UniFi: Portweiterleitung und NAT konfigurieren
Auf einen Blick
| Gilt für | UniFi Cloud Gateways und UniFi-Gateways mit UniFi Network 9.4 bis 10.x (Zone-Based Firewall) |
|---|---|
| Bereich | Netzwerk-Hardware |
| Dauer | ca. 15–30 Minuten |
| Rechte | Administrator in UniFi Network |
| Stand | Oktober 2026 |
Eine Portweiterleitung in UniFi einrichten macht einen Dienst im internen Netz – etwa einen Webserver, einen Mailserver oder ein Videosystem – aus dem Internet erreichbar: Das Gateway leitet Verbindungen auf einen Port seiner öffentlichen IP-Adresse an eine interne Adresse weiter. Technisch ist das Destination NAT (DNAT). Dieser Artikel zeigt die Voraussetzungen (öffentliche IP, DynDNS), die Einrichtung, die Absicherung, Hairpin NAT für den Zugriff von innen sowie die erweiterten NAT-Regeln für Kunden mit mehreren öffentlichen IP-Adressen.
Erst prüfen: Ist eine Portweiterleitung der richtige Weg?
| Zweck | besser |
|---|---|
| Mitarbeiter greifen auf interne Server, Remotedesktop oder NAS zu | VPN, siehe UniFi: VPN für den Fernzugriff einrichten – keine Portweiterleitung |
| Öffentlicher Dienst für Kunden oder Partner (Website, Mail, Shop) | Portweiterleitung in eine DMZ, idealerweise hinter einem Reverse Proxy |
| Einzelner Partner braucht Zugriff auf einen Dienst | Portweiterleitung mit Beschränkung auf dessen IP-Adresse – oder Site-to-Site-VPN |
Jede Weiterleitung macht den Zieldienst direkt angreifbar. Er muss aktuell gepatcht, stark authentifiziert und überwacht sein.
Voraussetzungen
Öffentliche IP-Adresse
Eine Weiterleitung funktioniert nur, wenn das Gateway auf seinem WAN eine öffentliche Adresse hat. Liegt die WAN-Adresse in einem dieser Bereiche, steht ein weiterer Router davor oder der Provider nutzt CGNAT:
- 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 – doppeltes NAT (z. B. Provider-Router davor),
- 100.64.0.0/10 – CGNAT: mehrere Kunden teilen sich eine öffentliche Adresse; Weiterleitungen sind dann unmöglich.
Lösungen: Provider-Router in den Bridge-Modus versetzen, beim Provider eine öffentliche (feste) IPv4-Adresse buchen oder – als Notlösung – auch am vorgelagerten Router weiterleiten. Im letzten Fall funktioniert der Zugriff von innen über die öffentliche Adresse (Hairpin NAT) nicht.
Kontrolle: Die WAN-Adresse im Dashboard bzw. Site Manager mit der Adresse vergleichen, die eine Website wie „Wie ist meine IP“ anzeigt.
Feste Adresse oder DynDNS
Wechselt die öffentliche Adresse, unter Settings › Internet › WAN › Dynamic DNS einen Eintrag anlegen: Anbieter (u. a. Cloudflare, No-IP, DynDNS, Namecheap), Hostname, Benutzername, Passwort bzw. API-Token. Gäste und Partner verwenden dann den Namen statt der IP-Adresse.
Schritt 1: Ziel vorbereiten
- Der Server bekommt eine feste IP-Adresse (statisch oder per DHCP-Reservierung), z. B.
10.10.60.10. - Öffentlich erreichbare Server gehören in ein eigenes Netz in der Firewall-Zone DMZ – sie dürfen dann nicht von sich aus ins interne Netz, siehe UniFi: Zone-Based Firewall konfigurieren.
- Die lokale Firewall des Servers muss den Port erlauben; das Standard-Gateway des Servers muss das UniFi-Gateway sein.
Schritt 2: Portweiterleitung anlegen
Settings › Policy Table › Create New Policy › Port Forwarding (in Network 9.3 unter Settings › Policy Engine › Port Forwarding):
| Feld | Beispiel | Bedeutung |
|---|---|---|
| Name | Webserver HTTPS | sprechender Name |
| WAN Interface | WAN 1 | ein bestimmter oder alle WAN-Anschlüsse |
| Port (eingehend) | 443 | öffentlicher Port |
| From | Limited: 203.0.113.0/24 | alle Absender oder nur bestimmte IP-Adressen |
| Forward IP Address | 10.10.60.10 | interner Server |
| Forward Port | 443 | Port auf dem Server (kann abweichen) |
| Protocol | TCP | TCP, UDP oder beides |
| Syslog | an | Verbindungen an einen Log-Server bzw. ein SIEM melden |
Die passende Firewall-Freigabe legt UniFi automatisch an. Ein öffentlicher Port kann nur an ein einziges internes Ziel gehen; mehrere öffentliche Ports dürfen aber auf denselben internen Port zeigen.
