Quelltext der Seite UniFi: Hochverfügbarkeit mit Shadow Mode und WAN-Failover

{{Steckbrief
| gilt_fuer   = UniFi Cloud Gateways (Shadow Mode: UDM Pro, UDM SE, UDM Pro Max, UDM Beast, EFG, EF Core, UXG Enterprise), Multi-WAN auf allen UniFi-Gateways, UniFi 5G/LTE Backup
| bereich     = Netzwerk-Hardware
| dauer       = ca. 1–2 Stunden inklusive Umschalttest
| rechte      = Besitzer oder Administrator in UniFi Network, Zugang zum Rack
| stand       = Oktober 2026
}}
'''Hochverfügbarkeit mit UniFi''' bedeutet, einzelne Ausfallpunkte im Netz zu beseitigen: ein '''zweites Gateway im Shadow Mode''', das bei einem Hardwaredefekt in Sekunden übernimmt, '''mehrere Internetanschlüsse''' mit automatischem Failover oder Lastverteilung, ein '''Mobilfunk-Backup''' über 5G/LTE und redundante Verbindungen im Kern per MC-LAG oder Stacking. Dieser Artikel zeigt, welche Maßnahme welchen Ausfall abdeckt, und die Einrichtung von Shadow Mode und WAN-Failover Schritt für Schritt.

[[Datei:UniFi-Hochverfuegbarkeit.png|thumb|center|750px|Hochverfügbarkeit mit UniFi: Zwei Internetanschlüsse plus 5G-Backup führen über einen WAN-Switch zu einem primären Gateway und einem Shadow-Gateway gleichen Modells, verbunden über einen eigenen HA-Port (VRRP, synchronisierte Verbindungstabellen); dahinter zwei Aggregation-Switches im MC-LAG und Access-Switches mit doppelten Uplinks. WAN-Gesundheit wird per Ping und DNS geprüft, zwei von drei Fehlschlägen lösen den Failover aus.]]

== Welche Maßnahme schützt wovor? ==
{| class="wikitable"
! Ausfall !! Maßnahme !! Umschaltzeit
|-
| Internetanschluss gestört || '''WAN-Failover''' auf zweiten Anschluss || Sekunden bis wenige Minuten (Erkennung)
|-
| Provider großflächig gestört, Bagger am Kabel || '''5G/LTE-Backup''' über ein anderes Medium || wie WAN-Failover
|-
| Gateway-Hardware defekt || '''Shadow Mode''' (zweites Gateway) || Sekunden, bestehende Verbindungen bleiben erhalten
|-
| Netzteil defekt || Geräte mit '''redundanter Stromversorgung''' (z. B. EFG mit tauschbaren Netzteilen) und USV || unterbrechungsfrei
|-
| Core-Switch defekt || '''MC-LAG''' (ECS Aggregation) oder '''Stacking''' (ECS-S) || nahezu sofort
|-
| Access Point defekt || überlappende Funkzellen; E7-APs mit zweitem Uplink || Roaming der Clients
|}
Für die meisten kleinen und mittleren Standorte bringt '''WAN-Failover mit Mobilfunk-Backup''' den größten Nutzen pro Euro. Shadow Mode lohnt sich, wo ein Gateway-Ausfall den Betrieb stoppt und kein Techniker kurzfristig vor Ort ist.

== Teil 1: Mehrere Internetanschlüsse ==
UniFi-Gateways unterstützen bis zu '''acht WAN-Anschlüsse''' (begrenzt durch die Zahl der Ports, mindestens einer bleibt LAN). Jeder Anschluss arbeitet in einer von zwei Betriebsarten:
{| class="wikitable"
! Betriebsart !! Verhalten !! geeignet für
|-
| '''Failover''' || ein Anschluss aktiv, die anderen in Reserve; nach Wiederherstellung zurück zum Hauptanschluss || Hauptleitung plus Backup
|-
| '''Load Balancing''' || neue Verbindungen werden nach Gewichtung verteilt (z. B. 80/20); jede Sitzung bleibt auf ihrem Anschluss || zwei gleichwertige Leitungen
|}

=== Einrichtung ===
# Zweiten Anschluss an einen freien Port stecken und unter ''Settings › Internet'' als WAN anlegen bzw. den Port per '''Port Remapping''' zum WAN machen. Beim Tausch von WAN1 und WAN2 vorübergehend einen dritten Port nutzen.
# Zugangsart (DHCP, statisch, PPPoE, VLAN) wie beim ersten Anschluss eintragen.
# Betriebsart '''Failover''' oder '''Load Balancing''' und die Priorität bzw. Gewichtung festlegen.

