 设置

这里我使用在 Proxmox VE 上面安装 CT 容器嵌套 Docker 方式部署 Unifi Network 应用。具体如何在 Proxmx VE 部署 CT 容器，请参考一些网红 Up 主（比如司波图等等 Up 主）的视频即可。

3.3.1. Docker 设置

我的步骤从安装好 Docker 之后开始，安装好 Docker 之后，我会对 Docker 配置文件进行如下修改：

1. Bridge 网段：我一般会改掉 Docker 默认的 Bridge 网段，用一个我几乎不会用到的 IP 网段，避免与现网中出现网段冲突，导致使用 Docker 主机的网络路由出现问题。
2. Docker 镜像加速器：由于众所周知的原因，所以配置加速器是必须的。

修改 /etc/docker/daemon.json 文件。（当前的 Docker 版本默认无此文件，所以这里其实相当于全新创建的文件）

nano /etc/docker/daemon.json

键入以下内容。

{
  "default-address-pools" : [
    {
      "base" : "172.31.0.0/16",
      "size" : 24
    }
  ],
  "registry-mirrors": [
    "https://hub-mirror.c.163.com",
    "https://dockerproxy.com",
    "https://docker.nju.edu.cn",
    "https://docker.m.daocloud.io"
  ]
}

重启 Docker 服务。

systemctl daemon-reload

systemctl restart docker

3.3.2. Macvlan 创建

一般家用环境，我建议在 Docker 中使用 Macvlan，这样可以避免一些容器由于端口号相同导致映射冲突，需要修改端口号的问题，在 Macvlan 下一个容器一个 IP 地址，每个容器都是基于自己 IP 地址的 Host 模式。

创建 Macvlan。

docker network create -d macvlan \
  --subnet=172.18.12.0/24 \
  --gateway=172.18.12.254 \
  -o parent=eth0 \  # 此处 parent 接口应填入你 Docker 主机对应的接口名称，请勿照抄
  macvlan

检查 Macvlan 是否创建成功。

docker network ls

检查 Macvlan 详细信息。

docker network inspect macvlan

3.3.3. Unifi Network 部署

创建 Unifi Network 数据存储目录。

mkdir -p /docker/unifi-controller

运行 Unifi Network 容器，当前版本 已经支持中文界面显示，对于头疼英文的用户来说是一大福音。

docker run -d \
  --network macvlan \
  --ip=172.18.12.51 \  # Unifi Network 的 IP 地址
  --name=unifi-controller \
  -v /etc/localtime:/etc/localtime:ro \  # 只读挂载本地时区，对于一些外国网友制作的容器镜像，建议都进行时区挂载，确保容器应用时区正常
  -v /docker/unifi-controller:/config \
  --restart always \
  linuxserver/unifi-controller:7.4.162

检查 Unifi Network 容器运行状态。

docker ps -a

在浏览器中访问 https://172.18.12.51:8443 进行初始化，由于初始化 Unifi Network 步骤相对简单，且我之前的文章中也有写过该步骤，故不在此重复赘述。

3.4. Lite 8 PoE 设置

3.4.1. Lite 8 PoE 采用

重点来了，我在前面设置 RB5009UG+S+IN 的 ether2、ether3 是 VLAN1812，所以将电脑和 Lite 8 PoE 前 4 接口任意一口分别直连这两个接口，此时 Unifi Network 上应该会出现该交换机，单击 采用。

等待 Lite 8 PoE 进入 Online 状态。

3.4.2. 网络新建

导航到 网络，单击虚拟网络右侧 新建。

网络名称键入 Default Network，VLAN ID 键入 1812。

同理依次创建 Proxy Network、IoT Network、Guest Network。

3.4.3. 链路聚合创建

单击 USW-Lite-8-PoE，单击 端口管理器。

单击端口 5。

选择 手动，运行选择 聚合，聚合端口选择 端口 - 8，单击 应用更改。

链路聚合创建完成。

此时将 RB5009UG+S+IN 与 Lite 8 PoE 连接的网线分别更换至两台设备的 ether5 和 Port 5，此刻两台设备就已经是 Trunk 互通了。

3.4.4. Access 接口设置

其实规划中是 Port 4 为 Access 接口，但是之前操作的时候用了 Port 3，所以截图中是有与规划冲突，请大家原谅。

3.5. AP 设置

3.5.1. U6 AP 采用

先将 U6 AP 和 Lite 8 PoE 的 Access 接口连接，单击 采用。

单击 U6-IW，单击 设置，在 IP 设置下方，勾选 网络覆盖，虚拟网络选择 Default Network，单击 应用更改。其实这个设置，可以跟上面 MikroTik VLAN 设置中的 Tag bridge 进行类比，这两者的原理是相似的。

稍等片刻之后，U6-IW 会处于 离线状态，这时候将 U6 AP 和 Lite 8 PoE 的 Trunk 接口连接，就会发现，U6-IW 回归 Online 状态了，而且在网络栏，之前显示的是 Unifi 默认的 Default，而现在是我们手动指定的 Default Network 了，就意味着 Unifi 设备的管理网络已经是 VLAN1812 了。

重复以上步骤完成所有 Unifi AP 的采用设置。

3.5.2. WiFi 设置

后续的 WiFi 设置，我还是沿用上一篇文章的设置，用满 Unifi 支持的 4 个 SSID，搭配设置的 4 个网络。可以发现，使用第三方路由器的情况下，其实 Unifi Network 可以设置的部分也就 WiFi、网络、配置文件，所以其实还是相当容易上手的。当然有些中文翻译还是有些让人摸不着头脑，比如 AP 站点设置的“无线网格划分”，我感觉这就是机翻问题，这个英文原文是 WiFi Meshing，即 允许 AP 之间使用无线 Meshing。不过瑕不掩瑜，有了中文界面之后，对于绝大部分用户来说肯定是更友好了。

4. 照片

由于目前房子还在装修过程中，要到八月中下旬才能实施安装，所以这里暂时只能用设备照片代替，没有安装图片啦。而且我写文章的重点还是集中在上面的整体规划设计以及设备配置上。

5. 总结

6. 参考

• 【让 IT 更简单】使用 Ubiquiti 全家桶对朋友家进行网络改造
• RouterOS入门到精通
• 用户发帖称爱奇艺 TV 客户端 “白嫖”电视机引热议，后台满速上传
• 如何增强智能家居设备的安全性
• 曾有8亿用户，现在被骂流氓软件，WiFi万能钥匙冤不冤？
• RouterOS bridge vlan与华为交换机vlan配置对照