Q-Feeds koppelen aan UniFi Network Lists

U heeft een UniFi-gateway nodig met UniFi Network 11.0.83 of nieuwer op UniFi OS 6.0.10 of nieuwer, beheerdersrechten in de Network-applicatie en een Q-Feeds API-token. Zie Uw threat feeds ophalen. U hoeft niets te installeren: de gateway downloadt de lijsten zelf.

Vereisten

UniFi Network: 11.0.83 of nieuwer
UniFi OS: 6.0.10 of nieuwer
Firewall: zone-based firewallpolicy's
Feeds: malware-IP's (feed_type=malware_ip) en malwaredomeinen (feed_type=malware_domains)
Netwerk: uitgaand HTTPS van de gateway naar api.qfeeds.com

Stap 1: kopieer uw API-token

Log in op het Threat Intelligence Portal, open Manage API Keys en kopieer uw token. Elke Network List krijgt een eigen URL met dat token erin.

Open de feed-URL's niet eerst in een browser om ze te testen. De API staat per feed en per sleutel één download toe binnen het updatevenster van uw licentie (24 uur bij Community). Een test in de browser kan er dus voor zorgen dat de eerste download door UniFi mislukt met HTTP 429. Gebeurt dat toch, kijk dan bij Problemen oplossen hieronder.

Stap 2: maak de IP-lijst aan

Ga in UniFi Network naar Networks, Network Lists en kies Create New.
Geef de lijst een naam, bijvoorbeeld Q-Feeds malware IPs.
Zet Type op IP en Source op Dynamic.
Plak deze URL, met uw eigen token in plaats van YOUR_TOKEN:

https://api.qfeeds.com/api?feed_type=malware_ip&ipv6=0&api_token=YOUR_TOKEN

Kies als verversinterval 24 uur en sla op.

Met ipv6=0 bevat de lijst alleen IPv4-adressen en IPv4-ranges in CIDR-notatie. Een tweede lijst met het IPv6-deel van dezelfde feed telt als nog een download van malware_ip binnen hetzelfde venster en wordt geweigerd. Deze gids houdt het daarom bij IPv4. Neem contact op met support als u IPv6 op UniFi nodig heeft.

Stap 3: maak de domeinlijst aan

Herhaal de stappen met Type op Domain, een naam als Q-Feeds malware domains en deze URL:

https://api.qfeeds.com/api?feed_type=malware_domains&api_token=YOUR_TOKEN

Kies opnieuw 24 uur. De IP-lijst en de domeinlijst zijn verschillende feeds, dus ze zitten elkaar niet in de weg.

Stap 4: blokkeer het verkeer

De lijsten bevatten alleen de data. Maak deze firewallpolicy's aan met de actie Block:

Uitgaand naar kwaadaardige IP's: bronzone Internal, doelzone External, met de lijst Q-Feeds malware IPs als bestemming.
Inkomend van kwaadaardige IP's: bronzone External met de lijst Q-Feeds malware IPs als bron, doelzone Internal. Maak dezelfde policy ook met doelzone Gateway om de gateway zelf te beschermen.
Kwaadaardige domeinen: bronzone Internal, doelzone External, en match de bestemming op de lijst Q-Feeds malware domains.

Zorg dat geen policy hoger in de lijst hetzelfde verkeer eerst toestaat, want de eerste match wint.

Matchen op domein werkt via DNS. Apparaten met een eigen DNS-server of DNS over HTTPS kunnen eromheen. Laat uw clients via de gateway resolven en blokkeer waar het kan uitgaand DNS naar andere servers, of zet dezelfde domeinfeed ook in een DNS-filter zoals Pi-hole, AdGuard of Technitium.

Hoe het werkt

Verversen: UniFi downloadt elke lijst opnieuw om de 24, 48 of 72 uur. Q-Feeds werkt de indicatoren vaker bij, dus met 24 uur krijgt u één keer per dag de nieuwste data die uw licentie dekt.
Volledige lijst: elke download bevat de complete feed voor uw licentie. Er komen geen scripts of differentiële updates aan te pas.
Nieuwste eerst: de API sorteert de indicatoren op leeftijd, de nieuwste bovenaan. Begrenst u een lijst met &limit=, dan houdt u de meest recente dreigingen.
Meldingen: sinds 11.0.83 waarschuwt UniFi Network u wanneer een Dynamic Network List niet kan worden bijgewerkt.
Eén download per feed: de rate limit geldt per API-sleutel en per feed. Laat dus geen twee lijsten met dezelfde sleutel naar dezelfde feed wijzen.

Controleren

Open na het opslaan beide lijsten onder Networks, Network Lists en controleer of ze entries bevatten en geen updatemelding tonen. Zet een paar dagen logging aan op de blokkeerpolicy's als u wilt zien wat ze tegenhouden.

Problemen oplossen

Melding dat de update mislukt of HTTP 429: de feed is binnen het updatevenster al met dezelfde sleutel gedownload, vaak door een browsertest of een tweede lijst. Open in het portal de sleutel onder Manage API Keys en kies Activate Override bij Rate Limit Override. Daarmee vervalt de limiet vijf minuten; ververs binnen die tijd de lijst in UniFi.
De lijst blijft leeg: controleer het token in de URL, ga na of uw licentie actief is en of de gateway https://api.qfeeds.com kan bereiken.
De lijst wordt niet geïmporteerd of de gateway wordt traag: zet een limiet in de URL, bijvoorbeeld &limit=50000, en verlaag die tot de lijst wel binnenkomt. U houdt de nieuwste indicatoren.
Een policy lijkt niets te doen: een policy hoger in de lijst matcht het verkeer eerder. Zet de blokkeerpolicy's hoger.
Domeinblokkering mist apparaten: die clients gaan langs de DNS van de gateway. Zie de DNS-tip bij stap 4.
Ondersteuning: support@qfeeds.com of de supportpagina.

De Q-Feeds-feeds met kwaadaardige URL's worden in UniFi Network Lists niet ondersteund. Een lijst bevat IP-adressen of domeinen, en een volledig URL-pad kan alleen door een proxy of een webfilter worden geïnspecteerd. Blijf hier bij de IP- en domeinfeeds.

Uw feed-URL's ophalen Over de UniFi-integratie