UniFi: Cloud Gateway einrichten
Aus maxTechCorner
(Weitergeleitet von UCG Ultra einrichten)
Auf einen Blick
| Gilt für | UniFi Cloud Gateways (UCG Ultra/Max/Fiber, UDR7, UX7, UDM Pro/SE/Pro Max, EFG) mit UniFi OS und UniFi Network 10.x |
|---|---|
| Bereich | Netzwerk-Hardware |
| Dauer | ca. 30–60 Minuten |
| Rechte | Zugang zum Gateway (LAN-Kabel oder App), Zugangsdaten des Internetanschlusses |
| Stand | Oktober 2026 |
Ein UniFi Cloud Gateway einrichten ist der erste Schritt jedes UniFi-Netzes: Das Gateway ist Router, Firewall und zugleich Verwaltungszentrale, auf der UniFi Network läuft. Dieser Artikel zeigt die Ersteinrichtung per App oder Browser, die Wahl des richtigen Kontos, den Internetanschluss, Updates, Backups und die Absicherung des Verwaltungszugangs – so, dass das Gateway auch nach Jahren noch sauber übergeben und gewartet werden kann.
Vorbereitung
- Internetanschluss klären: Am besten übergibt der Provider-Router bzw. das Modem die öffentliche Adresse direkt an das Gateway (Bridge-Modus, reines Glasfaser-Modem/ONT). Steht ein Provider-Router davor, entsteht doppeltes NAT – das funktioniert, erschwert aber VPN und Portweiterleitungen.
- Zugangsdaten: Bei DSL mit PPPoE Benutzername und Passwort bereithalten. Bei der Telekom läuft PPPoE über VLAN 7, das in den WAN-Einstellungen als VLAN-ID eingetragen wird; andere Provider nutzen andere oder keine VLANs.
- Adressplan: Vorab festlegen, welches Netz das Standardnetz (Default) bekommt, z. B.
10.10.1.0/24statt der Werkseinstellung192.168.1.0/24, und welche VLANs folgen – siehe UniFi: VLANs einrichten. - Konto: Ein UI-Konto für das Unternehmen anlegen (siehe unten), bevor die Einrichtung beginnt.
Schritt 1: Ersteinrichtung
Per App (empfohlen)
- UniFi-App auf dem Smartphone installieren.
- Gateway mit Strom und Internet verbinden und hochfahren lassen.
- In der App das Gateway auswählen; die Verbindung läuft per WLAN oder Bluetooth (Abstand höchstens etwa 3 m).
- Dem Assistenten folgen: Name, Konto, Internetverbindung, WLAN (bei Geräten mit eingebautem WLAN).
Per Browser
- Notebook per Kabel an einen LAN-Port des Gateways anschließen.
- Im Browser
http://unifi/oder die IP-Adresse des Gateways öffnen (ab Werk meist192.168.1.1, bei Geräten mit Display dort angezeigt). - Die Zertifikatswarnung bestätigen und dem Assistenten folgen.
Schritt 2: Konto und Besitzer richtig wählen
| Variante | Vorteile | Nachteile |
|---|---|---|
| UI-Konto (Remote Management) | Fernzugriff über den Site Manager, automatische Cloud-Backups, Benachrichtigungen, Passwort zurücksetzbar | Abhängigkeit vom UI-Konto und von der Cloud für den Fernzugriff |
| Nur lokal | keine Cloud-Anbindung, geeignet für abgeschottete Netze | kein Fernzugriff, keine Cloud-Backups; ein verlorenes Passwort lässt sich nur mit vorher eingerichtetem SMTP-Server zurücksetzen |
Empfehlung für Unternehmen:
- Besitzer (Owner) wird ein UI-Konto mit Funktionspostfach, z. B.
it@firma.de, mit Zwei-Faktor-Anmeldung. Nur der Besitzer verwaltet Cloud-Backups und kann die Besitzerschaft übertragen. - Jeder Administrator erhält ein eigenes Konto mit passender Rolle; gemeinsame Konten vermeiden.
- Ein externer Dienstleister wird als Administrator eingeladen, nicht als Besitzer.
WarnungIst der Besitzer nicht mehr erreichbar und kennt niemand die Zugangsdaten, gibt es laut Ubiquiti keinen Weg zurück: Alle Geräte müssen auf Werkseinstellung zurückgesetzt und neu eingerichtet werden. Zugangsdaten und Wiederherstellungscodes gehören in den Passwort-Tresor.
