https://techcorner.max-it.de/index.php?action=history&feed=atom&title=UniFi%3A_Hochverf%C3%BCgbarkeit_mit_Shadow_Mode_und_WAN-FailoverUniFi: Hochverfügbarkeit mit Shadow Mode und WAN-Failover - Versionsgeschichte2026-10-19T05:22:40ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=UniFi:_Hochverf%C3%BCgbarkeit_mit_Shadow_Mode_und_WAN-Failover&diff=4592&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: Multi-WAN, Failover-Prüfung, 5G/LTE-Backup, Shadow Mode, MC-LAG, Tests2026-10-16T00:00:00Z<p>Neuer Artikel: Multi-WAN, Failover-Prüfung, 5G/LTE-Backup, Shadow Mode, MC-LAG, Tests</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = UniFi Cloud Gateways (Shadow Mode: UDM Pro, UDM SE, UDM Pro Max, UDM Beast, EFG, EF Core, UXG Enterprise), Multi-WAN auf allen UniFi-Gateways, UniFi 5G/LTE Backup<br />
| bereich = Netzwerk-Hardware<br />
| dauer = ca. 1–2 Stunden inklusive Umschalttest<br />
| rechte = Besitzer oder Administrator in UniFi Network, Zugang zum Rack<br />
| stand = Oktober 2026<br />
}}<br />
'''Hochverfügbarkeit mit UniFi''' bedeutet, einzelne Ausfallpunkte im Netz zu beseitigen: ein '''zweites Gateway im Shadow Mode''', das bei einem Hardwaredefekt in Sekunden übernimmt, '''mehrere Internetanschlüsse''' mit automatischem Failover oder Lastverteilung, ein '''Mobilfunk-Backup''' über 5G/LTE und redundante Verbindungen im Kern per MC-LAG oder Stacking. Dieser Artikel zeigt, welche Maßnahme welchen Ausfall abdeckt, und die Einrichtung von Shadow Mode und WAN-Failover Schritt für Schritt.<br />
<br />
[[Datei:UniFi-Hochverfuegbarkeit.png|thumb|center|750px|Hochverfügbarkeit mit UniFi: Zwei Internetanschlüsse plus 5G-Backup führen über einen WAN-Switch zu einem primären Gateway und einem Shadow-Gateway gleichen Modells, verbunden über einen eigenen HA-Port (VRRP, synchronisierte Verbindungstabellen); dahinter zwei Aggregation-Switches im MC-LAG und Access-Switches mit doppelten Uplinks. WAN-Gesundheit wird per Ping und DNS geprüft, zwei von drei Fehlschlägen lösen den Failover aus.]]<br />
<br />
== Welche Maßnahme schützt wovor? ==<br />
{| class="wikitable"<br />
! Ausfall !! Maßnahme !! Umschaltzeit<br />
|-<br />
| Internetanschluss gestört || '''WAN-Failover''' auf zweiten Anschluss || Sekunden bis wenige Minuten (Erkennung)<br />
|-<br />
| Provider großflächig gestört, Bagger am Kabel || '''5G/LTE-Backup''' über ein anderes Medium || wie WAN-Failover<br />
|-<br />
| Gateway-Hardware defekt || '''Shadow Mode''' (zweites Gateway) || Sekunden, bestehende Verbindungen bleiben erhalten<br />
|-<br />
| Netzteil defekt || Geräte mit '''redundanter Stromversorgung''' (z. B. EFG mit tauschbaren Netzteilen) und USV || unterbrechungsfrei<br />
|-<br />
| Core-Switch defekt || '''MC-LAG''' (ECS Aggregation) oder '''Stacking''' (ECS-S) || nahezu sofort<br />
|-<br />
| Access Point defekt || überlappende Funkzellen; E7-APs mit zweitem Uplink || Roaming der Clients<br />
|}<br />