=== Wann gilt ein Anschluss als ausgefallen? ===
Standard (''Auto'') sind drei Prüfungen: Ping an <code>ping.ui.com</code> sowie DNS-Auflösung von <code>ui.com</code> über 1.1.1.1 und 8.8.8.8. Schlagen '''zwei von drei''' fehl, wird umgeschaltet. Unter ''Settings › Internet'' › ''Create New SLA'' lassen sich eigene Prüfziele und Grenzwerte für Paketverlust, Latenz und Jitter festlegen – so wird auch eine stark gestörte, aber nicht ganz tote Leitung erkannt.

=== Bestimmten Verkehr auf einen Anschluss legen ===
Soll z. B. Telefonie immer über die Glasfaser und das Gäste-WLAN über DSL laufen: Den Zielanschluss nicht in die Lastverteilung aufnehmen (Rolle ''Failover'' bzw. ''Backup''), dann eine '''Policy-Based Route''' mit dem Netz bzw. den Geräten als Quelle und dem Anschluss als Interface anlegen. Mit ausgeschaltetem '''Kill Switch''' weicht der Verkehr bei Ausfall auf den anderen Anschluss aus.

== Teil 2: 5G/LTE-Backup ==
UniFi 5G Max, 5G Backup und LTE Backup (Pro) liefern eine Reserve über Mobilfunk – unabhängig von Kabel und Glasfaser.
* '''Backup Internet über LAN''' (empfohlen): Gerät an einen beliebigen PoE-Port im LAN stecken und adoptieren. Der Verkehr läuft per GRE-Tunnel über das LAN zum Gerät; es kann deshalb dort montiert werden, wo der Empfang am besten ist, und belegt keinen WAN-Port. Standardmäßig dürfen alle VLANs das Backup nutzen; pro Netz lässt sich ''UniFi Cellular Internet Backup'' abschalten, z. B. für Gäste.
* '''Als normales WAN''' (nur 5G-Geräte): an WAN1/WAN2 anschließen, dann gelten Failover, Lastverteilung und Policy-Based Routes wie bei jedem Anschluss.
{{Warnung|Die UniFi-Mobilfunkgeräte '''kaufen ohne gesetztes Limit automatisch Datenvolumen nach'''. Unbedingt in den Geräteeinstellungen ein '''Data Limit''' und eine Warnschwelle setzen und große Verbraucher (Gäste, Backups, Updates) vom Backup ausnehmen.}}

== Teil 3: Shadow Mode – zweites Gateway ==
Im Shadow Mode läuft ein zweites Gateway gleichen Modells passiv mit. Es übernimmt per '''VRRP''', sobald es die Verbindung zum primären Gateway verliert. Weil Firewall- und Verbindungstabellen synchronisiert werden, merken die Benutzer den Wechsel praktisch nicht.

=== Voraussetzungen ===
* Zwei '''gleiche''' 19-Zoll-Cloud-Gateways: UDM Pro, UDM SE, UDM Pro Max, UDM Beast, EFG oder EF Core mit UniFi OS 4.0.6 oder neuer – oder zwei UXG Enterprise mit Firmware 4.3.1 oder neuer.
* '''Eine''' öffentliche IP-Adresse genügt; das Shadow-Gateway hält den WAN-Anschluss in Bereitschaft.
* Jeder WAN-Anschluss muss an '''beiden''' Gateways ankommen (siehe unten).
* Das CyberSecure-Abonnement deckt das Shadow-Gateway mit ab.

=== Einrichtung (Cloud Gateways) ===
# Primäres Gateway eingerichtet und aktuell; Shadow-Gateway im '''Werkszustand'''.
# Den '''WAN-Port des Shadow-Gateways''' vorübergehend an einen LAN-Port des primären anschließen: UDM Pro/SE/Pro Max Port 1–6 oder 8, EFG Port 3–6, UDM Beast Port 1, 3–9, 10–12 oder 14.
# Am primären Gateway ''Settings › High Availability'' › '''Gateway Shadow Mode (VRRP)''' das zweite Gerät als Shadow festlegen.
# Das Shadow-Gateway aktualisiert sich automatisch auf dieselbe UniFi-OS-Version und übernimmt die Konfiguration (bis zu 15 Minuten; mit ''Sync Now'' sofort).
# '''Enable Automatic Failover''' wählen und die '''HA-Verbindung''' stecken: Port 7 zu Port 7 (UDM Pro, SE, Pro Max) bzw. Port 2 zu Port 2 (EFG, EF Core, UDM Beast). Dieser Port ist ausschließlich für HA reserviert.
# Die vorübergehende WAN-Verbindung aus Schritt 2 trennen.
# '''WAN spiegeln:''' Den Internetanschluss an den gleichen WAN-Port beider Gateways führen.
# '''LAN spiegeln:''' Die LAN-Ports des Shadow-Gateways mit denselben Switches verbinden wie beim primären (idealerweise mit dem jeweils anderen Switch eines MC-LAG-Paars).

