imported>TechCorner-Redaktion: Neuer Artikel: Netzplan, Virtual Networks, Ports und SSIDs zuordnen, Isolation, typische Fehler

2026-10-16T00:00:00Z

Neuer Artikel: Netzplan, Virtual Networks, Ports und SSIDs zuordnen, Isolation, typische Fehler

Neue Seite

{{Steckbrief
| gilt_fuer = UniFi Network 10.x mit UniFi Cloud Gateway bzw. UniFi-Gateway; UniFi-Switches und Access Points
| bereich = Netzwerk-Hardware
| dauer = ca. 30–60 Minuten für einen typischen Netzplan
| rechte = Administrator in UniFi Network
| stand = Oktober 2026
}}
'''VLANs in UniFi einrichten''' bedeutet, das Netz in getrennte logische Netze aufzuteilen – UniFi nennt sie ''Virtual Networks''. Typisch sind eigene Netze für Arbeitsplätze, Telefonie, Server, IoT-Geräte und Gäste. Das UniFi-Gateway übernimmt Routing und DHCP, Switch-Ports und WLAN-SSIDs ordnen die Geräte den Netzen zu, und die Firewall regelt, wer mit wem sprechen darf. Dieser Artikel zeigt einen Netzplan, die Einrichtung, die Zuordnung und die häufigsten Fehler.

[[Datei:UniFi-VLANs-einrichten.png|thumb|center|750px|VLANs in UniFi: Das Gateway routet die Virtual Networks Default, Clients, VoIP, Server, IoT und Gäste; Switch-Ports ordnen Geräte über das native VLAN zu, Uplinks zu Switches und Access Points übertragen alle VLANs getaggt, jede SSID ist einem Netz zugeordnet.]]

== Beispiel-Netzplan ==
{| class="wikitable"
! Name !! VLAN-ID !! Netz !! Zweck !! Firewall-Zone
|-
| Default || 1 (untagged) || 10.10.1.0/24 || Verwaltung von Gateway, Switches und APs || Internal
|-
| Clients || 10 || 10.10.10.0/24 || Arbeitsplätze, Notebooks || Internal
|-
| VoIP || 20 || 10.10.20.0/24 || Telefone || Internal
|-
| Server || 30 || 10.10.30.0/24 || Server, NAS, Drucker || eigene Zone ''Server''
|-
| IoT || 40 || 10.10.40.0/24 || Gebäudetechnik, TVs, Sensoren || eigene Zone ''IoT''
|-
| Gäste || 50 || 10.10.50.0/24 || Gäste-WLAN || Hotspot
|}
* Die dritte Stelle der Adresse entspricht der VLAN-ID – das erleichtert die Fehlersuche.
* Das '''Default'''-Netz bleibt als Verwaltungsnetz für die UniFi-Geräte bestehen; Clients gehören in eigene Netze.

== Schritt 1: Virtual Network anlegen ==
# ''Settings › Networks'' › ''New Virtual Network''.
# '''Name''' vergeben, z. B. ''Clients''.
# '''VLAN ID''' setzen, z. B. 10.
# '''Gateway IP/Subnet''' eintragen, z. B. <code>10.10.10.1/24</code>; der DHCP-Bereich wird vorgeschlagen und kann angepasst werden.
# Optional: DHCP-Optionen (DNS-Server, Domänenname, Option 43), Content Filtering, Network Isolation, mDNS, IGMP Snooping.
# ''Apply Changes''.
Ein neues Netz ist zunächst nirgends zugeordnet – Geräte landen erst darin, wenn ein Port oder eine SSID es nutzt.

=== Optionen pro Netz ===
{| class="wikitable"
! Option !! Wirkung
|-
| '''Network Isolation''' || blockiert per Firewall den Verkehr zwischen diesem Netz und allen anderen; Internet bleibt erlaubt – schnellste Lösung für Gäste und IoT
|-
| '''mDNS''' || leitet Gerätesuche (AirPlay, AirPrint, Chromecast, Sonos …) zwischen ausgewählten Netzen weiter; Modus ''Auto'' beschränkt auf gängige Dienste
|-
| '''IGMP Snooping''' || leitet Multicast nur an Ports mit Empfängern; wichtig für IPTV und AV-Systeme
|-
| '''Device Isolation (ACL)''' || Switches blockieren Verkehr zwischen Geräten '''innerhalb''' des VLANs
|-
| '''L3 Network Isolation (ACL)''' || Switches blockieren IPv4-Verkehr zu anderen Netzen direkt am Switch, ohne Firewall
|-
| '''Third-party Gateway''' || Netz existiert nur als VLAN; Routing und DHCP macht eine fremde Firewall (z. B. [[OPNsense - Eine kurze Einführung|OPNsense]])
|}

== Schritt 2: Switch-Ports zuordnen ==
In UniFi gibt es keine Unterscheidung „Access“ oder „Trunk“ als Modus, sondern zwei Einstellungen pro Port:
* '''Native VLAN / Network''': das Netz für ungetaggten Verkehr – hier landet ein angeschlossener PC.
* '''Tagged VLAN Management''': welche weiteren VLANs getaggt erlaubt sind:
** ''Allow All'' (Standard) – alle VLANs, für Uplinks zu Switches und Access Points,
** ''Block All'' – nur das native VLAN, für Endgeräte (klassischer Access-Port),
** ''Custom'' – nur ausgewählte VLANs.
Einstellung im Port Manager: ''UniFi Devices'' › Switch › ''Ports'' › Port auswählen. Für viele gleiche Ports besser ein '''Port-Profil''' anlegen – siehe [[UniFi: Switch-Ports und Port-Profile konfigurieren]].

