Business Unit UniFi Enterprise
UniFi OSPF und BGP: Dynamisches Routing bis nach Azure
Mit dynamischem Routing lernen Router ihre Netze selbst, statt dass Administratoren jede Route von Hand pflegen. Dieser Leitfaden erklärt OSPF und BGP verständlich, zeigt, was UniFi Gateways können, und führt Schritt für Schritt durch die Kopplung eines lokalen UniFi Netzes mit Microsoft Azure per IPsec und BGP. Mit BGP-Konfigurator zum Kopieren.
Kurz erklärt
OSPF (Open Shortest Path First) verteilt Routen innerhalb eines Unternehmensnetzes und wählt automatisch den Weg mit den geringsten Kosten. BGP (Border Gateway Protocol) tauscht Routen zwischen eigenständigen Netzen aus, etwa zwischen Ihrem Standort und Microsoft Azure.
UniFi Gateways beherrschen beides: OSPF direkt in der Oberfläche von UniFi Network, BGP über eine hochgeladene Konfigurationsdatei. Microsoft Azure spricht dagegen ausschließlich BGP. Die bewährte Kombination ist deshalb OSPF im lokalen Netz und BGP durch einen IPsec-Tunnel nach Azure. Genau diesen Aufbau zeigt dieser Leitfaden, mit Beispielwerten, die Sie im BGP-Konfigurator an Ihr Netz anpassen. Alle technischen Angaben entsprechen dem Stand Oktober 2026.
- OSPFim lokalen Netz, direkt in UniFi Network
- BGPzu Azure, AWS und Providern per FRR-Datei
- 65515Standard-ASN des Azure VPN Gateway
- lizenzfreiOSPF und BGP ohne Zusatzlizenz in UniFi
Was ist dynamisches Routing?
Statische Routen, OSPF und BGP einfach erklärt
Beim dynamischen Routing tauschen Router ihre Netze automatisch über ein Routing-Protokoll aus und passen ihre Wege selbstständig an, wenn sich etwas ändert. Beim statischen Routing trägt dagegen ein Administrator jede Route von Hand auf jedem Gerät ein.
Ein Vergleich aus dem Alltag: Statische Routen sind wie ausgedruckte Wegbeschreibungen. Sie funktionieren, bis eine Straße gesperrt ist. Dynamisches Routing ist das Navigationssystem, das Sperrungen kennt und sofort eine Umleitung berechnet. In kleinen Netzen mit einem Internetanschluss genügen statische Routen. Sobald mehrere Router, Standorte, Leitungen oder eine Cloud beteiligt sind, spart dynamisches Routing Zeit und verhindert Fehler.
Statische Routen
Jede Route wird von Hand eingetragen. Einfach und vorhersehbar, aber jede Änderung bedeutet Handarbeit an jedem Gerät.
Bei UniFi: In UniFi Network unter Routing, für einzelne Netze
OSPF
Router derselben Organisation kennen die gesamte Topologie und berechnen den kürzesten Weg. Fällt eine Leitung aus, wird in Sekunden neu gerechnet.
Bei UniFi: In der Oberfläche, mit Areas, Kosten und Authentifizierung
BGP
Verbindet eigenständige Netze mit eigener Nummer (ASN). Regeln legen fest, welche Netze gemeldet und angenommen werden.
Bei UniFi: Als FRR-Konfigurationsdatei auf ausgewählten Gateways
OSPF oder BGP?
Zwei Protokolle für zwei Aufgaben
OSPF ist das Protokoll für das Netz innerhalb Ihres Unternehmens, BGP das Protokoll zwischen Ihrem Netz und anderen Netzen wie Azure oder einem Provider. Beide schließen sich nicht aus, sondern arbeiten in den meisten Hybrid-Netzen zusammen.
OSPF ist ein Link-State-Protokoll: Jeder Router kennt alle Verbindungen seiner Area und ihre Kosten und berechnet daraus den kürzesten Weg. BGP ist ein Pfadvektor-Protokoll: Es meldet Netze zusammen mit dem Weg über die autonomen Systeme (AS-Pfad) und überlässt die Auswahl Regeln, die der Administrator festlegt. Deshalb ist BGP das Protokoll des Internets und der Cloud-Anbieter.
OSPF
Link-State, kürzester Weg nach Kosten
So arbeitet OSPF
- Jeder Router kennt die Topologie seiner Area
- Automatische Wahl des günstigsten Wegs
- Schnelle Umschaltung nach Hello- und Dead-Intervall
- Offener Standard (RFC 2328), herstellerübergreifend
Grenzen
- Für Verbindungen zwischen Organisationen nicht gedacht
- Von Azure nicht unterstützt
Ideal für Standorte mit Layer-3-Core, mehreren Routern oder Firewalls anderer Hersteller
BGP
Pfadvektor, Regeln statt Kosten
So arbeitet BGP
- Verbindet Netze mit eigener ASN
- Präfix-Listen und Route-Maps steuern, was ausgetauscht wird
- Standard bei Azure, AWS und Providern
- Skaliert bis zum gesamten Internet
Grenzen
- Langsamere Umschaltung über Timer, bei Azure bis 180 Sekunden
- Bei UniFi nur per Konfigurationsdatei
Ideal für die Anbindung an Microsoft Azure, AWS, Rechenzentren und Provider
Statische Routen, OSPF und BGP im Vergleich
Die drei Wege auf einen Blick
Statische Routen sind für wenige, feste Netze richtig, OSPF für das dynamische lokale Netz und BGP für die Kopplung mit Azure, AWS und Providern. Die Tabelle zeigt die Unterschiede und was davon UniFi Gateways heute können.
