UniFi : paramétrer réseaux, VLAN, Wi-Fi et pare-feu par zones

Version de référence : UniFi Network 10 (10.6 présentée en août 2026). Le pare-feu par zones existe depuis la version 9.0 ; certains menus ont changé de place entre la 9.3, la 9.4 et la 10. Ils sont donnés ici pour la version 10, avec l'équivalent 9.x quand il diffère. L'interface est en anglais par défaut.

1. Le plan

Le même que pour le tutoriel OPNsense, pour pouvoir comparer :

Pourquoi des zones personnalisées ? Les réseaux placés dans la zone intégrée Internal peuvent tous communiquer entre eux. Une zone créée par vous bloque par défaut le trafic vers les autres zones : en mettant chaque réseau dans sa propre zone, on part de « tout bloqué » et on n'ouvre que le nécessaire.

2. Adopter la passerelle

1. Branchez la passerelle sur la box (port WAN) et un ordinateur sur un port LAN.
2. Suivez l'assistant dans l'application UniFi sur téléphone ou dans le navigateur. Il propose de lier la console à un compte UI (accès à distance, sauvegardes dans le cloud) ou de créer un compte local seulement.
3. Réglez le WAN dans Settings › Internet : DHCP pour la plupart des box en bridge, PPPoE si l'opérateur l'exige. Pour la fibre Orange sans Livebox, des réglages particuliers (VLAN, options DHCP) sont nécessaires : suivez la documentation de votre opérateur.
4. Mettez à jour la console et l'application Network (UniFi OS › Settings › Updates), puis adoptez le switch et les bornes : ils apparaissent dans UniFi Devices.

3. Créer les réseaux

Le réseau Default existe déjà (VLAN 1, non tagué, 192.168.1.0/24). Modifiez-le d'abord dans Settings › Networks : nom ADMIN, Gateway IP/Subnet 10.10.10.1/24. Reconnectez-vous ensuite à la nouvelle adresse.

Créez les autres réseaux avec New Virtual Network.

Laissez Isolate Network désactivé : cette option crée des blocages automatiques peu lisibles. On gérera l'isolation proprement avec les zones.

Les zones personnalisées ADMIN, BUREAUX, SERVEURS et IOT n'existent pas encore : créez d'abord les réseaux, puis les zones à l'étape 6, et rattachez-y les réseaux à ce moment-là.

4. Un Wi-Fi par usage

Settings › WiFi › Create New. Trois réseaux Wi-Fi suffisent généralement :

Évitez de multiplier les SSID : chacun consomme du temps d'antenne. Au-delà de quatre par borne, les performances baissent.

5. Les ports du switch

Dans UniFi Devices, ouvrez le switch, puis Port Manager. Sélectionnez un ou plusieurs ports et réglez le Native VLAN / Network (le réseau non tagué) et le Tagged VLAN Management (les réseaux tagués autorisés).

• Allow All sur un port de poste de travail permettrait à n'importe quel appareil d'envoyer du trafic tagué dans n'importe quel VLAN : réservez-le aux liens entre équipements réseau.
• Sur les ports des postes, mettez Block All en VLAN tagués.
• Désactivez les ports inutilisés (Port Manager › Disable), ou affectez-les à un réseau sans accès.

Voir comprendre les VLAN pour la notion de port tagué et non tagué.

6. Les zones

Créer les zones personnalisées

Dans Policy Engine › Zones (en 9.4 : Settings › Zones ; en 9.3 : Settings › Policy Engine › Zones), cliquez sur Create Zone pour chacune : ADMIN, BUREAUX, SERVEURS, IOT. Sélectionnez dans chaque zone le réseau correspondant. Un réseau n'appartient qu'à une seule zone.

Les zones intégrées, marquées d'un cadenas, ne se suppriment pas :

Lire la matrice

La Zone Matrix présente une ligne par zone source et une colonne par zone de destination. Chaque case indique l'état : Allow All, Block All, Allow Return Traffic ou le nombre de Policies définies.

Cliquez sur une case pour voir les politiques correspondantes et en ajouter. Vérifiez chaque case après la création des zones : si une case qui doit être bloquée affiche Allow All, ajoutez une politique Block pour ce couple de zones.

