https://techcorner.max-it.de/index.php?action=history&feed=atom&title=UniFi%3A_VPN_f%C3%BCr_den_Fernzugriff_einrichtenUniFi: VPN für den Fernzugriff einrichten - Versionsgeschichte2026-10-19T05:22:41ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=UniFi:_VPN_f%C3%BCr_den_Fernzugriff_einrichten&diff=4759&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: WireGuard-Server, Teleport, OpenVPN, Split Tunneling, Firewall-Zone VPN2026-10-16T00:00:00Z<p>Neuer Artikel: WireGuard-Server, Teleport, OpenVPN, Split Tunneling, Firewall-Zone VPN</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = UniFi Cloud Gateways und UniFi-Gateways mit UniFi Network 10.x; Clients unter Windows, macOS, iOS, Android, Linux<br />
| bereich = IT-Security<br />
| dauer = ca. 30 Minuten für Server und ersten Client<br />
| rechte = Administrator in UniFi Network; öffentliche IP-Adresse am Gateway (außer Teleport)<br />
| stand = Oktober 2026<br />
}}<br />
'''Ein VPN für den Fernzugriff mit UniFi einrichten''' ermöglicht Mitarbeitern im Home-Office oder unterwegs einen verschlüsselten Zugang zu Servern und Anwendungen im Firmennetz – ohne dass dafür Dienste per Portweiterleitung ins Internet gestellt werden. Das UniFi-Gateway bringt dafür mehrere VPN-Server mit: '''WireGuard''', '''OpenVPN''', '''L2TP''' sowie die Ein-Klick-Lösung '''Teleport'''. Dieser Artikel vergleicht die Varianten, zeigt die Einrichtung von WireGuard Schritt für Schritt und erklärt, wie man den Zugriff der VPN-Benutzer mit der Firewall begrenzt.<br />
<br />
[[Datei:UniFi-VPN-Fernzugriff.png|thumb|center|750px|VPN-Fernzugriff mit UniFi: Mitarbeiter verbinden sich per WireGuard (UDP 51820), OpenVPN (1194) oder Teleport über die WiFiman-App mit dem Cloud Gateway; VPN-Clients landen in der Firewall-Zone VPN, Richtlinien erlauben nur die benötigten Server. Für WireGuard und OpenVPN braucht das Gateway eine öffentliche IP-Adresse oder eine Portweiterleitung am vorgelagerten Router.]]<br />
<br />
== Welcher VPN-Server? ==<br />
{| class="wikitable"<br />
! Variante !! Technik !! Stärken !! Grenzen !! Empfehlung<br />
|-<br />
| '''WireGuard''' || WireGuard, UDP 51820 || schnell, schlanke Clients für alle Systeme, Konfiguration per Datei oder QR-Code || ein Schlüsselpaar pro Gerät, keine Benutzeranmeldung mit Passwort || '''Standard für Firmen-Notebooks'''<br />
|-<br />
| '''Teleport''' || WireGuard über die WiFiman-App || Einladung per Link, funktioniert auch hinter NAT ohne öffentliche IP || Einladung 24 h gültig, ein Gerät pro Einladung, an WiFiman gebunden || Administratoren, kleine Teams, Standorte ohne öffentliche IP<br />
|-<br />
| '''OpenVPN''' || OpenVPN, Port 1194 || weit verbreitet, viele Clients || langsamer als WireGuard || wenn ein vorhandener OpenVPN-Client vorgeschrieben ist<br />
|-<br />
| '''L2TP''' || L2TP/IPsec || in Betriebssystemen eingebaut || veraltet, Probleme hinter NAT, schwindende Unterstützung || nicht mehr neu einrichten<br />
|}<br />