Schritt 3: Absichern
- Absender einschränken, wo immer möglich (Feld From), z. B. auf die IP-Adressen eines Dienstleisters.
- Länder sperren: In der zonenbasierten Firewall eine Block-Richtlinie von External nach DMZ mit der Herkunft Region anlegen und oberhalb der automatisch erzeugten Freigabe einordnen.
- IDS/IPS für das DMZ-Netz aktivieren, siehe UniFi: IDS/IPS und CyberSecure einrichten.
- Keine Verwaltungsoberflächen (Remotedesktop, SSH, NAS-Oberflächen, Kamerasysteme, Router) ins Internet stellen.
- UPnP ausschalten (Settings › Internet): UPnP lässt Geräte im Netz selbst Ports öffnen. Ubiquiti empfiehlt, es abgeschaltet zu lassen – auch für Spielkonsolen.
Schritt 4: Testen
- Von außen testen, z. B. über das Mobilfunknetz eines Smartphones oder einen externen Port-Scanner – nicht aus dem eigenen Netz.
- Geht es nicht, der Reihe nach prüfen: öffentliche IP am WAN? Port bereits an ein anderes Ziel weitergeleitet oder von UPnP belegt? Blockiert der Provider den Port? Erlaubt die Server-Firewall die Verbindung? Hat der Server das richtige Standard-Gateway?
Zugriff von innen: Hairpin NAT
Ruft ein Client im internen Netz die öffentliche Adresse oder den öffentlichen Namen auf, leitet das Gateway die Anfrage dank Hairpin NAT (ab Werk aktiv) trotzdem an den internen Server. Eleganter ist ein interner DNS-Eintrag, der den Namen direkt auf die interne Adresse auflöst (Split DNS) – das spart den Umweg über das Gateway, siehe UniFi: DNS-Einträge und lokale Hostnamen.
Erweiterte NAT-Regeln
Für Anschlüsse mit mehreren öffentlichen IP-Adressen (IP-Block) gibt es eigene NAT-Regeln unter Settings › Policy Table › Create New Policy › NAT:
| Typ | Wirkung | Beispiel |
|---|---|---|
| Dest. NAT (DNAT) | ändert das Ziel eingehender Verbindungen | öffentliche IP 203.0.113.11 komplett auf Mailserver 10.10.60.20 |
| Src. NAT (SNAT) | ändert die Absenderadresse ausgehender Verbindungen | Mailserver verschickt immer über 203.0.113.11 (passend zu SPF und Reverse DNS) |
| Masquerade | Absender wird die aktuelle WAN-Adresse – Standardverhalten für alle Netze | ein Netz über einen bestimmten WAN-Anschluss maskieren |
- Eine DNAT-Regel auf einem WAN-Interface erzeugt automatisch eine passende Firewall-Freigabe. Ist die Regel nicht auf Ports beschränkt, eigene Firewall-Richtlinien darüber anlegen, die nur die nötigen Ports zulassen.
- NAT abschalten (Gerät › Settings › Global NAT Settings: Auto, Custom, Off) ist nur sinnvoll, wenn das Gateway als interner Router arbeitet oder Netze mit öffentlichen Adressen geroutet werden – der vorgelagerte Router muss die Netze dann kennen (statische Route oder BGP).
Hinweise
- Dokumentation: Jede Weiterleitung mit Zweck, Verantwortlichem und Prüfdatum dokumentieren; nicht mehr benötigte Weiterleitungen sofort löschen.
- Zertifikate: Öffentliche Dienste nur per HTTPS mit gültigem Zertifikat anbieten; ein Reverse Proxy bündelt mehrere Webdienste hinter Port 443.
- Vergleich: Die gleiche Aufgabe auf OPNsense beschreibt OPNsense - NAT und Portweiterleitungen.
- Bei der sicheren Veröffentlichung von Diensten, DMZ-Konzept und Firewall-Betrieb unterstützt Sie die Managed Firewall von m.a.x. it.
Siehe auch
- Ubiquiti UniFi – Überblick und alle Artikel der Reihe
- UniFi: Zone-Based Firewall konfigurieren
- UniFi: VPN für den Fernzugriff einrichten
- UniFi: Cloud Gateway einrichten
- Firewall
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