Für die meisten kleinen und mittleren Standorte bringt '''WAN-Failover mit Mobilfunk-Backup''' den größten Nutzen pro Euro. Shadow Mode lohnt sich, wo ein Gateway-Ausfall den Betrieb stoppt und kein Techniker kurzfristig vor Ort ist.<br />
<br />
== Teil 1: Mehrere Internetanschlüsse ==<br />
UniFi-Gateways unterstützen bis zu '''acht WAN-Anschlüsse''' (begrenzt durch die Zahl der Ports, mindestens einer bleibt LAN). Jeder Anschluss arbeitet in einer von zwei Betriebsarten:<br />
{| class="wikitable"<br />
! Betriebsart !! Verhalten !! geeignet für<br />
|-<br />
| '''Failover''' || ein Anschluss aktiv, die anderen in Reserve; nach Wiederherstellung zurück zum Hauptanschluss || Hauptleitung plus Backup<br />
|-<br />
| '''Load Balancing''' || neue Verbindungen werden nach Gewichtung verteilt (z. B. 80/20); jede Sitzung bleibt auf ihrem Anschluss || zwei gleichwertige Leitungen<br />
|}<br />
<br />
=== Einrichtung ===<br />
# Zweiten Anschluss an einen freien Port stecken und unter ''Settings › Internet'' als WAN anlegen bzw. den Port per '''Port Remapping''' zum WAN machen. Beim Tausch von WAN1 und WAN2 vorübergehend einen dritten Port nutzen.<br />
# Zugangsart (DHCP, statisch, PPPoE, VLAN) wie beim ersten Anschluss eintragen.<br />
# Betriebsart '''Failover''' oder '''Load Balancing''' und die Priorität bzw. Gewichtung festlegen.<br />
<br />
=== Wann gilt ein Anschluss als ausgefallen? ===<br />
Standard (''Auto'') sind drei Prüfungen: Ping an <code>ping.ui.com</code> sowie DNS-Auflösung von <code>ui.com</code> über 1.1.1.1 und 8.8.8.8. Schlagen '''zwei von drei''' fehl, wird umgeschaltet. Unter ''Settings › Internet'' › ''Create New SLA'' lassen sich eigene Prüfziele und Grenzwerte für Paketverlust, Latenz und Jitter festlegen – so wird auch eine stark gestörte, aber nicht ganz tote Leitung erkannt.<br />
<br />
=== Bestimmten Verkehr auf einen Anschluss legen ===<br />
Soll z. B. Telefonie immer über die Glasfaser und das Gäste-WLAN über DSL laufen: Den Zielanschluss nicht in die Lastverteilung aufnehmen (Rolle ''Failover'' bzw. ''Backup''), dann eine '''Policy-Based Route''' mit dem Netz bzw. den Geräten als Quelle und dem Anschluss als Interface anlegen. Mit ausgeschaltetem '''Kill Switch''' weicht der Verkehr bei Ausfall auf den anderen Anschluss aus.<br />
<br />
== Teil 2: 5G/LTE-Backup ==<br />
UniFi 5G Max, 5G Backup und LTE Backup (Pro) liefern eine Reserve über Mobilfunk – unabhängig von Kabel und Glasfaser.<br />
* '''Backup Internet über LAN''' (empfohlen): Gerät an einen beliebigen PoE-Port im LAN stecken und adoptieren. Der Verkehr läuft per GRE-Tunnel über das LAN zum Gerät; es kann deshalb dort montiert werden, wo der Empfang am besten ist, und belegt keinen WAN-Port. Standardmäßig dürfen alle VLANs das Backup nutzen; pro Netz lässt sich ''UniFi Cellular Internet Backup'' abschalten, z. B. für Gäste.<br />
* '''Als normales WAN''' (nur 5G-Geräte): an WAN1/WAN2 anschließen, dann gelten Failover, Lastverteilung und Policy-Based Routes wie bei jedem Anschluss.<br />
