Necesita un gateway UniFi con UniFi Network 11.0.83 o posterior sobre UniFi OS 6.0.10 o posterior, acceso de administrador a la aplicación Network y un token API de Q-Feeds. Consulte Obtener sus threat feeds. No hay nada que instalar: el gateway descarga las listas por sí mismo.
Requisitos
- UniFi Network: 11.0.83 o posterior
- UniFi OS: 6.0.10 o posterior
- Firewall: políticas de firewall basadas en zonas
- Feeds: IPs maliciosas (
feed_type=malware_ip) y dominios maliciosos (feed_type=malware_domains) - Red: HTTPS saliente desde el gateway hacia
api.qfeeds.com
Paso 1: copie su token API
Inicie sesión en el Threat Intelligence Portal, abra Manage API Keys y copie su token. Cada Network List tiene su propia URL con ese token.
No abra antes las URL de los feeds en un navegador para probarlas. La API permite una descarga por feed y por clave dentro de la ventana de actualización de su licencia (24 horas en Community), así que una prueba en el navegador puede hacer que la primera descarga de UniFi falle con HTTP 429. Si aun así ocurre, consulte el apartado Diagnóstico más abajo.
Paso 2: cree la lista de IPs
- En UniFi Network, vaya a Networks, Network Lists y seleccione Create New.
- Ponga un nombre a la lista, por ejemplo
Q-Feeds malware IPs. - Ajuste Type en IP y Source en Dynamic.
- Pegue esta URL con su propio token en lugar de
YOUR_TOKEN:
https://api.qfeeds.com/api?feed_type=malware_ip&ipv6=0&api_token=YOUR_TOKEN- Elija un intervalo de actualización de 24 horas y guarde.
ipv6=0 limita la lista a direcciones IPv4 y rangos IPv4 en notación CIDR. Una segunda lista con la parte IPv6 del mismo feed contaría como otra descarga de malware_ip en la misma ventana y sería rechazada, por eso esta guía se queda en IPv4. Contacte con soporte si necesita IPv6 en UniFi.
Paso 3: cree la lista de dominios
Repita los pasos con Type en Domain, un nombre como Q-Feeds malware domains y esta URL:
https://api.qfeeds.com/api?feed_type=malware_domains&api_token=YOUR_TOKENVuelva a elegir 24 horas. La lista de IPs y la de dominios son feeds distintos, así que no se estorban entre sí.
Paso 4: bloquee el tráfico
Las listas solo contienen los datos. Cree estas políticas de firewall con la acción Block:
- Salida hacia IPs maliciosas: zona de origen Internal, zona de destino External y la lista
Q-Feeds malware IPscomo destino. - Entrada desde IPs maliciosas: zona de origen External con la lista
Q-Feeds malware IPscomo origen, zona de destino Internal. Cree la misma política con la zona de destino Gateway para proteger el propio gateway. - Dominios maliciosos: zona de origen Internal, zona de destino External, y haga coincidir el destino con la lista
Q-Feeds malware domains.
Compruebe que ninguna política situada más arriba permita antes el mismo tráfico, porque se aplica la primera coincidencia.
La coincidencia por dominio depende del DNS. Los dispositivos con su propio servidor DNS o con DNS over HTTPS pueden saltársela. Haga que sus clientes resuelvan a través del gateway y bloquee, cuando pueda, el DNS saliente hacia otros servidores, o añada también el mismo feed de dominios a un filtro DNS como Pi-hole, AdGuard o Technitium.
Cómo funciona
- Actualización: UniFi vuelve a descargar cada lista cada 24, 48 o 72 horas. Q-Feeds actualiza sus indicadores con más frecuencia, así que con 24 horas recibe una vez al día los datos más recientes que cubre su licencia.
- Lista completa: cada descarga trae el feed completo de su licencia. No intervienen scripts ni actualizaciones diferenciales.
- Primero los más recientes: la API ordena los indicadores por antigüedad, los más nuevos primero. Si limita una lista con
&limit=, conserva las amenazas más recientes. - Alertas: desde la 11.0.83, UniFi Network le avisa cuando una Dynamic Network List no consigue actualizarse.
- Una descarga por feed: el límite de peticiones se aplica por clave API y por feed. No haga que dos listas apunten al mismo feed con la misma clave.
Comprobar
Después de guardar, abra las dos listas en Networks, Network Lists y compruebe que tienen entradas y no muestran ninguna alerta de actualización. Active el registro de las políticas de bloqueo durante unos días si quiere ver lo que detienen.
Diagnóstico
- Alerta de actualización fallida o HTTP 429: el feed ya se descargó con la misma clave dentro de la ventana de actualización, a menudo por una prueba en el navegador o una segunda lista. En el portal, abra la clave en Manage API Keys y seleccione Activate Override en Rate Limit Override. El límite se levanta durante cinco minutos; actualice la lista en UniFi dentro de ese plazo.
- La lista sigue vacía: revise el token de la URL, que su licencia esté activa y que el gateway pueda llegar a
https://api.qfeeds.com. - La lista no se importa o el gateway va lento: añada un tope a la URL, por ejemplo
&limit=50000, y bájelo hasta que la importación funcione. Conserva los indicadores más recientes. - Una política parece no hacer nada: otra política situada más arriba coincide antes con el tráfico. Suba las políticas de bloqueo.
- El bloqueo de dominios no alcanza algunos dispositivos: esos clientes se saltan el DNS del gateway. Vea el consejo sobre DNS del paso 4.
- Soporte: support@qfeeds.com o la página de soporte.
Los feeds de URL maliciosas de Q-Feeds no son compatibles con las Network Lists de UniFi. Una lista contiene direcciones IP o dominios, y solo un proxy o un filtro web puede inspeccionar la ruta completa de una URL. Quédese aquí con los feeds de IPs y dominios.