Ubiquiti UniFi Gast-WLAN einrichten und absichern

Ein Gast-WLAN gehört heute in vielen Unternehmen zur Grundausstattung.

Kunden, Besucher, Lieferanten oder externe Mitarbeiter erwarten häufig einen Internetzugang, sollen dabei aber selbstverständlich keinen Zugriff auf das interne Unternehmensnetzwerk erhalten.

Genau hier liegt der entscheidende Unterschied zwischen einem einfachen zusätzlichen WLAN und einem professionell eingerichteten Gastnetz.

Ein sicheres UniFi Gast-WLAN sollte deshalb nicht einfach nur:

eine zweite SSID mit anderem Passwort

sein.

Stattdessen sollte es technisch vom produktiven Netzwerk getrennt werden.

Ein typischer Aufbau sieht beispielsweise so aus:

Mitarbeiter-WLAN

→ internes VLAN

→ Zugriff auf Server, Drucker und Unternehmensressourcen

Gast-WLAN

→ eigenes Gast-VLAN

→ ausschließlich Internetzugriff

Zusätzlich sollten Gäste möglichst auch nicht untereinander kommunizieren können.

In dieser Anleitung zeigen wir Schritt für Schritt, wie Sie ein UniFi Gast-WLAN einrichten und absichern und welche Einstellungen sich besonders für Unternehmen empfehlen.

Was ist ein UniFi Gast-WLAN?

Ein UniFi Gast-WLAN ist ein separates WLAN für Besucher beziehungsweise nicht vertrauenswürdige Geräte.

Typische Benutzer sind:

• Kunden
• Besucher
• Lieferanten
• externe Dienstleister
• Bewerber
• Veranstaltungsteilnehmer
• private Geräte von Gästen

Das Gastnetz sollte vom eigentlichen Unternehmensnetz getrennt sein.

Ein Gast benötigt normalerweise lediglich:

Internetzugang

aber keinen Zugriff auf:

• Server
• NAS
• Drucker
• PCs
• Kameras
• Telefonanlage
• Managementnetz
• Backup-Systeme
• andere interne VLANs

Diese Trennung wird durch VLANs, Firewallregeln und Isolation umgesetzt.

Warum ein separates Gast-WLAN wichtig ist

Angenommen, ein Unternehmen verwendet nur ein einziges WLAN:

Firma-WLAN

Mitarbeiter und Gäste erhalten dasselbe Passwort.

Dann befindet sich möglicherweise das private Notebook eines Besuchers im selben Netzwerk wie:

• Arbeitsplatz-PCs
• Drucker
• NAS
• Server
• VoIP-Telefone
• andere Unternehmensgeräte

Das ist unnötig riskant.

Ein Gastgerät kann:

• kompromittiert sein
• Schadsoftware enthalten
• Netzwerkgeräte suchen
• offene Dienste erkennen

ohne dass der Besucher selbst etwas Bösartiges beabsichtigen muss.

Deshalb sollten unbekannte Geräte grundsätzlich nicht in das vertrauenswürdige Unternehmensnetzwerk aufgenommen werden.

Wie sollte ein UniFi Gastnetz aufgebaut sein?

Eine saubere Architektur könnte beispielsweise so aussehen:

VLAN 10 – Management

UniFi-Geräte und Administration

VLAN 20 – Mitarbeiter

PCs und Notebooks

VLAN 30 – Server

Server und NAS

VLAN 40 – VoIP

Telefone

VLAN 50 – Gäste

Besucher

Das Gast-WLAN wird anschließend ausschließlich:

VLAN 50

zugeordnet.

Die Firewall beziehungsweise Network Isolation verhindert den Zugriff auf die übrigen Netze.

Beispiel für ein UniFi Gast-WLAN

Wir verwenden in dieser Anleitung beispielhaft:

SSID:

Firma-Gast

VLAN-ID:

50

Subnetz:

192.168.50.0/24

Gateway:

192.168.50.1

Die genauen Werte können natürlich an die vorhandene Netzwerkstruktur angepasst werden.

Was wird für ein UniFi Gast-WLAN benötigt?

Für eine vollständige UniFi-Umgebung typischerweise:

• UniFi Access Point
• UniFi Network
• VLAN-fähige Netzwerkstruktur

Für besonders einfache zentrale Isolation und Firewallsteuerung zusätzlich:

• UniFi Cloud Gateway

oder:

• UniFi Independent Gateway

Beispielsweise können je nach Umgebung Geräte wie:

• UniFi Dream Machine
• Cloud Gateway
• UXG-Serie

eingesetzt werden.

Ein Gast-WLAN lässt sich auch mit UniFi Access Points und einer Firewall eines anderen Herstellers betreiben.

Dann müssen VLAN-Routing und Firewallregeln jedoch auf dieser externen Firewall eingerichtet werden.

Schritt 1: Eigenes Gastnetzwerk erstellen

Öffnen Sie:

UniFi Network

und anschließend:

Settings → Networks

Erstellen Sie ein neues Netzwerk.

Beispielsweise:

Name:

GAST

VLAN-ID:

50

Subnetz:

192.168.50.0/24

Bei Verwendung eines UniFi Gateways können:

• Gateway
• DHCP
• DNS
• Routing

direkt über UniFi konfiguriert werden.

Warum ein eigenes VLAN verwenden?

Das VLAN ist die logische Trennung zwischen Gast- und Unternehmensnetz.

Ohne ein separates VLAN können sich Mitarbeiter und Gäste trotz unterschiedlicher WLAN-Namen weiterhin im selben Layer-2-Netzwerk befinden.

Das bedeutet:

zwei SSIDs allein erzeugen noch keine sichere Netzwerktrennung.

Erst durch unterschiedliche Netze beziehungsweise VLANs entsteht eine saubere Segmentierung.

Schritt 2: Network Isolation aktivieren

Für ein klassisches Gastnetz sollte das Gast-VLAN keine anderen internen Netze erreichen können.

Bei aktuellen UniFi-Versionen lässt sich dafür:

Network Isolation

verwenden.

Öffnen Sie:

Settings → Networks

und wählen Sie das Gastnetz aus.

Aktivieren Sie:

Network Isolation

UniFi erstellt dadurch die notwendige Isolation zwischen diesem Netzwerk und anderen VLANs.

