imported>TechCorner-Redaktion: Neuer Artikel: Zonen, Zonenmatrix, Richtlinien, eigene Zonen, Migration alter Regeln

2026-10-16T00:00:00Z

Neuer Artikel: Zonen, Zonenmatrix, Richtlinien, eigene Zonen, Migration alter Regeln

Neue Seite

{{Steckbrief
| gilt_fuer = UniFi Cloud Gateways und UniFi-Gateways mit UniFi Network 9.0 oder neuer (Stand: 10.x), Gateway-Firmware 4.1 oder neuer
| bereich = IT-Security
| dauer = ca. 1 Stunde für ein Grundregelwerk
| rechte = Administrator in UniFi Network
| stand = Oktober 2026
}}
'''Die Zone-Based Firewall in UniFi''' fasst Netze, WAN-Anschlüsse und VPNs zu '''Zonen''' zusammen und regelt den Verkehr zwischen diesen Zonen mit Richtlinien (''Policies''). Statt für jedes VLAN einzelne Regeln zu pflegen, legt man fest, was etwa die Zone ''IoT'' in der Zone ''Internal'' darf. Die '''Zonenmatrix''' zeigt auf einen Blick, welche Zonen sich erreichen. Dieser Artikel erklärt die eingebauten Zonen und Standardregeln, zeigt ein Regelwerk mit eigenen Zonen für Server und IoT und beschreibt die Migration alter Firewall-Regeln.

[[Datei:UniFi-Zone-Based-Firewall.png|thumb|center|750px|Zone-Based Firewall in UniFi: Die Zonenmatrix zeigt Quellzonen als Zeilen und Zielzonen als Spalten – Internal, External, Gateway, VPN, Hotspot, DMZ sowie eigene Zonen Server und IoT; Richtlinien mit Aktion Allow, Block oder Reject, Ports, Verbindungsstatus und automatischer Rückverkehrsfreigabe, ausgewertet von oben nach unten.]]

== Voraussetzungen ==
* UniFi Cloud Gateway oder UniFi-Gateway mit UniFi Network '''9.0 oder neuer''' und Gateway-Firmware 4.1 oder neuer.
* Die Netze (VLANs) sind angelegt, siehe [[UniFi: VLANs einrichten]].
* Wer von einer älteren Version kommt, muss einmalig migrieren (siehe unten).

== Die eingebauten Zonen ==
{| class="wikitable"
! Zone !! Inhalt
|-
| '''Internal''' || vertrauenswürdige interne Netze – ab Werk alle neu angelegten Netze
|-
| '''External''' || Internet über die WAN-Anschlüsse, auch VPN-Verbindungen zu Anbietern
|-
| '''Gateway''' || das Gateway selbst: DHCP, DNS, Verwaltungsoberfläche, SSH
|-
| '''VPN''' || VPN-Benutzer (WireGuard, OpenVPN, L2TP, Identity One-Click VPN) und Standortvernetzungen (Site Magic, IPsec)
|-
| '''Hotspot''' || Gäste-Netze mit eingeschränktem Zugriff
|-
| '''DMZ''' || aus dem Internet erreichbare Server, z. B. Web- oder Mailserver
|}
Die eingebauten Zonen (Schloss-Symbol) lassen sich nicht löschen. Zusätzlich sind '''eigene Zonen''' möglich, insgesamt höchstens 30. Jedes Netz gehört zu genau einer Zone.

== Die Zonenmatrix und die Standardregeln ==
Zeilen sind Quellzonen, Spalten Zielzonen. Ab Werk gilt:
{| class="wikitable"
! Von ↓ / nach → !! Internal !! External !! Gateway !! VPN !! Hotspot !! DMZ
|-
| '''Internal''' || Allow All || Policies || Allow All || Allow All || Allow All || Allow All
|-
| '''External''' || Policies || Policies || Policies || Policies || Policies || Policies
|-
| '''Gateway''' || Allow All || Allow All || – || Allow All || Allow All || Allow All
|-
| '''VPN''' || Allow All || Policies || Allow All || Allow All || Allow All || Allow All
|-
| '''Hotspot''' || nur Antworten || Policies || Policies || nur Antworten || Block All || Block All
|-
| '''DMZ''' || nur Antworten || Policies || Policies || nur Antworten || Block All || Block All
|}
* ''Policies'' bedeutet: eingebaute Einzelregeln. Von innen ins Internet ist alles erlaubt außer ungültigen Verbindungen; aus dem Internet nach innen nur Antworten auf bestehende Verbindungen (''established/related''), alles andere wird blockiert.
* ''Nur Antworten'' (''Allow Return Traffic''): Die Zielzone darf auf Verbindungen antworten, aber selbst keine aufbauen.
* '''Wichtig:''' Innerhalb der Zone ''Internal'' darf ab Werk jedes Netz jedes andere erreichen. Wer VLANs trennen will, braucht eigene Zonen oder Richtlinien.
* Portweiterleitungen, VPN-Server oder IPTV erzeugen automatisch weitere eingebaute Richtlinien.

