UniFi: VPN für den Fernzugriff einrichten
Auf einen Blick
| Gilt für | UniFi Cloud Gateways und UniFi-Gateways mit UniFi Network 10.x; Clients unter Windows, macOS, iOS, Android, Linux |
|---|---|
| Bereich | IT-Security |
| Dauer | ca. 30 Minuten für Server und ersten Client |
| Rechte | Administrator in UniFi Network; öffentliche IP-Adresse am Gateway (außer Teleport) |
| Stand | Oktober 2026 |
Ein VPN für den Fernzugriff mit UniFi einrichten ermöglicht Mitarbeitern im Home-Office oder unterwegs einen verschlüsselten Zugang zu Servern und Anwendungen im Firmennetz – ohne dass dafür Dienste per Portweiterleitung ins Internet gestellt werden. Das UniFi-Gateway bringt dafür mehrere VPN-Server mit: WireGuard, OpenVPN, L2TP sowie die Ein-Klick-Lösung Teleport. Dieser Artikel vergleicht die Varianten, zeigt die Einrichtung von WireGuard Schritt für Schritt und erklärt, wie man den Zugriff der VPN-Benutzer mit der Firewall begrenzt.
Welcher VPN-Server?
| Variante | Technik | Stärken | Grenzen | Empfehlung |
|---|---|---|---|---|
| WireGuard | WireGuard, UDP 51820 | schnell, schlanke Clients für alle Systeme, Konfiguration per Datei oder QR-Code | ein Schlüsselpaar pro Gerät, keine Benutzeranmeldung mit Passwort | Standard für Firmen-Notebooks |
| Teleport | WireGuard über die WiFiman-App | Einladung per Link, funktioniert auch hinter NAT ohne öffentliche IP | Einladung 24 h gültig, ein Gerät pro Einladung, an WiFiman gebunden | Administratoren, kleine Teams, Standorte ohne öffentliche IP |
| OpenVPN | OpenVPN, Port 1194 | weit verbreitet, viele Clients | langsamer als WireGuard | wenn ein vorhandener OpenVPN-Client vorgeschrieben ist |
| L2TP | L2TP/IPsec | in Betriebssystemen eingebaut | veraltet, Probleme hinter NAT, schwindende Unterstützung | nicht mehr neu einrichten |
Für Organisationen mit zentraler Benutzerverwaltung bietet Ubiquiti zusätzlich UniFi Identity mit Ein-Klick-VPN und Anbindung an Microsoft Entra ID oder Google Workspace samt Mehr-Faktor-Anmeldung, siehe UniFi: Identity und UniFi Endpoint einrichten.
Voraussetzungen
- Öffentliche IP-Adresse am WAN des Gateways (bei WireGuard und OpenVPN), möglichst statisch oder mit DynDNS-Namen.
- Steht ein Provider-Router davor: dort UDP 51820 (WireGuard) bzw. 1194 (OpenVPN) auf die WAN-Adresse des UniFi-Gateways weiterleiten. Ubiquiti empfiehlt aber ausdrücklich eine öffentliche Adresse direkt am Gateway.
- Ein eigenes Adressnetz für VPN-Clients, das sich mit keinem internen Netz und möglichst nicht mit typischen Heimnetzen (192.168.0.0/24, 192.168.178.0/24) überschneidet, z. B.
10.10.99.0/24.
Schritt 1: WireGuard-Server anlegen
- Settings › VPN › VPN Server › Create New, Typ WireGuard.
- Name, z. B. Mitarbeiter-VPN.
- Server Address: WAN-Adresse des Gateways bzw. bei dynamischer Adresse den DynDNS-Namen.
- Port: 51820 (Standard).
- Gateway/Subnet für die VPN-Clients:
10.10.99.1/24. - DNS: das Gateway oder der interne DNS-Server (z. B. Domänencontroller), damit interne Namen aufgelöst werden.
- Speichern.
Schritt 2: Clients anlegen und verteilen
- Im WireGuard-Server Add Client: ein Eintrag pro Gerät mit sprechendem Namen, z. B. nb-mueller.
- Die Konfiguration als Datei herunterladen bzw. auf Smartphones den QR-Code mit der WireGuard-App scannen.
- Auf dem Notebook den WireGuard-Client installieren (wireguard.com) und die Datei importieren.
- Verbindung aktivieren und einen internen Server per Namen aufrufen.
