Beheben Sie die fünf häufigsten UniFi-Netzwerkprobleme – VLAN-Fehlkonfigurationen, IoT-Verbindungsabbrüche und Firewall-Lücken – mit diesen Schritt-für-Schritt-Anleitungen.
Einleitung
UniFi-Netzwerke sind im Allgemeinen so konzipiert, dass man sie einmal einrichtet und dann vergisst, was einen Teil ihrer Attraktivität ausmacht. Aber „im Allgemeinen“ bedeutet nicht „immer“, und im Laufe der Zeit habe ich festgestellt, dass immer wieder dieselben Probleme bei Kundeninstallationen auftreten. Meistens liegt es nicht an der Hardware, sondern an kleinen Konfigurationsfehlern, die sich zu großen Kopfschmerzen entwickeln. VLAN-Port-Profile, die stillschweigend nicht mehr aktualisiert werden, IoT-Geräte, die zufällig die Netzwerkverbindung verlieren, Firewall-Regeln, die nur in der Theorie existieren.
Diese Probleme sind nicht dramatisch. Ihr Netzwerk stürzt nicht ab. Meistens funktioniert alles. Aber es gibt seltsame Verhaltensweisen – eine smarte Steckdose, die zweimal pro Woche neu gestartet werden muss, eine Kamera, die von bestimmten Geräten nicht erreichbar ist, ein neues VLAN, das keinen Internetzugang zu bekommen scheint. Das sind die Arten von Problemen, die Menschen in den Wahnsinn treiben, weil sie sporadisch auftreten und schwer einzugrenzen sind.
Ich führe Sie durch die fünf häufigsten Korrekturen, die ich implementiere, beginnend mit der am häufigsten übersehenen.
Korrektur #1: Überprüfen Sie Ihre VLAN-Port-Profile nach dem Hinzufügen neuer Netzwerke
Wenn Sie ein Management-VLAN in UniFi erstellen, wählen Sie, wie es den Traffic-Tagging an Switch-Ports handhabt. Die meisten Leute wählen „Benutzerdefiniert“ und geben manuell an, welche VLANs der Management-Port tragen soll. Das funktioniert gut – bis Sie später ein neues VLAN hinzufügen und sich fragen, warum Ihr neu erstelltes Netzwerk das Internet oder andere Geräte nicht erreichen kann.
Das Problem ist, dass das benutzerdefinierte Port-Profil sich nicht automatisch aktualisiert, wenn neue VLANs hinzugefügt werden. Es ist auf das festgelegt, was Sie zum Zeitpunkt der Erstellung ausgewählt haben. Ihr Management-VLAN-Port-Profil trägt also fröhlich die VLANs 1, 10 und 20, aber wenn Sie VLAN 30 für Ihr neues Kameranetzwerk hinzufügen, wird dieses VLAN an den Management-Ports nicht getaggt. Ihr Switch kann keinen Traffic für ein VLAN routen, das er nicht kennt.
Die Lösung: Ich empfehle eine von zwei Vorgehensweisen. Der einfache Weg: Stellen Sie das Management-VLAN auf „Alle VLANs zulassen“ ein. Das bedeutet, dass jedes neue VLAN, das Sie erstellen, automatisch an den Management-Ports getaggt wird, ohne dass Sie daran denken müssen, etwas zu aktualisieren. Für Heimnetzwerke ist das normalerweise in Ordnung.
Der sicherere Ansatz: Bleiben Sie bei der benutzerdefinierten Einstellung, aber gewöhnen Sie sich an, die Port-Profile zu überprüfen, wann immer Sie ein neues VLAN hinzufügen. Gehen Sie zu Einstellungen > Profile > Port-Profile, finden Sie Ihr Management-Profil und fügen Sie das neue VLAN zur zulässigen Liste hinzu.
Wenn Sie einen auf dem Schreibtisch montierten UniFi Access Point verwenden, stellen Sie sicher, dass Ihr Schreibtischständer für UniFi APs den AP an einem zentralen Ort hält, wo VLAN-getaggter Datenverkehr alle Ihre Geräte effektiv erreicht.
Korrektur #2: Erweiterte IoT-Konnektivität für hartnäckige Smart Devices aktivieren
Diese eine Korrektur hat für mich mehr IoT-Konnektivitätsprobleme gelöst als alles andere zusammen. ESP32-basierte Smart-Home-Geräte, billige WiFi-Stecker, bestimmte Sensoren – diese Geräte sind dafür berüchtigt, sich zufällig zu trennen, nicht zu reagieren oder in Home Assistant als „nicht verfügbar“ angezeigt zu werden.