Für Organisationen mit zentraler Benutzerverwaltung bietet Ubiquiti zusätzlich '''UniFi Identity''' mit Ein-Klick-VPN und Anbindung an Microsoft Entra ID oder Google Workspace samt Mehr-Faktor-Anmeldung, siehe [[UniFi: Identity und UniFi Endpoint einrichten]].<br />
<br />
== Voraussetzungen ==<br />
* '''Öffentliche IP-Adresse''' am WAN des Gateways (bei WireGuard und OpenVPN), möglichst statisch oder mit DynDNS-Namen.<br />
* Steht ein Provider-Router davor: dort UDP 51820 (WireGuard) bzw. 1194 (OpenVPN) auf die WAN-Adresse des UniFi-Gateways weiterleiten. Ubiquiti empfiehlt aber ausdrücklich eine öffentliche Adresse direkt am Gateway.<br />
* Ein '''eigenes Adressnetz für VPN-Clients''', das sich mit keinem internen Netz und möglichst nicht mit typischen Heimnetzen (192.168.0.0/24, 192.168.178.0/24) überschneidet, z. B. <code>10.10.99.0/24</code>.<br />
<br />
== Schritt 1: WireGuard-Server anlegen ==<br />
# ''Settings › VPN › VPN Server'' › ''Create New'', Typ '''WireGuard'''.<br />
# '''Name''', z. B. ''Mitarbeiter-VPN''.<br />
# '''Server Address''': WAN-Adresse des Gateways bzw. bei dynamischer Adresse den DynDNS-Namen.<br />
# '''Port''': 51820 (Standard).<br />
# '''Gateway/Subnet''' für die VPN-Clients: <code>10.10.99.1/24</code>.<br />
# '''DNS''': das Gateway oder der interne DNS-Server (z. B. Domänencontroller), damit interne Namen aufgelöst werden.<br />
# Speichern.<br />
<br />
== Schritt 2: Clients anlegen und verteilen ==<br />
# Im WireGuard-Server ''Add Client'': ein Eintrag '''pro Gerät''' mit sprechendem Namen, z. B. ''nb-mueller''.<br />
# Die Konfiguration als Datei herunterladen bzw. auf Smartphones den '''QR-Code''' mit der WireGuard-App scannen.<br />
# Auf dem Notebook den WireGuard-Client installieren (wireguard.com) und die Datei importieren.<br />
# Verbindung aktivieren und einen internen Server per Namen aufrufen.<br />
Die Konfigurationsdatei enthält den privaten Schlüssel des Geräts – sie gehört nicht in E-Mails oder Chats, sondern wird über einen sicheren Kanal übergeben oder direkt am Gerät eingerichtet.<br />
<br />
=== Gesamter Verkehr oder nur Firmennetz? ===<br />
Über die Zeile <code>AllowedIPs</code> in der Client-Konfiguration wird festgelegt, was durch den Tunnel geht:<br />
<syntaxhighlight lang="ini"><br />
[Peer]<br />
# alles durch den Tunnel (Internet läuft über die Firma)<br />
AllowedIPs = 0.0.0.0/0<br />
# nur Firmennetze durch den Tunnel (Split Tunneling)<br />
# AllowedIPs = 10.10.0.0/16<br />
</syntaxhighlight><br />
Split Tunneling entlastet den Internetanschluss der Firma; der volle Tunnel sorgt dafür, dass auch der Internetverkehr über Firewall, IDS/IPS und Inhaltsfilter des Gateways läuft. Welche Variante gilt, legt die Sicherheitsrichtlinie fest.<br />
<br />
== Schritt 3: Teleport für Administratoren (optional) ==<br />
# ''Settings › VPN'' › '''Teleport''' aktivieren.<br />
# Einladung erzeugen und dem Empfänger schicken. Ist die WiFiman-App (Mobil oder Desktop) installiert, wird das VPN automatisch eingetragen.<br />
# Einladungen gelten 24 Stunden und für ein Gerät. Offene Einladungen lassen sich in der Einladungshistorie widerrufen, angenommene über den Teleport-Client in der Geräteliste.<br />
Teleport funktioniert auch, wenn Gateway und Client hinter NAT sitzen; in manchen Fällen braucht das Gateway dafür IPv6 auf dem WAN.<br />
