UniFi Setup & VLAN-Guide

Wer steuert wen?

UniFi trennt Steuerung (der Controller / die Network-Application) von den Geräten (Access Points, Switches, Gateways). Der Controller hält die Konfiguration, die Geräte laden ihre Config beim Adoptieren herunter und arbeiten danach auch autonom weiter, wenn der Controller offline ist.

• UniFi Network Application: die Management-Software. Läuft self-hosted (Linux/Docker/Windows) oder auf einer Cloud Key / UDM.
• Cloud Key Gen2/Gen2 Plus: kleine Appliance, die nur den Controller hostet, ohne Routing/Firewall.
• UDM / UDM Pro / UXG / UCG: Gateway (Router + Firewall + DHCP) mit integriertem Controller. Das ist in KMU heute die häufigste Basis.
• USW-Switches / U6- & U7-Access-Points: die verwalteten Endgeräte.

Für VLAN-Betrieb brauchst du ein UniFi-Gateway (Inter-VLAN-Routing, DHCP je Netz, Firewall) und managed UniFi-Switches (VLAN-Tagging pro Port). Reine „Flex Mini"-Switches ohne Management reichen dafür nicht.

Adoption, Geräte übernehmen

Neue Geräte müssen einmalig vom Controller adoptiert werden. Voraussetzung: Gerät und Controller liegen im selben Layer-2-Netz (bzw. der Controller ist per Layer-3-Adoption über DHCP-Option 43 oder DNS-Eintrag unifi erreichbar).

1. Gerät verkabeln und mit PoE bzw. Netzteil versorgen (Status-LED weiß, blinkend = „bereit zur Adoption").
2. Im Controller unter UniFi Devices erscheint das Gerät als „Pending Adoption".
3. Auf Adopt klicken, das Gerät lädt Firmware/Config, LED wird durchgehend blau.

Steckt ein Gerät auf „Adopting" fest, ist meist der Set-Inform-Pfad falsch oder das Gerät hängt noch bei einem alten Controller. Dann per SSH set-inform http://<controller-ip>:8080/inform setzen (Standard-Login ubnt/ubnt im Werkszustand).

Controller-Ersteinrichtung

1. Setup-Assistent: Land/Zeitzone setzen, Admin-Konto anlegen, ggf. Ubiquiti-Account (SSO) für Remote-Zugriff verknüpfen, für reine LAN-Verwaltung nicht zwingend.
2. Gerätename & Firmware: Gateway und Switches direkt auf aktuelle stabile Firmware bringen, bevor produktiv konfiguriert wird.
3. Backup aktivieren: unter Settings → System → Backup Auto-Backup einschalten. Vor jeder größeren Änderung zusätzlich ein manuelles Backup ziehen.

Das Standardnetz (Default / LAN)

UniFi bringt ab Werk das Netz „Default" mit (meist 192.168.1.0/24). In einer segmentierten Umgebung wird dieses Netz zum Management-VLAN oder zum produktiven LAN. Lege den Adressbereich bewusst fest:

• Gateway-IP / Subnetz planen (siehe Subnetz-Rechner), lieber gleich ein sauberes Schema pro Standort.
• DHCP-Bereich je Netz definieren; statische Bereiche für Server/Drucker/APs freihalten.
• DNS-Server eintragen (interner DNS bzw. Resolver).

Netze verwaltest du unter Settings → Networks. Jedes Netz hier ist bei UniFi gleichbedeutend mit einem VLAN.

Netzwerk = VLAN

Unter Settings → Networks → Create New Network legst du ein virtuelles Netz an. Wähle Advanced → Manual, vergib eine VLAN-ID (1–4094), ein Subnetz und den DHCP-Bereich. Die VLAN-ID ist das 802.1Q-Tag, mit dem der Verkehr auf den Trunk-Ports markiert wird. VLAN 1 ist üblicherweise „untagged/default", produktive Netze bekommen eigene IDs.

Ein bewährtes Segmentierungsschema für ein KMU:

Für das Gast-Netz bietet UniFi den „Guest"-Netzwerktyp: dieser aktiviert automatisch Gast-Isolation und optional ein Captive Portal. Für IoT nutzt man ein normales „Corporate"-Netz und schottet es per Firewall ab (siehe unten).