Schritt 3: Internet und Standardnetz
- Internet: Unter Settings › Internet den WAN-Anschluss prüfen: DHCP, statische Adresse oder PPPoE, ggf. VLAN-ID. Ein zweiter Anschluss (z. B. 5G/LTE oder ein zweiter Provider) kann als Failover eingerichtet werden, siehe UniFi: Hochverfügbarkeit mit Shadow Mode und WAN-Failover.
- Standardnetz: Unter Settings › Networks › Default Gateway-Adresse und DHCP-Bereich anpassen. Das gelingt am einfachsten, bevor Switches und Access Points adoptiert sind.
- Interne Switch-Ports des Gateways: Sie beherrschen kein Spanning Tree. Mehr als ein paar Geräte gehören an einen eigenen UniFi-Switch als zentralen Verteiler, siehe UniFi: Spanning Tree und Loop-Schutz.
Schritt 4: Updates
- Unter Settings › Control Plane › Updates automatische Updates für UniFi OS, Anwendungen und Geräte einschalten und ein Zeitfenster in der Nacht wählen.
- Als Release-Kanal Official verwenden. Release Candidate und Early Access sind Vorabversionen und gehören nicht in produktive Netze.
- Größere Versionssprünge (z. B. auf UniFi Network 11) erst nach einigen Wochen und nach Lesen der Release Notes einspielen – Details in UniFi: Updates und Firmware verwalten.
Schritt 5: Backups
- Unter Settings › Control Plane › Backups die System Backups aktivieren: Das Gateway erstellt dann wöchentlich und vor jedem größeren Update ein Backup im UI-Konto des Besitzers (einsehbar unter account.ui.com/backups).
- Zusätzlich regelmäßig ein Offline-Backup herunterladen und außerhalb des Gateways ablegen, z. B. vor größeren Änderungen.
- Ein System-Backup enthält UniFi OS, alle Anwendungen und die Gerätekonfigurationen. Damit lässt sich auch auf ein größeres Modell umziehen: altes Gateway sichern, neues anschließen, Backup bei der Einrichtung zurückspielen (Voraussetzung: UniFi OS 3.1 oder neuer auf dem neuen Gerät).
Schritt 6: Verwaltungszugang absichern
- Fernzugriff: nur über den Site Manager (unifi.ui.com) bzw. die App. Das Gateway baut dafür ausgehende Verbindungen auf TCP 443 und 8883 auf; eingehende Ports werden nicht geöffnet. Die Weboberfläche nie per Portweiterleitung ins Internet stellen.
- SSH auf dem Gateway ist ab Werk aus (Settings › Control Plane › Console). Nur bei Bedarf und mit starkem Passwort einschalten, danach wieder aus.
- SSH auf Switches und APs ist eingeschaltet, mit zufällig erzeugten Zugangsdaten. Diese unter UniFi Devices › Device Updates and Settings › Device SSH Settings ablesen bzw. ändern und im Passwort-Tresor ablegen; besser SSH-Schlüssel hinterlegen.
- Protokollierung: Für die Nachvollziehbarkeit Syslog an einen zentralen Server oder ein SIEM senden, siehe UniFi: Syslog, SIEM und SNMP anbinden.
Benötigte Verbindungen nach außen
| Port | Zweck |
|---|---|
| TCP/UDP 443 | Cloud-Dienste, Updates, Fernzugriff |
| TCP 8883 | Verbindung zum Site Manager |
| TCP/UDP 53 | DNS |
| UDP 123 | Zeitsynchronisation (NTP) – eine falsche Uhrzeit verhindert den Fernzugriff |
| TCP 3478 | Verbindungsaufbau (STUN) für den Fernzugriff |
Steht vor dem Gateway eine weitere Firewall, müssen diese Verbindungen ausgehend erlaubt sein.
Hinweise
- Nächster Schritt: Switches und Access Points adoptieren – siehe UniFi: Geräte adoptieren und zurücksetzen.
- Firewall: Die Grundeinstellung erlaubt alles von innen nach außen und blockiert alles von außen. Wie Netze untereinander getrennt werden, zeigt UniFi: Zone-Based Firewall konfigurieren.
- Fernzugriff für Mitarbeiter per VPN statt Portweiterleitung: UniFi: VPN für den Fernzugriff einrichten.
- Selbst gehostet: Wer UniFi Network auf einem eigenen Server betreibt, braucht eine separate Firewall und muss Backups, Updates und Erreichbarkeit selbst sicherstellen.
- Bei Auswahl, Einrichtung und Betrieb Ihrer Firewall unterstützt Sie die Managed Firewall von m.a.x. it.
Siehe auch
- Ubiquiti UniFi – Überblick und alle Artikel der Reihe
- UniFi: Geräte adoptieren und zurücksetzen
- UniFi: VLANs einrichten
- Firewall
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