=== Ein Anschluss, zwei Gateways ===
Liefert der Provider nur ein Kabel bzw. eine Glasfaser, wird es über einen Switch auf beide Gateways verteilt:
* '''UniFi WAN Switch''': dafür vorgesehenes, in UniFi verwaltetes Gerät.
* '''UniFi-Switch''': ein neues Netz mit Router-Typ ''Third-party Gateway'' anlegen; drei Ports (Provider, primäres, Shadow-Gateway) erhalten dieses Netz als natives VLAN und ''Tagged VLAN Management = Block All''.
* Bei GPON-Glasfaser keinen passiven Splitter verwenden, sondern das ONT an einen Switch anschließen und von dort verteilen.
Der WAN-Switch wird damit selbst zum Ausfallpunkt – USV und ggf. Ersatzgerät einplanen.

=== Wenn das primäre Gateway ausfällt ===
# Das Shadow-Gateway hat automatisch übernommen; Verbindungen laufen weiter.
# Falls eine Festplatte (Protect) im primären Gateway steckt: in das Shadow-Gateway umsetzen. Ubiquiti empfiehlt, nur im primären Gerät eine Festplatte zu betreiben.
# Defektes Gerät ausbauen.
# Unter ''UniFi OS › Applications'' das Shadow-Gateway zum '''primären''' hochstufen.
# Ersatzgerät im Werkszustand als neues Shadow-Gateway einrichten (Schritte oben).

== Teil 4: Redundanz im Kern ==
* '''MC-LAG''': Zwei ECS-Aggregation-Switches bilden ein Paar; Gateways, Server und Access-Switches werden mit je einer Leitung an beide Switches angebunden und bündeln diese per LACP. Fällt ein ganzer Switch aus, laufen die Verbindungen über den anderen weiter. Einrichtung unter ''Settings › High Availability › MC-LAG''.
* '''Stacking''' (ECS-S): mehrere Switches als ein logisches Gerät; Uplinks als Bündel über verschiedene Stack-Mitglieder.
* '''Normale Switches''' ohne MC-LAG: redundante Uplinks über Spanning Tree, siehe [[UniFi: Spanning Tree und Loop-Schutz]] – Umschaltung in Sekunden statt sofort.

== Testen ==
Hochverfügbarkeit, die nie getestet wurde, ist eine Annahme. In einem Wartungsfenster:
# '''WAN-Failover:''' Kabel des Hauptanschlusses ziehen, Umschaltzeit und Erreichbarkeit (Telefonie, VPN, Cloud-Dienste) prüfen, Kabel wieder stecken.
# '''Mobilfunk:''' Alle drahtgebundenen Anschlüsse trennen, Datenlimit und ausgenommene Netze kontrollieren.
# '''Shadow Mode:''' Primäres Gateway ausschalten, laufende Verbindungen (z. B. Teams-Anruf) beobachten, danach wieder einschalten.
# Ergebnisse und Zeiten im Notfallhandbuch dokumentieren.

== Hinweise ==
* '''VPN und Failover:''' Site-to-Site-Verbindungen über SD-WAN können mehrere WANs nutzen (''Redundant'' bzw. ''Max Resiliency''), siehe [[UniFi: Standorte per Site-to-Site-VPN verbinden]]. Für VPN-Clients einen DynDNS-Namen verwenden, der bei Failover die neue Adresse erhält.
* '''Strom:''' Gateway, Core-Switches und WAN-Switch an eine USV; bei zwei Netzteilen an zwei Stromkreise.
* '''Vergleich:''' Hochverfügbarkeit auf OPNsense beschreibt [[OPNsense - Hochverfügbarkeit mit CARP und pfsync]], Multi-WAN [[OPNsense - Gateways und Multi-WAN]].
* Bei der Planung ausfallsicherer Standorte, Internet-Redundanz und Notfalltests unterstützt Sie die [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it].

== Siehe auch ==
* [[Ubiquiti UniFi]] – Überblick und alle Artikel der Reihe
* [[UniFi: QoS und Bandbreitensteuerung einrichten]]
* [[UniFi: Cloud Gateway einrichten]]
* [[Hochverfügbarkeit]]
* [[VRRP]]
* [[Failover]]

== Links und Quellen ==
* [https://help.ui.com/hc/en-us/articles/19581768432535-Shadow-Mode-High-Availability-on-UniFi-Cloud-Gateways Ubiquiti Help Center: Shadow Mode High Availability on UniFi Cloud Gateways]
* [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]