Das ist für viele kleine und mittelständische Installationen die einfachste Lösung.

Was bewirkt Network Isolation?

Vereinfacht gesagt:

Gast-VLAN

→ internes Unternehmensnetz

BLOCKIERT

während:

Gast-VLAN

→ Internet

weiterhin möglich bleibt.

Damit sollten Gäste beispielsweise nicht auf:

• Mitarbeiter-PCs
• Server
• NAS
• Drucker
• IoT-Netze

zugreifen können.

Network Isolation oder eigene Firewallregeln?

Für ein normales Gastnetz reicht Network Isolation häufig aus.

Eigene Firewallregeln werden interessant, wenn spezielle Ausnahmen benötigt werden.

Beispielsweise:

Gäste dürfen:

• Internet verwenden
• einen bestimmten Drucker erreichen

aber:

• keine anderen internen Systeme

Dann ist eine gezielte Firewallkonfiguration sinnvoller.

Schritt 3: Gastnetz der Hotspot Zone zuweisen

Aktuelle UniFi-Gateways verwenden eine Zone-Based Firewall.

Dabei werden Netzwerke verschiedenen Sicherheitszonen zugeordnet.

Typische Zonen sind:

• Internal
• External
• Gateway
• VPN
• Hotspot
• DMZ

Für ein klassisches Gastnetz kann die:

Hotspot Zone

verwendet werden.

Die Hotspot Zone ist speziell für eingeschränkte Gastnetzwerke vorgesehen.

Wann brauche ich die Hotspot Zone?

Besonders wenn ein:

Captive Portal

verwendet werden soll.

Dann kann das gesamte Gast-VLAN der Hotspot Zone zugeordnet werden.

Dadurch werden Gastgeräte entsprechend der vorgesehenen Hotspot-Policies behandelt.

Network Isolation und Hotspot nicht verwechseln

Beide Begriffe haben unterschiedliche Aufgaben.

Network Isolation

trennt Netzwerke beziehungsweise VLANs voneinander.

Hotspot

stellt Funktionen für Gastzugänge und Captive Portals bereit.

Ein Gastnetz kann deshalb grundsätzlich auch ohne Captive Portal sicher isoliert werden.

Schritt 4: Gast-WLAN erstellen

Öffnen Sie:

Settings → WiFi

und erstellen Sie ein neues WLAN.

Beispielsweise:

WiFi Name / SSID:

Firma-Gast

Als Netzwerk wählen Sie:

GAST

beziehungsweise:

VLAN 50

Damit werden alle Clients dieses WLANs automatisch dem Gastnetz zugeordnet.

Welche SSID sollte ein Gast-WLAN haben?

Die SSID sollte eindeutig erkennbar sein.

Beispiele:

Firma-Gast

Firma-Guest

Firma-Besucher

oder:

Firma-Free-WiFi

Für Geschäftskunden finde ich:

Firmenname-Gast

meistens am eindeutigsten.

Mitarbeiter- und Gast-WLAN nicht gleich benennen

Vermeiden würde ich beispielsweise:

Firma

und:

Firma5G

wenn eines davon eigentlich das Gastnetz sein soll.

Für Mitarbeiter sollte eindeutig erkennbar sein, welches WLAN intern und welches für Besucher vorgesehen ist.

Schritt 5: WLAN-Verschlüsselung auswählen

Nun muss entschieden werden, wie Gäste sich mit dem WLAN verbinden.

Mögliche Konzepte sind:

• gemeinsames WLAN-Passwort
• Captive Portal
• Voucher
• individuelle Authentifizierung
• RADIUS
• externer Hotspot-Server

Für ein kleines Büro reicht häufig ein separates Gast-WLAN mit Passwort.

Bei:

• Hotels
• Restaurants
• Veranstaltungen
• größeren Besucherzahlen

kann ein Captive Portal deutlich sinnvoller sein.

Gemeinsames Gast-WLAN-Passwort

Die einfachste Variante:

SSID

Firma-Gast

Passwort

ein separates Gastkennwort

Das Passwort sollte:

• ausreichend lang
• nicht identisch mit dem Mitarbeiter-WLAN
• bei Bedarf regelmäßig geändert

werden.

Ganz wichtig:

Das interne WLAN-Passwort darf niemals als Gastpasswort verwendet werden.

WPA2/WPA3 verwenden

Für moderne Geräte bietet UniFi standardmäßig moderne WPA-Konfigurationen.

Für ein normales Gastnetz kann beispielsweise:

WPA2/WPA3 Personal

eingesetzt werden.

Dabei sollte allerdings die Gerätekompatibilität berücksichtigt werden.

Sehr alte Clients können mit modernen Sicherheitsverfahren Probleme haben.

Braucht ein öffentliches Gast-WLAN überhaupt ein Passwort?

Nicht zwingend.

Ein öffentliches WLAN kann technisch auch ohne klassisches WLAN-Passwort betrieben und stattdessen über ein Captive Portal kontrolliert werden.

Für ein normales Büro mit gelegentlichen Besuchern finde ich ein separates Gastkennwort häufig unkomplizierter.

Für viele wechselnde Gäste kann ein Portal wiederum komfortabler sein.

Schritt 6: Client Device Isolation aktivieren

Das Gast-VLAN soll nicht nur vom Unternehmensnetz isoliert werden.

Auch Gäste sollten möglichst nicht auf die Geräte anderer Gäste zugreifen können.

Dafür gibt es:

Client Device Isolation

Öffnen Sie:

Settings → WiFi → Firma-Gast

und aktivieren Sie:

Client Device Isolation

Was macht Client Device Isolation?

Angenommen, im Gast-WLAN befinden sich:

Gast A

Notebook

und:

Gast B

Smartphone

Normalerweise könnten sich Geräte innerhalb desselben Netzwerks gegenseitig erreichen.

Mit Client Device Isolation wird die Kommunikation zwischen WLAN-Clients am Access Point eingeschränkt.

Das erhöht insbesondere in öffentlichen WLANs die Sicherheit und Privatsphäre.

Warum reicht Network Isolation allein nicht?

