imported>TechCorner-Redaktion: Neuer Artikel: ACL vs. Firewall, Ein-Klick-Isolation, MAC- und IP-ACLs, Layer-3-Switches

2026-10-16T00:00:00Z

Neuer Artikel: ACL vs. Firewall, Ein-Klick-Isolation, MAC- und IP-ACLs, Layer-3-Switches

Neue Seite

{{Steckbrief
| gilt_fuer = UniFi-Switches mit ACL-Unterstützung (alle außer Flex, Flex Mini, US-8, USW Industrial, USW Ultra) mit UniFi Network 10.x
| bereich = IT-Security
| dauer = ca. 30 Minuten
| rechte = Administrator in UniFi Network
| stand = Oktober 2026
}}
'''Switch-ACLs in UniFi einrichten''' bedeutet, Verkehr direkt am Switch zu erlauben oder zu blockieren – noch bevor er das Gateway erreicht. Das braucht man in zwei Fällen: um Geräte '''innerhalb desselben VLANs''' voneinander zu trennen, was die Firewall nicht kann, und um Netze zu trennen, die ein '''Layer-3-Switch''' direkt routet. Dieser Artikel erklärt den Unterschied zwischen ACLs und Firewall, die beiden Ein-Klick-Varianten, die Logik eigener ACL-Regeln und zwei vollständige Beispiele.

[[Datei:UniFi-Switch-ACLs.png|thumb|center|750px|Switch-ACLs in UniFi: Die zonenbasierte Firewall am Gateway prüft nur Verkehr zwischen Netzen und ins Internet; Verkehr zwischen zwei Geräten im selben VLAN oder zwischen Netzen, die ein Layer-3-Switch routet, sieht sie nicht. Dafür gibt es MAC-ACLs (innerhalb eines VLANs, werden zuerst ausgewertet) und IP-ACLs (zwischen Netzen), abgearbeitet von oben nach unten.]]

== ACL oder Firewall? ==
{| class="wikitable"
! Situation !! Werkzeug
|-
| Verkehr zwischen VLANs, die das '''Gateway''' routet || [[UniFi: Zone-Based Firewall konfigurieren|Zone-Based Firewall]] – zustandsbehaftet, mit Ports, Anwendungen, Logging
|-
| Geräte '''im selben VLAN''' sollen sich nicht erreichen (Kameras, IoT, Gäste am Kabel) || '''MAC-ACL''' bzw. ''Device Isolation (ACL)''
|-
| VLANs, die ein '''Layer-3-Switch''' routet || '''IP-ACL''' bzw. ''L3 Network Isolation (ACL)'' – die Gateway-Firewall sieht diesen Verkehr nicht
|-
| sehr latenzkritische Trennung zwischen VLANs || IP-ACL am Switch spart den Weg über das Gateway
|}
ACLs sind '''zustandslos''': Sie prüfen jedes Paket einzeln und kennen keine „Antwort auf erlaubte Verbindung“. Wer mit ACLs nur eine Richtung sperrt, muss die Gegenrichtung bewusst mitdenken.

== Voraussetzungen ==
* UniFi-Switch mit ACL-Unterstützung: '''nicht''' Flex, Flex Mini, US-8, USW Industrial und USW Ultra (inkl. Ultra-60W/-210W).
* An den Switch-Ports von Gateways und In-Wall-Access-Points gibt es keine ACLs.
* Für die Ein-Klick-Varianten muss mindestens ein Netz von einem UniFi-Gateway oder einem Layer-3-UniFi-Switch geroutet werden.

== Variante 1: Ein-Klick-ACLs ==
Unter ''Settings › Networks'' beim jeweiligen Netz:
{| class="wikitable"
! Option !! Wirkung !! Einsatz
|-
| '''Device Isolation (ACL)''' || Geräte im selben Netz können nicht miteinander kommunizieren; Gateway und Internet bleiben erreichbar || Gäste, Kameras, IoT, Kassensysteme
|-
| '''L3 Network Isolation (ACL)''' || blockiert IPv4-Verkehr zwischen diesem Netz und anderen Netzen direkt am Switch || Netze hinter einem Layer-3-Switch
|}
Das genügt für die meisten Fälle. Eigene Regeln sind nur nötig, wenn Ausnahmen gebraucht werden – etwa ein zentraler Rekorder, der alle Kameras erreichen muss.

== Variante 2: Eigene ACL-Regeln ==
ACL-Regeln werden wie Firewall-Richtlinien in der Richtlinienverwaltung angelegt (ab Network 9.4 ''Settings › Policy Table'' › ''Create New Policy'' › ''ACL''; die genaue Bezeichnung kann je nach Version abweichen).

=== Regeln für die Regeln ===
* Abarbeitung '''von oben nach unten'''; die erste passende Regel entscheidet.
* '''Spezifische Allow-Regeln zuerst''', danach die allgemeine Block-Regel. Eine Block-Regel mit Quelle ''Any'' und Ziel ''Any'' ohne vorherige Ausnahmen legt das Netz lahm.
* '''MAC-ACLs werden vor IP-ACLs''' ausgewertet.
* Auf das '''Netz, über das die UniFi-Geräte verwaltet werden''' (meist ''Default''), lassen sich keine MAC-ACLs anwenden – Geräte, die isoliert werden sollen, gehören deshalb in ein eigenes VLAN.

