Ubiquiti UniFi como cortafuegos: Cloud Gateway, Dream Machine y el final del USG

Ubiquiti no suele hablar de cortafuegos, sino de Cloud Gateways: pasarelas que hacen de router y de cortafuegos, y que además gestionan el resto de la red UniFi, como switches y puntos de acceso. La gama va de una caja de sobremesa a equipos de rack. Y quien aún tenga un USG tiene que planificar el cambio.

Los modelos y sus cifras

Todas las cifras salen de las fichas técnicas de Ubiquiti. La columna de IPS es el rendimiento con detección y prevención de intrusiones, que es la que importa si piensas usarla; usuarios y dispositivos son los que el fabricante da como capacidad, con un «más de».

La categoría tiene 16 equipos. Esta guía deja fuera el Cloud Gateway Industrial y los que llevan WiFi integrado, como los Dream Router o los UniFi Express.

Qué hacen como cortafuegos

Las fichas de todos estos modelos marcan cortafuegos con estado, filtrado por aplicación (capa 7), filtrado por zonas con regiones, dominios y aplicaciones, IPS/IDS, filtro de contenidos y bloqueo de anuncios. También equilibrio de carga entre varias conexiones y SD-WAN, que Ubiquiti presenta sin licencia.

Hay dos diferencias que conviene mirar antes de elegir:

• Inspección SSL: de los nueve modelos de las tablas, la ficha solo incluye la inspección SSL y el filtrado de URL en el EFG y el EF-Core. Sin esa inspección, un cortafuegos ve poco de lo que va cifrado, algo que explica la guía de qué es un NGFW.
• Alta disponibilidad: el modo Shadow Mode, con VRRP, aparece en las fichas de los equipos de rack y no en las de los Cloud Gateway. Si necesitas una segunda pasarela que tome el relevo, los compactos no te sirven.

Lo que traen además de cortafuegos

La tabla comparativa de Ubiquiti separa las aplicaciones que corre cada equipo. El Dream Machine Beast y el Pro Max añaden a Network las aplicaciones Protect (cámaras), Access (control de accesos), Talk y Connect, y traen dos bahías para discos de 3,5 pulgadas. Los dos Enterprise Firewall solo llevan Network: a cambio, tienen dos fuentes de alimentación que se cambian en caliente.

Es decir, uno de estos Dream Machine puede ser a la vez cortafuegos y grabador de cámaras, mientras que la gama Enterprise se queda en la parte de red.

Si tienes un USG o un USG Pro 4

Ubiquiti ha anunciado en su comunidad que UniFi Network 10.6 es la última versión compatible con las pasarelas USG antiguas: USG, USG-Pro y USG XG 8. El motivo que da es que UniFi Network 11 cambia de base de datos, de MongoDB a PostgreSQL, y estos equipos se hicieron para la arquitectura anterior.

Qué significa, según el mismo aviso:

• El equipo puede seguir funcionando con UniFi Network 10.6, pero no se podrá pasar de esa versión sin migrar.
• Las versiones posteriores de UniFi Network no pueden adoptar ni gestionar un USG.
• Lo mismo afecta a la aplicación de red independiente, alojada por tu cuenta: su sustituto es UniFi OS Server.

Ubiquiti propone dos caminos:

No se ha localizado una ficha oficial de Ubiquiti con una fecha de fin de soporte del USG Pro 4, así que aquí no se da ninguna. Lo comprobado es lo de arriba: el límite es de versión de software.

Cómo elegir

Esta orientación es criterio de esta web, no de Ubiquiti:

1. Empieza por la conexión. Compara tu línea con la columna de IPS, no con el puerto: con IPS activo, el UCG-Ultra da 1 Gbps aunque su puerto sea de 2,5 GbE.
2. Mira si ya tienes UniFi. La ventaja de estas pasarelas es gestionar en un mismo sitio switches y puntos de acceso. Sin esa red, compara también con las FortiGate o con un pfSense u OPNsense.
3. Decide si necesitas inspección SSL o alta disponibilidad, porque esas dos líneas te cambian de gama.
4. Si tienes obligaciones de seguridad por NIS2 o el ENS, comprueba antes qué exige tu caso: aquí solo se recogen las características que da la ficha.