UniFi: VLANs einrichten
Auf einen Blick
| Gilt für | UniFi Network 10.x mit UniFi Cloud Gateway bzw. UniFi-Gateway; UniFi-Switches und Access Points |
|---|---|
| Bereich | Netzwerk-Hardware |
| Dauer | ca. 30–60 Minuten für einen typischen Netzplan |
| Rechte | Administrator in UniFi Network |
| Stand | Oktober 2026 |
VLANs in UniFi einrichten bedeutet, das Netz in getrennte logische Netze aufzuteilen – UniFi nennt sie Virtual Networks. Typisch sind eigene Netze für Arbeitsplätze, Telefonie, Server, IoT-Geräte und Gäste. Das UniFi-Gateway übernimmt Routing und DHCP, Switch-Ports und WLAN-SSIDs ordnen die Geräte den Netzen zu, und die Firewall regelt, wer mit wem sprechen darf. Dieser Artikel zeigt einen Netzplan, die Einrichtung, die Zuordnung und die häufigsten Fehler.
Beispiel-Netzplan
| Name | VLAN-ID | Netz | Zweck | Firewall-Zone |
|---|---|---|---|---|
| Default | 1 (untagged) | 10.10.1.0/24 | Verwaltung von Gateway, Switches und APs | Internal |
| Clients | 10 | 10.10.10.0/24 | Arbeitsplätze, Notebooks | Internal |
| VoIP | 20 | 10.10.20.0/24 | Telefone | Internal |
| Server | 30 | 10.10.30.0/24 | Server, NAS, Drucker | eigene Zone Server |
| IoT | 40 | 10.10.40.0/24 | Gebäudetechnik, TVs, Sensoren | eigene Zone IoT |
| Gäste | 50 | 10.10.50.0/24 | Gäste-WLAN | Hotspot |
- Die dritte Stelle der Adresse entspricht der VLAN-ID – das erleichtert die Fehlersuche.
- Das Default-Netz bleibt als Verwaltungsnetz für die UniFi-Geräte bestehen; Clients gehören in eigene Netze.
Schritt 1: Virtual Network anlegen
- Settings › Networks › New Virtual Network.
- Name vergeben, z. B. Clients.
- VLAN ID setzen, z. B. 10.
- Gateway IP/Subnet eintragen, z. B.
10.10.10.1/24; der DHCP-Bereich wird vorgeschlagen und kann angepasst werden. - Optional: DHCP-Optionen (DNS-Server, Domänenname, Option 43), Content Filtering, Network Isolation, mDNS, IGMP Snooping.
- Apply Changes.
Ein neues Netz ist zunächst nirgends zugeordnet – Geräte landen erst darin, wenn ein Port oder eine SSID es nutzt.
Optionen pro Netz
| Option | Wirkung |
|---|---|
| Network Isolation | blockiert per Firewall den Verkehr zwischen diesem Netz und allen anderen; Internet bleibt erlaubt – schnellste Lösung für Gäste und IoT |
| mDNS | leitet Gerätesuche (AirPlay, AirPrint, Chromecast, Sonos …) zwischen ausgewählten Netzen weiter; Modus Auto beschränkt auf gängige Dienste |
| IGMP Snooping | leitet Multicast nur an Ports mit Empfängern; wichtig für IPTV und AV-Systeme |
| Device Isolation (ACL) | Switches blockieren Verkehr zwischen Geräten innerhalb des VLANs |
| L3 Network Isolation (ACL) | Switches blockieren IPv4-Verkehr zu anderen Netzen direkt am Switch, ohne Firewall |
| Third-party Gateway | Netz existiert nur als VLAN; Routing und DHCP macht eine fremde Firewall (z. B. OPNsense) |
Schritt 2: Switch-Ports zuordnen
In UniFi gibt es keine Unterscheidung „Access“ oder „Trunk“ als Modus, sondern zwei Einstellungen pro Port:
- Native VLAN / Network: das Netz für ungetaggten Verkehr – hier landet ein angeschlossener PC.
