Lösen Sie die fünf häufigsten Probleme bei UniFi-Netzwerken – VLAN-Fehlkonfigurationen, IoT-Verbindungsabbrüche und Firewall-Lücken – mit diesen Schritt-für-Schritt-Anleitungen.
Sie sind sich nicht sicher, welche Halterung zu Ihrem Access Point passt? Nutzen Sie den AP-Mount-Finder: Wählen Sie Ihr UniFi- oder Omada-Modell aus und finden Sie direkt die richtige Halterung.
Einleitung
UniFi-Netzwerke sind im Allgemeinen „Set-and-Forget“-Lösungen, was einen Teil ihrer Attraktivität ausmacht. Doch „im Allgemeinen“ bedeutet nicht „immer“, und im Laufe der Zeit habe ich bei Kundeninstallationen immer wieder dieselben Probleme festgestellt. Meist liegt es nicht an der Hardware – es sind kleine Konfigurationsfehler, die sich zu großen Problemen auswachsen. VLAN-Port-Profile, die stillschweigend nicht mehr aktualisiert werden, IoT-Geräte, die willkürlich die Verbindung verlieren, Firewall-Regeln, die nur in der Theorie existieren.
Diese Probleme sind nicht dramatisch. Ihr Netzwerk stürzt nicht ab. Die Dinge funktionieren größtenteils. Aber es gibt seltsames Verhalten – ein Smart-Plug, der zweimal pro Woche neu gestartet werden muss, eine Kamera, die von bestimmten Geräten aus nicht erreichbar ist, ein neues VLAN, das scheinbar keinen Internetzugang erhält. Das sind die Arten von Problemen, die einen in den Wahnsinn treiben, weil sie nur sporadisch auftreten und schwer einzugrenzen sind.
Lassen Sie mich Sie durch die fünf Lösungen führen, die ich am häufigsten implementiere, beginnend mit der, die am meisten übersehen wird.
Lösung Nr. 1: Überprüfen Sie Ihre VLAN-Port-Profile nach dem Hinzufügen neuer Netzwerke
Wenn Sie ein Management-VLAN in UniFi erstellen, wählen Sie, wie es mit dem Traffic-Tagging an Switch-Ports umgeht. Die meisten wählen „Custom“ und legen manuell fest, welche VLANs der Management-Port übertragen soll. Das funktioniert gut – bis Sie später ein neues VLAN hinzufügen und sich wundern, warum Ihr neu erstelltes Netzwerk das Internet oder bestimmte Geräte nicht erreichen kann.
Das Problem ist, dass das benutzerdefinierte Port-Profil nicht automatisch aktualisiert wird, wenn neue VLANs hinzugefügt werden. Es ist auf die Einstellungen festgelegt, die Sie bei der Erstellung gewählt haben. Ihr Management-VLAN-Port-Profil überträgt also brav die VLANs 1, 10 und 20, aber wenn Sie VLAN 30 für Ihr neues Kameranetzwerk hinzufügen, wird dieses VLAN an den Management-Ports nicht getaggt. Ihr Switch kann den Datenverkehr für ein VLAN, das er nicht kennt, nicht weiterleiten.
Die Lösung: Ich empfehle einen von zwei Ansätzen. Der einfache Weg: Stellen Sie das Management-VLAN auf „Allow All“ (Alle erlauben) für VLANs ein. Das bedeutet, dass jedes neue VLAN, das Sie erstellen, automatisch an den Management-Ports getaggt wird, ohne dass Sie daran denken müssen, irgendetwas zu aktualisieren. Für Heimnetzwerke ist das normalerweise in Ordnung.
Der sicherere Ansatz: Bleiben Sie bei „Custom“, aber gewöhnen Sie sich an, die Port-Profile jedes Mal zu überprüfen, wenn Sie ein neues VLAN hinzufügen. Gehen Sie zu Einstellungen > Profile > Port-Profile, suchen Sie Ihr Management-Profil und fügen Sie das neue VLAN zur Liste der erlaubten Netzwerke hinzu.
Wenn Sie einen UniFi Access Point für den Schreibtisch verwenden, stellen Sie sicher, dass Ihr Schreibtischständer für UniFi APs den AP an einem zentralen Ort hält, an dem der VLAN-getaggte Datenverkehr alle Ihre Geräte effektiv erreicht.
Lösung Nr. 2: Aktivieren Sie „Enhanced IoT Connectivity“ für hartnäckige Smart-Geräte
Diese eine Lösung hat für mich mehr IoT-Verbindungsprobleme gelöst als alles andere zusammen. ESP32-basierte Smart-Home-Gadgets, billige WLAN-Steckdosen, bestimmte Sensoren – diese Geräte sind dafür berüchtigt, willkürlich die Verbindung zu verlieren, nicht zu reagieren oder in Home Assistant als „nicht verfügbar“ angezeigt zu werden.
