Einleitung
Die tückischsten Fehler bei der Einrichtung von UniFi-Netzwerken sehen am ersten Tag meist nicht dramatisch aus. Das Dashboard ist grün, das WLAN funktioniert und jeder kommt ins Internet. Doch ein paar Wochen später baut ein VPN keine Verbindung mehr auf, eine Streaming-Box ruckelt, ein neues VLAN funktioniert an einem Access Point nicht oder eine 10-Gb-Verbindung verhält sich, als hänge ein kleiner Anker daran.
Ich verbringe viel Zeit mit Smart-Home-Geräten, kleinen Unternehmensnetzwerken und den ordentlichen, wandmontierten UniFi-Installationen, für die wir bei Worm Pop Labs Zubehör entwerfen. Mein Ansatz ist simpel: Ein gutes Netzwerk sollte langweilig, schnell und auch sechs Monate nach der Ersteinrichtung leicht zu verstehen sein. UniFi ist so benutzerfreundlich, dass die meisten Leute schnell eine solide Einrichtung hinbekommen, aber die Details zählen dennoch.
Dieser Leitfaden führt durch die Fehler, auf die ich als Erstes achte: Wahl des Subnetzes, Fehler bei UniFi-VLANs, UniFi-Sicherheitstipps, die tatsächlich helfen, Fallstricke bei der Einrichtung der UniFi Dream Machine, UniFi-Firewall-Regeln, Eigenheiten von IoT-WLANs und die physische Verkabelung, die die Leistung unbemerkt einschränken kann.
Sie sind unsicher, welche Halterung zu Ihrem Access Point passt? Nutzen Sie den AP-Mount-Finder: Wählen Sie Ihr UniFi- oder Omada-Modell aus und gelangen Sie direkt zur passenden Halterung.
Was sind die häufigsten Fehler bei der UniFi-Netzwerkeinrichtung?
Die häufigsten Fehler bei der UniFi-Netzwerkeinrichtung sind die Verwendung eines Standard-Subnetzes, die übermäßige Nutzung von Ländersperren, die Wahl der falschen 10-Gb-Verkabelung, die Beibehaltung von doppeltem NAT, das Erstellen von VLANs ohne Firewall-Regeln, das Vergessen neuer VLANs in Profilen oder IDS/IPS-Einstellungen sowie die Weiterleitung von Switch-Datenverkehr über einen Router anstelle eines echten Switches.
Fehler bei der UniFi-Netzwerkeinrichtung beginnen mit der IP-Planung
Wenn ich eine Sache ändern könnte, bevor ich den ersten Access Point einbinde, wäre es das LAN-Subnetz. Ein neues Gateway auf 192.168.1.0/24 oder 192.168.0.0/24 zu belassen, wirkt harmlos, da es sofort funktioniert. Das Problem tritt erst später auf, wenn Sie Fernzugriff, Site-to-Site-VPN oder einen zweiten Standort benötigen.
Diese beiden Bereiche sind allgegenwärtig. Heimrouter, ISP-Gateways, Reise-Router, Büronetzwerke und temporäre Testaufbauten lieben sie. Wenn sowohl Ihr Zuhause als auch Ihr Büro denselben Adressbereich verwenden, hat Ihr Laptop keine saubere Möglichkeit zu erkennen, welche Seite des VPN den Datenverkehr für 192.168.1.50 empfangen soll. Deshalb ist einer meiner ersten UniFi-Sicherheitstipps eigentlich ein Planungstipp: Gestalten Sie jeden Standort leicht identifizierbar.
Mein bevorzugtes Schema ist die Verwendung des privaten Bereichs 10.x.x.x, wobei ich jedem Standort eine Standortnummer zuweise. Ein Standort könnte beispielsweise 10.120.x.x nutzen, während ein anderer 10.130.x.x verwendet. Dann kann jedes VLAN unter dieser Standortkennung existieren, wie zum Beispiel 10.120.10.0/24 für vertrauenswürdige Geräte, 10.120.20.0/24 für IoT und 10.120.30.0/24 für Kameras. Es ist keine Zauberei, aber wunderbar übersichtlich.