Das Problem liegt meist an den WLAN-Kompatibilitätseinstellungen. Diese preiswerten IoT-Chips haben begrenzte WLAN-Implementierungen und kämpfen mit einigen der erweiterten Funktionen, die moderne Access Points standardmäßig aktivieren. UniFi hat eine spezielle Einstellung namens „Enhanced IoT Connectivity“, die diese erweiterten Funktionen zurückschraubt, um die Kompatibilität mit diesen wählerischen Geräten zu verbessern.
Es gibt einen Haken: Wenn Sie „Enhanced IoT Connectivity“ aktivieren, deaktiviert UniFi automatisch 5 GHz in diesem WLAN-Netzwerk, sodass nur 2,4 GHz übrig bleiben. Das liegt daran, dass die meisten IoT-Geräte ohnehin nur 2,4 GHz unterstützen und die von UniFi angewendeten Kompatibilitätseinstellungen spezifisch für das 2,4-GHz-Band sind.
Das Problem: Wenn Sie IoT-Geräte haben, die von 5 GHz profitieren – Amazon Fire TVs, einige Smart-Kameras, höherwertige Thermostate – wird das Deaktivieren von 5 GHz in Ihrem IoT-Netzwerk deren Leistung beeinträchtigen. Fire TV über 2,4 GHz funktioniert, aber Sie werden Pufferungen erleben, die bei 5 GHz nicht auftreten.
Mein empfohlener Ansatz: Erstellen Sie zwei IoT-Netzwerke. Ihre primäre IoT-SSID behält sowohl 2,4 GHz als auch 5 GHz aktiviert, für Geräte, die 5 GHz nutzen können. Ihre sekundäre SSID – ich nenne sie „IoT Enhanced“ – hat „Enhanced IoT Connectivity“ aktiviert, wobei 5 GHz deaktiviert ist, und ist für diese hartnäckigen ESP32-Geräte und billigen Stecker gedacht, die sich ständig trennen.
Ja, Sie enden mit zwei IoT-SSIDs. Das ist nicht ideal, aber es ist besser als zufällige Geräteausfälle. Und wenn Sie Glück haben und alle Ihre IoT-Geräte ohne „Enhanced IoT Connectivity“ einwandfrei funktionieren, lassen Sie es einfach deaktiviert. Aber wenn auch nur ein Gerät Probleme macht, aktivieren Sie es – Sie werden es sich später danken.
Für die optimale AP-Platzierung, um alle Ihre IoT-Geräte zu erreichen, habe ich festgestellt, dass die Montage Ihrer UniFi-APs an Wandarmhalterungen in mehrstöckigen Häusern eine bessere Abdeckung bietet als nur Deckenhalterungen. Die CA Ubiquiti UniFi U7 Pro und US Ubiquiti UniFi U7 Pro sind meine bevorzugten Access Points für diese Art von Einrichtung.
Korrektur #3: Private Pre-Shared Keys für einzelne Geräte verwenden
Hier ist ein Szenario, das ständig auftritt: Sie haben Ihr IoT-Netzwerk eingerichtet, Ihr Hauptnetzwerk läuft großartig, und dann fügen Sie ein einzelnes Gerät hinzu – sagen wir, eine WLAN-Überwachungskamera –, das aus Sicherheitsgründen in einem eigenen isolierten Netzwerk sein muss. Ein ganz neues SSID für ein Gerät zu erstellen, erscheint übertrieben, aber Sie möchten es auch nicht in Ihrem IoT-Netzwerk haben.
UniFi verfügt über eine Funktion namens Private Pre-Shared Key (PPSK), die dies elegant löst. Anstatt eine neue SSID zu erstellen, konfigurieren Sie eine einzige SSID, um mehrere Netzwerke basierend auf dem vom Client verwendeten Passwort zu bedienen.
So funktioniert es:
- Stellen Sie Ihre WLAN-Sicherheit auf WPA2 ein (PPSK funktioniert nicht mit WPA3).
- Aktivieren Sie Private Pre-Shared Key in den WLAN-Einstellungen.
- Fügen Sie Passworteinträge hinzu, die jeweils einem anderen VLAN zugeordnet sind.
Wenn sich ein Gerät mit „MeinNetzwerk“ über Passwort A verbindet, landet es im VLAN 10. Wenn sich ein anderes Gerät mit derselben „MeinNetzwerk“-SSID über Passwort B verbindet, landet es im VLAN 20. Dieselbe SSID, derselbe Broadcast, unterschiedliche Netzwerke – alles durch das Passwort bestimmt.
