UniFi: Hochverfügbarkeit mit Shadow Mode und WAN-Failover
Auf einen Blick
| Gilt für | UniFi Cloud Gateways (Shadow Mode: UDM Pro, UDM SE, UDM Pro Max, UDM Beast, EFG, EF Core, UXG Enterprise), Multi-WAN auf allen UniFi-Gateways, UniFi 5G/LTE Backup |
|---|---|
| Bereich | Netzwerk-Hardware |
| Dauer | ca. 1–2 Stunden inklusive Umschalttest |
| Rechte | Besitzer oder Administrator in UniFi Network, Zugang zum Rack |
| Stand | Oktober 2026 |
Hochverfügbarkeit mit UniFi bedeutet, einzelne Ausfallpunkte im Netz zu beseitigen: ein zweites Gateway im Shadow Mode, das bei einem Hardwaredefekt in Sekunden übernimmt, mehrere Internetanschlüsse mit automatischem Failover oder Lastverteilung, ein Mobilfunk-Backup über 5G/LTE und redundante Verbindungen im Kern per MC-LAG oder Stacking. Dieser Artikel zeigt, welche Maßnahme welchen Ausfall abdeckt, und die Einrichtung von Shadow Mode und WAN-Failover Schritt für Schritt.
Welche Maßnahme schützt wovor?
| Ausfall | Maßnahme | Umschaltzeit |
|---|---|---|
| Internetanschluss gestört | WAN-Failover auf zweiten Anschluss | Sekunden bis wenige Minuten (Erkennung) |
| Provider großflächig gestört, Bagger am Kabel | 5G/LTE-Backup über ein anderes Medium | wie WAN-Failover |
| Gateway-Hardware defekt | Shadow Mode (zweites Gateway) | Sekunden, bestehende Verbindungen bleiben erhalten |
| Netzteil defekt | Geräte mit redundanter Stromversorgung (z. B. EFG mit tauschbaren Netzteilen) und USV | unterbrechungsfrei |
| Core-Switch defekt | MC-LAG (ECS Aggregation) oder Stacking (ECS-S) | nahezu sofort |
| Access Point defekt | überlappende Funkzellen; E7-APs mit zweitem Uplink | Roaming der Clients |
Für die meisten kleinen und mittleren Standorte bringt WAN-Failover mit Mobilfunk-Backup den größten Nutzen pro Euro. Shadow Mode lohnt sich, wo ein Gateway-Ausfall den Betrieb stoppt und kein Techniker kurzfristig vor Ort ist.
Teil 1: Mehrere Internetanschlüsse
UniFi-Gateways unterstützen bis zu acht WAN-Anschlüsse (begrenzt durch die Zahl der Ports, mindestens einer bleibt LAN). Jeder Anschluss arbeitet in einer von zwei Betriebsarten:
| Betriebsart | Verhalten | geeignet für |
|---|---|---|
| Failover | ein Anschluss aktiv, die anderen in Reserve; nach Wiederherstellung zurück zum Hauptanschluss | Hauptleitung plus Backup |
| Load Balancing | neue Verbindungen werden nach Gewichtung verteilt (z. B. 80/20); jede Sitzung bleibt auf ihrem Anschluss | zwei gleichwertige Leitungen |
Einrichtung
- Zweiten Anschluss an einen freien Port stecken und unter Settings › Internet als WAN anlegen bzw. den Port per Port Remapping zum WAN machen. Beim Tausch von WAN1 und WAN2 vorübergehend einen dritten Port nutzen.
- Zugangsart (DHCP, statisch, PPPoE, VLAN) wie beim ersten Anschluss eintragen.
- Betriebsart Failover oder Load Balancing und die Priorität bzw. Gewichtung festlegen.
Wann gilt ein Anschluss als ausgefallen?
Standard (Auto) sind drei Prüfungen: Ping an ping.ui.com sowie DNS-Auflösung von ui.com über 1.1.1.1 und 8.8.8.8. Schlagen zwei von drei fehl, wird umgeschaltet. Unter Settings › Internet › Create New SLA lassen sich eigene Prüfziele und Grenzwerte für Paketverlust, Latenz und Jitter festlegen – so wird auch eine stark gestörte, aber nicht ganz tote Leitung erkannt.