Private LAN-Adressen sollten nur aus drei Familien stammen: 10.0.0.0/8, 172.16.0.0 bis 172.31.255.255 oder 192.168.0.0/16. Erfinden Sie nichts wie 11.x.x.x; dieser Bereich gehört zum öffentlichen Internet und könnte eines Tages mit einem echten Dienst kollidieren.
Ich vermeide es auch, mich auf das automatische Wachstum von Subnetzen zu verlassen, sofern nicht jedes Gerät problemlos mit DHCP arbeitet. Wenn Sie aus einem /24-Netz herauswachsen, kann der Wechsel auf ein /23 sinnvoll sein, aber das Ändern des Netzwerks unter statisch konfigurierten Geräten ist mühsam. Stellen Sie manuelle Adressen auf DHCP-Reservierungen um oder ändern Sie diese zuerst. Erneuern Sie anschließend die Leases oder starten Sie widerspenstige Geräte neu.
Für kleine UniFi-Installationen beginne ich gerne mit einem sauberen Gateway, das dort montiert ist, wo die Kabel sichtbar bleiben. Wenn Sie um ein kompaktes Gateway herum bauen, sorgt unsere UniFi Cloud Gateway Wandhalterung dafür, dass dieses erste Element des Netzwerks nicht zu einem weiteren losen Kasten hinter einem Regal wird.
Wenn Sie noch Hardware aussuchen: Das Cloud Gateway Ultra ist eine hervorragende Lösung für Haushalte und kleine Büros mit separaten Access Points.
[CA] Ubiquiti UniFi Cloud Gateway Ultra | [US] Ubiquiti UniFi Cloud Gateway Ultra
Fehler bei der UniFi-Netzwerkeinrichtung mit VLANs und Firewall-Regeln
VLANs sind nützlich, aber kein Sicherheits-Allheilmittel. Ich sehe zwei gegensätzliche Probleme: Entweder vermeiden die Leute die Segmentierung komplett, oder sie erstellen ein Dutzend winzige Inseln und wundern sich am Wochenende, warum AirPlay, Casting, Drucker oder Kameras sich seltsam verhalten.
Für ein Zuhause oder einen kleinen Betrieb denke ich normalerweise in Zonen, bevor ich in VLAN-Namen denke. Vertrauenswürdige Geräte bilden eine Zone. Gast- und IoT-Geräte können eine nicht vertrauenswürdige Zone sein. Kameras verdienen möglicherweise einen eigenen Bereich, wenn sie auf einen lokalen NVR aufzeichnen. Server oder Laborgeräte benötigen eventuell strengere Grenzen, wenn sie experimentelle Software ausführen. Das ist das Herzstück der UniFi-Netzwerksegmentierung: Gruppieren Sie Geräte nach Vertrauen und Kommunikationsbedarf, nicht danach, wie schick das Diagramm aussieht.
Wichtig ist, dass die UniFi-Firewall-Regeln zur beabsichtigten Struktur passen. Wenn Ihr IoT-VLAN weiterhin Verbindungen zu jedem vertrauenswürdigen Laptop und NAS aufbauen kann, haben Sie nicht viel gewonnen. Aktuelle zonennasierte Firewall-Modelle sind einfacher als das alte Modell (LAN-in, LAN-out, LAN-local und internet-in): Erstellen Sie eine nicht vertrauenswürdige Zone, fügen Sie die richtigen VLANs hinzu, blockieren Sie den Zugriff auf interne Netzwerke und erlauben Sie nur die wenigen Dienste, die Sie wirklich benötigen.
Wenn sich ein Apple TV in einem IoT-VLAN befindet, benötigt Ihr Telefon möglicherweise Discovery-Datenverkehr, um es zu finden. Wenn ein Drucker bei nicht vertrauenswürdigen Geräten steht, benötigt Ihr Laptop möglicherweise einen schmalen Pfad zum Drucken. Wenn eine Kamera einen Rekorder erreichen muss, erlauben Sie nur diesen spezifischen Datenfluss, anstatt das ganze Haus zu öffnen.