== Richtlinien anlegen ==
Pfad (UniFi Network 9.4 und neuer): ''Settings › Zones'' › ''Create Policy'' oder ''Settings › Policy Table'' › ''Create New Policy''. In UniFi Network 11 sind die Einträge der früheren ''Policy Engine'' als normale Menüpunkte unter ''Settings'' einsortiert.
{| class="wikitable"
! Feld !! Optionen
|-
| '''Source / Destination Zone''' || Quell- und Zielzone, verfeinert durch Any, Network, Device, IP oder MAC
|-
| '''Port''' || Any, einzelne Ports oder eine Port-Liste (Objekt)
|-
| '''Ziel als App, Domain oder Region''' || Anwendungen, Domänen (''Web'') oder Länder
|-
| '''Action''' || '''Allow''', '''Block''' (verwerfen, ohne Antwort) oder '''Reject''' (ablehnen mit Rückmeldung)
|-
| '''Auto Allow Return Traffic''' || nur bei Allow: legt die Rückrichtung automatisch an
|-
| '''IP Version''' || IPv4, IPv6 oder beide
|-
| '''Protocol''' || alle, TCP, UDP, ICMP …
|-
| '''Connection State''' || All, New, Established, Related, Invalid – oder eine Auswahl
|-
| '''Syslog Logging''' || Treffer an einen Syslog-Server bzw. ein SIEM senden
|-
| '''Schedule''' || zeitgesteuert, z. B. nur zu Geschäftszeiten
|}
'''Reihenfolge:''' Eigene Richtlinien stehen vor den eingebauten und werden von oben nach unten ausgewertet; die erste passende entscheidet. Mit ''Reorder'' lässt sich die Reihenfolge ändern. Eingebaute Richtlinien sind nicht änderbar, können aber durch höher stehende eigene übersteuert werden.

== Beispiel: Server- und IoT-Zone ==
Ziel: Arbeitsplätze erreichen Server nur auf bestimmten Ports, IoT-Geräte kommen nur ins Internet, Server dürfen nicht von sich aus zu den Clients.

=== Schritt 1: Eigene Zonen anlegen ===
# In der Firewall-Übersicht ''Create Zone'': Name ''Server'', Netz ''Server'' (VLAN 30) zuordnen.
# Ebenso Zone ''IoT'' mit Netz ''IoT'' (VLAN 40).
# Gäste-Netz der Zone ''Hotspot'' zuordnen, falls noch nicht geschehen.
Nach dem Anlegen in der Zonenmatrix prüfen, welche Standardwerte für die neuen Zonen gelten, und die folgenden Richtlinien ausdrücklich anlegen – so ist das Regelwerk unabhängig von Standardwerten dokumentiert.

=== Schritt 2: Richtlinien ===
{| class="wikitable"
! Nr. !! Name !! Quelle !! Ziel !! Ports/Protokoll !! Aktion
|-
| 1 || Clients zu Servern || Internal, Netz Clients || Server || TCP 443, 445, 3389 (Port-Liste) || Allow + Auto Allow Return Traffic
|-
| 2 || Admins zu Servern || Internal, IP-Gruppe Admin-PCs || Server || Any || Allow + Auto Allow Return Traffic
|-
| 3 || Server zu Internal blocken || Server || Internal || Any, Connection State ''New'' || Block
|-
| 4 || IoT ins Internet || IoT || External || Any || Allow
|-
| 5 || IoT zu Internal blocken || IoT || Internal || Any, Connection State ''New'' und ''Invalid'' || Block
|-
| 6 || IoT zu Servern blocken || IoT || Server || Any || Block
|-
| 7 || Steuerung der IoT-Geräte || Internal, Netz Clients || IoT || Any || Allow + Auto Allow Return Traffic
|}
* Bei Block-Regeln innerhalb oder zwischen internen Zonen nur '''New''' (und ''Invalid'') blockieren. Wer ''All'' wählt, blockiert auch die Antworten auf erlaubte Verbindungen der Gegenrichtung.
* Die Zone '''Gateway''' nur mit Bedacht einschränken: Ohne DHCP und DNS vom Gateway funktionieren die Netze nicht. Den Zugriff auf die Verwaltungsoberfläche schränkt man besser auf ein Admin-Netz ein, statt die Zone pauschal zu sperren.
* Für Drucker oder AirPlay über VLAN-Grenzen zusätzlich mDNS in den Netzeinstellungen aktivieren.

