UniFi: Migration von anderen Herstellern
Aus maxTechCorner
Auf einen Blick
| Gilt für | Umstieg von Netzen mit Fritz!Box, Lancom, Cisco, HPE Aruba, Sophos, OPNsense u. a. auf UniFi (UniFi Network 10.x) |
|---|---|
| Bereich | Netzwerk-Hardware |
| Dauer | Planung 1–3 Tage, Umstellung je Standort meist ein Wartungsfenster (4–8 Stunden) |
| Rechte | Administrator der bisherigen Systeme und von UniFi Network |
| Stand | Oktober 2026 |
Die Migration auf UniFi – also der Umstieg eines bestehenden Netzes mit Router, Firewall, Switches und WLAN anderer Hersteller auf Ubiquiti UniFi – gelingt dann reibungslos, wenn vorher vollständig erfasst ist, was das alte Netz eigentlich alles tut. Dieser Leitfaden zeigt die Bestandsaufnahme, die Übersetzung typischer Funktionen in UniFi-Begriffe, die drei Migrationsvarianten, die Vorbereitung des neuen Systems, die Umstellung im Wartungsfenster und die Abnahme. Er bündelt die Erfahrungen aus Umstellungen kleiner und mittlerer Standorte und verweist für die Details auf die übrigen Artikel der Reihe.
Phase 1: Bestandsaufnahme
Alles, was nicht erfasst ist, fehlt nach der Umstellung. Checkliste:
| Bereich | Was erfassen? |
|---|---|
| Internet | Anschlüsse, Zugangsart (PPPoE, VLAN-ID, feste IPs), Provider-Router, Failover |
| Netze | VLAN-IDs, Subnetze, Gateway-Adressen, DHCP-Bereiche und -Optionen (z. B. 43, 66/67 für Telefone), Reservierungen |
| Feste Adressen | Server, Drucker, Kameras, Gebäudetechnik – mit Ansprechpartner |
| Firewall | Regeln zwischen Netzen und ins Internet, Portweiterleitungen, Geo-Sperren, IPS-Ausnahmen |
| VPN | Standortverbindungen (Gegenstellen, Parameter), Client-VPN (Benutzer, Verfahren, MFA) |
| WLAN | SSIDs, Passwörter bzw. RADIUS, VLAN-Zuordnung, Gäste-Portal, Ausleuchtung |
| Switches | Portbelegung, Trunks, LACP-Bündel, Voice VLAN, PoE-Bedarf, Port-Security/802.1X, STP-Root |
| Dienste | DNS-Einträge und Weiterleitungen, NTP, Syslog/SIEM, SNMP-Monitoring, mDNS/AirPlay, IPTV/Multicast |
| Verträge | laufende Lizenzen und Supportverträge der Altgeräte, Kündigungsfristen |
Hilfreich: Konfigurationen der Altgeräte exportieren (bei Cisco show running-config, bei Fritz!Box die Sicherungsdatei, bei Firewalls den Regel-Export) und die MAC-Adresstabellen der Switches sichern – sie zeigen, welches Gerät an welchem Port hängt.