{{Warnung|Die UniFi-Mobilfunkgeräte '''kaufen ohne gesetztes Limit automatisch Datenvolumen nach'''. Unbedingt in den Geräteeinstellungen ein '''Data Limit''' und eine Warnschwelle setzen und große Verbraucher (Gäste, Backups, Updates) vom Backup ausnehmen.}}<br />
<br />
== Teil 3: Shadow Mode – zweites Gateway ==<br />
Im Shadow Mode läuft ein zweites Gateway gleichen Modells passiv mit. Es übernimmt per '''VRRP''', sobald es die Verbindung zum primären Gateway verliert. Weil Firewall- und Verbindungstabellen synchronisiert werden, merken die Benutzer den Wechsel praktisch nicht.<br />
<br />
=== Voraussetzungen ===<br />
* Zwei '''gleiche''' 19-Zoll-Cloud-Gateways: UDM Pro, UDM SE, UDM Pro Max, UDM Beast, EFG oder EF Core mit UniFi OS 4.0.6 oder neuer – oder zwei UXG Enterprise mit Firmware 4.3.1 oder neuer.<br />
* '''Eine''' öffentliche IP-Adresse genügt; das Shadow-Gateway hält den WAN-Anschluss in Bereitschaft.<br />
* Jeder WAN-Anschluss muss an '''beiden''' Gateways ankommen (siehe unten).<br />
* Das CyberSecure-Abonnement deckt das Shadow-Gateway mit ab.<br />
<br />
=== Einrichtung (Cloud Gateways) ===<br />
# Primäres Gateway eingerichtet und aktuell; Shadow-Gateway im '''Werkszustand'''.<br />
# Den '''WAN-Port des Shadow-Gateways''' vorübergehend an einen LAN-Port des primären anschließen: UDM Pro/SE/Pro Max Port 1–6 oder 8, EFG Port 3–6, UDM Beast Port 1, 3–9, 10–12 oder 14.<br />
# Am primären Gateway ''Settings › High Availability'' › '''Gateway Shadow Mode (VRRP)''' das zweite Gerät als Shadow festlegen.<br />
# Das Shadow-Gateway aktualisiert sich automatisch auf dieselbe UniFi-OS-Version und übernimmt die Konfiguration (bis zu 15 Minuten; mit ''Sync Now'' sofort).<br />
# '''Enable Automatic Failover''' wählen und die '''HA-Verbindung''' stecken: Port 7 zu Port 7 (UDM Pro, SE, Pro Max) bzw. Port 2 zu Port 2 (EFG, EF Core, UDM Beast). Dieser Port ist ausschließlich für HA reserviert.<br />
# Die vorübergehende WAN-Verbindung aus Schritt 2 trennen.<br />
# '''WAN spiegeln:''' Den Internetanschluss an den gleichen WAN-Port beider Gateways führen.<br />
# '''LAN spiegeln:''' Die LAN-Ports des Shadow-Gateways mit denselben Switches verbinden wie beim primären (idealerweise mit dem jeweils anderen Switch eines MC-LAG-Paars).<br />
<br />
=== Ein Anschluss, zwei Gateways ===<br />
Liefert der Provider nur ein Kabel bzw. eine Glasfaser, wird es über einen Switch auf beide Gateways verteilt:<br />
* '''UniFi WAN Switch''': dafür vorgesehenes, in UniFi verwaltetes Gerät.<br />
* '''UniFi-Switch''': ein neues Netz mit Router-Typ ''Third-party Gateway'' anlegen; drei Ports (Provider, primäres, Shadow-Gateway) erhalten dieses Netz als natives VLAN und ''Tagged VLAN Management = Block All''.<br />
* Bei GPON-Glasfaser keinen passiven Splitter verwenden, sondern das ONT an einen Switch anschließen und von dort verteilen.<br />
Der WAN-Switch wird damit selbst zum Ausfallpunkt – USV und ggf. Ersatzgerät einplanen.<br />
<br />
=== Wenn das primäre Gateway ausfällt ===<br />