Management-VLANs haben ihre eigene Falle. Ethernet-Port-Profile sind großartig, weil ein Profil an vielen Switch-Ports wiederverwendet werden kann. Wenn Sie jedoch ein Management-Trunk-Profil auf eine benutzerdefinierte Liste getaggter VLANs festlegen, erscheinen zukünftige VLANs nicht magisch in dieser Liste. Wenn Sie das nächste Mal ein Netzwerk hinzufügen, kann Ihr nachgeschalteter Switch oder Access Point dieses möglicherweise nicht taggen. Entscheiden Sie bei Management-Verbindungen, ob „Alle erlauben“ angemessen ist. Bei anderen Profilen können benutzerdefinierte Listen sauberer sein, aber Sie müssen daran denken, sie zu aktualisieren, wann immer Sie ein weiteres VLAN erstellen.
Auch Intrusion Detection und Prevention benötigen nach VLAN-Änderungen Aufmerksamkeit. Bei UniFi bedeutet „nur benachrichtigen“ Erkennung; „benachrichtigen und blockieren“ ist Prävention. Kleinere Gateways haben möglicherweise Limits. Wenn Sie später ein VLAN hinzufügen, prüfen Sie daher, ob IDS/IPS dafür aktiviert ist.
Einer der häufigsten UniFi-VLAN-Fehler ist die zu starke Isolierung von Mediengeräten, um dann überrascht zu sein, wenn Komfortfunktionen ausfallen. Ich bevorzuge drei gut verstandene Netzwerke mit getesteten Regeln gegenüber zehn Netzwerken, die niemand pflegen möchte.
IoT-WLAN: Kompatibilität, 5 GHz und private Passwörter
Smart-Home-Geräte können wunderbar inkonsequent sein. Ich hatte kleine, ESP32-basierte Sensoren, die ewig verbunden blieben, neben fast identischen Geräten, die sich so verhielten, als hätte der Access Point sie persönlich beleidigt. Die Einstellung „Erweiterte IoT-Konnektivität“ von UniFi kann für solche Geräte ein Lebensretter sein, da sie Kompatibilitätseinstellungen bevorzugt, mit denen viele kleine Geräte besser umgehen können.
Der Kompromiss ist, dass sich die erweiterte IoT-Konnektivität auf 2,4 GHz konzentriert. Das ist perfekt für Stecker, Sensoren und Thermostate, aber nicht für Geräte mit höherer Bandbreite wie Streaming-Boxen, die sich normalerweise im 5-GHz-Bereich wohler fühlen.
Mein praktischer Ansatz ist es, langsames IoT von schnellem IoT zu trennen, wenn nötig. Wenn Ihr IoT-Netzwerk keine 5-GHz-Clients hat, schalten Sie die erweiterte IoT-Konnektivität ein. Wenn Sie eine Mischung haben, erstellen Sie eine zweite SSID wie „IoT Enhanced“ für hartnäckige 2,4-GHz-Geräte, während die Haupt-IoT-SSID für schnellere Clients verfügbar bleibt.
Private Pre-Shared Keys (PPSK) sind ein weiteres Werkzeug, das ich für Einzelfälle mag. Mit PPSK kann eine SSID Clients basierend auf dem verwendeten Passwort in verschiedene VLANs einordnen, wodurch eine neue SSID für ein einzelnes Gerät vermieden wird. Der Haken ist der Sicherheitsmodus: PPSK erfordert WPA2 anstelle von WPA3.
Die Platzierung der Access Points ist nach wie vor entscheidend. Für Wandmontagen hält unsere UniFi AP Slim Wandhalterung flache Access Points ordentlich, und der UniFi AP Tischständer ist nützlich für einen stabilen temporären Aufbau oder die Platzierung im Regal.
Geo-Blocking ist kein Ersatz für echte Sicherheit
Regionale Sperren fühlen sich wirksam an, weil sie sichtbar und leicht verständlich sind. Länder auswählen, Datenverkehr blockieren, sich sicherer fühlen. Ich verwende sie, wenn überhaupt, nur sehr vorsichtig.
