https://techcorner.max-it.de/index.php?action=history&feed=atom&title=UniFi%3A_G%C3%A4ste-WLAN_und_Hotspot-PortalUniFi: Gäste-WLAN und Hotspot-Portal - Versionsgeschichte2026-10-19T05:22:40ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=UniFi:_G%C3%A4ste-WLAN_und_Hotspot-Portal&diff=4583&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: Isolation, Hotspot-Zone, Captive Portal, Voucher, Bandbreite2026-10-16T00:00:00Z<p>Neuer Artikel: Isolation, Hotspot-Zone, Captive Portal, Voucher, Bandbreite</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = UniFi Network 10.x mit UniFi Cloud Gateway (Zone-Based Firewall ab 9.0) und UniFi Access Points<br />
| bereich = IT-Security<br />
| dauer = ca. 30–45 Minuten<br />
| rechte = Administrator in UniFi Network<br />
| stand = Oktober 2026<br />
}}<br />
'''Ein Gäste-WLAN mit UniFi''' gibt Besuchern Internetzugang, ohne dass ihre Geräte das Firmennetz oder sich gegenseitig erreichen. UniFi bietet dafür mehrere Bausteine: ein eigenes, isoliertes VLAN, die Firewall-Zone ''Hotspot'', die Isolation der Clients im WLAN und am Switch sowie ein '''Hotspot-Portal''' (Captive Portal) mit Passwort, Gutscheinen oder Nutzungsbedingungen. Dieser Artikel baut ein sicheres Gäste-WLAN Schritt für Schritt auf und zeigt, wie man die Bandbreite fair verteilt.<br />
<br />
[[Datei:UniFi-Gaeste-WLAN.png|thumb|center|750px|Gäste-WLAN in UniFi: SSID Gast im VLAN 50, Netz in der Firewall-Zone Hotspot und isoliert, Client Device Isolation am Access Point, Device Isolation per ACL am Switch, Hotspot-Portal mit Passwort, Vouchern oder Nutzungsbedingungen, Bandbreitenlimit; erlaubt ist nur der Weg ins Internet.]]<br />
<br />
== Die Schutzschichten ==<br />
{| class="wikitable"<br />
! Ebene !! Funktion !! verhindert<br />
|-<br />
| Gateway || '''Network Isolation''' bzw. Zone ''Hotspot'' || Zugriff auf andere VLANs und das Firmennetz<br />
|-<br />
| Access Point || '''Client Device Isolation''' || Verbindungen zwischen Gästen am selben AP<br />
|-<br />
| Switch || '''Device Isolation (ACL)''' || Verbindungen zwischen Gästen über verschiedene APs hinweg<br />
|-<br />
| Portal || '''Hotspot-Portal''' || anonyme Nutzung; ermöglicht Bedingungen, Gutscheine, Zeitlimits<br />
|}<br />
<br />
== Schritt 1: Gäste-Netz anlegen ==<br />
# ''Settings › Networks'' › ''New Virtual Network'': Name ''Gäste'', VLAN-ID 50, z. B. <code>10.10.50.1/24</code>.<br />
# '''Network Isolation''' aktivieren – das Netz kann dann keine anderen internen Netze erreichen.<br />
# '''Device Isolation (ACL)''' für dieses Netz aktivieren, damit sich Gäste auch über verschiedene APs hinweg nicht sehen.<br />
# Als DNS-Server einen öffentlichen oder filternden Resolver wählen, falls interne DNS-Namen für Gäste unsichtbar bleiben sollen.<br />
<br />
== Schritt 2: Netz der Hotspot-Zone zuordnen ==<br />
Mit der zonenbasierten Firewall (ab UniFi Network 9.0) gehört das Gäste-Netz in die Zone '''Hotspot''': Firewall-Einstellungen öffnen, Zone ''Hotspot'' wählen, das Netz ''Gäste'' hinzufügen und speichern. In der Zone ''Hotspot'' ist ab Werk alles außer dem Internet und dem Gateway gesperrt. Details: [[UniFi: Zone-Based Firewall konfigurieren]].<br />
<br />
{{Hinweis|'''IoT-Geräte gehören nicht in die Hotspot-Zone.''' Ist dort ein Captive Portal aktiv, landen auch Drucker, Fernseher oder Sensoren auf der Anmeldeseite und verlieren die Verbindung. IoT-Geräte bekommen ein eigenes Netz mit eigener Zone.}}<br />
<br />
== Schritt 3: Gäste-SSID anlegen ==<br />