Bestimmten Verkehr auf einen Anschluss legen
Soll z. B. Telefonie immer über die Glasfaser und das Gäste-WLAN über DSL laufen: Den Zielanschluss nicht in die Lastverteilung aufnehmen (Rolle Failover bzw. Backup), dann eine Policy-Based Route mit dem Netz bzw. den Geräten als Quelle und dem Anschluss als Interface anlegen. Mit ausgeschaltetem Kill Switch weicht der Verkehr bei Ausfall auf den anderen Anschluss aus.
Teil 2: 5G/LTE-Backup
UniFi 5G Max, 5G Backup und LTE Backup (Pro) liefern eine Reserve über Mobilfunk – unabhängig von Kabel und Glasfaser.
- Backup Internet über LAN (empfohlen): Gerät an einen beliebigen PoE-Port im LAN stecken und adoptieren. Der Verkehr läuft per GRE-Tunnel über das LAN zum Gerät; es kann deshalb dort montiert werden, wo der Empfang am besten ist, und belegt keinen WAN-Port. Standardmäßig dürfen alle VLANs das Backup nutzen; pro Netz lässt sich UniFi Cellular Internet Backup abschalten, z. B. für Gäste.
- Als normales WAN (nur 5G-Geräte): an WAN1/WAN2 anschließen, dann gelten Failover, Lastverteilung und Policy-Based Routes wie bei jedem Anschluss.
Teil 3: Shadow Mode – zweites Gateway
Im Shadow Mode läuft ein zweites Gateway gleichen Modells passiv mit. Es übernimmt per VRRP, sobald es die Verbindung zum primären Gateway verliert. Weil Firewall- und Verbindungstabellen synchronisiert werden, merken die Benutzer den Wechsel praktisch nicht.
Voraussetzungen
- Zwei gleiche 19-Zoll-Cloud-Gateways: UDM Pro, UDM SE, UDM Pro Max, UDM Beast, EFG oder EF Core mit UniFi OS 4.0.6 oder neuer – oder zwei UXG Enterprise mit Firmware 4.3.1 oder neuer.
- Eine öffentliche IP-Adresse genügt; das Shadow-Gateway hält den WAN-Anschluss in Bereitschaft.
- Jeder WAN-Anschluss muss an beiden Gateways ankommen (siehe unten).
- Das CyberSecure-Abonnement deckt das Shadow-Gateway mit ab.
Einrichtung (Cloud Gateways)
- Primäres Gateway eingerichtet und aktuell; Shadow-Gateway im Werkszustand.
- Den WAN-Port des Shadow-Gateways vorübergehend an einen LAN-Port des primären anschließen: UDM Pro/SE/Pro Max Port 1–6 oder 8, EFG Port 3–6, UDM Beast Port 1, 3–9, 10–12 oder 14.
- Am primären Gateway Settings › High Availability › Gateway Shadow Mode (VRRP) das zweite Gerät als Shadow festlegen.
- Das Shadow-Gateway aktualisiert sich automatisch auf dieselbe UniFi-OS-Version und übernimmt die Konfiguration (bis zu 15 Minuten; mit Sync Now sofort).
- Enable Automatic Failover wählen und die HA-Verbindung stecken: Port 7 zu Port 7 (UDM Pro, SE, Pro Max) bzw. Port 2 zu Port 2 (EFG, EF Core, UDM Beast). Dieser Port ist ausschließlich für HA reserviert.
- Die vorübergehende WAN-Verbindung aus Schritt 2 trennen.
- WAN spiegeln: Den Internetanschluss an den gleichen WAN-Port beider Gateways führen.
- LAN spiegeln: Die LAN-Ports des Shadow-Gateways mit denselben Switches verbinden wie beim primären (idealerweise mit dem jeweils anderen Switch eines MC-LAG-Paars).