Das Problem liegt meist an den WLAN-Kompatibilitätseinstellungen. Diese günstigen IoT-Chips haben eingeschränkte WLAN-Implementierungen und kämpfen mit einigen der erweiterten Funktionen, die moderne Access Points standardmäßig aktivieren. UniFi hat eine spezielle Einstellung namens „Enhanced IoT Connectivity“, die diese erweiterten Funktionen reduziert, um die Kompatibilität mit diesen empfindlichen Geräten zu verbessern.
Es gibt einen Haken: Wenn Sie „Enhanced IoT Connectivity“ aktivieren, deaktiviert UniFi automatisch das 5-GHz-Band in diesem WLAN und lässt nur 2,4 GHz übrig. Das liegt daran, dass die meisten IoT-Geräte ohnehin nur 2,4 GHz unterstützen und die von UniFi angewendeten Kompatibilitätseinstellungen spezifisch für das 2,4-GHz-Band sind.
Das Problem: Wenn Sie IoT-Geräte haben, die von 5 GHz profitieren – Amazon Fire TVs, einige Smart-Kameras, hochwertige Thermostate –, wird die Deaktivierung von 5 GHz in Ihrem IoT-Netzwerk deren Leistung beeinträchtigen. Fire TV über 2,4 GHz funktioniert, aber Sie werden Pufferung bemerken, die bei 5 GHz nicht auftritt.
Mein empfohlener Ansatz: Erstellen Sie zwei IoT-Netzwerke. Ihr primäres IoT-SSID behält sowohl 2,4 GHz als auch 5 GHz aktiviert, für Geräte, die 5 GHz nutzen können. Ihr sekundäres SSID – ich nenne meins „IoT Enhanced“ – hat „Enhanced IoT Connectivity“ aktiviert, wobei 5 GHz deaktiviert ist, reserviert für die hartnäckigen ESP32-Geräte und günstigen Steckdosen, die ständig die Verbindung verlieren.
Ja, Sie haben am Ende zwei IoT-SSIDs. Es ist nicht ideal, aber es ist besser als zufällige Verbindungsabbrüche. Und wenn Sie das Glück haben, dass alle Ihre IoT-Geräte ohne „Enhanced IoT Connectivity“ einwandfrei funktionieren, lassen Sie es einfach deaktiviert. Aber wenn auch nur ein Gerät Probleme macht, aktivieren Sie es – Sie werden es sich später danken.
Für eine optimale AP-Platzierung, um alle Ihre IoT-Geräte zu erreichen, habe ich festgestellt, dass die Montage Ihrer UniFi APs an Wandarmhalterungen in mehrstöckigen Häusern eine bessere Abdeckung bietet als Deckenmontagen allein. Die CA Ubiquiti UniFi U7 Pro und US Ubiquiti UniFi U7 Pro sind meine bevorzugten Access Points für diese Art von Setup.
Lösung Nr. 3: Verwenden Sie private Pre-Shared Keys für einzelne Geräte
Hier ist ein Szenario, das ständig vorkommt: Sie haben Ihr IoT-Netzwerk eingerichtet, Ihr Hauptnetzwerk läuft hervorragend, und dann fügen Sie ein einzelnes Gerät hinzu – sagen wir, eine WLAN-Überwachungskamera –, das aus Sicherheitsgründen in seinem eigenen isolierten Netzwerk sein muss. Ein komplett neues SSID für ein Gerät zu erstellen, fühlt sich übertrieben an, aber Sie möchten es auch nicht in Ihrem IoT-Netzwerk haben.
UniFi hat eine Funktion namens Private Pre-Shared Key (PPSK), die dies elegant löst. Anstatt ein neues SSID zu erstellen, konfigurieren Sie ein einzelnes SSID so, dass es mehrere Netzwerke bedient, basierend auf dem Passwort, das der Client verwendet.
So funktioniert es:
- Stellen Sie Ihre WLAN-Sicherheit auf WPA2 ein (PPSK funktioniert nicht mit WPA3).
- Aktivieren Sie „Private Pre-Shared Key“ in den WLAN-Einstellungen.
- Fügen Sie Passworteinträge hinzu, die jeweils einem anderen VLAN zugeordnet sind.