- Tagged VLAN Management: welche weiteren VLANs getaggt erlaubt sind:
- Allow All (Standard) – alle VLANs, für Uplinks zu Switches und Access Points,
- Block All – nur das native VLAN, für Endgeräte (klassischer Access-Port),
- Custom – nur ausgewählte VLANs.
Einstellung im Port Manager: UniFi Devices › Switch › Ports › Port auswählen. Für viele gleiche Ports besser ein Port-Profil anlegen – siehe UniFi: Switch-Ports und Port-Profile konfigurieren.
Schritt 3: SSIDs zuordnen
Unter Settings › WiFi bei jeder SSID im Feld Network das Netz wählen. Jede SSID gehört zu genau einem VLAN. Mehrere VLANs auf einer SSID sind mit PPSK (ein Passwort pro VLAN, nur WPA2) oder per RADIUS möglich – siehe UniFi: WLAN einrichten und optimieren.
Schritt 4: Netze voneinander trennen
Ab Werk dürfen sich alle Netze der Zone Internal gegenseitig erreichen. Für die Trennung gibt es mehrere Werkzeuge:
- Network Isolation pro Netz – ein Schalter, ideal für Gäste und einfache IoT-Netze.
- Zone-Based Firewall – feine Regeln, z. B. „Clients dürfen auf Server Port 443 und 445“, siehe UniFi: Zone-Based Firewall konfigurieren.
- Switch-ACLs – Trennung direkt am Switch, auch innerhalb eines VLANs, siehe UniFi: Switch-ACLs einrichten.
- Client Device Isolation im WLAN – Geräte am selben AP sehen sich nicht.
Typische Fehler
| Symptom | Ursache | Lösung |
|---|---|---|
| Clients kommen nicht ins WLAN bzw. bekommen keine Adresse | Das VLAN der SSID ist am Uplink-Port des AP als natives VLAN eingestellt | Uplink-Port des AP: Native = Default, Tagged = Allow All |
| ebenso | Das VLAN ist an einem Port auf dem Weg zum Gateway nicht erlaubt (Tagged = Block All oder Custom ohne dieses VLAN) | alle Ports bis zum Gateway prüfen |
| Switch oder AP offline nach Network Override | Management-VLAN ist am eigenen Port nativ gesetzt oder upstream nicht erlaubt | per VLAN Viewer prüfen; notfalls Gerät zurücksetzen |
| Drucker/AirPlay in anderem VLAN nicht sichtbar | mDNS nicht weitergeleitet | mDNS für beide Netze aktivieren und Firewall-Regel für den Dienst anlegen, siehe UniFi: mDNS, AirPlay und Chromecast über VLANs |
Der VLAN Viewer im Bereich Ports zeigt für alle Ports, welche VLANs nativ und getaggt sind. Bei Problemen den Weg vom betroffenen Gerät bis zum Gateway Port für Port verfolgen.
Fremde Switches im UniFi-Netz
Hängen Switches anderer Hersteller zwischen UniFi-Geräten, müssen die VLANs dort von Hand angelegt und an den Uplinks getaggt werden; das native VLAN muss auf beiden Seiten übereinstimmen. UniFi-Switches erlauben dagegen ab Werk alle VLANs.
Hinweise
- VLAN Magic: Für kleine Netze lassen sich VLANs auch über die Topologie-Ansicht anlegen und Geräte per Klick zuordnen; hinter USW Flex, Flex Mini und Ultra funktioniert das nicht.
- Feste VLAN-Zuordnung per MAC-Adresse ist über RADIUS (802.1X/MAB) oder Virtual Network Override am Gateway möglich.
- Netz nachträglich ändern: Adressbereiche lassen sich ändern, betroffene Geräte brauchen aber eine neue Adresse. Den Adressplan deshalb vor dem Rollout festlegen.
- Bei Segmentierungskonzept, Firewall-Regeln und Umsetzung unterstützt Sie die Cybersecurity-Beratung von m.a.x. it.
Siehe auch
- Ubiquiti UniFi – Überblick und alle Artikel der Reihe
- UniFi: Switch-Ports und Port-Profile konfigurieren
- UniFi: Zone-Based Firewall konfigurieren
- VLAN
- Netzwerksegmentierung
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
