UniFi: Switch-ACLs einrichten
Auf einen Blick
| Gilt für | UniFi-Switches mit ACL-Unterstützung (alle außer Flex, Flex Mini, US-8, USW Industrial, USW Ultra) mit UniFi Network 10.x |
|---|---|
| Bereich | IT-Security |
| Dauer | ca. 30 Minuten |
| Rechte | Administrator in UniFi Network |
| Stand | Oktober 2026 |
Switch-ACLs in UniFi einrichten bedeutet, Verkehr direkt am Switch zu erlauben oder zu blockieren – noch bevor er das Gateway erreicht. Das braucht man in zwei Fällen: um Geräte innerhalb desselben VLANs voneinander zu trennen, was die Firewall nicht kann, und um Netze zu trennen, die ein Layer-3-Switch direkt routet. Dieser Artikel erklärt den Unterschied zwischen ACLs und Firewall, die beiden Ein-Klick-Varianten, die Logik eigener ACL-Regeln und zwei vollständige Beispiele.
ACL oder Firewall?
| Situation | Werkzeug |
|---|---|
| Verkehr zwischen VLANs, die das Gateway routet | Zone-Based Firewall – zustandsbehaftet, mit Ports, Anwendungen, Logging |
| Geräte im selben VLAN sollen sich nicht erreichen (Kameras, IoT, Gäste am Kabel) | MAC-ACL bzw. Device Isolation (ACL) |
| VLANs, die ein Layer-3-Switch routet | IP-ACL bzw. L3 Network Isolation (ACL) – die Gateway-Firewall sieht diesen Verkehr nicht |
| sehr latenzkritische Trennung zwischen VLANs | IP-ACL am Switch spart den Weg über das Gateway |
ACLs sind zustandslos: Sie prüfen jedes Paket einzeln und kennen keine „Antwort auf erlaubte Verbindung“. Wer mit ACLs nur eine Richtung sperrt, muss die Gegenrichtung bewusst mitdenken.
Voraussetzungen
- UniFi-Switch mit ACL-Unterstützung: nicht Flex, Flex Mini, US-8, USW Industrial und USW Ultra (inkl. Ultra-60W/-210W).
- An den Switch-Ports von Gateways und In-Wall-Access-Points gibt es keine ACLs.
- Für die Ein-Klick-Varianten muss mindestens ein Netz von einem UniFi-Gateway oder einem Layer-3-UniFi-Switch geroutet werden.
Variante 1: Ein-Klick-ACLs
Unter Settings › Networks beim jeweiligen Netz:
| Option | Wirkung | Einsatz |
|---|---|---|
| Device Isolation (ACL) | Geräte im selben Netz können nicht miteinander kommunizieren; Gateway und Internet bleiben erreichbar | Gäste, Kameras, IoT, Kassensysteme |
| L3 Network Isolation (ACL) | blockiert IPv4-Verkehr zwischen diesem Netz und anderen Netzen direkt am Switch | Netze hinter einem Layer-3-Switch |
Das genügt für die meisten Fälle. Eigene Regeln sind nur nötig, wenn Ausnahmen gebraucht werden – etwa ein zentraler Rekorder, der alle Kameras erreichen muss.
Variante 2: Eigene ACL-Regeln
ACL-Regeln werden wie Firewall-Richtlinien in der Richtlinienverwaltung angelegt (ab Network 9.4 Settings › Policy Table › Create New Policy › ACL; die genaue Bezeichnung kann je nach Version abweichen).
Regeln für die Regeln
- Abarbeitung von oben nach unten; die erste passende Regel entscheidet.
- Spezifische Allow-Regeln zuerst, danach die allgemeine Block-Regel. Eine Block-Regel mit Quelle Any und Ziel Any ohne vorherige Ausnahmen legt das Netz lahm.
- MAC-ACLs werden vor IP-ACLs ausgewertet.
- Auf das Netz, über das die UniFi-Geräte verwaltet werden (meist Default), lassen sich keine MAC-ACLs anwenden – Geräte, die isoliert werden sollen, gehören deshalb in ein eigenes VLAN.