Dies ist unglaublich nützlich für Gäste, temporäre Geräte oder die eine Überwachungskamera, die Sie isolieren möchten, ohne eine dedizierte SSID zu erstellen. Ich verwende es in meinem eigenen Netzwerk, und die Kunden lieben die Einfachheit, sobald sie verstehen, wie es funktioniert.
Korrektur #4: Neue VLANs zu Ihrer IDS/IPS-Konfiguration hinzufügen
Das Intrusion Detection and Prevention System (IDS/IPS) von UniFi ist eine der besten integrierten Sicherheitsfunktionen der Plattform. Es inspiziert den Netzwerkverkehr auf bekannte Angriffsmuster und kann Sie entweder alarmieren (Erkennungsmodus) oder verdächtigen Datenverkehr aktiv blockieren (Präventionsmodus).
Aber hier ist der Punkt: IDS/IPS wird nicht automatisch auf neue VLANs angewendet, die Sie erstellen. Es überwacht nur die VLANs, die Sie explizit hinzugefügt haben, als Sie es zum ersten Mal konfiguriert haben. Wenn Sie also vor sechs Monaten IDS/IPS auf Ihren Verwaltungs-, vertrauenswürdigen und Überwachungs-VLANs eingerichtet und dann letzten Monat ein IoT-VLAN und ein Gast-VLAN hinzugefügt haben, werden diese neuen Netzwerke überhaupt nicht überwacht.
Die Lösung: Wann immer Sie ein neues VLAN erstellen, gehen Sie zu Einstellungen > Sicherheit > IDS/IPS und fügen Sie es der überwachten Liste hinzu. UniFi empfiehlt, die Liste auf drei VLANs oder weniger zu beschränken, je nach Ihrem Gateway-Modell. Der UniFi Express beispielsweise hat eine begrenzte Verarbeitungsleistung für die Deep Packet Inspection, während eine Dream Machine Pro mehr verarbeiten kann.
Wenn Sie ein leistungsstärkeres Gateway betreiben, können Sie mehr VLANs überwachen. Wenn Sie ein preisgünstiges Gerät haben, priorisieren Sie die Überwachung Ihres Haupt-/vertrauenswürdigen Netzwerks und Ihres IoT-Netzwerks – diese sind die wahrscheinlichsten Ziele.
Die CA Ubiquiti UniFi Express 7 und US Ubiquiti UniFi Express sind großartige Einstiegs-Gateways, aber ihre IDS/IPS-Kapazität ist im Vergleich zu den Pro-Modellen begrenzt. Für anspruchsvollere Setups bieten die CA UniFi Dream Machine Special Edition und US UniFi Dream Machine SE mehr Spielraum.
Korrektur #5: Zonenbasierte Firewall-Regeln konfigurieren (nicht individuelle Regeln)
Das ist das Wichtigste. Ich sehe mehr Netzwerke mit VLANs, aber ohne aussagekräftige Firewall-Regeln, als mir lieb ist. Die Leute denken, dass das Erstellen eines separaten VLANs dieses automatisch von anderen Netzwerken isoliert. Das tut es nicht – zumindest nicht standardmäßig in den meisten UniFi-Konfigurationen.
Ohne Firewall-Regeln können Geräte in Ihrem IoT-VLAN frei mit Geräten in Ihrem Hauptnetzwerk kommunizieren. Die Trennung existiert auf der Broadcast-Domänenebene (unterschiedliche Subnetze, unterschiedliche DHCP-Bereiche), aber das Routing zwischen VLANs ist standardmäßig weiterhin erlaubt. Ihre „isolierte“ IoT-Glühbirne kann Ihr Hauptnetzwerk scannen und Verbindungsversuche zu Ihrem Laptop unternehmen.
Das Schreiben individueller Firewall-Regeln ist mühsam und fehleranfällig, insbesondere für Personen, die keine Netzwerktechniker sind. Die zonenbasierte Firewall von UniFi vereinfacht dies dramatisch.
So richte ich es ein:
-
Zonen erstellen. Ich verwende drei: „Vertrauenswürdig“ (Hauptnetzwerk des Haushalts), „Nicht vertrauenswürdig“ (IoT-Geräte) und „Eingeschränkt“ (Kameras, Gäste). Sie können sie benennen, wie es sinnvoll ist.
-
VLANs Zonen zuweisen. Ziehen Sie Ihr Hauptnetzwerk-VLAN in „Vertrauenswürdig“, Ihr IoT-VLAN in „Nicht vertrauenswürdig“ und so weiter.