Ein Anschluss, zwei Gateways
Liefert der Provider nur ein Kabel bzw. eine Glasfaser, wird es über einen Switch auf beide Gateways verteilt:
- UniFi WAN Switch: dafür vorgesehenes, in UniFi verwaltetes Gerät.
- UniFi-Switch: ein neues Netz mit Router-Typ Third-party Gateway anlegen; drei Ports (Provider, primäres, Shadow-Gateway) erhalten dieses Netz als natives VLAN und Tagged VLAN Management = Block All.
- Bei GPON-Glasfaser keinen passiven Splitter verwenden, sondern das ONT an einen Switch anschließen und von dort verteilen.
Der WAN-Switch wird damit selbst zum Ausfallpunkt – USV und ggf. Ersatzgerät einplanen.
Wenn das primäre Gateway ausfällt
- Das Shadow-Gateway hat automatisch übernommen; Verbindungen laufen weiter.
- Falls eine Festplatte (Protect) im primären Gateway steckt: in das Shadow-Gateway umsetzen. Ubiquiti empfiehlt, nur im primären Gerät eine Festplatte zu betreiben.
- Defektes Gerät ausbauen.
- Unter UniFi OS › Applications das Shadow-Gateway zum primären hochstufen.
- Ersatzgerät im Werkszustand als neues Shadow-Gateway einrichten (Schritte oben).
Teil 4: Redundanz im Kern
- MC-LAG: Zwei ECS-Aggregation-Switches bilden ein Paar; Gateways, Server und Access-Switches werden mit je einer Leitung an beide Switches angebunden und bündeln diese per LACP. Fällt ein ganzer Switch aus, laufen die Verbindungen über den anderen weiter. Einrichtung unter Settings › High Availability › MC-LAG.
- Stacking (ECS-S): mehrere Switches als ein logisches Gerät; Uplinks als Bündel über verschiedene Stack-Mitglieder.
- Normale Switches ohne MC-LAG: redundante Uplinks über Spanning Tree, siehe UniFi: Spanning Tree und Loop-Schutz – Umschaltung in Sekunden statt sofort.
Testen
Hochverfügbarkeit, die nie getestet wurde, ist eine Annahme. In einem Wartungsfenster:
- WAN-Failover: Kabel des Hauptanschlusses ziehen, Umschaltzeit und Erreichbarkeit (Telefonie, VPN, Cloud-Dienste) prüfen, Kabel wieder stecken.
- Mobilfunk: Alle drahtgebundenen Anschlüsse trennen, Datenlimit und ausgenommene Netze kontrollieren.
- Shadow Mode: Primäres Gateway ausschalten, laufende Verbindungen (z. B. Teams-Anruf) beobachten, danach wieder einschalten.
- Ergebnisse und Zeiten im Notfallhandbuch dokumentieren.
Hinweise
- VPN und Failover: Site-to-Site-Verbindungen über SD-WAN können mehrere WANs nutzen (Redundant bzw. Max Resiliency), siehe UniFi: Standorte per Site-to-Site-VPN verbinden. Für VPN-Clients einen DynDNS-Namen verwenden, der bei Failover die neue Adresse erhält.
- Strom: Gateway, Core-Switches und WAN-Switch an eine USV; bei zwei Netzteilen an zwei Stromkreise.
- Vergleich: Hochverfügbarkeit auf OPNsense beschreibt OPNsense - Hochverfügbarkeit mit CARP und pfsync, Multi-WAN OPNsense - Gateways und Multi-WAN.
- Bei der Planung ausfallsicherer Standorte, Internet-Redundanz und Notfalltests unterstützt Sie die Managed Firewall von m.a.x. it.
Siehe auch
- Ubiquiti UniFi – Überblick und alle Artikel der Reihe
- UniFi: QoS und Bandbreitensteuerung einrichten
- UniFi: Cloud Gateway einrichten
- Hochverfügbarkeit
- VRRP
- Failover
Links und Quellen
- Ubiquiti Help Center: Shadow Mode High Availability on UniFi Cloud Gateways
- Managed Firewall von m.a.x. it
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
