https://techcorner.max-it.de/index.php?action=history&feed=atom&title=UniFi%3A_Portweiterleitung_und_NAT_konfigurierenUniFi: Portweiterleitung und NAT konfigurieren - Versionsgeschichte2026-10-19T05:22:41ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=UniFi:_Portweiterleitung_und_NAT_konfigurieren&diff=4640&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: öffentliche IP, DynDNS, Portweiterleitung, Absicherung, Hairpin NAT, DNAT/SNAT2026-10-16T00:00:00Z<p>Neuer Artikel: öffentliche IP, DynDNS, Portweiterleitung, Absicherung, Hairpin NAT, DNAT/SNAT</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = UniFi Cloud Gateways und UniFi-Gateways mit UniFi Network 9.4 bis 10.x (Zone-Based Firewall)<br />
| bereich = Netzwerk-Hardware<br />
| dauer = ca. 15–30 Minuten<br />
| rechte = Administrator in UniFi Network<br />
| stand = Oktober 2026<br />
}}<br />
'''Eine Portweiterleitung in UniFi einrichten''' macht einen Dienst im internen Netz – etwa einen Webserver, einen Mailserver oder ein Videosystem – aus dem Internet erreichbar: Das Gateway leitet Verbindungen auf einen Port seiner öffentlichen IP-Adresse an eine interne Adresse weiter. Technisch ist das '''Destination NAT''' (DNAT). Dieser Artikel zeigt die Voraussetzungen (öffentliche IP, DynDNS), die Einrichtung, die Absicherung, Hairpin NAT für den Zugriff von innen sowie die erweiterten NAT-Regeln für Kunden mit mehreren öffentlichen IP-Adressen.<br />
<br />
[[Datei:UniFi-Portweiterleitung-NAT.png|thumb|center|750px|Portweiterleitung in UniFi: Eine Anfrage aus dem Internet auf TCP 443 der öffentlichen IP wird per DNAT an den Webserver 10.10.60.10 in der DMZ weitergeleitet; die Absenderadresse kann auf bekannte IPs beschränkt werden, IDS/IPS prüft den Verkehr. Voraussetzungen: öffentliche IP am Gateway statt CGNAT oder doppeltem NAT, DynDNS bei wechselnder Adresse, UPnP aus.]]<br />
<br />
== Erst prüfen: Ist eine Portweiterleitung der richtige Weg? ==<br />
{| class="wikitable"<br />
! Zweck !! besser<br />
|-<br />
| Mitarbeiter greifen auf interne Server, Remotedesktop oder NAS zu || '''VPN''', siehe [[UniFi: VPN für den Fernzugriff einrichten]] – keine Portweiterleitung<br />
|-<br />
| Öffentlicher Dienst für Kunden oder Partner (Website, Mail, Shop) || Portweiterleitung in eine '''DMZ''', idealerweise hinter einem Reverse Proxy<br />
|-<br />
| Einzelner Partner braucht Zugriff auf einen Dienst || Portweiterleitung mit Beschränkung auf dessen IP-Adresse – oder Site-to-Site-VPN<br />
|}<br />
Jede Weiterleitung macht den Zieldienst direkt angreifbar. Er muss aktuell gepatcht, stark authentifiziert und überwacht sein.<br />
<br />
== Voraussetzungen ==<br />
=== Öffentliche IP-Adresse ===<br />
Eine Weiterleitung funktioniert nur, wenn das Gateway auf seinem WAN eine '''öffentliche''' Adresse hat. Liegt die WAN-Adresse in einem dieser Bereiche, steht ein weiterer Router davor oder der Provider nutzt CGNAT:<br />
* 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 – doppeltes NAT (z. B. Provider-Router davor),<br />
* 100.64.0.0/10 – '''CGNAT''': mehrere Kunden teilen sich eine öffentliche Adresse; Weiterleitungen sind dann unmöglich.<br />