Die Konfigurationsdatei enthält den privaten Schlüssel des Geräts – sie gehört nicht in E-Mails oder Chats, sondern wird über einen sicheren Kanal übergeben oder direkt am Gerät eingerichtet.
Gesamter Verkehr oder nur Firmennetz?
Über die Zeile AllowedIPs in der Client-Konfiguration wird festgelegt, was durch den Tunnel geht:
[Peer]
# alles durch den Tunnel (Internet läuft über die Firma)
AllowedIPs = 0.0.0.0/0
# nur Firmennetze durch den Tunnel (Split Tunneling)
# AllowedIPs = 10.10.0.0/16
Split Tunneling entlastet den Internetanschluss der Firma; der volle Tunnel sorgt dafür, dass auch der Internetverkehr über Firewall, IDS/IPS und Inhaltsfilter des Gateways läuft. Welche Variante gilt, legt die Sicherheitsrichtlinie fest.
Schritt 3: Teleport für Administratoren (optional)
- Settings › VPN › Teleport aktivieren.
- Einladung erzeugen und dem Empfänger schicken. Ist die WiFiman-App (Mobil oder Desktop) installiert, wird das VPN automatisch eingetragen.
- Einladungen gelten 24 Stunden und für ein Gerät. Offene Einladungen lassen sich in der Einladungshistorie widerrufen, angenommene über den Teleport-Client in der Geräteliste.
Teleport funktioniert auch, wenn Gateway und Client hinter NAT sitzen; in manchen Fällen braucht das Gateway dafür IPv6 auf dem WAN.
Schritt 4: Zugriff mit der Firewall begrenzen
VPN-Clients landen in der Firewall-Zone VPN. Ab Werk dürfen sie alle internen Netze erreichen (VPN › Internal = Allow All). Für ein Least-Privilege-Konzept:
| Richtlinie | Quelle | Ziel | Ports | Aktion |
|---|---|---|---|---|
| VPN zu Dateiserver und Terminalserver | VPN | Server-Zone, IP-Gruppe Server | TCP 443, 445, 3389 | Allow |
| VPN-Admins voll | VPN, IP-Adressen der Admin-Clients | Internal, Server | Any | Allow |
| VPN Rest blockieren | VPN | Internal, Server, IoT | Any, Connection State New | Block |
Feste Adressen pro VPN-Client erleichtern solche Regeln. Details zu Zonen und Reihenfolge: UniFi: Zone-Based Firewall konfigurieren.
Kontrolle und Fehlersuche
- In UniFi Network erscheinen verbundene VPN-Clients in der Client-Liste mit ihrer Tunnel-Adresse.
- Keine Verbindung: Port am vorgelagerten Router weitergeleitet? Ändert sich die öffentliche Adresse? Ist der Client im Hotel-WLAN, das UDP blockiert?
- Verbindung steht, aber kein Zugriff: Firewall-Richtlinien der Zone VPN, DNS-Einstellung des Servers und Überschneidung des VPN-Netzes mit dem Heimnetz des Benutzers prüfen.
- Langsame Verbindung: MTU-Probleme bei Mobilfunk – im Client einen kleineren MTU-Wert (z. B. 1380) testen.
Hinweise
- Geräte verwalten: Bei Verlust eines Notebooks oder Austritt eines Mitarbeiters den zugehörigen WireGuard-Client sofort löschen. Eine Liste „Gerät – Benutzer – Ausgabedatum“ führen.
- Keine Portweiterleitungen für RDP und Co.: Dienste wie Remotedesktop gehören hinter das VPN, nicht direkt ins Internet; wann eine Weiterleitung vertretbar ist, zeigt UniFi: Portweiterleitung und NAT konfigurieren.
- VPN-Client-Funktion: Umgekehrt kann das Gateway selbst als WireGuard- oder OpenVPN-Client zu einem externen Anbieter verbinden (bis zu 8 Verbindungen); ausgewählter Verkehr wird dann per Traffic Route dorthin geleitet.
- Vergleich: Dieselbe Aufgabe mit OPNsense zeigt OPNsense - WireGuard Site-to-Site und Road Warrior.
- Bei sicherem Fernzugriff, Zugriffskonzept und Mehr-Faktor-Anmeldung unterstützt Sie die Managed Firewall von m.a.x. it.
Siehe auch
- Ubiquiti UniFi – Überblick und alle Artikel der Reihe
- UniFi: Standorte per Site-to-Site-VPN verbinden
- UniFi: Zone-Based Firewall konfigurieren
- WireGuard
- VPN
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
