Einführung
Wenn smarte Beleuchtung stockt, Schlösser Befehle ignorieren oder Sensoren in einer App verschwinden, ist es verlockend, dem Gerät die Schuld zu geben. In meinem Geschäft und bei mir zu Hause habe ich gelernt, dass das Netzwerk oft der stille Unruhestifter ist. Eine solide UniFi IoT-Netzwerkeinrichtung bietet Smart-Home-Geräten eine ruhigere Umgebung, insbesondere wenn WLAN, Matter, Thread, Home Assistant, Apple Home, Kameras und Sprachassistenten sich alle dasselbe Haus teilen.
Ich mag UniFi, weil es mir erlaubt, Geräte zu trennen, ohne mein Zuhause in ein Netzwerklabor zu verwandeln. Der Trick besteht darin, nicht jede erweiterte Option nur deshalb zu aktivieren, weil sie existiert. Ich möchte, dass das Netzwerk im besten Sinne langweilig ist: vorhersehbar, sicher und freundlich gegenüber dem Discovery-Traffic, auf den Smart Homes angewiesen sind.
Dieser Leitfaden beschreibt meine Herangehensweise an ein IoT-VLAN, eine dedizierte SSID, 2,4-GHz-Optionen, mDNS, IPv6, Firewall-Regeln und die Platzierung von Hubs. Ich werde auch darauf hinweisen, wo eine einfache physische Einrichtung hilft, denn das beste Netzwerkdesign benötigt immer noch eine saubere Montage, Stromversorgung und Kabelmanagement. Genau hier beweisen sich Produkte wie unsere UniFi Cloud Gateway Wandhalterung.
Sie sind nicht sicher, welche Halterung für Ihren Access Point passt? Nutzen Sie den AP-Halterungs-Finder: Wählen Sie Ihr UniFi- oder Omada-Modell und kommen Sie direkt zur passenden Halterung.
Was ist die beste UniFi IoT-Netzwerkeinrichtung?
Eine zuverlässige UniFi IoT-Netzwerkeinrichtung verwendet ein dediziertes IoT-VLAN, eine diesem VLAN zugeordnete SSID, aktiviertes IPv6 für die lokale Matter-Kommunikation, mDNS zwischen vertrauenswürdigen und IoT-Netzwerken sowie Firewall-Regeln, die verhindern, dass IoT-Geräte Zugriffe auf persönliche Geräte initiieren, während sie vertrauenswürdigen Geräten weiterhin die Verwaltung des Smart Homes ermöglichen.
Das ist die Kurzfassung. Die längere Version ist, dass Smart Homes nicht aus nur einer Art von Gerät bestehen. Eine Glühbirne, ein Garagentoröffner, eine Kamera, ein Home-Assistant-Dashboard und ein Thread-Border-Router verhalten sich alle unterschiedlich. Ich trenne sie, damit ein fragwürdiges Gadget nicht dieselben Freiheiten erhält wie mein Laptop, aber ich vermeide Isolierungseinstellungen, die Casting, Hub-Discovery, Automatisierungen oder mobile Steuerung unterbrechen.
Mein übliches Layout sieht so aus:
- Ein vertrauenswürdiges Haushaltsnetzwerk für Telefone, Computer und Tablets
- Ein UniFi IoT-VLAN für Smart-Home-Zubehör und Hubs
- Ein Kamera-VLAN, wenn Kameras ihre eigene Spur verdienen
- Ein Gastnetzwerk für Besucher
Ich glaube nicht, dass jedes Zuhause ein Dutzend VLANs benötigt. Zu viele Segmente können die Fehlersuche zur Qual machen. Aber zwei oder drei gut benannte Netzwerke sind später leicht zu verstehen, was wichtig ist, wenn um 23 Uhr plötzlich etwas nicht mehr funktioniert.
Wenn Sie beim Neuaufbau des Netzwerks auf neue Access Points aufrüsten, kann WiFi-7-Hardware eine gute langfristige Investition sein, aber sie ist kein Zaubermittel. Der saubere VLAN- und SSID-Plan ist es, der die eigentliche Arbeit leistet.
Für UniFi-Zuhause mit neueren Access Points bleibe ich gerne im Ubiquiti-Ökosystem, damit der Controller alles an einem Ort sieht. Überprüfen Sie regionale Bestände sorgfältig, da Modellnamen je nach Markt variieren.