Lösungen: Provider-Router in den Bridge-Modus versetzen, beim Provider eine öffentliche (feste) IPv4-Adresse buchen oder – als Notlösung – auch am vorgelagerten Router weiterleiten. Im letzten Fall funktioniert der Zugriff von innen über die öffentliche Adresse (Hairpin NAT) nicht.<br />
<br />
Kontrolle: Die WAN-Adresse im Dashboard bzw. Site Manager mit der Adresse vergleichen, die eine Website wie „Wie ist meine IP“ anzeigt.<br />
<br />
=== Feste Adresse oder DynDNS ===<br />
Wechselt die öffentliche Adresse, unter ''Settings › Internet'' › WAN › '''Dynamic DNS''' einen Eintrag anlegen: Anbieter (u. a. Cloudflare, No-IP, DynDNS, Namecheap), Hostname, Benutzername, Passwort bzw. API-Token. Gäste und Partner verwenden dann den Namen statt der IP-Adresse.<br />
<br />
== Schritt 1: Ziel vorbereiten ==<br />
* Der Server bekommt eine '''feste IP-Adresse''' (statisch oder per DHCP-Reservierung), z. B. <code>10.10.60.10</code>.<br />
* Öffentlich erreichbare Server gehören in ein eigenes Netz in der Firewall-Zone '''DMZ''' – sie dürfen dann nicht von sich aus ins interne Netz, siehe [[UniFi: Zone-Based Firewall konfigurieren]].<br />
* Die lokale Firewall des Servers muss den Port erlauben; das Standard-Gateway des Servers muss das UniFi-Gateway sein.<br />
<br />
== Schritt 2: Portweiterleitung anlegen ==<br />
''Settings › Policy Table'' › ''Create New Policy'' › '''Port Forwarding''' (in Network 9.3 unter ''Settings › Policy Engine › Port Forwarding''):<br />
{| class="wikitable"<br />
! Feld !! Beispiel !! Bedeutung<br />
|-<br />
| Name || ''Webserver HTTPS'' || sprechender Name<br />
|-<br />
| WAN Interface || WAN 1 || ein bestimmter oder alle WAN-Anschlüsse<br />
|-<br />
| Port (eingehend) || 443 || öffentlicher Port<br />
|-<br />
| From || ''Limited'': 203.0.113.0/24 || alle Absender oder nur bestimmte IP-Adressen<br />
|-<br />
| Forward IP Address || 10.10.60.10 || interner Server<br />
|-<br />
| Forward Port || 443 || Port auf dem Server (kann abweichen)<br />
|-<br />
| Protocol || TCP || TCP, UDP oder beides<br />
|-<br />
| Syslog || an || Verbindungen an einen Log-Server bzw. ein SIEM melden<br />
|}<br />
Die passende '''Firewall-Freigabe legt UniFi automatisch an'''. Ein öffentlicher Port kann nur an ein einziges internes Ziel gehen; mehrere öffentliche Ports dürfen aber auf denselben internen Port zeigen.<br />
<br />
== Schritt 3: Absichern ==<br />
* '''Absender einschränken''', wo immer möglich (Feld ''From''), z. B. auf die IP-Adressen eines Dienstleisters.<br />
* '''Länder sperren''': In der zonenbasierten Firewall eine Block-Richtlinie von External nach DMZ mit der Herkunft ''Region'' anlegen und oberhalb der automatisch erzeugten Freigabe einordnen.<br />
* '''IDS/IPS''' für das DMZ-Netz aktivieren, siehe [[UniFi: IDS/IPS und CyberSecure einrichten]].<br />
* '''Keine Verwaltungsoberflächen''' (Remotedesktop, SSH, NAS-Oberflächen, Kamerasysteme, Router) ins Internet stellen.<br />
* '''UPnP ausschalten''' (''Settings › Internet''): UPnP lässt Geräte im Netz selbst Ports öffnen. Ubiquiti empfiehlt, es abgeschaltet zu lassen – auch für Spielkonsolen.<br />
<br />
== Schritt 4: Testen ==<br />
* '''Von außen''' testen, z. B. über das Mobilfunknetz eines Smartphones oder einen externen Port-Scanner – nicht aus dem eigenen Netz.<br />