Das erste Problem ist, dass Dinge kaputtgehen. Große Dienste nutzen Infrastruktur auf der ganzen Welt. Ein Software-Update, ein Content-Delivery-Knoten, ein Authentifizierungsendpunkt oder ein Cloud-Dienst eines Anbieters kann sich an einem Ort befinden, den Sie nicht erwartet haben. Wenn Sie sowohl den ein- als auch den ausgehenden Datenverkehr für eine lange Liste von Ländern blockieren, können willkürliche Websites und Updates auf eine Weise fehlschlagen, die wie DNS-Probleme, App-Fehler oder WLAN-Probleme aussieht.
Das zweite Problem ist der Nutzen. Angreifer können über VPNs, gemietete Server, kompromittierte Maschinen und Cloud-Anbieter routen. Länderfilter können das Rauschen reduzieren, aber sie beheben keine schwachen Passwörter, offene Dienste, ungepatchte Geräte oder schlampige UniFi-Firewall-Regeln.
Das dritte Problem ist die Leistung. Länderlisten können viele Adressbereiche enthalten, und übermäßige Listen können die Latenz erhöhen oder den Durchsatz verringern. Ich bevorzuge weniger Regeln, die eine echte Bedeutung haben.
Wenn Sie Geo-Blocking verwenden, halten Sie die Liste kurz und ziehen Sie zuerst das Blockieren nur für eingehenden Verkehr in Betracht. Ich sehe lieber eine kleine, bewusste Liste als fünfzig blockierte Länder, die aus dem Setup von jemand anderem kopiert wurden.
UniFi Dream Machine Einrichtung: Vermeiden Sie doppeltes NAT
Die Einrichtung der UniFi Dream Machine geht oft schief, wenn das Modem/Router des ISPs weiterhin als Router fungiert. Sie können dies erkennen, indem Sie die WAN-Adresse an Ihrem UniFi-Gateway überprüfen. Wenn die WAN-Adresse mit 10., 192.168. oder 172.16 bis 172.31 beginnt, empfängt Ihr UniFi-Router wahrscheinlich eine private Adresse anstelle einer öffentlichen.
Das bedeutet normalerweise doppeltes NAT. Grundlegendes Surfen funktioniert zwar, aber Portweiterleitung, einige Spieledienste, selbst gehostete Apps und Remote-Access-VPNs können kompliziert werden. Wenn Ihr vorgeschaltetes Gerät den Bridge- oder Passthrough-Modus unterstützt, nutzen Sie ihn, damit das UniFi-Gateway die öffentliche IP empfängt.
Es gibt Ausnahmen. Manche ISPs nutzen Carrier-Grade NAT, da IPv4-Adressen knapp sind. Der Starlink-Privatkundentarif ist ein häufiges Beispiel, bei dem eine öffentliche IPv4-Adresse nicht auf herkömmliche Weise verfügbar ist. Geschäftstarife oder statische IP-Optionen können in einigen Fällen helfen, aber ich empfehle nicht, extra zu zahlen, es sei denn, Sie benötigen tatsächlich eingehenden Zugriff. Für viele Haushalte reichen die cloudbasierte Verwaltung von UniFi und Dienste, die nur ausgehenden Verkehr benötigen, aus.
Wenn Sie die klassische All-in-One Dream Machine verwenden, kann sie immer noch ein ordentlicher kleiner Netzwerkknoten sein. Ich mag die Wandmontage zylindrischer UniFi-Geräte, da Kabelzug und Luftstrom einfacher zu verwalten sind. Unsere UniFi Dream Router Wandhalterung wurde mit demselben aufgeräumten, erreichbaren Ansatz entwickelt.
Die ursprüngliche Dream Machine ist immer noch nützlich, wo integriertes WLAN und Gateway-Funktionen wichtiger sind als Erweiterungsmöglichkeiten im Rack-Stil.