=== Beispiel A: Geräte im selben VLAN isolieren (MAC-ACL) ===
Netz ''Kameras'': Die Kameras sollen nur mit dem Gateway (DHCP, DNS, Internet) und dem Rekorder sprechen, nicht untereinander.
{| class="wikitable"
! Nr. !! Aktion !! Netz !! Quelle !! Ziel !! Zweck
|-
| 1 || Allow || Kameras || MAC des Gateways || Any || Gateway erreicht alle Kameras
|-
| 2 || Allow || Kameras || Any || MAC des Gateways || Kameras erreichen das Gateway
|-
| 3 || Allow || Kameras || Any || <code>ff:ff:ff:ff:ff:ff</code> || Broadcasts, z. B. DHCP-Anfragen
|-
| 4 || Allow || Kameras || MAC des Rekorders || Any || Rekorder erreicht alle Kameras
|-
| 5 || Allow || Kameras || Any || MAC des Rekorders || Kameras erreichen den Rekorder
|-
| 6 || Block || Kameras || Any || Any || alles andere im Netz blockieren
|}
Switch-Auswahl jeweils ''All Switches''. Regeln 1–3 und 6 entsprechen dem Beispiel von Ubiquiti; 4 und 5 sind die Ausnahme für den Rekorder.

=== Beispiel B: zwei Netze am Layer-3-Switch trennen (IP-ACL) ===
Ein Layer-3-Switch routet die Netze ''Clients'' und ''IoT'' selbst. Der Verkehr zwischen ihnen erreicht das Gateway nie – Firewall-Richtlinien greifen hier nicht.
{| class="wikitable"
! Nr. !! Aktion !! Protokoll !! Quelle !! Ziel
|-
| 1 || Block || All || Netz Clients || Netz IoT
|-
| 2 || Block || All || Netz IoT || Netz Clients
|}
Weil ACLs zustandslos sind, blockieren beide Regeln zusammen jede Kommunikation. Muss ein Client ein IoT-Gerät steuern, vor Regel 1 und 2 je eine Allow-Regel für die konkreten IP-Adressen und Ports in '''beiden''' Richtungen anlegen – oder das Netz vom Gateway routen lassen und die zustandsbehaftete Firewall nutzen.

== Layer-3-Switches: was sich ändert ==
Wird bei einem Netz unter ''Router'' ein Layer-3-UniFi-Switch gewählt, routet dieser das Netz selbst. UniFi legt dafür automatisch ein Transfernetz an (Standard <code>10.255.253.0/24</code>, VLAN '''4040''', Gateway .1, erster L3-Switch .2).
* Verkehr '''zwischen''' Netzen desselben L3-Switches läuft nicht über das Gateway – keine Firewall, kein IDS/IPS, keine Anwendungserkennung.
* Der L3-Switch macht kein NAT; das Gateway erreicht die Netze über statische Routen.
* Für Netze mit Sicherheitsanforderungen ist das Routing am Gateway mit Zone-Based Firewall daher meist die bessere Wahl; Layer-3-Routing am Switch passt für hohe Bandbreiten zwischen vertrauenswürdigen Netzen (z. B. Server und Speicher).

== Testen ==
* Zwei Testgeräte im isolierten Netz: Ping zueinander muss scheitern, Internet und Gateway müssen funktionieren.
* DHCP prüfen: Ein neu verbundenes Gerät muss eine Adresse erhalten (sonst fehlt die Broadcast-Regel).
* Ausnahmen gezielt prüfen (Rekorder sieht Kameras).
* Nach jeder Änderung an der Reihenfolge erneut testen.

== Hinweise ==
* '''WLAN:''' Für Geräte am selben Access Point gibt es zusätzlich ''Client Device Isolation'' in der SSID, siehe [[UniFi: Gäste-WLAN und Hotspot-Portal]].
* '''Port Isolation''' im Port Manager trennt einzelne Ports desselben Switches – eine einfache Alternative für wenige Geräte.
* '''Dokumentation:''' ACLs sind unsichtbarer als Firewall-Regeln. Jede Regel mit Zweck und Verantwortlichem dokumentieren.
* Bei Segmentierung, Isolation von Kameras und IoT und der Prüfung bestehender Regelwerke unterstützt Sie die [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Beratung von m.a.x. it].

== Siehe auch ==
* [[Ubiquiti UniFi]] – Überblick und alle Artikel der Reihe
* [[UniFi: VLANs einrichten]]
* [[UniFi: Zone-Based Firewall konfigurieren]]
* [[UniFi: Switch-Ports und Port-Profile konfigurieren]]
* [[Netzwerksegmentierung]]

== Links und Quellen ==
* [https://help.ui.com/hc/en-us/articles/23352709241495-UniFi-Switches-and-Access-Control-Lists-ACLs Ubiquiti Help Center: UniFi Switches and Access Control Lists (ACLs)]
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]
[[Kategorie:IT-Security]]

UniFi: Switch-ACLs einrichten - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: ACL vs. Firewall, Ein-Klick-Isolation, MAC- und IP-ACLs, Layer-3-Switches