Native VLAN vs. Tagged VLANs

Jeder Switch-Port hat in UniFi ein Port-Profil mit zwei Bestandteilen:

• Native / Untagged VLAN: das Netz, in dem ein angeschlossenes Endgerät ohne eigenes VLAN-Tag landet (klassischer „Access-Port"). Ein PC am LAN-Port bekommt hier z. B. VLAN 20.
• Tagged VLANs: zusätzliche Netze, die 802.1Q-getaggt über denselben Port laufen. Das ist ein Trunk, z. B. zum Access Point, der mehrere SSIDs mit verschiedenen VLANs transportiert, oder zwischen zwei Switches.

Port-Profile in UniFi

Unter Settings → Profiles → Switch Ports legst du wiederverwendbare Profile an. Statt jeden Port einzeln zu konfigurieren, weist du dem Port ein Profil zu:

• Access-Profil „LAN": Native VLAN 20, keine tagged VLANs → für Arbeitsplätze.
• Access-Profil „IoT": Native VLAN 50 → für Kameras/Sensoren mit Kabel.
• Trunk-Profil „All": Native VLAN 10 (Management), alle übrigen VLANs tagged → für Uplinks zu APs und anderen Switches.

Access Points werden per Kabel mit Native = Management-VLAN und den WLAN-VLANs als tagged angebunden. So holt sich der AP selbst seine IP aus dem Management-Netz und reicht die SSID-VLANs weiter.

SSID → Netzwerk zuordnen

Unter Settings → WiFi → Create New wird jede SSID genau einem Network zugewiesen. Da jedes Netz ein VLAN ist, entscheidet die Netz-Zuordnung, in welchem VLAN die WLAN-Clients landen:

• „Firma-WLAN" → Network „LAN" (VLAN 20)
• „Firma-IoT" → Network „IoT" (VLAN 50)
• „Gäste" → Network „Gast" (VLAN 90), Typ Guest mit Isolation

Der Access Point taggt den WLAN-Verkehr automatisch mit der VLAN-ID des zugeordneten Netzes und schickt ihn über den getaggten Uplink zum Gateway. Deshalb muss der AP-Uplink alle WLAN-VLANs tagged führen (siehe Ports & Profile).

Praxis-Tipps zu SSIDs

• Nicht zu viele SSIDs ausstrahlen, jede belegt Airtime. Drei bis vier sind meist genug (Firma, IoT, Gast).
• WPA3 bzw. WPA2/WPA3-Mixed für interne Netze, separates Gäste-Passwort.
• Gleiche SSID für 2,4 und 5 GHz lassen (Band Steering übernimmt), nicht künstlich trennen.

Details dazu im Artikel WLAN Best Practices.

Ohne Regeln routet das Gateway alles

Wichtig zu verstehen: Sobald zwei VLANs im selben UniFi-Gateway liegen, routet und erlaubt das Gateway den Verkehr zwischen ihnen standardmäßig. VLANs allein sind also noch keine Sicherheitsgrenze, erst Firewall-Regeln machen die Trennung wirksam. Die Regeln findest du unter Settings → Firewall & Security (bzw. „Firewall Rules" → Kategorie LAN In).

Gäste und IoT abschotten

Das Grundmuster: internen Verkehr (RFC-1918) blocken, Internet erlauben. Für IoT und Gast heißt das konkret:

• Block: Quelle IoT-Netz → Ziel „alle internen Netze" (RFC1918-Gruppe) verwerfen.
• Allow (davor): etablierte/zugehörige Verbindungen zulassen, damit Antworten aus dem LAN zum IoT zurückkommen, wenn das LAN die Verbindung aufbaut (z. B. ein PC steuert eine Kamera).
• Gast-Netz: der Guest-Netzwerktyp erledigt die Isolation automatisch, zusätzlich Zugriff auf das Gateway-Webinterface und andere Management-IPs sperren.

Reihenfolge zählt: UniFi arbeitet die Regeln von oben nach unten ab, die erste passende gewinnt. „Allow established/related" gehört vor die Block-Regel.

Management schützen

Das Management-VLAN sollte nur von definierten Admin-Geräten erreichbar sein. Eine Regel „Block: LAN/IoT/Gast → Management, außer Admin-Host X" verhindert, dass ein kompromittiertes Endgerät die Netz-Infrastruktur angreift.