VLAN einrichten für UniFi Access Points: So konfigurieren Sie die Switch-Ports richtig

• Für ein sauberes UniFi WLAN brauchen Sie ein eigenes VLAN, in dem nur die Access Points selbst liegen, und je ein weiteres VLAN für jedes WLAN, etwa für Mitarbeiter, Gäste und IoT-Geräte.
• Der Switch-Port eines Access Points bekommt das VLAN der Access Points als Native VLAN (ungetaggt) und die VLANs der WLANs als getaggte VLANs.
• Mit einem Ethernet-Portprofil legen Sie diese Einstellung einmal fest und weisen sie im Port Manager allen Ports zu, an denen Access Points hängen.
• Alle Switch-Verbindungen zwischen Access Point und Gateway müssen das VLAN der Access Points und die WLAN-VLANs durchlassen, sonst ist der Access Point nicht erreichbar oder Clients kommen nicht ins WLAN.
• Liegt das VLAN der Access Points als Native VLAN am Port, darf am Access Point keine zusätzliche Network Override auf dasselbe VLAN gesetzt werden.

Wer in UniFi Network ein VLAN einrichten möchte, denkt meist zuerst an die WLANs: ein Netz für Mitarbeiter, eines für Gäste, eines für Drucker, Kameras oder Haustechnik. Das ist richtig, aber nur die halbe Miete. Mindestens genauso wichtig ist die Frage, in welchem Netz die Access Points selbst hängen und wie der Switch-Port eingestellt ist, an dem jeder Access Point angeschlossen ist.

Ohne Planung landen die Access Points im Standardnetz (VLAN 1), oft zusammen mit Arbeitsplätzen, Druckern und Servern. Laut Ubiquiti nutzen Access Points für die Kommunikation mit UniFi Network VLAN 1, solange nichts anderes eingestellt ist. Für Unternehmen ist es sauberer, die Verwaltung der Netzwerkgeräte in ein eigenes VLAN zu legen. Dann kann aus dem Gäste-WLAN oder dem Mitarbeiternetz niemand die Verwaltungsoberfläche eines Access Points erreichen, wenn die Firewall-Regeln entsprechend gesetzt sind.

Stellen Sie sich ein Netzwerkkabel wie eine Straße vor. Ohne VLANs fahren alle Autos durcheinander auf derselben Fahrbahn. Mit VLANs bekommt jede Gruppe ihre eigene, farbig markierte Spur: Mitarbeiter fahren auf der blauen Spur, Gäste auf der grünen, IoT-Geräte auf der gelben. Physisch ist es dieselbe Straße, logisch sind es getrennte Netze, die sich nur dort begegnen, wo die Firewall es erlaubt.

Damit der Switch weiß, welche Daten auf welche Spur gehören, gibt es zwei Arten, Daten zu transportieren:

• Getaggt (tagged): Die Daten tragen ein Etikett mit der VLAN-Nummer, zum Beispiel „VLAN 20“. Der Access Point schreibt dieses Etikett auf alles, was aus dem Mitarbeiter-WLAN kommt.
• Ungetaggt (untagged): Die Daten tragen kein Etikett. Der Switch steckt sie automatisch in das VLAN, das am Port als Native VLAN eingestellt ist.

Ubiquiti beschreibt das so: Das Native VLAN ist das VLAN für ungetaggten Verkehr, Geräte direkt am Port landen in diesem Netz. Getaggte VLANs sind alle weiteren VLANs, die ein Port ausdrücklich durchlassen darf. Ein Port mit getaggten VLANs heißt Trunk Port, ein Port nur mit dem Native VLAN heißt Access Port.

Für ein typisches Unternehmens-WLAN hat sich diese Aufteilung bewährt. Die Nummern sind Beispiele, Sie können eigene wählen:

• VLAN 10 „AP-Management“: Hier liegen nur die Access Points (und gern auch Switches) selbst. Kein Client verbindet sich mit diesem Netz.
• VLAN 20 „Mitarbeiter“: Das WLAN für Firmengeräte.
• VLAN 30 „Gäste“: Das WLAN für Besucher, nur mit Internetzugang.
• VLAN 40 „IoT“: Das WLAN für Drucker, Displays, Sensoren und Haustechnik.