[CA] Ubiquiti Networks U7-PRO-XG | [US] U7 Pro Wall Tri-Band Wi-Fi 7 Access Point
UniFi IoT-Netzwerkeinrichtung: Erstellen Sie zuerst das VLAN
Beginnen Sie in den UniFi-Netzwerkeinstellungen mit der Erstellung eines Netzwerks für Smart-Home-Geräte. Ich nenne es normalerweise einfach IoT, weil mein zukünftiges Ich keine Lust hat, kryptische Bezeichnungen zu entschlüsseln. Weisen Sie ihm ein eigenes Subnetz und eine VLAN-ID zu und halten Sie dieses Subnetz dann getrennt vom vertrauenswürdigen Haushaltsnetzwerk.
Der Sicherheitsgrund ist simpel: Viele Smart-Home-Geräte sind preiswert, werden selten aktualisiert und sind darauf programmiert, Cloud-Dienste zu kontaktieren. Ich nutze sie zwar selbst, aber ich möchte nicht, dass sie neben Arbeitsgeräten, Familienfotos, Steuerunterlagen oder Admin-Oberflächen sitzen. Ein UniFi IoT-VLAN gibt diesen Geräten ihre eigene Wohnung im selben Gebäude.
Wenn Sie auch Kameras verwenden, ziehen Sie ein separates Kamera-Netzwerk in Betracht. Kameras können gesprächig sein, und viele Leute ziehen es vor, ihr Kamera-VLAN vom Internet zu trennen, während sie weiterhin lokal aufzeichnen oder ansehen. Das ist eine andere Entscheidung als beim IoT-VLAN, wo viele cloudgebundene Stecker, Lautsprecher und Hubs möglicherweise einen ausgehenden Zugriff benötigen.
Achten Sie bei Matter und Thread auf IPv6. Matter verwendet IPv6 lokal, daher benötigt Ihr Zuhause kein öffentliches IPv6 von Ihrem Internetanbieter, aber das lokale Netzwerk muss IPv6-Adressierung und Discovery ordnungsgemäß handhaben. In UniFi aktiviere ich IPv6 auf den für die Smart-Home-Kommunikation relevanten VLANs und stelle sicher, dass jedes VLAN ein eindeutiges lokales Präfix oder Subnetz verwendet, damit sich nichts überschneidet.
Diese eine Einstellung kann den Unterschied zwischen einem Thread-Gerät, das sich sauber verbindet, und einem, das sich wie verhext verhält, ausmachen. Matter-Thread-UniFi-Setups reagieren besonders empfindlich auf lokales Discovery, daher installiere ich lieber frühzeitig die richtige lokale Leitung, anstatt später Geisterproblemen hinterherzujagen.
UniFi IoT-Netzwerkeinrichtung: Erstellen Sie die WLAN-SSID
Nachdem das Netzwerk existiert, erstellen Sie den WLAN-Namen, mit dem sich Ihre smarten Geräte verbinden. Der wichtige Schritt in UniFi ist die Zuordnung der SSID zum IoT-Netzwerk, anstatt sie versehentlich mit dem Standard-LAN verbunden zu lassen.
Ich nenne die SSID normalerweise eindeutig, wie Home-IoT oder WormPop-IoT. Ihre Gäste müssen sie nie sehen, und Ihre Familie muss sie nicht oft manuell verwenden. Das Ziel ist Klarheit, wenn Sie in sechs Monaten ein Thermostat, einen smarten Stecker oder einen Garagentoröffner hinzufügen.
Aus Sicherheitsgründen ist WPA2 für eine UniFi IoT-SSID oft die praktische Wahl, da ältere Smart-Home-Geräte wählerisch sein können. Wenn jedes Ihrer Geräte WPA3 einwandfrei unterstützt, können Sie es testen, aber ich würde nicht das gesamte Haus instabil machen, nur um das neueste Häkchen zu setzen. Smart Homes belohnen langweilige Kompatibilität.
Ich verstecke meine SSID auch nicht. Versteckte Netzwerke bieten keinen nennenswerten Schutz und können die Einrichtung für Geräte erschweren, die ohnehin anfällige Onboarding-Apps haben. Verwenden Sie stattdessen ein starkes Passwort.