7. Les politiques

Créez chaque politique depuis la case de la matrice, ou depuis Policy Engine › Policy Table › Create New Policy (en 9.x : Settings › Policy Table), type Firewall.

Objets réutilisables. Créez d'abord les listes d'adresses et de ports (l'équivalent des alias), dans Policy Engine › Objects ou dans les Network Lists selon la version : PORTS_AD (53, 88, 123, 135, 389, 445, 464, 636, 3268-3269, 49152-65535), PORTS_WEB (80, 443), SRV_AD (10.10.30.10, 10.10.30.11).

Les politiques à créer, dans l'ordre :

Points d'attention :

1. L'ordre compte : dans une même case, l'autorisation doit être au-dessus du blocage (« Allow DNS » avant « Block Gateway »). Utilisez Reorder pour ajuster.
2. Ne bloquez jamais la zone Gateway sans avoir autorisé DNS et DHCP juste avant : les appareils perdraient leur adresse et la résolution de noms.
3. Auto Allow Return Traffic doit rester activé sur les autorisations : il laisse revenir les réponses (filtrage avec état).
4. Activez Syslog Logging sur les blocages entre zones internes pour repérer les tentatives anormales (envoi vers un serveur syslog déclaré dans Integrations).
5. Pour l'IOT, l'onglet Destination de la zone External permet aussi de filtrer par application, domaine ou pays : utile pour une caméra qui ne doit parler qu'au service de son fabricant.

8. Publier un serveur en DMZ

Dans Policy Engine › Policy Table › Create New Policy, choisissez le type Port Forwarding (en 9.x : Settings › Routing › Port Forwarding).

• From : Any pour un site public, ou Limited pour n'autoriser que certaines adresses (un partenaire, par exemple).
• UniFi crée automatiquement une politique d'autorisation External → DMZ en lecture seule. Pour restreindre davantage, ajoutez vos propres politiques de blocage au-dessus.
• Pour accéder au site depuis l'intérieur par son nom public, créez une entrée DNS locale (Policy Engine › DNS ou Settings › Routing › DNS selon la version) qui pointe www.exemple.fr vers 10.10.60.10.

9. Sécuriser

VPN WireGuard pour les nomades

Settings › VPN › VPN Server › Create New, type WireGuard.

1. Nom Nomades, port 51820, réseau 10.10.99.1/24 (il ne doit chevaucher aucun réseau existant).
2. Add Client pour chaque appareil, puis téléchargez la configuration et importez-la dans l'application WireGuard.
3. Si l'adresse publique change, utilisez un nom DNS dynamique (Settings › Internet › Dynamic DNS) comme point d'accès.
4. UniFi ouvre lui-même le port du VPN côté Internet. Les clients connectés arrivent dans la zone VPN : vérifiez sa ligne dans la matrice et limitez-la (VPN → SERVEURS sur les ports utiles, VPN → ADMIN pour les seuls administrateurs).

Voir aussi l'accès à distance et le principe du VPN dans le tutoriel OPNsense.

Prévention d'intrusion

Settings › CyberSecure : activez la détection et prévention d'intrusion (IDS/IPS) en mode prévention sur le WAN, avec les catégories proposées. Sur les petites passerelles, l'IPS réduit le débit maximal : vérifiez la fiche technique de votre modèle.

La console elle-même

• SSH désactivé, ou protégé par un mot de passe fort et réservé aux interventions (UniFi OS › Settings › Control Plane › Console).
• Accès à distance via le compte UI : à garder seulement si vous en avez besoin, avec la double authentification activée. Sinon, passez par le VPN.
• Sauvegardes automatiques (UniFi OS › Settings › Backups), et téléchargez régulièrement une sauvegarde hors de la console.
• Mises à jour : activez-les pour les correctifs, et lisez les notes de version avant les versions majeures de l'application Network.

10. Tester

Les flux bloqués et autorisés sont visibles dans Insights ou dans les journaux de la passerelle si la journalisation est activée sur les politiques.

11. UniFi ou OPNsense ?

Les deux appliquent les mêmes principes : un plan d'adressage, une matrice des flux, le blocage par défaut. Ce qui compte est la rigueur de la configuration, plus que la marque.

12. Liste de contrôle