Die Access Points gehören also in ein eigenes Netz. Die WLAN-VLANs laufen nur durch den Access Point hindurch, der Access Point selbst hat dort keine Adresse.

Laut Ubiquiti legen Sie neue VLANs unter Einstellungen > Netzwerke (Settings > Networks) als neues virtuelles Netzwerk an. So gehen Sie vor:

1. Öffnen Sie Einstellungen > Netzwerke und erstellen Sie ein neues Netzwerk.
2. Vergeben Sie einen sprechenden Namen, zum Beispiel „AP-Management“.
3. Tragen Sie die VLAN-ID ein, hier 10.
4. Legen Sie den IP-Bereich fest und aktivieren Sie DHCP, damit die Access Points automatisch eine Adresse erhalten.
5. Speichern Sie mit Änderungen übernehmen (Apply Changes).
6. Wiederholen Sie die Schritte für die WLAN-VLANs 20, 30 und 40.

Wichtig für das VLAN der Access Points: Es braucht einen DHCP-Server und eine Verbindung zu UniFi Network, damit neue Access Points dort gefunden und übernommen werden können.

Jedes WLAN bekommt jetzt sein VLAN. Laut Ubiquiti geht das unter Einstellungen > WiFi (Settings > WiFi):

1. Erstellen Sie ein neues WLAN oder öffnen Sie ein bestehendes.
2. Wählen Sie im Feld Netzwerk (Network) das passende VLAN aus, zum Beispiel „Mitarbeiter“ für das Firmen-WLAN.
3. Legen Sie fest, welche Access Points dieses WLAN aussenden.

Ab jetzt versieht der Access Point alle Daten aus dem Mitarbeiter-WLAN mit dem Etikett „VLAN 20“, alle Daten aus dem Gäste-WLAN mit „VLAN 30“ und so weiter. Genau deshalb muss der Switch-Port am Access Point diese Etiketten auch annehmen. Ubiquiti weist ausdrücklich darauf hin: Jeder Switch-Port zwischen Access Point und Gateway muss das VLAN des WLANs durchlassen, sonst können Clients dem WLAN nicht beitreten.

Statt jeden Port einzeln einzustellen, legen Sie ein Ethernet-Portprofil (Ethernet Port Profile) an. Laut Ubiquiti bündelt ein solches Profil vordefinierte Einstellungen wie VLANs, Bandbreitenbegrenzung und Isolation. Ändern Sie später das Profil, gilt die Änderung für alle Ports, die es nutzen. Neue WLANs müssen Sie dann nur noch an einer Stelle ergänzen.

Erstellen Sie in den Einstellungen von UniFi Network ein neues Ethernet-Portprofil mit diesen Werten:

• Name: zum Beispiel „Access Point Trunk“
• Native VLAN / Netzwerk: „AP-Management“ (VLAN 10). Damit landet der Access Point selbst ungetaggt in seinem eigenen VLAN.
• Tagged VLAN Management: Benutzerdefiniert (Custom), dann die VLANs „Mitarbeiter“ (20), „Gäste“ (30) und „IoT“ (40) auswählen.

Ubiquiti bietet beim Tagged VLAN Management drei Optionen: Allow All lässt alle VLANs durch und ist bei UniFi Switches die Voreinstellung. Block All lässt nur das Native VLAN durch und macht den Port zum Access Port. Custom lässt nur ausgewählte VLANs durch. Für Access-Point-Ports ist Custom die saubere Wahl: Am Access Point kommen nur die Netze an, die er wirklich aussendet. Server-, Kamera- oder Verwaltungsnetze anderer Bereiche haben dort nichts zu suchen.

Jetzt verbinden Sie das Profil mit den Ports, an denen Access Points hängen. Laut Ubiquiti finden Sie die Einstellung unter Geräte > [Switch] > Ports > Port Manager (Devices > [Switch] > Ports > Port Manager) im Feld Ethernet Port Profile:

1. Öffnen Sie den Switch und dort den Port Manager.
2. Markieren Sie die Ports, an denen Access Points angeschlossen sind.
3. Wählen Sie das Profil „Access Point Trunk“ aus und übernehmen Sie die Änderung.

Unser Rat aus der Praxis: Stellen Sie zuerst einen einzigen Port um und prüfen Sie, ob der Access Point danach wieder online kommt und eine Adresse aus VLAN 10 erhält. Erst dann übernehmen Sie das Profil für alle weiteren Ports. Nach der Umstellung holt sich der Access Point eine neue IP-Adresse aus dem AP-Management-Netz; das kann einen kurzen Moment dauern.