[CA] Ubiquiti UniFi Dream Machine | [US] Ubiquiti UniFi Dream Machine
Kabel, SFP+ und Router-Ports können schnelle Netzwerke ausbremsen
Die physische Ebene ist der Bereich, in dem teure Netzwerke manchmal unvernünftig werden. Wenn zwei SFP+-Ports nah beieinander liegen, greife ich meist zuerst zu einem DAC-Kabel. Ein direkt angeschlossenes Kupferkabel (Direct Attach Copper) ist günstig, verbraucht wenig Strom, erzeugt wenig Hitze und ist auf kurzen Strecken zuverlässig. Zudem vermeidet es den zusätzlichen Umwandlungsaufwand optischer Module.
Glasfaser ist immer noch exzellent, wenn es das richtige Problem löst. Für längere Strecken ist Glasfaser sinnvoll. Bei einer Außenkamera oder einer Verbindung zwischen Gebäuden kann Glasfaser zudem eine elektrische Isolierung bieten, da sie keine Spannung überträgt wie Kupfer. Ich mag den Ansatz, Outdoor-Kupferkabel in einem isolierten Switch zu bündeln, diesen mit einem Überspannungsschutz zu sichern und dann Glasfaser zurück zum Indoor-Netzwerk zu verwenden. Falls ein Blitzschlag oder eine ernsthafte Überspannung auftritt, ist es unwahrscheinlicher, dass der Schaden in den Rest des Racks überspringt.
Was ich vermeide, ist der Kauf optischer Module und Glasfaser-Patchkabel für eine 30-cm-Verbindung innerhalb desselben Schranks, es sei denn, ich teste etwas. Ich vermeide auch SFP+-auf-10GBASE-T-RJ45-Module für kurze Patch-Strecken, wenn ein DAC-Kabel ausreichen würde. 10-Gb-RJ45-Transceiver können heiß werden, mehr Strom verbrauchen und mehr kosten.
Für Switch-zu-Switch- oder Switch-zu-Server-Verbindungen innerhalb eines Racks ist ein kurzes DAC-Kabel meist die vernünftige Wahl. Messen Sie vorher aus, damit Sie keine engen Biegeradien oder einen riesigen Kabelsalat hinter den Geräten haben.
[CA] 10Gtek 10G SFP+ DAC Kabel | [US] H!Fiber 10G SFP+ DAC Kabel
Normale Ethernet-Patchkabel verdienen ebenfalls Aufmerksamkeit. Für 10-Gb-Kupferverbindungen kaufe ich bewährte Cat6a-Patchkabel und beschrifte beide Enden.
[CA] Monoprice SlimRun Cat6A Ethernet Patchkabel | [US] Monoprice Cat6A Ethernet Patchkabel
Ein weiteres Detail zur UniFi Dream Machine Einrichtung: Behandeln Sie Router-Ports nicht wie einen Aggregations-Switch. Bei Modellen mit mehreren Hochgeschwindigkeits-Ports sind diese Ports auf Routing-Aufgaben und CPU-Pfade ausgelegt, nicht auf Layer-2-Switching mit extrem niedriger Latenz. Wenn zwei Switches an zwei Router-LAN-Ports hängen, können große lokale Übertragungen das Netzwerk unnötig über den Router belasten.
Für den schnellsten lokalen Datenverkehr verbinden Sie Ihren Haupt-Switch mit dem Router und verbinden dann andere Switches mit diesem Switch oder einem echten Aggregations-Switch. Meine einfache Regel: ein Kabel für Internet, ein Kabel für LAN-Switching, und bandbreitenhungrige Geräte gehören an Switches, die zum Switchen ausgelegt sind.
Verwandte Produkte bei Amazon
- Ubiquiti UniFi U7 Pro WiFi 7 Access Point
- Ubiquiti Cloud Gateway Max UCG-MAX
- Cable Matters Snagless Cat6 Ethernet-Kabel
FAQ
Brauche ich VLANs für ein sicheres UniFi-Heimnetzwerk?
Nicht immer. VLANs helfen, wenn Sie nicht vertrauenswürdige Geräte, Gäste, Kameras, Server oder Laborgeräte haben. Für ein einfaches Zuhause mit Telefonen, Laptops und einem NAS sind starke Passwörter, Updates und vernünftige Firewall-Standardeinstellungen möglicherweise wichtiger. Wenn Sie VLANs erstellen, kombinieren Sie diese mit tatsächlichen UniFi-Firewall-Regeln.