# ''Settings › WiFi'' › ''Create New'', Name z. B. ''Gast''.<br />
# '''Network''' = ''Gäste''.<br />
# Sicherheit: '''OWE''' (offen, aber verschlüsselt) für ein Netz ohne Passwort, sonst WPA2/WPA3 Personal mit einem regelmäßig wechselnden Passwort.<br />
# '''Client Device Isolation''' einschalten.<br />
# '''Proxy ARP''' einschalten – reduziert Broadcasts und Funkzeit bei vielen Gästen.<br />
# Optional '''WiFi Speed Limit''' setzen; die Obergrenze pro Client liegt bei 100 Mbit/s.<br />
# Optional den '''WiFi Blackout Scheduler''' nutzen, um das Gäste-WLAN außerhalb der Geschäftszeiten abzuschalten.<br />
<br />
== Schritt 4: Hotspot-Portal einrichten ==<br />
# In der SSID '''Hotspot Portal''' › ''Captive Portal'' aktivieren.<br />
# Unter ''Insights › Hotspot'' › ''Landing Page'' die Anmeldeseite gestalten: Logo, Farben, Begrüßungstext, Nutzungsbedingungen.<br />
# Anmeldeverfahren wählen:<br />
{| class="wikitable"<br />
! Verfahren !! geeignet für<br />
|-<br />
| '''Nur Bedingungen bestätigen''' || Wartezimmer, Empfang: Gäste akzeptieren die Nutzungsbedingungen<br />
|-<br />
| '''Passwort''' || Besprechungsräume; Passwort regelmäßig wechseln<br />
|-<br />
| '''Vouchers''' (Gutscheine) || Hotels, Schulungen: Gutscheine mit Laufzeit, Datenvolumen und Bandbreite, ausdruckbar<br />
|-<br />
| '''RADIUS''' || Anmeldung mit vorhandenen Benutzerkonten<br />
|-<br />
| '''Payment''' || kostenpflichtiger Zugang, Abrechnung über Stripe<br />
|-<br />
| '''External Portal Server''' || Anbindung eines Portals eines Drittanbieters<br />
|}<br />
<br />
== Schritt 5: Bandbreite und Anwendungen ==<br />
* '''Bandbreite begrenzen''': per SSID-Limit oder Voucher-Profil, damit Gäste den Internetzugang nicht auslasten.<br />
* '''Anwendungen sperren''': Über die Anwendungsfilter des Gateways (Traffic Management) lassen sich z. B. Peer-to-Peer-Dienste für das Gäste-Netz blockieren.<br />
* '''Inhalte filtern''': Content Filtering pro Netz sperrt Kategorien wie Schadsoftware oder Erwachseneninhalte.<br />
<br />
== Kontrolle ==<br />
# Mit einem Testgerät ins Gäste-WLAN, Portal durchlaufen.<br />
# Internet testen, dann interne Adressen anpingen (Gateway-Adresse des Firmennetzes, ein Server, ein Drucker) – alles muss scheitern.<br />
# Zwei Testgeräte im Gäste-WLAN: Sie dürfen sich gegenseitig nicht erreichen.<br />
# Unter ''Insights › Hotspot'' erscheinen angemeldete Gäste und Gutscheine.<br />
<br />
== Hinweise ==<br />
* '''Rechtliches:''' Nutzungsbedingungen und Datenschutzhinweise für das Portal mit dem Datenschutzbeauftragten abstimmen, besonders wenn bei der Anmeldung personenbezogene Daten (E-Mail, Social Login) erfasst werden.<br />
* '''Kein Gäste-Zugang zur Verwaltung:''' Die Hotspot-Zone erreicht ab Werk nur die Dienste des Gateways, die für den Gastbetrieb nötig sind (DHCP, DNS, Portal) – diese Einstellung nicht aufweichen.<br />
* '''Eigener Internetanschluss''': Bei hoher Gästelast (Hotel, Veranstaltung) kann das Gäste-Netz per Policy-Based Route über einen zweiten Anschluss laufen.<br />
* Bei der sicheren Trennung von Gästen, IoT und Firmennetz unterstützt Sie die [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Beratung von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[Ubiquiti UniFi]] – Überblick und alle Artikel der Reihe<br />
* [[UniFi: WLAN einrichten und optimieren]]<br />
* [[UniFi: Zone-Based Firewall konfigurieren]]<br />
* [[Captive Portal]]<br />
* [[OPNsense - Captive Portal für Gäste-WLAN]] – Alternative mit OPNsense<br />
<br />
== Links und Quellen ==<br />
* [https://help.ui.com/hc/en-us/articles/23948850278295-Best-Practices-Guest-WiFi Ubiquiti Help Center: Best Practices – Guest WiFi]<br />
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:Netzwerk-Hardware]]<br />
[[Kategorie:IT-Security]]<br />
</div>imported>TechCorner-Redaktion