Phase 2: Funktionen übersetzen
| Bisher | in UniFi | Artikel |
|---|---|---|
| VLANs, DHCP-Bereiche | Virtual Networks | UniFi: VLANs einrichten |
| Access-/Trunk-Ports, Portvorlagen | Native/Tagged VLAN, Ethernet-Port-Profile | UniFi: Switch-Ports und Port-Profile konfigurieren |
| Rapid PVST+ / MSTP | RSTP (ein gemeinsamer Baum) | UniFi: Spanning Tree und Loop-Schutz |
| EtherChannel / LAG (LACP) | Aggregate (nur LACP) | UniFi: Switch-Ports und Port-Profile konfigurieren |
| Port-Security, 802.1X | MAC-Beschränkung, 802.1X Control, RADIUS | UniFi: 802.1X und RADIUS einrichten |
| Firewall-Regeln, Objekte | Zone-Based Firewall, Netzwerklisten | UniFi: Zone-Based Firewall konfigurieren |
| Portweiterleitungen, 1:1-NAT | Port Forwarding, DNAT/SNAT | UniFi: Portweiterleitung und NAT konfigurieren |
| IPsec-Standortverbindungen | IPsec bzw. SD-WAN | UniFi: Standorte per Site-to-Site-VPN verbinden |
| SSL-/Client-VPN | WireGuard, OpenVPN, Teleport, Identity | UniFi: VPN für den Fernzugriff einrichten |
| WLAN-Controller, Gäste-Portal | UniFi-SSIDs, Hotspot-Portal | UniFi: WLAN einrichten und optimieren |
| IPS, Webfilter | IDS/IPS, Content Filter, CyberSecure | UniFi: IDS/IPS und CyberSecure einrichten |
| Syslog, SNMP | CEF-Export, SNMP v3 | UniFi: Syslog, SIEM und SNMP anbinden |
Lücken bewusst prüfen. Typische Punkte, die sich nicht 1:1 übertragen lassen:
- Konfiguration nur über UniFi Network, keine Kommandozeile; Skripte und Vorlagen für die CLI entfallen.
- Spanning Tree pro VLAN gibt es nicht – Designs, die auf unterschiedliche Root-Bridges je VLAN setzen, müssen vereinfacht werden.
- Firewall-Funktionen spezialisierter Produkte (SSL-Inspection in großem Umfang, Reverse-Proxy, Mailfilter, ausgefeilte Benutzerregeln) haben kein vollständiges Gegenstück.
- Dynamische Routingprotokolle und Sonderfunktionen (z. B. SIP-ALG-Verhalten, IPTV) vor der Entscheidung testen.
Phase 3: Variante wählen
| Variante | Beschreibung | geeignet, wenn |
|---|---|---|
| A: Komplettumstieg | Gateway, Switches und APs werden durch UniFi ersetzt | kleine/mittlere Standorte ohne Spezialanforderungen an die Firewall |
| B: UniFi hinter bestehender Firewall | Firewall (z. B. OPNsense, Sophos, FortiGate) bleibt; UniFi-Switches und -APs werden über CloudKey oder UniFi OS Server verwaltet; Netze als Third-party Gateway angelegt | Firewall erfüllt Anforderungen, die UniFi nicht abdeckt; Firewall-Vertrag läuft noch |
| C: Schrittweise | erst WLAN, dann Switches, zuletzt das Gateway – jeweils in eigenen Wartungsfenstern | größere Standorte, wenig Ausfallzeit pro Schritt, Team lernt UniFi schrittweise kennen |
Bei Variante B und C laufen eine Zeit lang UniFi- und Fremdgeräte nebeneinander: Native VLAN und erlaubte VLANs müssen an jeder Verbindung auf beiden Seiten übereinstimmen. Beim Mischbetrieb mit Cisco-Switches (Rapid PVST+) die Root-Bridge eindeutig festlegen und an den Übergängen besonders sorgfältig prüfen.
Phase 4: Vorbereitung
- Gateway im Labor einrichten: Besitzerkonto, Internet, Netze, Firewall, VPN, DNS – siehe UniFi: Cloud Gateway einrichten. Updates vorab einspielen.
- Port-Profile für alle Gerätearten anlegen; die Portbelegung der Altswitches in eine Tabelle „alter Port → neuer Switch/Port → Profil“ übertragen.
- Switches und APs vorab adoptieren (im Labor oder per Zero-Touch Provisioning) und mit Namen versehen, siehe UniFi: Geräte adoptieren und zurücksetzen.
- SSIDs mit gleichem Namen und Passwort wie bisher anlegen: Clients verbinden sich nach dem Tausch der Access Points meist von selbst neu. Einen Wechsel der Sicherheit (z. B. auf WPA3 oder Enterprise) als eigenen späteren Schritt planen.