Wenn ein Gerät mit Passwort A eine Verbindung zu „MeinNetzwerk“ herstellt, landet es in VLAN 10. Wenn ein anderes Gerät mit Passwort B eine Verbindung zu demselben SSID „MeinNetzwerk“ herstellt, landet es in VLAN 20. Gleiches SSID, gleicher Broadcast, unterschiedliche Netzwerke – alles bestimmt durch das Passwort.
Dies ist unglaublich nützlich für Gäste, temporäre Geräte oder diese eine Überwachungskamera, die Sie isoliert haben möchten, ohne ein dediziertes SSID zu erstellen. Ich verwende es in meinem eigenen Netzwerk und Kunden lieben die Einfachheit, sobald sie verstanden haben, wie es funktioniert.
Lösung Nr. 4: Fügen Sie neue VLANs zu Ihrer IDS/IPS-Konfiguration hinzu
Das Intrusion Detection and Prevention System (IDS/IPS) von UniFi ist eine der besten integrierten Sicherheitsfunktionen der Plattform. Es untersucht den Netzwerkverkehr auf bekannte Angriffsmuster und kann Sie entweder benachrichtigen (Erkennungsmodus) oder verdächtigen Datenverkehr aktiv blockieren (Präventionsmodus).
Aber hier ist der Punkt: IDS/IPS wird nicht automatisch auf neue VLANs angewendet, die Sie erstellen. Es überwacht nur die VLANs, die Sie explizit hinzugefügt haben, als Sie es erstmals konfiguriert haben. Wenn Sie also vor sechs Monaten IDS/IPS für Ihre Management-, vertrauenswürdigen und Überwachungs-VLANs eingerichtet haben und letzten Monat ein IoT-VLAN und ein Gast-VLAN hinzugefügt haben, werden diese neuen Netzwerke überhaupt nicht überwacht.
Die Lösung: Wann immer Sie ein neues VLAN erstellen, gehen Sie zu Einstellungen > Sicherheit > IDS/IPS und fügen Sie es zur Überwachungsliste hinzu. UniFi empfiehlt, die Liste auf drei VLANs oder weniger zu beschränken, abhängig von Ihrem Gateway-Modell. Die UniFi Express zum Beispiel hat nur begrenzte Rechenleistung für Deep Packet Inspection, während eine Dream Machine Pro mehr bewältigen kann.
Wenn Sie ein höherwertiges Gateway betreiben, können Sie mehr VLANs überwachen. Wenn Sie ein preisgünstiges Gerät haben, priorisieren Sie die Überwachung Ihres Haupt-/vertrauenswürdigen Netzwerks und Ihres IoT-Netzwerks – das sind die wahrscheinlichsten Ziele.
Die CA Ubiquiti UniFi Express 7 und US Ubiquiti UniFi Express sind großartige Einstiegs-Gateways, aber ihre IDS/IPS-Kapazität ist im Vergleich zu den Pro-Modellen begrenzt. Für anspruchsvollere Setups haben die CA UniFi Dream Machine Special Edition und US UniFi Dream Machine SE mehr Reserven.
Lösung Nr. 5: Konfigurieren Sie zonenspezifische Firewall-Regeln (keine Einzelregeln)
Das ist der wichtigste Punkt. Ich sehe mehr Netzwerke mit VLANs, aber ohne sinnvolle Firewall-Regeln, als ich zählen möchte. Viele Leute denken, dass die Erstellung eines separaten VLANs dieses automatisch von anderen Netzwerken isoliert. Das tut es nicht – zumindest nicht standardmäßig in den meisten UniFi-Konfigurationen.
Ohne Firewall-Regeln können Geräte in Ihrem IoT-VLAN frei mit Geräten in Ihrem Hauptnetzwerk kommunizieren. Die Trennung existiert auf Ebene der Broadcast-Domäne (verschiedene Subnetze, verschiedene DHCP-Bereiche), aber das Routing zwischen VLANs ist standardmäßig erlaubt. Ihre „isolierte“ IoT-Glühbirne kann Ihr Hauptnetzwerk scannen und versuchen, Verbindungen zu Ihrem Laptop herzustellen.
Das Schreiben einzelner Firewall-Regeln ist mühsam und fehleranfällig, besonders für Leute, die keine Netzwerkingenieure sind. UniFis zonenbasierte Firewall macht dies drastisch einfacher.
So richte ich es ein:
-
Zonen erstellen. Ich verwende drei: „Trusted“ (Haupt-Haushaltsnetzwerk), „Untrusted“ (IoT-Geräte) und „Restricted“ (Kameras, Gast). Sie können sie benennen, wie es für Sie sinnvoll ist.
-
VLANs Zonen zuweisen. Ziehen Sie Ihr Hauptnetzwerk-VLAN in „Trusted“, Ihr IoT-VLAN in „Untrusted“ und so weiter.
