UniFi: Spanning Tree und Loop-Schutz
Auf einen Blick
| Gilt für | UniFi-Switches mit UniFi Network 10.x; STP Edge und BPDU Guard ab UniFi Network 10.2 |
|---|---|
| Bereich | Netzwerk-Hardware |
| Dauer | ca. 20–30 Minuten |
| Rechte | Administrator in UniFi Network |
| Stand | Oktober 2026 |
Spanning Tree und Loop-Schutz in UniFi verhindern, dass ein falsch gestecktes Kabel, ein mitgebrachter Mini-Switch oder ein Mesh-fähiges Gerät eine Netzwerkschleife erzeugt – mit Broadcast-Stürmen, abbrechenden Verbindungen und Geräten, die sich nicht mehr adoptieren lassen. UniFi-Switches nutzen ab Werk Rapid Spanning Tree (RSTP). Dieser Artikel zeigt, wie man den Root-Switch festlegt, Endgeräte-Ports mit STP Edge und BPDU Guard absichert, Loop Protection als zweite Schutzschicht einsetzt und Schleifen findet.
Grundprinzip
- RSTP blockiert redundante Wege zwischen Switches, sodass nur ein schleifenfreier Baum übrig bleibt. Fällt eine Verbindung aus, wird der blockierte Weg in Sekunden aktiv.
- Die Wurzel des Baums ist der Root-Switch – der Switch mit der niedrigsten Priorität. Ohne Vorgabe entscheidet die MAC-Adresse, und im ungünstigen Fall wird ein kleiner Switch unter dem Schreibtisch zum Root.
- RSTP ist bei UniFi global, pro Switch und pro Port einstellbar und ab Werk eingeschaltet. Es bleibt eingeschaltet.
Schritt 1: Topologie aufbauen
- Einen UniFi-Switch als Core-Switch direkt am Gateway verwenden und alle weiteren Switches und Access Points daran anschließen.
- Die eingebauten Switch-Ports des Gateways nur sparsam nutzen: Sie unterstützen kein Spanning Tree.
- Wireless Meshing abschalten, wenn kein AP per Funk angebunden ist (Settings › WiFi).
Schritt 2: STP-Prioritäten vergeben
Unter UniFi Devices › Switch › Settings › Priority:
| Ebene | Priorität | Beispiel |
|---|---|---|
| Core (Root) | 0 | Aggregations-Switch im Serverraum |
| Verteilung | 4096 | Etagenverteiler |
| Access | 8192 | Switches an Arbeitsplätzen |
| weitere Ebenen | jeweils +4096 | 12288 … |
Zusätzlich auf jedem Switch, der nicht Root ist, den Port zum übergeordneten Switch als STP Uplink kennzeichnen. So bleibt dieser Port auch bei redundanten Wegen der bevorzugte aktive Weg.
Schritt 3: Endgeräte-Ports absichern
| Verbindung | STP/RSTP | STP Edge | BPDU Guard | Loop Protection |
|---|---|---|---|---|
| Switch zu Switch | an | Auto oder aus | – | optional |
| Switch zu Endgerät | an | an | an (empfohlen) | an |
| Port ohne STP (z. B. Gateway-Ports) | – | Auto | – | an |
- STP Edge kennzeichnet einen Port als Endgeräte-Port: Er leitet sofort weiter und löst beim Stecken keine Topologieänderung im ganzen Netz aus. In der Einstellung Auto prüft der Port einige Sekunden auf STP-Pakete (BPDUs) und schaltet bei einem Switch dahinter Edge automatisch ab.
- BPDU Guard schaltet einen Port ab, sobald dort ein Switch STP-Pakete sendet – etwa wenn jemand einen eigenen Switch ansteckt. Der Port bleibt aus, bis ein Administrator ihn in UniFi Network wieder freigibt.
- Am einfachsten setzt man beides im Port-Profil Arbeitsplatz, siehe UniFi: Switch-Ports und Port-Profile konfigurieren.
Schritt 4: Loop Protection
Loop Protection arbeitet unabhängig von STP und erkennt Schleifen auch über Geräte hinweg, die selbst kein STP sprechen (z. B. ungemanagte Switches). Ubiquiti empfiehlt, sie auf allen Switch-Ports einzuschalten (Port Manager › erweiterte Einstellungen).
- Bei einer Schleife wird der Port dauerhaft gesperrt und muss von Hand wieder freigegeben werden.
- Sind STP und Loop Protection aktiv, greift STP (inkl. BPDU Guard) zuerst.
- Nicht einschalten, wo niemand zeitnah eingreifen kann – etwa an einem einzelnen Uplink zu einem entfernten Standort ohne Ausweichweg.
Schritt 5: DHCP Guarding
Eine typische Begleiterscheinung neben Schleifen sind fremde DHCP-Server (z. B. ein mitgebrachter Router). DHCP Guarding (Rogue DHCP Server Detection) unter Settings › Networks blockiert DHCP-Antworten, die nicht vom Gateway kommen. Ab Werk eingeschaltet – eingeschaltet lassen und bei einem zusätzlichen, gewollten DHCP-Server dessen Adresse als vertrauenswürdig eintragen.
Schleifen finden und beheben
Anzeichen: Geräte gehen reihenweise offline, das Netz wird langsam, Adoption schlägt fehl, Ports blinken dauerhaft.
- Unter Ports nach blockierten Ports suchen (Symbol ⃠) und nach Ports mit auffällig hohem Broadcast-Verkehr.
- Kürzlich gesteckte Kabel und neue Geräte prüfen – häufige Ursachen sind zwei Kabel zwischen denselben Geräten, Mesh-Funkstrecken parallel zu Kabeln und Systeme mit eigenem Funknetz wie Sonos.
- Hilft das nicht: vom Rand des Netzes her Verbindungen einzeln trennen, bis sich das Netz beruhigt.
- Ursache beseitigen und gesperrte Ports in UniFi Network wieder freigeben.
Fremde Switches im Netz dürfen keine redundanten Wege im selben VLAN haben, es sei denn, sie sprechen ebenfalls RSTP.
Hinweise
- Sonos und ähnliche Geräte: Am kabelgebundenen Port solcher Geräte BPDU Guard aktivieren; Details in UniFi: mDNS, AirPlay und Chromecast über VLANs.
- Defekte Kabel: Schlechte Leitungen führen zu wechselnden Verbindungsgeschwindigkeiten und damit zu ständig neu berechneten STP-Wegen. Fehlerzähler der Ports beobachten.
- Unterschied zu Cisco: Die Logik entspricht RSTP mit PortFast und BPDU Guard, siehe Cisco Catalyst 2960-X: Spanning Tree (Rapid PVST+) konfigurieren; UniFi nutzt jedoch einen gemeinsamen Baum für alle VLANs.
- Bei Netzplanung und der Stabilisierung gewachsener Netze unterstützen Sie die Managed Services von m.a.x. it.
Siehe auch
- Ubiquiti UniFi – Überblick und alle Artikel der Reihe
- UniFi: Switch-Ports und Port-Profile konfigurieren
- Spanning Tree Protocol
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