Dies ist auch ein guter Zeitpunkt, um zu entscheiden, welche Access Points das IoT-Netzwerk ausstrahlen. In den meisten Häusern möchte ich, dass jeder AP es ausstrahlt, da smarte Geräte in seltsamen Ecken landen: Garage, Keller, Veranda, Waschküche, Technikraum. Wenn Sie einen speziellen AP für ein Nebengebäude oder eine Werkstatt haben, können Sie selektiver sein.
Wahl einer UniFi 2,4-GHz-SSID für IoT-Geräte
Viele Smart-Home-Geräte verwenden immer noch 2,4 GHz, weil es kostengünstig ist, eine höhere Reichweite hat und für kleine Datenpakete von Sensoren ausreicht. Deshalb kann eine dedizierte UniFi 2,4-GHz-SSID Kopfschmerzen beim Pairing lösen. Bearbeiten Sie in UniFi die IoT-WLAN-Einstellungen, stellen Sie die erweiterten Einstellungen auf „Manuell“ um und deaktivieren Sie 5 GHz und 6 GHz für diese SSID, falls Ihre Geräte Probleme haben.
Ich habe beide Ansätze verwendet: eine kombinierte 2,4/5-GHz-IoT-SSID und eine reine 2,4-GHz-SSID. Ein kombiniertes Netzwerk ist in Ordnung, wenn sich Ihre Geräte gut verhalten, und es kann Kameras, Thermostaten und neuerem Zubehör helfen, die tatsächlich von 5 GHz profitieren. Aber wenn ein Gerät darauf besteht, dass es nur 2,4 GHz unterstützen kann und die App bei der Einrichtung immer wieder abbricht, höre ich auf zu diskutieren und gebe ihm eine reine 2,4-GHz-Spur.
Der Grund, warum das funktioniert, ist nicht mystisch. Manche Einrichtungs-Apps von Geräten fordern Ihr Telefon auf, WLAN-Informationen zu übergeben, und das Gerät verwirrt sich, wenn die SSID mehrere Bänder unterstützt. Die Trennung der Bänder beseitigt dieses Verhandlungsproblem.
Sie können dieselbe Idee umgekehrt anwenden. Wenn Sie ein reines 5-GHz- oder 6-GHz-Netzwerk für eine bestimmte Geräteklasse wünschen, kann UniFi das auch. Ich brauche das für Smart-Home-Zubehör selten, aber es ist nützlich zu verstehen, dass bandspezifische SSIDs ein Werkzeug sind, keine Religion.
Wenn ich Wand-Dashboards für Home Assistant baue, ist mir eine stabile Abdeckung wichtiger als rohe Geschwindigkeit. Unsere Home Assistant Tablet-Schiebehalterung ist eine saubere Möglichkeit, ein Steuer-Tablet zugänglich zu halten, und die Tablet-Abzweigkasten-Wandhalterung ist meine Wahl, wenn die Installation gewollt und nicht provisorisch aussehen soll.
Wenn Ihr Smart Home von Matter und Thread abhängt, kann ein Multiprotokoll-Hub die Anzahl der beweglichen Teile reduzieren. Ich mag Hubs, die Thread-Border-Router-Aufgaben unterstützen und nach Möglichkeit ältere Ökosysteme in Matter überbrücken.
[CA] Aqara Smart Hub M3 | [US] Aqara Smart Hub M3
Smart-Home-WLAN-Isolierung, ohne das Discovery zu zerstören
Smart-Home-WLAN-Isolierung klingt einfach, bis man merkt, wie viele Geräte sich gegenseitig finden müssen. Ihr Telefon befindet sich möglicherweise im vertrauenswürdigen Netzwerk, während Lautsprecher, Hubs, Fernseher und Zubehör im IoT-Bereich sind. Wenn die Netzwerke den richtigen Discovery-Traffic nicht weiterleiten können, fühlt sich das Haus kaputt an, obwohl jedes Gerät Internet hat.
In UniFi ist mDNS die Einstellung, die ich früh überprüfe. Ich aktiviere mDNS und beziehe das vertrauenswürdige Netzwerk und das IoT-Netzwerk ein, damit Dienste über VLANs hinweg gefunden werden können. Dies hilft Telefon-Apps, Steuerung im AirPlay-Stil, Hub-Discovery und lokalem Smart-Home-Management, über die Grenze hinweg zu funktionieren.