* Geht es nicht, der Reihe nach prüfen: öffentliche IP am WAN? Port bereits an ein anderes Ziel weitergeleitet oder von UPnP belegt? Blockiert der Provider den Port? Erlaubt die Server-Firewall die Verbindung? Hat der Server das richtige Standard-Gateway?<br />
<br />
== Zugriff von innen: Hairpin NAT ==<br />
Ruft ein Client im internen Netz die '''öffentliche''' Adresse oder den öffentlichen Namen auf, leitet das Gateway die Anfrage dank '''Hairpin NAT''' (ab Werk aktiv) trotzdem an den internen Server. Eleganter ist ein interner DNS-Eintrag, der den Namen direkt auf die interne Adresse auflöst (Split DNS) – das spart den Umweg über das Gateway, siehe [[UniFi: DNS-Einträge und lokale Hostnamen]].<br />
<br />
== Erweiterte NAT-Regeln ==<br />
Für Anschlüsse mit '''mehreren öffentlichen IP-Adressen''' (IP-Block) gibt es eigene NAT-Regeln unter ''Settings › Policy Table'' › ''Create New Policy'' › '''NAT''':<br />
{| class="wikitable"<br />
! Typ !! Wirkung !! Beispiel<br />
|-<br />
| '''Dest. NAT''' (DNAT) || ändert das Ziel eingehender Verbindungen || öffentliche IP 203.0.113.11 komplett auf Mailserver 10.10.60.20<br />
|-<br />
| '''Src. NAT''' (SNAT) || ändert die Absenderadresse ausgehender Verbindungen || Mailserver verschickt immer über 203.0.113.11 (passend zu SPF und Reverse DNS)<br />
|-<br />
| '''Masquerade''' || Absender wird die aktuelle WAN-Adresse – Standardverhalten für alle Netze || ein Netz über einen bestimmten WAN-Anschluss maskieren<br />
|}<br />
* Eine DNAT-Regel auf einem WAN-Interface erzeugt automatisch eine passende Firewall-Freigabe. Ist die Regel nicht auf Ports beschränkt, eigene Firewall-Richtlinien '''darüber''' anlegen, die nur die nötigen Ports zulassen.<br />
* '''NAT abschalten''' (Gerät › ''Settings › Global NAT Settings'': Auto, Custom, Off) ist nur sinnvoll, wenn das Gateway als interner Router arbeitet oder Netze mit öffentlichen Adressen geroutet werden – der vorgelagerte Router muss die Netze dann kennen (statische Route oder BGP).<br />
<br />
== Hinweise ==<br />
* '''Dokumentation:''' Jede Weiterleitung mit Zweck, Verantwortlichem und Prüfdatum dokumentieren; nicht mehr benötigte Weiterleitungen sofort löschen.<br />
* '''Zertifikate:''' Öffentliche Dienste nur per HTTPS mit gültigem Zertifikat anbieten; ein Reverse Proxy bündelt mehrere Webdienste hinter Port 443.<br />
* '''Vergleich:''' Die gleiche Aufgabe auf OPNsense beschreibt [[OPNsense - NAT und Portweiterleitungen]].<br />
* Bei der sicheren Veröffentlichung von Diensten, DMZ-Konzept und Firewall-Betrieb unterstützt Sie die [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[Ubiquiti UniFi]] – Überblick und alle Artikel der Reihe<br />
* [[UniFi: Zone-Based Firewall konfigurieren]]<br />
* [[UniFi: VPN für den Fernzugriff einrichten]]<br />
* [[UniFi: Cloud Gateway einrichten]]<br />
* [[Firewall]]<br />
<br />
== Links und Quellen ==<br />
* [https://help.ui.com/hc/en-us/articles/235723207-UniFi-Gateway-Port-Forwarding Ubiquiti Help Center: UniFi Gateway – Port Forwarding]<br />
* [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:Netzwerk-Hardware]]<br />
[[Kategorie:IT-Security]]<br />
</div>imported>TechCorner-Redaktion