== Schritt 3: SSIDs zuordnen ==
Unter ''Settings › WiFi'' bei jeder SSID im Feld '''Network''' das Netz wählen. Jede SSID gehört zu genau einem VLAN. Mehrere VLANs auf einer SSID sind mit PPSK (ein Passwort pro VLAN, nur WPA2) oder per RADIUS möglich – siehe [[UniFi: WLAN einrichten und optimieren]].

== Schritt 4: Netze voneinander trennen ==
Ab Werk dürfen sich alle Netze der Zone ''Internal'' gegenseitig erreichen. Für die Trennung gibt es mehrere Werkzeuge:
* '''Network Isolation''' pro Netz – ein Schalter, ideal für Gäste und einfache IoT-Netze.
* '''Zone-Based Firewall''' – feine Regeln, z. B. „Clients dürfen auf Server Port 443 und 445“, siehe [[UniFi: Zone-Based Firewall konfigurieren]].
* '''Switch-ACLs''' – Trennung direkt am Switch, auch innerhalb eines VLANs, siehe [[UniFi: Switch-ACLs einrichten]].
* '''Client Device Isolation''' im WLAN – Geräte am selben AP sehen sich nicht.

== Typische Fehler ==
{| class="wikitable"
! Symptom !! Ursache !! Lösung
|-
| Clients kommen nicht ins WLAN bzw. bekommen keine Adresse || Das VLAN der SSID ist am Uplink-Port des AP als '''natives''' VLAN eingestellt || Uplink-Port des AP: Native = Default, Tagged = Allow All
|-
| ebenso || Das VLAN ist an einem Port auf dem Weg zum Gateway nicht erlaubt (Tagged = Block All oder Custom ohne dieses VLAN) || alle Ports bis zum Gateway prüfen
|-
| Switch oder AP offline nach ''Network Override'' || Management-VLAN ist am eigenen Port nativ gesetzt oder upstream nicht erlaubt || per VLAN Viewer prüfen; notfalls Gerät zurücksetzen
|-
| Drucker/AirPlay in anderem VLAN nicht sichtbar || mDNS nicht weitergeleitet || mDNS für beide Netze aktivieren und Firewall-Regel für den Dienst anlegen, siehe [[UniFi: mDNS, AirPlay und Chromecast über VLANs]]
|}
Der '''VLAN Viewer''' im Bereich ''Ports'' zeigt für alle Ports, welche VLANs nativ und getaggt sind. Bei Problemen den Weg vom betroffenen Gerät bis zum Gateway Port für Port verfolgen.

== Fremde Switches im UniFi-Netz ==
Hängen Switches anderer Hersteller zwischen UniFi-Geräten, müssen die VLANs dort von Hand angelegt und an den Uplinks getaggt werden; das native VLAN muss auf beiden Seiten übereinstimmen. UniFi-Switches erlauben dagegen ab Werk alle VLANs.

== Hinweise ==
* '''VLAN Magic:''' Für kleine Netze lassen sich VLANs auch über die Topologie-Ansicht anlegen und Geräte per Klick zuordnen; hinter USW Flex, Flex Mini und Ultra funktioniert das nicht.
* '''Feste VLAN-Zuordnung per MAC-Adresse''' ist über RADIUS (802.1X/MAB) oder ''Virtual Network Override'' am Gateway möglich.
* '''Netz nachträglich ändern:''' Adressbereiche lassen sich ändern, betroffene Geräte brauchen aber eine neue Adresse. Den Adressplan deshalb vor dem Rollout festlegen.
* Bei Segmentierungskonzept, Firewall-Regeln und Umsetzung unterstützt Sie die [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Beratung von m.a.x. it].

== Siehe auch ==
* [[Ubiquiti UniFi]] – Überblick und alle Artikel der Reihe
* [[UniFi: Switch-Ports und Port-Profile konfigurieren]]
* [[UniFi: Zone-Based Firewall konfigurieren]]
* [[VLAN]]
* [[Netzwerksegmentierung]]

== Links und Quellen ==
* [https://help.ui.com/hc/en-us/articles/9761080275607-Creating-Virtual-Networks-VLANs Ubiquiti Help Center: Creating Virtual Networks (VLANs)]
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]

UniFi: VLANs einrichten - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: Netzplan, Virtual Networks, Ports und SSIDs zuordnen, Isolation, typische Fehler