Network Isolation schützt primär:

Gastnetz

gegen:

andere VLANs

Es verhindert nicht automatisch jede Kommunikation:

innerhalb des Gastnetzes

Deshalb sind beide Funktionen sinnvoll.

Network Isolation

schützt interne Netzwerke.

Client Device Isolation

schützt Gäste untereinander.

Schritt 7: Device Isolation per ACL aktivieren

In größeren beziehungsweise vollständig mit UniFi aufgebauten Netzwerken gibt es zusätzlich:

Device Isolation

beziehungsweise entsprechende ACL-Funktionen.

Diese können auch Kommunikation innerhalb desselben VLANs am Switch unterbinden.

Das ergänzt die Client Isolation am WLAN Access Point.

Warum AP-Isolation und Switch-Isolation kombinieren?

Die AP-Funktion isoliert insbesondere Geräte, die über denselben Access Point kommunizieren.

Eine Switch-ACL kann die Isolation zusätzlich im kabelgebundenen Netzwerk beziehungsweise über mehrere Netzkomponenten hinweg durchsetzen.

Ubiquiti empfiehlt für öffentliche Gastnetze deshalb die Kombination aus:

• Network Isolation
• Client Device Isolation
• Device Isolation per ACL

wenn die Infrastruktur dies unterstützt.

Gastgeräte untereinander isolieren – immer sinnvoll?

Für ein klassisches Gäste-WLAN:

meistens ja.

Ausnahmen können bestehen, wenn Gäste absichtlich miteinander kommunizieren müssen.

Beispielsweise:

• Präsentationsgeräte
• spezielle Veranstaltungssysteme
• gemeinsamer AirPlay-Empfänger

Dann muss eine gezielte Ausnahme geplant werden.

Schritt 8: Captive Portal einrichten

Ein Captive Portal zeigt Gästen nach der WLAN-Verbindung zunächst eine Anmeldeseite.

Typisches Beispiel:

Gast verbindet sich mit Firma-Gast

↓

Browser beziehungsweise WLAN-Assistent öffnet Portal

↓

Gast akzeptiert Bedingungen oder meldet sich an

↓

Internetzugang wird freigeschaltet

In UniFi lässt sich das über:

Hotspot Portal → Captive Portal

aktivieren.

Was kann im UniFi Captive Portal angezeigt werden?

Je nach Konfiguration kann die Landingpage beispielsweise enthalten:

• Firmenlogo
• Unternehmensname
• Begrüßung
• Farben
• Nutzungsinformationen
• Login

Das wirkt insbesondere bei:

• Hotels
• Restaurants
• Kanzleien
• Praxen
• größeren Unternehmen
• Veranstaltungen

professioneller als ein einfaches WLAN-Passwort.

Welche Anmeldemöglichkeiten bietet UniFi Hotspot?

Je nach aktueller Konfiguration stehen unterschiedliche Verfahren zur Verfügung.

Dazu gehören beispielsweise:

• Passwort
• Voucher
• RADIUS
• externer Portalserver

und weitere unterstützte Hotspot-Authentifizierungen.

Welche Variante sinnvoll ist, hängt von der Anzahl und Art der Besucher ab.

Schritt 9: Voucher für Gäste verwenden

Ein Voucher ist ein zeitlich beziehungsweise anderweitig begrenzter Zugangscode.

Beispielsweise:

8294-1735

Der Besucher erhält diesen Code am Empfang.

Damit kann der Zugang beispielsweise begrenzt werden auf:

• eine bestimmte Zeit
• bestimmte Datenmenge
• bestimmte Geschwindigkeit

Das ist besonders praktisch bei:

• Hotels
• Veranstaltungen
• Konferenzen
• Schulungen
• häufig wechselnden Gästen

Gast-Passwort oder Voucher?

Wenige Besucher

Gemeinsames Gastkennwort ist meistens ausreichend.

Viele wechselnde Besucher

Voucher können sinnvoller sein.

Öffentliches WLAN

Captive Portal beziehungsweise professionelles Hotspot-Konzept prüfen.

Schritt 10: Bandbreite für Gäste begrenzen

Ein Gast sollte nicht unbedingt die komplette Internetleitung auslasten können.

Beispielsweise besitzt das Unternehmen:

500 Mbit/s Internet

Ein Gast startet:

• großen Cloud-Download
• Steam-Update
• 4K-Streaming

Dadurch kann die Verbindung für produktive Anwendungen unnötig belastet werden.

UniFi bietet dafür:

WiFi Speed Limits

beziehungsweise entsprechende Traffic-Shaping-Funktionen.

Wie viel Bandbreite pro Gast?

Das hängt von der Internetleitung und der Nutzung ab.

Für normales:

• Web
• E-Mail
• WhatsApp
• Videokonferenzen

können beispielsweise:

20–50 Mbit/s pro Client

bereits komfortabel sein.

Bei sehr schneller Internetanbindung kann das Limit höher gewählt oder vollständig weggelassen werden.

Es gibt keinen universell richtigen Wert.

Upload ebenfalls berücksichtigen

Nicht nur Download begrenzen.

Auch ein einzelner Gast kann den Upload auslasten.

Das kann problematisch sein für:

• VoIP
• Videokonferenzen
• VPN
• Cloud-Backups

Deshalb sollten bei knappen Internetanschlüssen beide Richtungen betrachtet werden.

WiFi Speed Limit oder QoS?

Für ein einfaches Gastnetz ist ein:

WiFi Speed Limit

sehr praktisch.

Bei komplexeren Anforderungen können Traffic-Shaping- beziehungsweise QoS-Regeln verwendet werden.

Damit lassen sich beispielsweise:

• bestimmte Anwendungen priorisieren
• Dienste limitieren
• spezielle Traffic-Arten blockieren

Schritt 11: Torrents und unerwünschte Anwendungen begrenzen

Bei öffentlichen beziehungsweise größeren Gastnetzen kann zusätzlich geprüft werden, ob bestimmte Anwendungen blockiert werden sollen.

Beispielsweise:

• Peer-to-Peer
• Torrents
• besonders bandbreitenintensive Anwendungen

UniFi bietet dafür Traffic- und Application-Filtering-Funktionen.

Ob solche Einschränkungen notwendig sind, hängt vom Einsatzzweck ab.