- Adressen beibehalten: Gateway-IP, Subnetze und DHCP-Reservierungen wie bisher, sonst müssen fest konfigurierte Geräte angepasst werden.
- Externe Abhängigkeiten: feste IP beim Provider, DNS-Einträge für VPN-Namen, Gegenstellen von Site-to-Site-VPNs (neue Parameter rechtzeitig abstimmen), Freigaben bei Cloud-Diensten, die nach IP filtern.
- Rückfallplan: Altgeräte samt Konfiguration aufbewahren und beschriften; festlegen, ab welchem Zeitpunkt zurückgebaut wird.
Phase 5: Umstellung im Wartungsfenster
Bewährte Reihenfolge für Variante A:
- Benutzer informieren, laufende Backups/Jobs pausieren.
- Gateway tauschen: WAN anschließen, Internet und VPN prüfen.
- Core-Switch tauschen, Uplinks und Server umstecken.
- Access-Switches nach der Port-Tabelle umstecken, jeweils kurz prüfen (Geräte bekommen Adressen, Telefone registrieren sich).
- Access Points tauschen und Funkabdeckung stichprobenartig messen.
- Sonderfälle: Drucker, Kameras, Gebäudetechnik, Kassensysteme, Zeiterfassung.
Nach jedem Schritt erst weitermachen, wenn der vorige funktioniert – so bleibt die Fehlersuche überschaubar.
Phase 6: Test, Abnahme und Rückbau
| Test | erwartet |
|---|---|
| Internet aus jedem Netz, DNS intern und extern | funktioniert |
| Trennung der Netze (Gäste, IoT → Firmennetz) | blockiert |
| Telefonie (intern, extern, Sprachqualität) | stabil |
| VPN: Standortverbindungen und Client-VPN | verbunden, Zugriffe wie vorher |
| Portweiterleitungen von außen | erreichbar wie vorher |
| WLAN: Anmeldung, Roaming, Gäste-Portal | funktioniert |
| Drucken, Scannen, AirPlay über VLANs | funktioniert (mDNS) |
| Monitoring, Syslog, Backups der Konfiguration | laufen |
- Abnahme mit den Fachabteilungen dokumentieren; offene Punkte mit Termin festhalten.
- Netzdokumentation aktualisieren: Topologie, Adressplan, Port-Tabelle, Zugangsdaten im Passwort-Tresor.
- Altgeräte erst nach einer vereinbarten Frist (z. B. zwei Wochen) zurückbauen; vor Entsorgung auf Werkseinstellungen zurücksetzen und Datenträger sicher löschen.
Hinweise
- Erst ein Standort: Bei mehreren Standorten mit dem kleinsten beginnen, Erfahrungen in die Vorlage (Blueprint) übernehmen und dann ausrollen, siehe UniFi: Mehrere Standorte mit dem Site Manager verwalten.
- Schulung: Das IT-Team vor der Umstellung mit dem neuen System vertraut machen – die Bedienlogik unterscheidet sich deutlich von CLI-basierten Systemen.
- Vergleich: Einen Generationswechsel innerhalb der Cisco-Welt beschreibt Cisco Catalyst 2960-X: Migration auf Catalyst 9200.
- Bei Bestandsaufnahme, Planung und Durchführung Ihrer Migration auf UniFi unterstützt Sie das IT-Consulting von m.a.x. it.
Siehe auch
- Ubiquiti UniFi – Überblick und alle Artikel der Reihe
- UniFi: Cloud Gateway einrichten
- UniFi: VLANs einrichten
- UniFi: Updates und Firmware verwalten
Links und Quellen
- Ubiquiti Help Center: Creating Virtual Networks (VLANs) – inkl. Netzen mit Third-party Gateway
- IT-Consulting von m.a.x. it
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