# Das Shadow-Gateway hat automatisch übernommen; Verbindungen laufen weiter.<br />
# Falls eine Festplatte (Protect) im primären Gateway steckt: in das Shadow-Gateway umsetzen. Ubiquiti empfiehlt, nur im primären Gerät eine Festplatte zu betreiben.<br />
# Defektes Gerät ausbauen.<br />
# Unter ''UniFi OS › Applications'' das Shadow-Gateway zum '''primären''' hochstufen.<br />
# Ersatzgerät im Werkszustand als neues Shadow-Gateway einrichten (Schritte oben).<br />
<br />
== Teil 4: Redundanz im Kern ==<br />
* '''MC-LAG''': Zwei ECS-Aggregation-Switches bilden ein Paar; Gateways, Server und Access-Switches werden mit je einer Leitung an beide Switches angebunden und bündeln diese per LACP. Fällt ein ganzer Switch aus, laufen die Verbindungen über den anderen weiter. Einrichtung unter ''Settings › High Availability › MC-LAG''.<br />
* '''Stacking''' (ECS-S): mehrere Switches als ein logisches Gerät; Uplinks als Bündel über verschiedene Stack-Mitglieder.<br />
* '''Normale Switches''' ohne MC-LAG: redundante Uplinks über Spanning Tree, siehe [[UniFi: Spanning Tree und Loop-Schutz]] – Umschaltung in Sekunden statt sofort.<br />
<br />
== Testen ==<br />
Hochverfügbarkeit, die nie getestet wurde, ist eine Annahme. In einem Wartungsfenster:<br />
# '''WAN-Failover:''' Kabel des Hauptanschlusses ziehen, Umschaltzeit und Erreichbarkeit (Telefonie, VPN, Cloud-Dienste) prüfen, Kabel wieder stecken.<br />
# '''Mobilfunk:''' Alle drahtgebundenen Anschlüsse trennen, Datenlimit und ausgenommene Netze kontrollieren.<br />
# '''Shadow Mode:''' Primäres Gateway ausschalten, laufende Verbindungen (z. B. Teams-Anruf) beobachten, danach wieder einschalten.<br />
# Ergebnisse und Zeiten im Notfallhandbuch dokumentieren.<br />
<br />
== Hinweise ==<br />
* '''VPN und Failover:''' Site-to-Site-Verbindungen über SD-WAN können mehrere WANs nutzen (''Redundant'' bzw. ''Max Resiliency''), siehe [[UniFi: Standorte per Site-to-Site-VPN verbinden]]. Für VPN-Clients einen DynDNS-Namen verwenden, der bei Failover die neue Adresse erhält.<br />
* '''Strom:''' Gateway, Core-Switches und WAN-Switch an eine USV; bei zwei Netzteilen an zwei Stromkreise.<br />
* '''Vergleich:''' Hochverfügbarkeit auf OPNsense beschreibt [[OPNsense - Hochverfügbarkeit mit CARP und pfsync]], Multi-WAN [[OPNsense - Gateways und Multi-WAN]].<br />
* Bei der Planung ausfallsicherer Standorte, Internet-Redundanz und Notfalltests unterstützt Sie die [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[Ubiquiti UniFi]] – Überblick und alle Artikel der Reihe<br />
* [[UniFi: QoS und Bandbreitensteuerung einrichten]]<br />
* [[UniFi: Cloud Gateway einrichten]]<br />
* [[Hochverfügbarkeit]]<br />
* [[VRRP]]<br />
* [[Failover]]<br />
<br />
== Links und Quellen ==<br />
* [https://help.ui.com/hc/en-us/articles/19581768432535-Shadow-Mode-High-Availability-on-UniFi-Cloud-Gateways Ubiquiti Help Center: Shadow Mode High Availability on UniFi Cloud Gateways]<br />
* [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:Netzwerk-Hardware]]<br />
</div>imported>TechCorner-Redaktion