Ein kleines Gast-WLAN in einer Steuerkanzlei benötigt möglicherweise deutlich weniger komplexe Regeln als ein öffentliches WLAN in einem Hotel.

Schritt 12: Proxy ARP aktivieren

Bei größeren Gastnetzen kann:

Proxy ARP

sinnvoll sein.

Der Access Point beantwortet dabei bestimmte ARP- beziehungsweise IPv6-NDP-Anfragen stellvertretend.

Dadurch kann Broadcast- beziehungsweise Multicast-Traffic reduziert werden.

Das spart Airtime und kann insbesondere bei vielen WLAN-Clients sinnvoll sein.

Bei einem Büro mit drei Gästen gleichzeitig ist der Effekt entsprechend weniger relevant.

Schritt 13: DHCP für das Gastnetz konfigurieren

Gäste benötigen automatisch eine IP-Adresse.

Beispielsweise aus:

192.168.50.0/24

Ein möglicher DHCP-Bereich:

192.168.50.50

bis:

192.168.50.250

Damit stehen ausreichend Adressen für Gastgeräte zur Verfügung.

Wie groß sollte das Gastnetz sein?

Ein /24 bietet rund 250 nutzbare Adressen und reicht für viele kleine Unternehmen problemlos.

Bei:

• Hotels
• Schulen
• Veranstaltungen
• großen öffentlichen Standorten

kann ein deutlich größeres Netz erforderlich sein.

Das Subnetz sollte nach der erwarteten maximalen Clientzahl dimensioniert werden.

Schritt 14: DNS absichern

Gastgeräte benötigen normalerweise DNS.

Dabei kann beispielsweise:

• das UniFi Gateway
• ein definierter DNS-Dienst

verwendet werden.

Interne DNS-Server sollten nicht unnötig für Gäste erreichbar sein.

Ein Gast benötigt normalerweise keine Auflösung interner Namen wie:

server01.intern.firma.de

Content Filtering für Gäste

Je nach Unternehmen kann auch ein Content Filter interessant sein.

Damit können beispielsweise bestimmte:

• schädliche Domains
• unerwünschte Inhalte
• Kategorien

gefiltert werden.

Das ist jedoch eine zusätzliche Funktion und ersetzt keine Netzwerktrennung.

Schritt 15: Zugriff auf das UniFi Gateway beschränken

Ein häufig übersehener Punkt ist der Zugriff:

Gast → Gateway

Das Gateway stellt Dienste wie:

• DHCP
• DNS

bereit.

Diese müssen möglicherweise erreichbar bleiben.

Die Verwaltungsoberfläche beziehungsweise andere Managementdienste sollten Gäste dagegen nicht erreichen können.

Bei aktuellen UniFi-Firewalls wird dafür die:

Gateway Zone

berücksichtigt.

Gast darf DHCP und DNS – aber kein Management

Vereinfacht sollte die Regel lauten:

Gast

→ DHCP/DNS am Gateway

erlauben

aber:

Gast

→ UniFi Management / SSH

blockieren

Die konkreten Regeln hängen von der vorhandenen Architektur ab.

Schritt 16: Firewallregeln überprüfen

Nach der Einrichtung sollte nicht einfach davon ausgegangen werden, dass die Isolation funktioniert.

Testen Sie aktiv.

Verbinden Sie ein Notebook mit:

Firma-Gast

und prüfen Sie:

Internet

funktioniert?

Gateway

korrekte Gast-IP erhalten?

Interner Server

nicht erreichbar?

NAS

nicht erreichbar?

Drucker

nicht erreichbar?

Managementnetz

nicht erreichbar?

anderer Gast

nicht erreichbar?

Nur dann ist die gewünschte Segmentierung tatsächlich umgesetzt.

Zone-Based Firewall in aktuellen UniFi-Versionen

Neuere UniFi-Network-Versionen verwenden eine zonenbasierte Firewall.

Dabei werden Netzwerke Zonen zugeordnet.

Typischerweise beispielsweise:

Internal

Mitarbeiternetz

Hotspot

Gastnetz

VPN

VPN-Benutzer

External

Internet

Gateway

UniFi Gateway selbst

Policies steuern anschließend, wie diese Zonen miteinander kommunizieren dürfen.

Warum ältere UniFi-Anleitungen teilweise anders aussehen

Im Internet finden sich noch sehr viele Anleitungen mit Regeln wie:

GUEST_IN

GUEST_LOCAL

LAN_IN

Diese stammen aus der älteren Firewallarchitektur von UniFi.

Aktuelle Installationen mit neuer UniFi-Network-Version können bereits die:

Zone-Based Firewall

verwenden.

Deshalb können Menübezeichnungen und Regelstrukturen älterer Tutorials von der aktuellen Oberfläche abweichen.

Schritt 17: IPv6 nicht vergessen

Ein häufig gemachter Fehler:

IPv4 wird sauber isoliert.

IPv6 wird vergessen.

Wenn IPv6 im Unternehmen verwendet wird, muss die Gastnetzsegmentierung auch dort geprüft werden.

Sicherheitsregeln sollten nicht nur für:

IPv4

sondern für die tatsächlich verwendeten Protokolle funktionieren.

Schritt 18: Nur benötigte Access Points verwenden

Nicht jedes Gast-WLAN muss auf jedem Access Point ausgestrahlt werden.

Beispielsweise:

Empfang

Gast-WLAN aktiv

Besprechungsräume

Gast-WLAN aktiv

Lager

Gast-WLAN nicht benötigt

Serverraum

Gast-WLAN nicht benötigt

UniFi ermöglicht die Auswahl bestimmter:

• Access Points
• AP-Gruppen

für eine SSID.

Damit kann das Gastnetz nur dort ausgestrahlt werden, wo Besucher tatsächlich WLAN benötigen.

Zu viele SSIDs vermeiden

Jede zusätzliche SSID verursacht zusätzlichen Management-Traffic im WLAN.

Deshalb sollten nicht unnötig viele WLAN-Netze erstellt werden.

Ein Unternehmen benötigt häufig beispielsweise nur:

• Mitarbeiter-WLAN
• Gast-WLAN
• eventuell IoT-WLAN

und nicht zehn unterschiedliche SSIDs für jede Abteilung.