Ich vermeide auch Einstellungen, die den Traffic unterdrücken, auf den Smart Homes angewiesen sind. Auf meiner IoT-SSID lasse ich Multicast- und Broadcast-Blockierung deaktiviert. Ich lasse auch die Multicast-zu-Unicast-Konvertierung aus, es sei denn, ich teste ein sehr spezifisches Problem. Diese Funktionen können in einigen Unternehmensumgebungen nützlich sein, aber ein Haus voller Zubehör benötigt oft Multicast-Discovery, um einfach und vorhersehbar zu bleiben.
IGMP-Snooping ist eine weitere Einstellung, die ich vorsichtig behandle. Wenn sie standardmäßig aktiviert ist und Ihre Smart-Home-Geräte sich seltsam verhalten, versuchen Sie, sie für diesen Anwendungsfall zu deaktivieren. Ich möchte, dass das Netzwerk hilfreich ist, nicht zu schlau.
Das ist das Gleichgewicht: Ich möchte eine Smart-Home-WLAN-Isolierung zur Sicherheit, aber ich will keinen versiegelten Bunker. Vertrauenswürdige Geräte sollten in der Lage sein, Smart-Home-Geräte zu erreichen und zu verwalten. IoT-Geräte sollten nicht frei sein, von sich aus in das vertrauenswürdige Netzwerk einzudringen.
Amazon Echo-Geräte können als Sprachsteuerungspunkte und – je nach Modell und Region – als Smart-Home-Hubs mit Zigbee-, Matter- oder Thread-Funktionen nützlich sein. Ich platziere sie trotzdem durchdacht, da sie Teil der Steuerungsebene für das Zuhause werden.
[CA] Amazon Echo 4. Generation | [US] Amazon Echo 4. Generation
Firewall-Regeln, die ich für ein IoT-VLAN verwende
Bei Firewall-Regeln übertreiben es die Leute oft. Ich halte meine anfangs einfach und verschärfe sie erst, wenn ich weiß, dass das Haus funktioniert.
Die erste Regel, die ich mag, ist eine Erlaubnis-Regel für Antwort-Traffic. Auf Deutsch: Wenn mein Telefon im vertrauenswürdigen Netzwerk eine Unterhaltung mit etwas im IoT-Bereich beginnt, darf das IoT-Gerät antworten. Das hält Steuerungs-Apps und Dashboards nutzbar.
Die zweite Regel blockiert neuen Traffic vom IoT-Netzwerk in Richtung meiner vertrauenswürdigen Netzwerke. Das bedeutet, ein zufälliger Stecker oder eine Glühbirne kann keine Verbindung zu meinem Laptop oder den Geräten im Haupt-LAN initiieren. In UniFi-Richtlinienbegriffen: Die Quelle ist das IoT-Netzwerk, das Ziel ist das vertrauenswürdige interne Netzwerk oder die Netzwerke, und die Aktion ist „Blockieren“.
Die Reihenfolge ist wichtig. Erlauben Sie Antwort-Traffic, dann blockieren Sie neue IoT-zu-vertrauenswürdig-Zugriffe. Wenn Sie zuerst blockieren, ohne das richtige Antwortverhalten, können Sie eine Einrichtung schaffen, die sicher aussieht, das Smart Home aber unbrauchbar macht.
Für Kameras gehe ich oft einen Schritt weiter. Wenn das Kamerasystem lokal ist und keinen Cloud-Zugriff erfordert, blockiere ich das Kamera-VLAN möglicherweise vom externen Internetzugriff. Lokales Ansehen und Aufzeichnen können weiterhin funktionieren, während die Kameras die Fähigkeit verlieren, nach außen zu kommunizieren. Nicht jedes Kamera-Setup unterstützt das, also testen Sie es, bevor Sie es voraussetzen.
Garagentoröffner sind ein gutes Beispiel dafür, warum ich es mag, wenn kleine Hardware auf der IoT-Seite lebt. Wenn Sie ratgdo mit Home Assistant verwenden, schützt unser Ratgdo-Gehäuse für Home Assistant das Board und montiert es sauber, während die Netzwerkregeln es in der richtigen Spur halten.