<br />
== Schritt 4: Zugriff mit der Firewall begrenzen ==<br />
VPN-Clients landen in der Firewall-Zone '''VPN'''. Ab Werk dürfen sie alle internen Netze erreichen (VPN › Internal = ''Allow All''). Für ein Least-Privilege-Konzept:<br />
{| class="wikitable"<br />
! Richtlinie !! Quelle !! Ziel !! Ports !! Aktion<br />
|-<br />
| VPN zu Dateiserver und Terminalserver || VPN || Server-Zone, IP-Gruppe Server || TCP 443, 445, 3389 || Allow<br />
|-<br />
| VPN-Admins voll || VPN, IP-Adressen der Admin-Clients || Internal, Server || Any || Allow<br />
|-<br />
| VPN Rest blockieren || VPN || Internal, Server, IoT || Any, Connection State New || Block<br />
|}<br />
Feste Adressen pro VPN-Client erleichtern solche Regeln. Details zu Zonen und Reihenfolge: [[UniFi: Zone-Based Firewall konfigurieren]].<br />
<br />
== Kontrolle und Fehlersuche ==<br />
* In UniFi Network erscheinen verbundene VPN-Clients in der Client-Liste mit ihrer Tunnel-Adresse.<br />
* '''Keine Verbindung''': Port am vorgelagerten Router weitergeleitet? Ändert sich die öffentliche Adresse? Ist der Client im Hotel-WLAN, das UDP blockiert?<br />
* '''Verbindung steht, aber kein Zugriff''': Firewall-Richtlinien der Zone VPN, DNS-Einstellung des Servers und Überschneidung des VPN-Netzes mit dem Heimnetz des Benutzers prüfen.<br />
* '''Langsame Verbindung''': MTU-Probleme bei Mobilfunk – im Client einen kleineren MTU-Wert (z. B. 1380) testen.<br />
<br />
== Hinweise ==<br />
* '''Geräte verwalten:''' Bei Verlust eines Notebooks oder Austritt eines Mitarbeiters den zugehörigen WireGuard-Client sofort löschen. Eine Liste „Gerät – Benutzer – Ausgabedatum“ führen.<br />
* '''Keine Portweiterleitungen für RDP und Co.:''' Dienste wie Remotedesktop gehören hinter das VPN, nicht direkt ins Internet; wann eine Weiterleitung vertretbar ist, zeigt [[UniFi: Portweiterleitung und NAT konfigurieren]].<br />
* '''VPN-Client-Funktion:''' Umgekehrt kann das Gateway selbst als WireGuard- oder OpenVPN-Client zu einem externen Anbieter verbinden (bis zu 8 Verbindungen); ausgewählter Verkehr wird dann per ''Traffic Route'' dorthin geleitet.<br />
* '''Vergleich:''' Dieselbe Aufgabe mit OPNsense zeigt [[OPNsense - WireGuard Site-to-Site und Road Warrior]].<br />
* Bei sicherem Fernzugriff, Zugriffskonzept und Mehr-Faktor-Anmeldung unterstützt Sie die [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[Ubiquiti UniFi]] – Überblick und alle Artikel der Reihe<br />
* [[UniFi: Standorte per Site-to-Site-VPN verbinden]]<br />
* [[UniFi: Zone-Based Firewall konfigurieren]]<br />
* [[WireGuard]]<br />
* [[VPN]]<br />
<br />
== Links und Quellen ==<br />
* [https://help.ui.com/hc/en-us/articles/115005445768-UniFi-Gateway-WireGuard-VPN-Server Ubiquiti Help Center: UniFi Gateway – WireGuard VPN Server]<br />
* [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:Netzwerk-Hardware]]<br />
[[Kategorie:IT-Security]]<br />
</div>imported>TechCorner-Redaktion