VLANs und Benutzerrechte können viele Aufgaben übernehmen, ohne für jedes Netzwerk eine eigene sichtbare SSID zu benötigen.

2,4 GHz, 5 GHz oder 6 GHz für Gäste?

Für maximale Gerätekompatibilität sollte ein Gast-WLAN normalerweise nicht ausschließlich auf einem sehr neuen Frequenzband betrieben werden.

2,4 GHz

größere Reichweite, aber stärker ausgelastet

5 GHz

mehr Kapazität und für moderne Geräte meist die wichtigste Wahl

6 GHz

sehr leistungsfähig, aber nur für kompatible neuere Geräte

Da Besucher sehr unterschiedliche Geräte mitbringen, ist Kompatibilität im Gastnetz besonders wichtig.

Band Steering verwenden

Band Steering kann kompatible Clients stärker in Richtung 5 GHz bewegen.

Dadurch bleibt das stärker belastete 2,4-GHz-Band für Geräte verfügbar, die darauf angewiesen sind.

Für moderne UniFi-Installationen ist dies häufig sinnvoll.

Schritt 19: Gast-WLAN nicht verstecken

Eine versteckte SSID bietet keinen ernsthaften zusätzlichen Sicherheitsschutz.

Für ein Gastnetz ist sie sogar eher unpraktisch.

Besucher sollen das WLAN schließlich problemlos finden.

Besser:

sichtbare Gast-SSID

saubere Isolation

geeignete Authentifizierung

Schritt 20: Gäste nicht ins Mitarbeiter-WLAN aufnehmen

Auch wenn es schnell geht:

Ich gebe Ihnen einfach kurz unser WLAN-Passwort.

sollte vermieden werden.

Sobald ein Besucher das interne WLAN-Passwort kennt, kann er sich möglicherweise auch später wieder verbinden.

Außerdem muss bei einer Passwortänderung anschließend jedes interne Gerät neu konfiguriert werden.

Dafür existiert das Gast-WLAN.

Soll das Gast-WLAN ein Passwort haben?

Für ein normales Unternehmen:

meistens ja.

Beispielsweise kann das Passwort:

• am Empfang ausgegeben
• im Besprechungsraum angezeigt
• regelmäßig geändert

werden.

Bei öffentlichen Umgebungen kann stattdessen ein Captive Portal sinnvoller sein.

Wie häufig sollte das Gast-WLAN-Passwort geändert werden?

Es gibt keine universelle Zeitspanne.

Eine Änderung kann beispielsweise sinnvoll sein:

• regelmäßig
• nach größeren Veranstaltungen
• wenn das Passwort öffentlich bekannt geworden ist
• nach missbräuchlicher Nutzung

Bei sehr häufig wechselnden Gästen sind Voucher beziehungsweise individuelle Zugänge einfacher zu kontrollieren.

Gast-WLAN für Drucker freigeben?

Normalerweise:

nein.

Manchmal sollen Besucher jedoch beispielsweise einen Präsentations- oder Gästedrucker verwenden.

Dann sollte nicht das komplette interne Netz freigegeben werden.

Stattdessen:

Gastnetz

→ genau dieser Drucker

→ benötigter Port

erlauben

Alles andere bleibt blockiert.

Das ist deutlich sicherer.

Gast-WLAN für Chromecast oder AirPlay

Das kann komplizierter werden.

Dienste wie:

• AirPlay
• Chromecast

verwenden Discovery-Protokolle wie mDNS.

Wenn Gäste Geräte in einem anderen VLAN finden sollen, muss gezielt eine entsprechende Discovery- beziehungsweise mDNS-Konfiguration aufgebaut werden.

Dabei sollte nicht einfach die gesamte Isolation deaktiviert werden.

Gast-WLAN in einer Arztpraxis

Ein mögliches Konzept:

Praxis-WLAN

→ Praxiscomputer

Medizingeräte

→ separates VLAN

TI

→ separates Segment

Gast-WLAN

→ ausschließlich Internet

Gerade in solchen Umgebungen darf das Gastnetz nicht versehentlich Zugriff auf sensible interne Systeme erhalten.

Gast-WLAN in einer Kanzlei

Beispielsweise:

Mitarbeiter

VLAN 20

Server

VLAN 30

Drucker

VLAN 40

Gäste

VLAN 50

Gastzugriff:

Internet

erlaubt

Interne VLANs:

blockiert

Damit kann ein Mandant im Besprechungsraum WLAN nutzen, ohne interne Unternehmenssysteme zu erreichen.

Gast-WLAN in einem Hotel oder einer Pension

Hier steigen die Anforderungen.

Relevant können sein:

• Captive Portal
• Voucher
• viele gleichzeitige Clients
• Bandbreitenlimits
• Client Isolation
• umfangreiche WLAN-Ausleuchtung
• mehrere Access Points
• Roaming
• hohe Internetbandbreite

In solchen Installationen sollte Gast-WLAN bereits Teil der gesamten WLAN-Planung sein.

Gast-WLAN in Schulen

Bei Schulen kann zusätzlich unterschieden werden zwischen:

• Verwaltung
• Lehrer
• Schüler
• Gäste
• IoT
• Präsentationstechnik

Ein simples Mitarbeiter-/Gast-Modell reicht dort häufig nicht aus.

VLANs, Benutzeridentitäten und zentrale Authentifizierung werden entsprechend wichtiger.

Gast-WLAN für mehrere Standorte

Bei mehreren Niederlassungen kann eine einheitliche Namensstruktur verwendet werden.

Beispielsweise an allen Standorten:

Firma-Gast

Das erleichtert Gästen und Mitarbeitern die Nutzung.

Trotzdem sollte jedes Standortnetz lokal sauber segmentiert und abgesichert werden.

Captive Portal mit Firmenlogo

Für Unternehmen mit häufigem Besucherverkehr ist ein gebrandetes Portal eine schöne Ergänzung.

Beispielsweise:

Willkommen bei Musterfirma GmbH

↓

Gastzugang starten

Das Portal kann dabei optisch an das Unternehmen angepasst werden.

Technisch wichtiger bleibt trotzdem:

die Isolation hinter dem Portal.