Smarte Schlösser verdienen das gleiche sorgfältige Nachdenken. Wenn ein Nuki-artiges Nachrüstschloss oder ein anderes Matter-Schloss in Ihr Zuhause einzieht, möchte ich, dass der Thread/Matter-Pfad solide ist, bevor ich mich auf Automatisierungen verlasse. Die Verfügbarkeit variiert, daher vergleiche ich normalerweise mehrere Matter-over-Thread-Schlossoptionen vor dem Kauf.
[CA] Aqara U400 Matter over Thread Smart Lock | [US] ULTRALOQ Bolt SE Matter over Thread Smart Lock
Wo sollten Home Assistant, Apple TV und Hubs leben?
Das ist die Frage, die in Smart-Home-Kreisen am meisten für Diskussionen sorgt. Sollten Hubs im vertrauenswürdigen Netzwerk oder im IoT-Netzwerk leben?
Meine Antwort ist praktisch: Platzieren Sie sie dort, wo Ihre Einrichtung am zuverlässigsten ist, und sichern Sie dann diesen Standort ab. In meinen eigenen Installationen platziere ich Home Assistant, Apple TVs, HomePods, Thread-Border-Router und ähnliche Smart-Home-Hubs normalerweise im IoT-Netzwerk zusammen mit dem Zubehör, das sie verwalten. Meine Telefone und Computer bleiben im vertrauenswürdigen Netzwerk.
Diese Anordnung hält den Smart-Home-Cluster zusammen. Mit aktiviertem mDNS zwischen vertrauenswürdigen und IoT-Netzwerken kann mein Telefon weiterhin Geräte steuern, Dashboards laden weiterhin, Fernbedienungen funktionieren weiterhin und Automatisierungen bleiben nach Möglichkeit lokal. Es macht auch das mentale Modell einfacher: Wenn es zum Smart Home gehört, gehört es wahrscheinlich zum IoT.
Manche Leute bevorzugen Hubs im vertrauenswürdigen Netzwerk. Das kann auch funktionieren, insbesondere bei kleineren Setups oder Häusern, in denen der Hub als Allzweckcomputer dient. Ich behandle das nicht als moralische Frage. Ich behandle es als Zuverlässigkeitstest.
Das Einzige, was ich vermeide, ist die zufällige Verteilung von Hubs. Wenn ein Apple TV im vertrauenswürdigen Bereich ist, ein anderes im IoT-Bereich, ein Lautsprecher im Gastnetzwerk und Home Assistant irgendwo anders mit anderen Regeln verkabelt ist, wird die Fehlersuche zu einer Schatzsuche. Wählen Sie ein Muster und dokumentieren Sie es.
Meine Einrichtungs-Checkliste
Hier ist die Checkliste, die ich verwende, wenn ich eine UniFi IoT-Netzwerkeinrichtung aufbaue oder bereinige:
- Erstellen Sie ein dediziertes IoT-Netzwerk mit eigenem VLAN und Subnetz.
- Aktivieren Sie die lokale IPv6-Unterstützung für VLANs, die Matter-Kommunikation benötigen.
- Erstellen Sie eine UniFi IoT-SSID und ordnen Sie diese dem IoT-VLAN zu.
- Verwenden Sie WPA2, falls älteres Zubehör dies benötigt.
- Lassen Sie die SSID sichtbar und schützen Sie sie mit einem starken Passwort.
- Ziehen Sie eine reine 2,4-GHz-SSID für hartnäckige Geräte in Betracht.
- Halten Sie mDNS zwischen vertrauenswürdigen und IoT-Netzwerken aktiviert.
- Deaktivieren Sie die Multicast/Broadcast-Blockierung auf der IoT-SSID.
- Vermeiden Sie Multicast-zu-Unicast-Konvertierung, es sei denn, Sie haben einen triftigen Grund dafür getestet.
- Deaktivieren Sie IGMP-Snooping, falls das Discovery unzuverlässig wird.
- Erlauben Sie Antwort-Traffic vom IoT-Bereich.
- Blockieren Sie neuen IoT-zu-vertrauenswürdig-Netzwerkzugriff.
- Ziehen Sie ein separates Kamera-VLAN und strengere Internetregeln für Kameras in Betracht.
- Platzieren Sie Hubs an einem einheitlichen Ort und testen Sie dann die Steuerung von Telefonen und Tablets.
