UniFi: DNS-Einträge und lokale Hostnamen
Auf einen Blick
| Gilt für | UniFi Cloud Gateways und UniFi-Gateways mit UniFi Network 9.3 bis 10.x |
|---|---|
| Bereich | Netzwerk-Hardware |
| Dauer | ca. 20–30 Minuten |
| Rechte | Administrator in UniFi Network |
| Stand | Oktober 2026 |
DNS-Einträge und lokale Hostnamen in UniFi machen interne Dienste über Namen statt IP-Adressen erreichbar – etwa drucker.intern.firma.de oder nas.intern.firma.de – und sorgen dafür, dass Anfragen an eine Active-Directory-Domäne beim Domänencontroller landen. Das UniFi-Gateway arbeitet dafür als DNS-Server für die Clients und kann eigene Einträge (A, AAAA, CNAME, MX, TXT, SRV) sowie Weiterleitungen für ganze Domänen verwalten. Dieser Artikel zeigt die Einträge, lokale Hostnamen per Klick, die Einbindung eines eigenen DNS-Servers und das Zusammenspiel mit dem Inhaltsfilter.
Zwei Grundmodelle
| Modell | Clients fragen | geeignet für |
|---|---|---|
| Gateway als DNS-Server (Standard) | das UniFi-Gateway; es beantwortet eigene Einträge und leitet den Rest weiter | Netze ohne eigenen DNS-Server, Gäste, IoT; Voraussetzung für Inhaltsfilter und Regeln nach Domäne |
| Eigener DNS-Server (z. B. Domänencontroller) | den internen Server, per DHCP verteilt | Windows-Domänen, in denen Clients die AD-Zonen direkt brauchen |
Mischformen sind üblich: Client-Netz mit dem Domänencontroller als DNS, Gäste und IoT mit dem Gateway; oder überall das Gateway mit einer Weiterleitung der AD-Domäne.
Schritt 1: Upstream-DNS des Gateways
Das Gateway nutzt ab Werk die DNS-Server des Providers. Unter Settings › Internet › WAN › DNS Server können feste Server eingetragen werden, z. B. 1.1.1.1 und 9.9.9.9. Ubiquiti rät davon ab, hier interne DNS-Server einzutragen: Sie lösen die für Updates und Fernzugriff nötigen ui.com-Namen eventuell nicht auf. UDP 53 darf nicht blockiert sein.
Schritt 2: Eigene DNS-Einträge
Settings › Policy Table › Create New Policy › DNS (Network 9.3: Settings › Policy Engine › DNS):
| Typ | Zweck | Beispiel |
|---|---|---|
| Host (A) | Name → IPv4-Adresse | nas.intern.firma.de → 10.10.30.20
|
| Host (AAAA) | Name → IPv6-Adresse | – |
| Alias (CNAME) | Name → anderer Name | intranet.intern.firma.de → web01.intern.firma.de
|
| Mail (MX) | Mailserver einer Domäne | interne Testumgebungen |
| Text (TXT) | Textwerte, z. B. SPF/DKIM | interne Dienste mit TXT-Prüfung |
| Service (SRV) | Dienstverweise, z. B. SIP, LDAP | Telefonanlage |
| Forward Domain | alle Anfragen einer Domäne an einen anderen DNS-Server | firma.local → Domänencontroller 10.10.30.10
|
Optional lässt sich die TTL setzen. CNAME-Einträge setzen laut Ubiquiti UniFi OS 4.3 und Network 9.3 oder neuer voraus.
Interne Domäne wählen
Für interne Namen eine Domäne verwenden, die dem Unternehmen gehört (z. B. intern.firma.de) oder die für den internen Gebrauch reserviert ist (home.arpa). Endungen wie .local kollidieren mit mDNS (Bonjour), Fantasie-Endungen können später zu echten Top-Level-Domains werden.
Schritt 3: Lokale Hostnamen per Klick
Für Geräte, die ihre Adresse per DHCP bekommen:
- Client Devices › Gerät auswählen › Settings.
- Fixed IP Address aktivieren – das ist eine DHCP-Reservierung.
- Local DNS Record aktivieren und den Namen eintragen, z. B.
drucker-eg. - Apply Changes.
Das entspricht einem A-Eintrag. Er funktioniert nur für Clients, die das Gateway als DNS-Server nutzen. Für Geräte mit statisch konfigurierter Adresse außerhalb des DHCP-Bereichs besser einen eigenen A-Eintrag anlegen.
Schritt 4: Domänencontroller einbinden
Variante A: Weiterleitung am Gateway
Clients nutzen das Gateway; ein Eintrag Forward Domain für die AD-Domäne (z. B. firma.local, nur die Basisdomäne, keine SRV-Namen) zeigt auf den Domänencontroller. Alle Unterdomänen und SRV-Abfragen werden mit weitergeleitet. Vorteil: Inhaltsfilter und Regeln nach Domäne funktionieren weiter. Ist der DNS-Server nur über einen VPN-Client-Tunnel erreichbar, braucht das Gateway eine statische Route dorthin.
Variante B: Domänencontroller per DHCP
Settings › Networks › Netz › DNS Server: den automatischen Wert abschalten und die Adressen der Domänencontroller eintragen. Die Clients fragen dann direkt den DC, der für externe Namen an das Gateway oder öffentliche Server weiterleitet.
Mit Inhaltsfilter
Der Inhaltsfilter leitet DNS-Anfragen zum Gateway um. Bei Variante B scheitert dann die interne Namensauflösung, solange keine Forward-Domain-Regel für die AD-Domäne besteht; liegt der DC hinter einem policy-based IPsec-Tunnel, ist zusätzlich eine Source-NAT-Regel für Port 53 nötig – siehe UniFi: IDS/IPS und CyberSecure einrichten.
Split DNS für öffentliche Dienste
Ein Server, der von außen per Portweiterleitung erreichbar ist (z. B. portal.firma.de), sollte intern mit einem A-Eintrag direkt auf seine interne Adresse aufgelöst werden. So laufen interne Zugriffe nicht über die öffentliche IP und das Hairpin NAT, siehe UniFi: Portweiterleitung und NAT konfigurieren.
Kontrolle
nslookup nas.intern.firma.de
nslookup -type=SRV _ldap._tcp.dc._msdcs.firma.local
nslookup www.example.com
- Der erste Befehl muss die interne Adresse liefern, der zweite die Domänencontroller, der dritte eine öffentliche Adresse.
- Antwortet ein anderer Server als erwartet, die DNS-Einstellung des Clients (
ipconfig /all) und den DHCP-Bereich des Netzes prüfen. - Lokale Hostnamen gelten nicht, wenn der Client einen eigenen DNS-Server oder verschlüsseltes DNS (DoH) nutzt.
Hinweise
- Dokumentation: Eigene DNS-Einträge sind Teil der Netzdokumentation; Änderungen im Change-Log festhalten.
- Mehrere Standorte: Einträge pro Standort pflegen oder über Canvas/Blueprints vereinheitlichen, siehe UniFi: Mehrere Standorte mit dem Site Manager verwalten.
- Vergleich: Auf OPNsense übernimmt Unbound diese Aufgaben, siehe OPNsense - Unbound DNS Resolver.
- Bei Namenskonzept, DNS-Struktur und Active-Directory-Anbindung unterstützt Sie das IT-Consulting von m.a.x. it.
Siehe auch
- Ubiquiti UniFi – Überblick und alle Artikel der Reihe
- UniFi: VLANs einrichten
- UniFi: IDS/IPS und CyberSecure einrichten
- DNS
- Active Directory
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