Ein schönes Portal ohne sichere VLAN-Trennung macht das Gastnetz nicht sicher.

Captive Portal ist keine Firewall

Das ist besonders wichtig.

Ein Captive Portal kontrolliert hauptsächlich den Zugang zum Netzwerk beziehungsweise Internet.

Es ersetzt keine:

• VLAN-Segmentierung
• Firewallregeln
• Client Isolation

Ein professionelles Gastnetz benötigt deshalb beides:

Zugangssteuerung

und:

Netzwerksegmentierung

UniFi Gast-WLAN ohne UniFi Gateway

Auch das ist möglich.

Beispielsweise:

UniFi Access Points

↓

UniFi Switch

↓

pfSense / OPNsense

In diesem Fall wird die SSID einem VLAN zugeordnet.

Die externe Firewall übernimmt:

• DHCP
• Routing
• DNS
• Firewall
• Internetzugang

Beispielsweise:

VLAN 50 Gast

↓

pfSense

↓

Internet

und:

VLAN 50 → interne Netze

blockiert.

UniFi Gast-WLAN mit pfSense

Eine typische Kombination:

UniFi AP

↓

VLAN 50

↓

UniFi Switch

↓

VLAN 50

↓

pfSense

Firewallregel:

GAST net → RFC1918 → BLOCK

und anschließend:

GAST net → Internet → ALLOW

Die genaue Regelstruktur hängt von der bestehenden pfSense-Konfiguration ab.

RFC1918 komplett blockieren?

Das kann für ein einfaches Gastnetz sinnvoll sein, muss aber bewusst umgesetzt werden.

Private IPv4-Netze sind:

10.0.0.0/8

172.16.0.0/12

192.168.0.0/16

Wenn Gäste diese Netze nicht erreichen dürfen, sind viele interne Ziele automatisch abgedeckt.

Notwendige Gateway-Dienste wie:

• DHCP
• DNS

müssen dabei weiterhin funktionieren.

Gast-WLAN mit UniFi Gateway

Bei einer vollständigen UniFi-Umgebung ist die Einrichtung komfortabler.

UniFi kann:

• VLAN
• DHCP
• Firewall
• Hotspot
• Captive Portal
• Client Isolation
• Traffic Management

zentral verwalten.

Das macht UniFi insbesondere für kleine und mittelständische Unternehmensnetze interessant.

Sicherheit des Gast-WLAN testen

Nach Abschluss empfehle ich mindestens folgende Tests.

Test 1: Internet

Gast kann Webseiten öffnen.

Test 2: Mitarbeiter-PC

Ping beziehungsweise Zugriff schlägt fehl.

Test 3: NAS

nicht erreichbar.

Test 4: Drucker

nicht erreichbar, sofern keine Ausnahme vorgesehen.

Test 5: UniFi Management

nicht erreichbar.

Test 6: Zweites Gastgerät

keine direkte Kommunikation möglich.

Test 7: DNS

Namensauflösung funktioniert.

Test 8: Captive Portal

falls verwendet, öffnet und autorisiert korrekt.

Test 9: IPv6

falls aktiv, ebenfalls sauber isoliert.

Erst wenn diese Tests erfolgreich sind, würde ich das Gastnetz produktiv freigeben.

UniFi Gast-WLAN Best Practices

1. Eigenes VLAN verwenden

Gäste niemals einfach in das Mitarbeiter-LAN aufnehmen.

2. Network Isolation aktivieren

Gastnetz von internen VLANs trennen.

3. Client Device Isolation aktivieren

Gäste auch untereinander isolieren.

4. Device Isolation beziehungsweise ACL prüfen

Bei entsprechender UniFi-Switch-Infrastruktur zusätzliche Layer-2-Isolation umsetzen.

5. Eigenes Gastkennwort

Niemals dasselbe Passwort wie beim Mitarbeiter-WLAN.

6. Captive Portal nur bei Bedarf

Nicht jede kleine Firma benötigt ein Portal.

7. Bandbreite begrenzen

Wenn Gäste die produktive Internetleitung beeinträchtigen könnten.

8. Managementzugriff blockieren

Gastgeräte benötigen keinen Zugriff auf UniFi, Switches, Server oder NAS.

9. IPv6 berücksichtigen

Nicht nur IPv4 absichern.

10. Nur notwendige APs auswählen

Gast-WLAN nur dort ausstrahlen, wo es benötigt wird.

11. Zu viele SSIDs vermeiden

WLAN-Infrastruktur nicht unnötig belasten.

12. Regelmäßig testen

Nach Änderungen an Firewall oder VLANs Isolation erneut kontrollieren.

Häufige Fehler beim UniFi Gast-WLAN

Nur eine zweite SSID erstellen

Ohne separates VLAN befinden sich Gäste möglicherweise weiterhin im internen Netzwerk.

Gast-WLAN und Mitarbeiter-WLAN verwenden dasselbe VLAN

Damit existiert praktisch keine echte Netzwerktrennung.

Nur Network Isolation aktivieren

Gäste können möglicherweise weiterhin untereinander kommunizieren.

Nur Client Isolation aktivieren

Das schützt nicht automatisch vor Zugriff auf andere VLANs.

Internes WLAN-Passwort an Besucher geben

Das eigentliche Gastnetz wird damit umgangen.

Gastnetz darf auf alle privaten IP-Netze zugreifen

Interne Systeme bleiben erreichbar.

UniFi Management aus dem Gastnetz erreichbar

Unnötige Angriffsfläche.

SMB im Gastnetz erreichbar

Gäste können möglicherweise Datei- und NAS-Systeme sehen.

Captive Portal als Sicherheitsmaßnahme betrachten

Das Portal ersetzt keine Firewall.

IPv6 vergessen

IPv4 ist isoliert, aber ein zweiter Netzwerkpfad bleibt offen.

Kein Bandbreitenmanagement

Ein Gast kann unter Umständen die komplette Internetleitung auslasten.

Zu viele WLAN-Netze erstellen

Zusätzliche SSIDs verursachen zusätzlichen Funk-Overhead.

