UniFi VLAN einrichten: Netzwerke, WLAN, Switch-Ports und Firewall

Ein eigenes VLAN für IoT-Geräte, Kameras oder Gäste ist in UniFi schnell angelegt. Damit die Trennung auch wirklich greift, müssen Netzwerk, WLAN, Switch-Ports und Firewall zusammenpassen. Hier die Schritte in der richtigen Reihenfolge.

Ein VLAN trennt ein physisches Netzwerk in mehrere logische Netze. Typisch im Heimnetz und kleinen Büros sind ein Hauptnetz, ein IoT-Netz für smarte Geräte, ein Kamera-Netz und ein Gästenetz. Die Anleitung bezieht sich auf die UniFi Network Application ab Version 9 mit einem UniFi-Gateway (Dream Machine, Cloud Gateway oder Dream Router). Menüpunkte können sich in neueren Versionen verschieben.

1. Netzwerk mit VLAN-ID anlegen

  1. Settings → Networks → New Virtual Network
  2. Namen vergeben, zum Beispiel „IoT“.
  3. Bei „VLAN ID“ eine freie Nummer eintragen, etwa 20. Die ID 1 ist für das Standardnetz reserviert.
  4. Gateway-IP und Subnetz festlegen, zum Beispiel 192.168.20.1/24. DHCP bleibt aktiv.
  5. Speichern. Das Gateway verteilt ab jetzt Adressen aus diesem Bereich an Geräte, die im VLAN 20 landen.

2. WLAN dem VLAN zuweisen

Unter Settings → WiFi ein neues WLAN anlegen oder ein bestehendes öffnen und bei „Network“ das IoT-Netz auswählen. Viele IoT-Geräte können nur 2,4 GHz. Für dieses WLAN deshalb das 2,4-GHz-Band aktiv lassen und WPA2 statt reinem WPA3 einstellen, sonst verbinden sich ältere Geräte nicht.

3. Switch-Ports konfigurieren

Kabelgebundene Geräte landen in dem VLAN, das am Switch-Port als Native VLAN eingestellt ist.

  • Für ein einzelnes Gerät im IoT-Netz: Port öffnen, „Native VLAN / Network“ auf IoT setzen, Tagged VLANs auf „Block All“.
  • Für Access Points und Uplinks zu weiteren Switches: Native VLAN bleibt das Standardnetz, bei „Tagged VLAN Management“ „Allow All“ stehen lassen. Sonst kommen die VLANs am Access Point nicht an.

Nicht verwaltete Switches von Drittherstellern reichen getaggte Pakete meist einfach durch, sie können aber keine Ports einem VLAN zuordnen. Steht zwischen Gateway und Access Point so ein Switch, funktioniert das WLAN-VLAN in der Regel trotzdem.

4. Netze per Firewall trennen

Ein VLAN allein trennt die Netze nicht. Das Gateway routet standardmäßig zwischen allen internen Netzen. Die Trennung entsteht erst durch Firewall-Regeln.

Ab Network 9 gibt es die zonenbasierte Firewall. Vorgehen:

  1. Settings → Security → Zones öffnen und eine neue Zone „IoT“ anlegen. Das IoT-Netzwerk in diese Zone verschieben.
  2. Unter den Policies von „IoT“ nach „Internal“ eine Regel „Block“ anlegen.
  3. Von „Internal“ nach „IoT“ erlauben, damit Handy und PC die Geräte weiter steuern können. Antworten auf diese Verbindungen werden automatisch durchgelassen.
  4. Den Zugriff von IoT auf das Gateway selbst (Zone „Gateway“) auf DNS und DHCP beschränken.

In älteren Versionen ohne Zonen gibt es beim Netzwerk den Schalter „Network Isolation“ bzw. „Isolate Network“. Der blockiert den Verkehr in andere Netze in einem Schritt.

5. Chromecast, AirPlay und Sonos über VLAN-Grenzen

Geräte wie Chromecast, AirPlay-Lautsprecher oder Drucker finden sich über mDNS. Diese Pakete bleiben im eigenen VLAN. Damit das Handy im Hauptnetz den Fernseher im IoT-Netz trotzdem sieht, unter Settings → Networks → Global Network Settings „Multicast DNS“ für beide Netze aktivieren. Zusätzlich braucht es eine Firewall-Freigabe für die Ports der jeweiligen Anwendung, zum Beispiel TCP 8008 und 8009 für Chromecast.

Typische Fehler

  • Gerät bekommt eine 169.254er-Adresse: Das VLAN kommt am Port oder Access Point nicht an. Tagged VLAN Management des Uplink-Ports prüfen.
  • IoT-Geräte sind trotz VLAN aus dem Hauptnetz und umgekehrt erreichbar: Es fehlt die Block-Regel, siehe Schritt 4.
  • Gerät verbindet sich nicht mit dem IoT-WLAN: Band und Verschlüsselung prüfen, siehe Schritt 2.

Eigene VLAN-Planung, die nicht so läuft wie gedacht? Im Forum Switches oder Netzwerk allgemein mit Screenshot der Netzwerkliste und der Port-Einstellungen nachfragen.