Sollte mein IoT-Netzwerk nur 2,4 GHz nutzen?
Es kommt auf die Geräte an. Sensoren, Stecker, Lampen und viele mikrocontrollerbasierte Geräte bevorzugen meist die 2,4-GHz-Kompatibilität. Streaming-Geräte profitieren oft von 5 GHz. Wenn beide Gruppen vorhanden sind, kombiniere ich gerne eine normale IoT-SSID mit einer erweiterten 2,4-GHz-IoT-SSID für empfindliche Geräte.
Ist Geo-Blocking einer der besten UniFi-Sicherheitstipps?
Es steht bei mir weiter unten auf der Liste. Geo-Blocking kann Junk-Traffic reduzieren, aber es kann auch Dienste unterbrechen und den Regelaufwand erhöhen. Ich würde zuerst Updates, starke Authentifizierung, minimale offene Dienste, Intrusion-Prevention, saubere VLAN-Regeln und einen durchdachten IP-Plan priorisieren.
Warum funktioniert mein neues VLAN nicht an einem Access Point?
Überprüfen Sie das Port-Profil, das diesen Access Point oder nachgeschalteten Switch speist. Wenn das Trunk-Profil eine benutzerdefinierte Liste getaggter VLANs verwendet, wurde ein neues VLAN möglicherweise nicht aufgenommen. Fügen Sie es manuell hinzu oder verwenden Sie ein „Alle erlauben“-Profil, sofern dies für Ihre Management-Verbindungen geeignet ist.
Was ist der größte Verkabelungsfehler in einem kleinen UniFi-Rack?
Für kurze 10-Gb-SFP+-Verbindungen ist der Kauf von Glasfaser-Modulen oder heißen RJ45-Transceivern, wenn ein DAC-Kabel funktionieren würde, eine häufige Verschwendung. DAC-Kabel sind bei nahe beieinander liegenden Geräten normalerweise günstiger und einfacher. Nutzen Sie Glasfaser, wenn Sie Distanz oder elektrische Isolierung benötigen.
Abschließende Gedanken: Ein UniFi-Netzwerk bauen, dem Sie langfristig vertrauen können
Die meisten UniFi-Fehler sind nicht katastrophal. Es sind die kleinen Entscheidungen, die später zu mysteriösen Ausfällen, VPN-Problemen, Rucklern beim Streaming oder langsamen Dateiübertragungen führen. Meine Checkliste ist simpel:
- Wählen Sie ein privates Subnetz, das nicht dem Standard entspricht, bevor das Netzwerk wächst.
- Segmentieren Sie nur dort, wo es ein echtes Vertrauensproblem löst.
- Unterfüttern Sie VLANs mit klaren Firewall- und IDS/IPS-Einstellungen.
- Nutzen Sie IoT-Kompatibilitätseinstellungen, ohne Geräte zu bestrafen, die 5 GHz benötigen.
- Versetzen Sie Ihr ISP-Gateway in den Bridge- oder Passthrough-Modus, wenn Sie eingehenden Zugriff benötigen.
- Nutzen Sie DAC, Glasfaser und Cat6a dort, wo jedes einzelne sinnvoll ist.
- Belassen Sie den Switch-Datenverkehr auf Switches, nicht auf Router-Ports.
Wenn Sie eine UniFi-Installation aufräumen, beginnen Sie bei den Teilen, die Sie sehen und beschriften können: Gateway, Access Points, Switches und Kabel. Arbeiten Sie sich dann nach innen zur Adressierung, zu den VLANs und der Firewall-Richtlinie vor. Und wenn Sie Ihre Smart-Home-Geräte ordentlich montiert haben möchten, anstatt sie auf ein Regal zu balancieren, besuchen Sie Worm Pop Labs und schauen Sie sich unsere UniFi-Halterungen und Ständer an, die für echte Home-Labs entwickelt wurden.