-
Zonenrichtlinien festlegen. Standardmäßig kann „Trusted“ alles erreichen, „Untrusted“ kann das Internet, aber nicht „Trusted“ erreichen, und „Restricted“ kann nur das Internet erreichen. UniFi generiert die eigentlichen Firewall-Regeln automatisch basierend auf diesen Zonenbeziehungen.
Das ist alles. Kein Schreiben einzelner Erlauben-/Verweigern-Regeln. Kein Rätselraten bei Portnummern oder Protokollen. Das zonenbasierte System übernimmt die Logik, und Sie können die generierten Regeln überprüfen, wenn Sie ins Detail gehen möchten.
Die wichtigste Erkenntnis: Ein VLAN zu erstellen und bei der Einrichtung „Isolate traffic“ (Datenverkehr isolieren) anzukreuzen, erstellt zwar grundlegende Regeln, aber sie decken möglicherweise nicht alles ab, was Sie benötigen. Die explizite Definition von Zonen gibt Ihnen klare, prüfbare Sicherheitsgrenzen.
Verwandte Produkte bei Amazon
- Ubiquiti UniFi 6 Lite Access Point
- Klein Tools Scout Pro 3 Kabeltester
- TP-Link TL-SG108PE 8-Port Gigabit PoE Switch
FAQ
Wie überprüfe ich, ob meine VLAN-Port-Profile korrekt sind?
Gehen Sie zu „UniFi Devices“, wählen Sie Ihren Switch aus, klicken Sie auf den Tab „Ports“ und überprüfen Sie die Spalte „Port Profile“. Jeder Port sollte das korrekte Profil anzeigen. Wenn ein Port ein Profil anzeigt, das ein von Ihnen kürzlich hinzugefügtes VLAN nicht enthält, bearbeiten Sie das Profil, um es hinzuzufügen.
Wird „Enhanced IoT Connectivity“ mein Netzwerk verlangsamen?
Nur für Geräte auf diesem spezifischen SSID. Da es das Netzwerk auf 2,4 GHz begrenzt, wird jedes Gerät, das von 5-GHz-Geschwindigkeiten profitieren könnte, langsamer sein. Deshalb empfehle ich ein separates „IoT Enhanced“-SSID, anstatt es in Ihrem Haupt-IoT-Netzwerk zu aktivieren.
Kann ich PPSK mit WPA3 verwenden?
Nein, PPSK funktioniert derzeit nur mit WPA2-Sicherheit. Wenn WPA3 für bestimmte Geräte zwingend erforderlich ist, benötigen Sie ein dediziertes SSID für diese.
Wie viele VLANs kann UniFi IDS/IPS überwachen?
Das hängt von Ihrem Gateway-Modell ab. Die UniFi Express bewältigt etwa 3 VLANs gut. Die Dream Machine Pro kann mehr. Der entscheidende Engpass ist die CPU – Deep Packet Inspection ist ressourcenintensiv.
Was ist der Unterschied zwischen einem VLAN mit aktiviertem „Isolate traffic“ und zonenbasierten Firewall-Regeln?
„Isolate traffic“ erstellt grundlegende Regeln, die verhindern, dass dieses VLAN Verbindungen zu anderen VLANs initiiert. Die zonenbasierte Firewall gibt Ihnen eine viel feinere Kontrolle – Sie können genau definieren, welche Zonen miteinander kommunizieren dürfen und in welcher Richtung, und die Regeln werden automatisch generiert und verwaltet.
Abschließende Gedanken
Diese fünf Lösungen beheben wahrscheinlich 80 % der Probleme, die ich nach der Inbetriebnahme in UniFi-Netzwerken sehe. Port-Profile, die stillschweigend nicht mehr aktualisiert werden, IoT-Geräte, die den Kompatibilitätsmodus benötigen, einzelne Geräte, die Isolation ohne ein neues SSID benötigen, IDS/IPS-Lücken und VLANs ohne echte Firewall-Durchsetzung. Nichts davon ist kompliziert zu beheben, sobald man weiß, worauf man achten muss.
Wenn Sie ein neues UniFi-Netzwerk einrichten oder ein bestehendes Fehlerbehebung durchführen, macht auch die richtige Platzierung des APs einen großen Unterschied. Schauen Sie sich unsere Schreibtischständer für UniFi Access Points und Wandarmhalterungen an, um die bestmögliche Abdeckung zu erzielen. Und für weitere Deep-Dives in die Netzwerktechnik stöbern Sie in unserer vollständigen Sammlung von Anleitungen.
