UniFi: Gäste-WLAN und Hotspot-Portal

Aus maxTechCorner

Auf einen Blick

Gilt fürUniFi Network 10.x mit UniFi Cloud Gateway (Zone-Based Firewall ab 9.0) und UniFi Access Points
BereichIT-Security
Dauerca. 30–45 Minuten
RechteAdministrator in UniFi Network
StandOktober 2026

Ein Gäste-WLAN mit UniFi gibt Besuchern Internetzugang, ohne dass ihre Geräte das Firmennetz oder sich gegenseitig erreichen. UniFi bietet dafür mehrere Bausteine: ein eigenes, isoliertes VLAN, die Firewall-Zone Hotspot, die Isolation der Clients im WLAN und am Switch sowie ein Hotspot-Portal (Captive Portal) mit Passwort, Gutscheinen oder Nutzungsbedingungen. Dieser Artikel baut ein sicheres Gäste-WLAN Schritt für Schritt auf und zeigt, wie man die Bandbreite fair verteilt.

Gäste-WLAN in UniFi: SSID Gast im VLAN 50, Netz in der Firewall-Zone Hotspot und isoliert, Client Device Isolation am Access Point, Device Isolation per ACL am Switch, Hotspot-Portal mit Passwort, Vouchern oder Nutzungsbedingungen, Bandbreitenlimit; erlaubt ist nur der Weg ins Internet.

Die Schutzschichten

Ebene Funktion verhindert
Gateway Network Isolation bzw. Zone Hotspot Zugriff auf andere VLANs und das Firmennetz
Access Point Client Device Isolation Verbindungen zwischen Gästen am selben AP
Switch Device Isolation (ACL) Verbindungen zwischen Gästen über verschiedene APs hinweg
Portal Hotspot-Portal anonyme Nutzung; ermöglicht Bedingungen, Gutscheine, Zeitlimits

Schritt 1: Gäste-Netz anlegen

  1. Settings › Networks › New Virtual Network: Name Gäste, VLAN-ID 50, z. B. 10.10.50.1/24.
  2. Network Isolation aktivieren – das Netz kann dann keine anderen internen Netze erreichen.
  3. Device Isolation (ACL) für dieses Netz aktivieren, damit sich Gäste auch über verschiedene APs hinweg nicht sehen.
  4. Als DNS-Server einen öffentlichen oder filternden Resolver wählen, falls interne DNS-Namen für Gäste unsichtbar bleiben sollen.

Schritt 2: Netz der Hotspot-Zone zuordnen

Mit der zonenbasierten Firewall (ab UniFi Network 9.0) gehört das Gäste-Netz in die Zone Hotspot: Firewall-Einstellungen öffnen, Zone Hotspot wählen, das Netz Gäste hinzufügen und speichern. In der Zone Hotspot ist ab Werk alles außer dem Internet und dem Gateway gesperrt. Details: UniFi: Zone-Based Firewall konfigurieren.


HinweisIoT-Geräte gehören nicht in die Hotspot-Zone. Ist dort ein Captive Portal aktiv, landen auch Drucker, Fernseher oder Sensoren auf der Anmeldeseite und verlieren die Verbindung. IoT-Geräte bekommen ein eigenes Netz mit eigener Zone.

Schritt 3: Gäste-SSID anlegen

  1. Settings › WiFi › Create New, Name z. B. Gast.
  2. Network = Gäste.
  3. Sicherheit: OWE (offen, aber verschlüsselt) für ein Netz ohne Passwort, sonst WPA2/WPA3 Personal mit einem regelmäßig wechselnden Passwort.
  4. Client Device Isolation einschalten.
  5. Proxy ARP einschalten – reduziert Broadcasts und Funkzeit bei vielen Gästen.
  6. Optional WiFi Speed Limit setzen; die Obergrenze pro Client liegt bei 100 Mbit/s.
  7. Optional den WiFi Blackout Scheduler nutzen, um das Gäste-WLAN außerhalb der Geschäftszeiten abzuschalten.

Schritt 4: Hotspot-Portal einrichten

  1. In der SSID Hotspot Portal › Captive Portal aktivieren.
  2. Unter Insights › Hotspot › Landing Page die Anmeldeseite gestalten: Logo, Farben, Begrüßungstext, Nutzungsbedingungen.
  3. Anmeldeverfahren wählen:
Verfahren geeignet für
Nur Bedingungen bestätigen Wartezimmer, Empfang: Gäste akzeptieren die Nutzungsbedingungen
Passwort Besprechungsräume; Passwort regelmäßig wechseln
Vouchers (Gutscheine) Hotels, Schulungen: Gutscheine mit Laufzeit, Datenvolumen und Bandbreite, ausdruckbar
RADIUS Anmeldung mit vorhandenen Benutzerkonten
Payment kostenpflichtiger Zugang, Abrechnung über Stripe
External Portal Server Anbindung eines Portals eines Drittanbieters

Schritt 5: Bandbreite und Anwendungen

  • Bandbreite begrenzen: per SSID-Limit oder Voucher-Profil, damit Gäste den Internetzugang nicht auslasten.
  • Anwendungen sperren: Über die Anwendungsfilter des Gateways (Traffic Management) lassen sich z. B. Peer-to-Peer-Dienste für das Gäste-Netz blockieren.
  • Inhalte filtern: Content Filtering pro Netz sperrt Kategorien wie Schadsoftware oder Erwachseneninhalte.

Kontrolle

  1. Mit einem Testgerät ins Gäste-WLAN, Portal durchlaufen.
  2. Internet testen, dann interne Adressen anpingen (Gateway-Adresse des Firmennetzes, ein Server, ein Drucker) – alles muss scheitern.
  3. Zwei Testgeräte im Gäste-WLAN: Sie dürfen sich gegenseitig nicht erreichen.
  4. Unter Insights › Hotspot erscheinen angemeldete Gäste und Gutscheine.

Hinweise

  • Rechtliches: Nutzungsbedingungen und Datenschutzhinweise für das Portal mit dem Datenschutzbeauftragten abstimmen, besonders wenn bei der Anmeldung personenbezogene Daten (E-Mail, Social Login) erfasst werden.
  • Kein Gäste-Zugang zur Verwaltung: Die Hotspot-Zone erreicht ab Werk nur die Dienste des Gateways, die für den Gastbetrieb nötig sind (DHCP, DNS, Portal) – diese Einstellung nicht aufweichen.
  • Eigener Internetanschluss: Bei hoher Gästelast (Hotel, Veranstaltung) kann das Gäste-Netz per Policy-Based Route über einen zweiten Anschluss laufen.
  • Bei der sicheren Trennung von Gästen, IoT und Firmennetz unterstützt Sie die Cybersecurity-Beratung von m.a.x. it.

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „http://techcorner.max-it.de/index.php?title=UniFi:_Gäste-WLAN_und_Hotspot-Portal&oldid=4583“