-
Zonenrichtlinien festlegen. Standardmäßig kann „Vertrauenswürdig“ alles erreichen, „Nicht vertrauenswürdig“ kann das Internet erreichen, aber nicht „Vertrauenswürdig“, und „Eingeschränkt“ kann nur das Internet erreichen. UniFi generiert die tatsächlichen Firewall-Regeln automatisch basierend auf diesen Zonenbeziehungen.
Das war's. Kein Schreiben individueller Erlauben/Verweigern-Regeln. Kein Raten von Portnummern oder Protokollen. Das zonenbasierte System übernimmt die Logik, und Sie können die generierten Regeln überprüfen, wenn Sie ins Detail gehen möchten.
Die entscheidende Erkenntnis: Das Erstellen eines VLANs und das Aktivieren von „Datenverkehr isolieren“ während der Einrichtung erstellt grundlegende Regeln, die jedoch möglicherweise nicht alles abdecken, was Sie benötigen. Das explizite Definieren von Zonen gibt Ihnen klare, überprüfbare Sicherheitsgrenzen.
Verwandte Produkte auf Amazon
- Ubiquiti UniFi 6 Lite Access Point
- Klein Tools Scout Pro 3 Kabeltester
- TP-Link TL-SG108PE 8-Port Gigabit PoE Switch
FAQ
Wie überprüfe ich, ob meine VLAN-Port-Profile korrekt sind?
Gehen Sie zu UniFi-Geräte, wählen Sie Ihren Switch aus, klicken Sie auf die Registerkarte Ports und überprüfen Sie die Spalte Port-Profil. Jeder Port sollte das korrekte Profil anzeigen. Wenn ein Port ein Profil anzeigt, das ein kürzlich von Ihnen hinzugefügtes VLAN nicht enthält, bearbeiten Sie das Profil, um es aufzunehmen.
Wird die erweiterte IoT-Konnektivität mein Netzwerk verlangsamen?
Nur für Geräte in dieser spezifischen SSID. Da das Netzwerk auf 2,4 GHz begrenzt ist, wird jedes Gerät, das von 5 GHz-Geschwindigkeiten profitieren könnte, langsamer sein. Deshalb empfehle ich eine separate „IoT Enhanced“-SSID, anstatt sie in Ihrem Haupt-IoT-Netzwerk zu aktivieren.
Kann ich PPSK mit WPA3 verwenden?
Nein, PPSK funktioniert derzeit nur mit WPA2-Sicherheit. Wenn WPA3 für bestimmte Geräte eine zwingende Anforderung ist, benötigen Sie eine dedizierte SSID dafür.
Wie viele VLANs kann UniFi IDS/IPS überwachen?
Das hängt von Ihrem Gateway-Modell ab. Der UniFi Express kann etwa 3 VLANs gut verarbeiten. Die Dream Machine Pro kann mehr verarbeiten. Die Hauptbeschränkung ist die CPU – Deep Packet Inspection ist ressourcenintensiv.
Was ist der Unterschied zwischen einem VLAN mit aktivierter „Datenverkehr isolieren“-Option und zonenbasierten Firewall-Regeln?
„Datenverkehr isolieren“ erstellt grundlegende Regeln, die verhindern, dass dieses VLAN Verbindungen zu anderen VLANs initiiert. Die zonenbasierte Firewall bietet Ihnen eine viel feinere Kontrolle – Sie können genau definieren, welche Zonen miteinander kommunizieren können und in welche Richtung, und die Regeln werden automatisch generiert und verwaltet.
Abschließende Gedanken
Diese fünf Korrekturen beheben wahrscheinlich 80 % der Nachbereitungs-Probleme, die ich in UniFi-Netzwerken sehe. Port-Profile, die stillschweigend nicht mehr aktualisiert werden, IoT-Geräte, die einen Kompatibilitätsmodus benötigen, einzelne Geräte, die Isolierung ohne neue SSID benötigen, IDS/IPS-Lücken und VLANs ohne echte Firewall-Durchsetzung. Nichts davon ist kompliziert zu beheben, sobald man weiß, wonach man suchen muss.
Wenn Sie ein neues UniFi-Netzwerk einrichten oder ein bestehendes Problem beheben, macht die richtige AP-Platzierung ebenfalls einen großen Unterschied. Schauen Sie sich unsere Schreibtischständer für UniFi Access Points und Wandarmhalterungen an, um die bestmögliche Abdeckung zu erzielen. Und für weitere detaillierte Netzwerk-Einblicke stöbern Sie in unserer vollständigen Sammlung von Anleitungen.