=== Schritt 3: Testen ===
* Vom Client: Server über die erlaubten Ports erreichbar, andere Ports nicht.
* Vom IoT-Gerät: Internet ja, Client-Netz und Server nein.
* Im Systemprotokoll unter den Firewall-Ereignissen prüfen, welche Richtlinie blockiert hat (Logging in der Richtlinie einschalten).

== Einfache Alternative: Network Isolation ==
Für Gäste- oder einfache IoT-Netze genügt oft der Schalter '''Network Isolation''' in den Netzeinstellungen. Er erzeugt die nötigen Sperrregeln automatisch; das Netz erreicht dann nur noch das Internet.

== Migration alter Firewall-Regeln ==
Netze, die vor UniFi Network 9.0 eingerichtet wurden, arbeiten noch mit Regelsätzen wie ''LAN_IN'' oder ''WAN_LOCAL''. Die Umstellung startet unter ''Security'' › ''Traffic & Firewall Rules'' › ''Upgrade''.
{| class="wikitable"
! Alter Regelsatz !! Quelle !! Ziel
|-
| LAN_IN || Internal || Internal, Hotspot, External, VPN
|-
| LAN_LOCAL || Internal, VPN || Gateway
|-
| GUEST_IN || Hotspot || Internal, Hotspot, External, VPN
|-
| GUEST_LOCAL || Hotspot || Gateway
|-
| WAN_IN || External || Internal, Hotspot, External, VPN
|-
| WAN_LOCAL || External || Gateway
|}
* Die Migration dauert Sekunden und unterbricht den Verkehr nicht.
* Sie ist vorsichtig angelegt und erzeugt '''viele, teils doppelte Richtlinien''' mit identischer Wirkung. Nach dem Testen überflüssige Richtlinien entfernen; manuelle Rückregeln lassen sich durch ''Auto Allow Return Traffic'' ersetzen.
* Ein Zurück zum alten Regelwerk ist nicht vorgesehen – vorher ein Backup erstellen.

== Hinweise ==
* '''Netzwerklisten:''' Mit UniFi Network 11 können Adresslisten dynamisch aus einer externen URL geladen und in Richtlinien verwendet werden, z. B. für Sperrlisten.
* '''Eigene Zone löschen''' löscht auch alle zugehörigen Richtlinien.
* '''Dokumentation:''' Richtlinien sprechend benennen und das Regelwerk als Tabelle dokumentieren; das erleichtert Audits nach ISO 27001 oder NIS2.
* '''IDS/IPS''' und Anwendungsfilter ergänzen die Firewall um die Prüfung von Inhalten, siehe [[UniFi: IDS/IPS und CyberSecure einrichten]].
* Bei Entwurf, Prüfung und Betrieb Ihres Firewall-Regelwerks unterstützt Sie die [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it].

== Siehe auch ==
* [[Ubiquiti UniFi]] – Überblick und alle Artikel der Reihe
* [[UniFi: VLANs einrichten]]
* [[UniFi: Gäste-WLAN und Hotspot-Portal]]
* [[Firewall]]
* [[UniFi: Switch-ACLs einrichten]]
* [[Netzwerksegmentierung]]
* [[Zero Trust]]

== Links und Quellen ==
* [https://help.ui.com/hc/en-us/articles/115003173168-Zone-Based-Firewalls-in-UniFi Ubiquiti Help Center: Zone-Based Firewalls in UniFi]
* [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]
[[Kategorie:IT-Security]]

UniFi: Zone-Based Firewall konfigurieren - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: Zonen, Zonenmatrix, Richtlinien, eigene Zonen, Migration alter Regeln