Danach teste ich von innerhalb und außerhalb des Hauses. Ich öffne die Smart-Home-App im WLAN und dann über Mobilfunk. Ich überprüfe Kameras, Schlösser, Dashboards, Sensoren, Lautsprecher und alles, was zuvor keine Antwort zeigte. Wenn der Fernzugriff funktioniert und die lokale Steuerung schnell reagiert, lasse ich das Netzwerk in Ruhe. Ständiges Herumschrauben ist keine Charaktereigenschaft, die ich für Smart Homes empfehle.
Verwandte Produkte auf Amazon
- Ubiquiti UniFi 6+ Access Point U6-Plus
- SONOFF Zigbee 3.0 USB Dongle Plus
- Kasa Smart Plug Ultra Mini von TP-Link
FAQ
Benötige ich ein VLAN für jeden Smart-Home-Gerätetyp?
Nein. Ich würde mit einem IoT-VLAN und vielleicht einem Kamera-VLAN beginnen. Mehr Segmentierung kann fortgeschrittenen Setups helfen, erzeugt aber auch mehr Firewall- und Discovery-Arbeit. Für die meisten Zuhause ist einfach und konsistent besser als kompliziert und fragil.
Sollte meine UniFi IoT-SSID nur 2,4 GHz haben?
Wenn die Einrichtung oft fehlschlägt, ja, probieren Sie es aus. Viele kostengünstige IoT-Geräte verstehen nur 2,4 GHz gut. Wenn Ihre Geräte zuverlässig über eine kombinierte SSID beitreten und einige von 5 GHz profitieren, kann eine gemischte SSID in Ordnung sein.
Erfordert Matter ein öffentliches IPv6 von meinem Internetanbieter?
Nein. Matter benötigt IPv6 lokal für Kommunikation und Discovery innerhalb des Hauses. Ihr ISP muss kein öffentliches IPv6 bereitstellen, damit Matter-Geräte in Ihrem LAN funktionieren, aber Ihr lokales Netzwerk sollte IPv6 korrekt unterstützen.
Kann mein Telefon IoT-Geräte steuern, wenn es sich in einem anderen VLAN befindet?
Ja, wenn Sie Discovery- und Firewall-Regeln korrekt konfigurieren. Ich aktiviere mDNS zwischen vertrauenswürdigen und IoT-Netzwerken, erlaube Antwort-Traffic und blockiere nur neuen, vom IoT-Gerät initiierten Zugriff auf vertrauenswürdige Geräte.
Wo sollte Home Assistant in UniFi leben?
Ich platziere Home Assistant normalerweise im IoT-VLAN zusammen mit den Smart-Home-Geräten und Hubs. Das hält das Steuerungssystem nah am Zubehör. Wenn Ihres im vertrauenswürdigen Bereich besser funktioniert, ist das akzeptabel; dokumentieren Sie die Entscheidung einfach und testen Sie gründlich.
Abschließende Gedanken: Bauen Sie ein Smart-Home-Netzwerk, dem Sie vertrauen können
Bei einer guten UniFi IoT-Netzwerkeinrichtung geht es nicht darum, das komplizierteste Diagramm zu erstellen. Es geht darum, Ihrem Smart Home genug Freiheit zum Arbeiten und genug Grenzen zum gesund bleiben zu geben.
Meine wichtigsten Erkenntnisse sind simpel:
- Platzieren Sie Smart-Home-Ausrüstung in einem dedizierten VLAN.
- Verwenden Sie eine 2,4-GHz-SSID, wenn das Onboarding von Geräten schwierig wird.
- Halten Sie Matter und Thread mit lokalem IPv6 und mDNS zufrieden.
- Verwenden Sie Firewall-Regeln, die isolieren, ohne das Discovery zu ersticken.
- Halten Sie Hubs, Dashboards und Controller konsistent platziert.
Wenn Sie die digitale Seite Ihres Smart Homes bereits organisieren, ist es der perfekte Zeitpunkt, auch die physische Seite aufzuräumen. Stöbern Sie bei Worm Pop Labs nach Halterungen und Gehäusen, die Home Assistant-Tablets, UniFi-Gateways und Garagentorsteuerungen so aussehen lassen, als gehörten sie ins Haus, anstatt an einem Kabel zu hängen.