Beispielkonfiguration für ein kleines Unternehmen

Angenommen:

20 Mitarbeiter

1 Gbit/s Internet

4 UniFi Access Points

UniFi Gateway

Mögliche Struktur:

Mitarbeiter

SSID:

Firma

VLAN:

20

Subnetz:

192.168.20.0/24

Gäste

SSID:

Firma-Gast

VLAN:

50

Subnetz:

192.168.50.0/24

Network Isolation:

aktiv

Client Device Isolation:

aktiv

Device Isolation:

aktiv, sofern passend zur Infrastruktur

Internetzugriff:

erlaubt

Interne Netze:

blockiert

Management:

blockiert

Bandbreite:

beispielsweise 50 Mbit/s pro Client

Captive Portal:

optional

Das ist für viele kleinere Büroinstallationen bereits eine solide Grundstruktur.

Beispiel für ein öffentliches UniFi Gast-WLAN

Bei einem Hotel beziehungsweise öffentlichen Betrieb könnte die Konfiguration erweitert werden:

SSID

Hotel-Guest

↓

VLAN 100

↓

Hotspot Zone

↓

Client Isolation

↓

Switch Device Isolation

↓

Captive Portal

↓

Voucher beziehungsweise Gastauthentifizierung

↓

Bandbreitenlimit

↓

Internet

Zusätzlich sollte bei vielen Clients:

• WLAN-Ausleuchtung
• Kanalplanung
• AP-Dichte
• DHCP-Größe
• Internetbandbreite
• Roaming

professionell geplant werden.

Braucht ein Unternehmen überhaupt ein Captive Portal?

Für ein normales Büro mit wenigen Besuchern:

nicht zwingend.

Ein separates, stark isoliertes Gast-WLAN mit eigenem Kennwort ist häufig einfacher.

Ein Captive Portal wird interessanter bei:

• vielen Gästen
• wechselnden Besuchern
• Hotels
• Gastronomie
• Veranstaltungen
• öffentlichen Bereichen
• gewünschtem Branding
• Voucher-System

Die Sicherheit entsteht jedoch hauptsächlich durch die technische Trennung des Netzes.

Checkliste: UniFi Gast-WLAN sicher einrichten

Netzwerk

• eigenes Gast-VLAN
• eigenes Subnetz
• DHCP
• Internetzugang
• internes Routing blockieren

WLAN

• separate SSID
• eigenes Passwort beziehungsweise Portal
• Client Device Isolation
• nur benötigte Access Points
• geeignete Frequenzbänder

Firewall

• Network Isolation
• Hotspot Zone bei Bedarf
• internes Netzwerk blockieren
• Management blockieren
• benötigte Gateway-Dienste erlauben
• IPv6 berücksichtigen

Switching

• VLANs korrekt trunked/tagged
• Device Isolation beziehungsweise ACL prüfen
• Access-Ports korrekt konfigurieren

Performance

• Bandbreitenlimit bei Bedarf
• Proxy ARP bei größeren Netzen
• genügend DHCP-Adressen
• Internetkapazität prüfen

Hotspot

optional:

• Captive Portal
• Firmenlogo
• Voucher
• Zeitlimits
• Datenlimits

Test

• Internet funktioniert
• Server nicht erreichbar
• NAS nicht erreichbar
• Management nicht erreichbar
• andere Gäste nicht erreichbar
• DNS funktioniert
• IPv6 geprüft

Fazit: UniFi Gast-WLAN richtig einrichten und absichern

Ein professionelles Gast-WLAN besteht nicht einfach aus einer zusätzlichen WLAN-SSID.

Die wichtigste Grundlage lautet:

Gastgeräte müssen technisch vom Unternehmensnetz getrennt werden.

Eine sinnvolle UniFi-Struktur sieht deshalb vereinfacht so aus:

Gast-SSID

↓

eigenes Gast-VLAN

↓

Network Isolation / Firewall

↓

Client Isolation

↓

Internet

Interne Systeme bleiben blockiert.

Bei einer vollständigen UniFi-Umgebung können zusätzlich:

• Zone-Based Firewall
• Hotspot Zone
• Switch ACLs
• Captive Portal
• Voucher
• Traffic Management
• WiFi Speed Limits

eingesetzt werden.

Für ein kleines Unternehmen reicht häufig ein eigenes VLAN mit sauberer Network und Client Isolation.

Bei Hotels, Schulen, Veranstaltungen oder öffentlichen WLANs sollte dagegen die komplette Umgebung inklusive:

• WLAN-Ausleuchtung
• Clientdichte
• Captive Portal
• Bandbreitenmanagement
• Firewall
• Switching

geplant werden.

Entscheidend ist am Ende nicht, ob sich der Gast mit einem schönen Portal anmeldet.

Entscheidend ist:

Ein Gast darf ausschließlich auf die Ressourcen zugreifen, die ausdrücklich für ihn vorgesehen sind.

UniFi Gast-WLAN für Unternehmen einrichten lassen

Sie möchten ein sicheres Gast-WLAN für Ihr Unternehmen einrichten oder Ihre bestehende UniFi-Konfiguration überprüfen?

Unetifi unterstützt kleine und mittelständische Unternehmen bei der Planung, Installation und laufenden Betreuung von Ubiquiti UniFi Netzwerken.

Dazu können unter anderem gehören:

• UniFi Gast-WLAN
• VLAN-Planung
• Network Isolation
• Zone-Based Firewall
• Firewallregeln
• Client Isolation
• Switch ACLs
• Captive Portal
• Voucher
• Bandbreitenmanagement
• WLAN-Ausleuchtung
• Access-Point-Planung
• UniFi Gateways
• UniFi Switches
• Multi-WAN
• VPN
• Monitoring
• laufende Wartung

Dabei wird das Gast-WLAN nicht isoliert betrachtet, sondern in das gesamte Sicherheits- und VLAN-Konzept des Unternehmens integriert.

So erhalten Besucher einen komfortablen Internetzugang, ohne gleichzeitig Zugriff auf interne Unternehmenssysteme zu bekommen.

Häufig gestellte Fragen zum UniFi Gast-WLAN

Wie richte ich ein UniFi Gast-WLAN ein?

Erstellen Sie zunächst ein eigenes Gastnetz beziehungsweise VLAN. Anschließend erstellen Sie eine separate WLAN-SSID und ordnen dieser das Gastnetz zu. Danach sollten Network Isolation und Client Device Isolation aktiviert beziehungsweise passende Firewallregeln eingerichtet werden.