Beispiel A: Geräte im selben VLAN isolieren (MAC-ACL)
Netz Kameras: Die Kameras sollen nur mit dem Gateway (DHCP, DNS, Internet) und dem Rekorder sprechen, nicht untereinander.
| Nr. | Aktion | Netz | Quelle | Ziel | Zweck |
|---|---|---|---|---|---|
| 1 | Allow | Kameras | MAC des Gateways | Any | Gateway erreicht alle Kameras |
| 2 | Allow | Kameras | Any | MAC des Gateways | Kameras erreichen das Gateway |
| 3 | Allow | Kameras | Any | ff:ff:ff:ff:ff:ff |
Broadcasts, z. B. DHCP-Anfragen |
| 4 | Allow | Kameras | MAC des Rekorders | Any | Rekorder erreicht alle Kameras |
| 5 | Allow | Kameras | Any | MAC des Rekorders | Kameras erreichen den Rekorder |
| 6 | Block | Kameras | Any | Any | alles andere im Netz blockieren |
Switch-Auswahl jeweils All Switches. Regeln 1–3 und 6 entsprechen dem Beispiel von Ubiquiti; 4 und 5 sind die Ausnahme für den Rekorder.
Beispiel B: zwei Netze am Layer-3-Switch trennen (IP-ACL)
Ein Layer-3-Switch routet die Netze Clients und IoT selbst. Der Verkehr zwischen ihnen erreicht das Gateway nie – Firewall-Richtlinien greifen hier nicht.
| Nr. | Aktion | Protokoll | Quelle | Ziel |
|---|---|---|---|---|
| 1 | Block | All | Netz Clients | Netz IoT |
| 2 | Block | All | Netz IoT | Netz Clients |
Weil ACLs zustandslos sind, blockieren beide Regeln zusammen jede Kommunikation. Muss ein Client ein IoT-Gerät steuern, vor Regel 1 und 2 je eine Allow-Regel für die konkreten IP-Adressen und Ports in beiden Richtungen anlegen – oder das Netz vom Gateway routen lassen und die zustandsbehaftete Firewall nutzen.
Layer-3-Switches: was sich ändert
Wird bei einem Netz unter Router ein Layer-3-UniFi-Switch gewählt, routet dieser das Netz selbst. UniFi legt dafür automatisch ein Transfernetz an (Standard 10.255.253.0/24, VLAN 4040, Gateway .1, erster L3-Switch .2).
- Verkehr zwischen Netzen desselben L3-Switches läuft nicht über das Gateway – keine Firewall, kein IDS/IPS, keine Anwendungserkennung.
- Der L3-Switch macht kein NAT; das Gateway erreicht die Netze über statische Routen.
- Für Netze mit Sicherheitsanforderungen ist das Routing am Gateway mit Zone-Based Firewall daher meist die bessere Wahl; Layer-3-Routing am Switch passt für hohe Bandbreiten zwischen vertrauenswürdigen Netzen (z. B. Server und Speicher).
Testen
- Zwei Testgeräte im isolierten Netz: Ping zueinander muss scheitern, Internet und Gateway müssen funktionieren.
- DHCP prüfen: Ein neu verbundenes Gerät muss eine Adresse erhalten (sonst fehlt die Broadcast-Regel).
- Ausnahmen gezielt prüfen (Rekorder sieht Kameras).
- Nach jeder Änderung an der Reihenfolge erneut testen.
Hinweise
- WLAN: Für Geräte am selben Access Point gibt es zusätzlich Client Device Isolation in der SSID, siehe UniFi: Gäste-WLAN und Hotspot-Portal.
- Port Isolation im Port Manager trennt einzelne Ports desselben Switches – eine einfache Alternative für wenige Geräte.
- Dokumentation: ACLs sind unsichtbarer als Firewall-Regeln. Jede Regel mit Zweck und Verantwortlichem dokumentieren.
- Bei Segmentierung, Isolation von Kameras und IoT und der Prüfung bestehender Regelwerke unterstützt Sie die Cybersecurity-Beratung von m.a.x. it.
Siehe auch
- Ubiquiti UniFi – Überblick und alle Artikel der Reihe
- UniFi: VLANs einrichten
- UniFi: Zone-Based Firewall konfigurieren
- UniFi: Switch-Ports und Port-Profile konfigurieren
- Netzwerksegmentierung
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