Nehmen wir an, Ihr Access Point im Besprechungsraum hängt an Port 5 Ihres Switches. Nach der Konfiguration laufen über dieses eine Kabel vier getrennte Netze:

• Ohne Etikett (Native VLAN 10): Der Access Point selbst spricht mit UniFi Network, holt sich Updates und meldet seinen Status. Er merkt davon nichts, er schickt einfach ungetaggte Daten, und der Switch steckt sie in VLAN 10.
• Mit Etikett 20: Alles, was die Kollegen mit ihren Laptops im Firmen-WLAN machen.
• Mit Etikett 30: Alles aus dem Gäste-WLAN, das an der Firewall nur ins Internet darf.
• Mit Etikett 40: Alles aus dem IoT-WLAN, zum Beispiel vom Display im Besprechungsraum.

Im Port Manager sehen Sie das an Port 5 als Native VLAN „AP-Management“ und als getaggte VLANs „Mitarbeiter“, „Gäste“ und „IoT“. Einen Überblick über alle Ports gibt der VLAN Viewer im Bereich Ports von UniFi Network. Laut Ubiquiti hilft er besonders dabei, falsch getaggte Ports zu finden.

Ein schöner Nebeneffekt der Konfiguration mit Native VLAN: Ein fabrikneuer Access Point, den das Elektrounternehmen an einen solchen Port anschließt, landet ohne weitere Einstellung direkt im richtigen Netz und kann in UniFi Network übernommen werden.

Ubiquiti nennt drei typische Fehler, nach denen ein UniFi Gerät offline geht oder gar nicht erst zur Übernahme erscheint:

1. Doppelte Zuweisung: Am Access Point ist unter IP-Einstellungen > Network Override dasselbe VLAN eingetragen, das am Switch-Port schon als Native VLAN gesetzt ist. Bei unserer Konfiguration gilt deshalb: Liegt VLAN 10 als Native VLAN am Port, bleibt die Network Override am Access Point leer. Der Access Point sendet ungetaggt, der Switch erledigt die Zuordnung.
2. Fehlendes VLAN auf dem Weg zum Gateway: Das Verwaltungs-VLAN des Access Points ist auf einem Port zwischen Access Point und Gateway nicht erlaubt.
3. Native VLAN nicht weitergereicht: Das Native VLAN des Access-Point-Ports wird auf einem übergeordneten Switch-Port nicht durchgelassen. Der Access Point erhält dann keine Adresse und erreicht UniFi Network nicht.

Für die WLANs gilt dasselbe: Fehlt ein WLAN-VLAN auf einer der Verbindungen zwischen Access Point und Gateway, verbinden sich die Clients zwar mit dem WLAN, bekommen aber keine Adresse. Laut Ubiquiti ist ein falsch getaggter Port in diesem Fall die wahrscheinlichste Ursache.

Achten Sie deshalb besonders auf die Verbindungen zwischen den Switches und zum Gateway (Uplinks). Diese Ports müssen VLAN 10 und alle WLAN-VLANs durchlassen. Bei UniFi Switches ist das mit der Voreinstellung Allow All der Fall. Switches anderer Hersteller müssen laut Ubiquiti von Hand entsprechend konfiguriert werden.

Die InSys AG^® ist Ubiquiti Enterprise Partner und UniFi Professional Integrator. Mehr als 10.000 UniFi Geräte sind bei unseren Kunden im Einsatz. Wir planen VLAN-Struktur, Firewall-Regeln und Portprofile für Ihr UniFi Netzwerk, konfigurieren UniFi Access Points und UniFi Switches und nehmen die Umgebung in Betrieb, auf Wunsch auch remote. Die Montage der Access Points übernimmt Ihr Elektrounternehmen. Die passende Struktur entsteht bei der UniFi Planung, und wenn es einmal hakt, hilft unser Leitfaden zum UniFi Troubleshooting. Wer VLANs, Portprofile und WLAN selbst sicher beherrschen möchte, lernt das in unseren offiziellen UniFi Schulungen im autorisierten UniFi Schulungscenter in Bielefeld. Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular unter dieser News.