Braucht ein UniFi Gast-WLAN ein eigenes VLAN?

Für eine saubere Unternehmenskonfiguration sollte das Gast-WLAN ein eigenes Netzwerk beziehungsweise VLAN erhalten. Nur eine zusätzliche SSID bietet noch keine zuverlässige Trennung vom internen Unternehmensnetz.

Was ist Network Isolation bei UniFi?

Network Isolation verhindert die Kommunikation eines Netzwerks mit anderen internen Netzwerken. Für ein Gast-VLAN ist dies eine einfache Möglichkeit, den Zugriff auf produktive Unternehmensnetze zu sperren.

Was ist Client Device Isolation bei UniFi?

Client Device Isolation verhindert die direkte Kommunikation zwischen WLAN-Clients. Dadurch kann beispielsweise das Notebook eines Gastes nicht einfach auf das Smartphone eines anderen Gastes zugreifen.

Was ist der Unterschied zwischen Network Isolation und Client Isolation?

Network Isolation trennt unterschiedliche Netze beziehungsweise VLANs voneinander. Client Isolation verhindert die Kommunikation zwischen Clients innerhalb eines WLANs. Für ein sicheres Gastnetz sind deshalb häufig beide Funktionen sinnvoll.

Was ist Device Isolation bei UniFi?

Device Isolation nutzt entsprechende ACL-Funktionen, um Geräte auch auf Switch-Ebene voneinander zu isolieren. Sie kann die WLAN-seitige Client Isolation ergänzen.

Was ist die UniFi Hotspot Zone?

Die Hotspot Zone ist eine vordefinierte Zone der aktuellen UniFi Zone-Based Firewall und ist für Gast- beziehungsweise Hotspot-Netzwerke mit eingeschränktem Zugriff vorgesehen.

Brauche ich für UniFi Gast-WLAN ein Captive Portal?

Nein. Ein Gast-WLAN kann auch ohne Captive Portal sicher betrieben werden. Für ein kleines Unternehmen reicht häufig ein separates Gast-WLAN mit eigenem Passwort und sauberer Netzwerkisolation.

Was ist ein UniFi Captive Portal?

Ein Captive Portal zeigt Gästen nach der Verbindung mit dem WLAN eine Anmeldeseite. Dort kann beispielsweise eine Authentifizierung, ein Voucher oder eine andere Zugangsfreigabe stattfinden.

Kann ich Gästen Voucher geben?

Ja. UniFi Hotspot unterstützt Voucher-Zugänge. Diese eignen sich besonders für Hotels, Veranstaltungen oder Unternehmen mit vielen wechselnden Besuchern.

Kann ich die Geschwindigkeit im UniFi Gast-WLAN begrenzen?

Ja. UniFi bietet WiFi Speed Limits und weitere Traffic-Shaping-Funktionen. Dadurch kann verhindert werden, dass einzelne Gäste unverhältnismäßig viel Internetbandbreite beanspruchen.

Wie schnell sollte ein Gast-WLAN sein?

Das hängt von der Internetverbindung und der Anzahl der Benutzer ab. Für normales Surfen und Videokonferenzen können beispielsweise 20 bis 50 Mbit/s pro Client bereits ausreichend sein. Bei genügend Bandbreite kann das Limit höher gesetzt oder weggelassen werden.

Sollten Gäste untereinander kommunizieren können?

In einem normalen öffentlichen beziehungsweise Unternehmens-Gastnetz meistens nicht. Deshalb sollte Client Device Isolation aktiviert werden, sofern keine Anwendung ausdrücklich eine Kommunikation zwischen Gastgeräten benötigt.

Kann ein Gast im UniFi Gast-WLAN auf Drucker zugreifen?

Normalerweise sollte der Zugriff auf interne Drucker blockiert sein. Wenn ein spezieller Gästedrucker benötigt wird, kann dafür eine gezielte Firewall-Ausnahme erstellt werden.

Kann ich Chromecast oder AirPlay im Gast-WLAN verwenden?

Grundsätzlich ja, allerdings können für Geräte in unterschiedlichen VLANs zusätzliche Discovery- beziehungsweise mDNS-Regeln erforderlich sein. Die komplette Netzwerktrennung sollte dafür nicht einfach deaktiviert werden.

Kann ich UniFi Gast-WLAN mit pfSense verwenden?

Ja. UniFi Access Points können die Gast-SSID einem VLAN zuweisen, während pfSense DHCP, Routing und Firewallregeln übernimmt. Das Gast-VLAN sollte dort von den internen Netzen getrennt werden.

Kann ich UniFi Gast-WLAN mit OPNsense verwenden?

Ja. Das Prinzip ist identisch: UniFi übernimmt WLAN und VLAN-Zuweisung, während OPNsense das Routing und die Firewallregeln des Gastnetzes übernimmt.

Soll das Gast-WLAN dasselbe Passwort wie das Mitarbeiter-WLAN haben?

Nein. Das Gastnetz sollte ein eigenes Kennwort beziehungsweise ein eigenes Authentifizierungsverfahren verwenden.

Sollte die Gast-SSID versteckt werden?

Nein. Eine versteckte SSID bietet keinen relevanten zusätzlichen Schutz und erschwert Besuchern lediglich die Verbindung. Entscheidend sind VLAN-Trennung, Firewall und Isolation.

Kann ich das Gast-WLAN nur auf bestimmten Access Points aktivieren?

Ja. UniFi ermöglicht die Auswahl bestimmter Access Points beziehungsweise AP-Gruppen. So kann das Gast-WLAN beispielsweise nur am Empfang und in Besprechungsräumen ausgestrahlt werden.

Warum funktionieren manche alten UniFi Gast-WLAN-Anleitungen nicht mehr?

Viele ältere Anleitungen verwenden Firewallregeln wie GUEST_IN oder GUEST_LOCAL. Aktuelle UniFi-Versionen verwenden auf unterstützten Gateways die neuere Zone-Based Firewall. Deshalb unterscheiden sich die aktuelle Oberfläche und die Regelstruktur teilweise deutlich von älteren Tutorials.