Analiza dyskusji społeczności i realnych problemów technologii inspekcji ruchu w UniFi.
Wprowadzenie
Ubiquiti zaprezentowało funkcję NeXT AI, która miała wprowadzić zaawansowaną analizę ruchu i inspekcję SSL do ekosystemu UniFi. Technologia była przedstawiana jako przełom – z porównaniami do NGFW od FortiGate czy Palo Alto. Kilka miesięcy później społeczność zaczęła pytać: czy projekt został porzucony? Wątek „Last Call: NeXT AI Update?” na Ubiquiti Community pokazuje realne problemy.
Co miało robić NeXT AI
NeXT AI to mechanizm deep packet inspection (DPI) wzbogacony o inspekcję zaszyfrowanego ruchu (SSL/TLS interception), który:
- odszyfrowuje ruch HTTPS w locie na bramie
- analizuje treść zapytań pod kątem zagrożeń i polityki firmowej
- pozwala na filtrowanie URL i blokowanie kategorii treści
- integruje się z IDS/IPS i threat management w UDM/UCG
System wymagał własnego certyfikatu CA na endpointach i działał głównie na bramach enterprise (Enterprise Fortress Gateway, UXG-Enterprise). Porównanie wersji: UniFi Network 10.2.97 + UniFi OS 5.0.16 – pełny przegląd.
Dlaczego SSL inspection jest trudne
Inspekcja TLS w praktyce oznacza, że brama staje się kontrolowanym MITM – rozszywa sesję klienta i podszywa się pod cel certyfikatem z prywatnego CA. To rodzi cztery realne problemy:
- Certyfikaty na user device – każdy laptop, telefon, drukarka, IoT musi zaufać CA bramy. Bez MDM to koszmar.
- Certificate pinning – bankowość i aplikacje mobilne przestają działać, bo wykrywają podmieniony certyfikat.
- RODO, NIS2, ISO – odszyfrowywanie ruchu pracownika wymaga jawnej polityki i wyłączeń.
- Wydajność – pełna inspekcja TLS potrafi zjeść 60-80% przepustowości bramy.
Społeczność zgłaszała też problemy z policy-based routingiem i NAT – NeXT AI nie radziło sobie ze złożoną maskaradą.
Co Ubiquiti zaoferowało zamiast tego
Zamiast walczyć z inspekcją TLS, Ubiquiti przesunęło AI w obszary z realną przewagą:
- UniFi Protect AI – rozpoznawanie twarzy, tablic, AI Key i AI Port
- Threat Management w UDM/UCG – klasyczny IDS/IPS na sygnaturach
- CyberSecure (Proofpoint) – subskrypcyjne sygnatury zamiast własnego threat intel
Pragmatyczna zmiana – Ubiquiti przestało udawać Fortineta. Szerszy kontekst: MikroTik vs Ubiquiti – co wybrać do firmy.
Alternatywy dla małej i średniej firmy
Jeśli realnie potrzebujesz inspekcji ruchu i kontroli treści, w 2026 roku rozsądne opcje to:
- pfSense + Suricata – open source, mocny IDS/IPS, DPI na warstwie 7
- OPNsense + Zenarmor – nowoczesny UI, kategoryzacja aplikacji, filtrowanie URL
- FortiGate 40F/60F – enterprise w cenie SMB, dojrzała inspekcja TLS, threat intel FortiGuard
- Cisco Umbrella (DNS-layer) – blokowanie na poziomie DNS, zero certyfikatów na endpointach
Dla firm 5-50 osób kombinacja UniFi + Cisco Umbrella + EDR na endpoincie daje 90% korzyści NeXT AI bez jego problemów. Listę obowiązkowych ustawień znajdziesz w Firewall w małej firmie 2026.
Co rekomendujemy w LM Networks
Stosujemy zasadę „defense in depth bez TLS interception”: UniFi jako warstwa LAN/Wi-Fi z IDS/IPS, Cisco Umbrella lub NextDNS na warstwie DNS, EDR/XDR na endpointach i centralne logowanie do SIEM. NeXT AI – jeśli w ogóle – tylko w środowisku testowym. To dobry przykład jak marketing AI wyprzedza realną gotowość produktu – szerzej w AI w praktyce 2026. Potrzebujesz audytu sieci lub wdrożenia firewalla? Napisz do nas – dobierzemy rozwiązanie do realnej skali, a nie do slajdu.
Oryginalny wątek na Ubiquiti Community.