| Kriterium | Statische Routen | OSPF | BGP |
|---|---|---|---|
| Prinzip | Von Hand eingetragen | Link-State, kürzester Weg nach Kosten | Pfadvektor, Auswahl nach Regeln und AS-Pfad |
| Typischer Einsatz | Kleine Netze, einzelne Ausnahmen | Innerhalb eines Unternehmens | Zwischen Unternehmen, Cloud und Provider |
| Reaktion auf Ausfälle | Keine, Handarbeit | Automatisch nach Dead-Intervall, Standard 40 Sekunden | Automatisch nach Hold-Time, bei Azure 180 Sekunden |
| Aufwand bei neuen Netzen | An jedem Gerät | Automatisch | Automatisch, gesteuert über Präfix-Listen |
| Microsoft Azure | Ja, als feste Adressräume | Nein | Ja, VPN Gateway und Route Server |
| Standard | Kein Protokoll | OSPFv2, RFC 2328 | BGP-4, RFC 4271 |
| Bei UniFi | Alle Gateways, in der Oberfläche | In der Oberfläche von UniFi Network | Per FRR-Datei auf ausgewählten Gateways |
Quellen: IETF RFC 2328 und RFC 4271, Ubiquiti Help Center, Microsoft Learn. Stand: Oktober 2026.
Warum die InSys AG® der richtige Ubiquiti Enterprise Partner für Sie ist
Seit 1991 planen, konfigurieren und betreiben wir Netzwerklösungen für Unternehmen - als autorisierter Ubiquiti Enterprise Partner, UniFi Professional Integrator und Autorisiertes UniFi Schulungscenter. Mit Deutschlands größtem UniFi Democenter auf 700 m² im H1 in Bielefeld und unseren Standorten in Hamburg und Dubai.
Dynamisches Routing mit UniFi
Was UniFi Gateways bei OSPF und BGP können
UniFi Gateways unterstützen OSPF seit UniFi Network 8.1 direkt in der Oberfläche und BGP auf ausgewählten Modellen über eine Konfigurationsdatei im FRR-Format. FRRouting (FRR) ist eine verbreitete Open-Source-Routing-Software, die auch Linux-Router und viele Appliances nutzen.
Auch das UniFi SD-WAN verwendet intern OSPF, um zwischen den Standorten zu routen. Zwischen reinen UniFi Standorten müssen Sie deshalb nichts selbst einrichten. OSPF und BGP konfigurieren Sie dann, wenn Router anderer Hersteller, ein Layer-3-Core, ein Rechenzentrum oder eine Cloud wie Microsoft Azure beteiligt sind.
OSPF in UniFi Network
Eingerichtet in der Oberfläche, im Bereich Routing (je nach Version unter Settings > Routing oder Settings > Policy Engine).
- AreaBackbone-Area 0, Typ Normal, Stub oder NSSA
- NetzeEin oder mehrere Netze je Area, auf Wunsch passiv
- Router-IDAutomatisch, auf Wunsch fest, je Nachbar eindeutig
- KostenStandard 1 je Schnittstelle
- Hello und DeadStandard 10 und 40 Sekunden
- AuthentifizierungAus, Klartext oder MD5
- WeitergabeAngeschlossene und statische Routen
Muss bei Nachbarn übereinstimmen: Area und Area-Typ, Hello- und Dead-Intervall, Subnetzmaske, Authentifizierung, Netzwerktyp und MTU.
BGP per FRR-Datei
Eine Textdatei im FRR-Format wird in UniFi Network hochgeladen. Laut Ubiquiti Help Center auf diesen Gateways:
- UniFi Enterprise Firewall (EFG)ab UniFi OS 4.1.13
- Dream Machine Pro Maxab UniFi OS 4.1.13
- Dream Machine SE und Proab UniFi OS 4.1.13
- Dream Wallab UniFi OS 4.1.13
- Next-Gen Gateway Enterpriseab Firmware 4.1.8
Hinweis: Für neuere Modelle wie die Dream Machine Beast oder die Enterprise Firewall Core nennt das Help Center (Stand Oktober 2026) noch keine BGP-Unterstützung. Das prüfen wir in jedem Projekt. Mehr zur UniFi Enterprise Firewall (EFG).
Quellen: Ubiquiti Help Center (UniFi Gateway - OSPF, UniFi - Border Gateway Protocol). Stand: Oktober 2026.
UniFi mit Azure verbinden
So funktioniert die Kopplung per IPsec und BGP
Ein lokales UniFi Netz verbinden Sie mit Microsoft Azure über einen routenbasierten IPsec-Tunnel zum Azure VPN Gateway, durch den beide Seiten per BGP ihre Netze austauschen. OSPF ist dafür nicht möglich: Das Azure VPN Gateway und der Azure Route Server unterstützen für dynamisches Routing ausschließlich BGP.
Im lokalen Netz kann OSPF trotzdem weiterlaufen. Das UniFi Gateway lernt die internen Netze per OSPF oder kennt sie als direkt angeschlossene Netze und meldet sie per BGP an Azure. Azure meldet im Gegenzug die Adressräume des virtuellen Netzes und verteilt die gelernten Routen automatisch an alle Subnetze. Neue Netze auf einer Seite sind damit ohne Handarbeit auf der anderen Seite bekannt. Mehr zu Planung und Betrieb der Cloud-Seite finden Sie bei unserer Beratung zu Microsoft Azure.
Azure vorbereiten
Virtuelles Netz, VPN Gateway, lokales Netzwerkgateway und Verbindung
Auf der Azure-Seite brauchen Sie vier Ressourcen: ein virtuelles Netz mit GatewaySubnet, ein routenbasiertes VPN Gateway mit aktiviertem BGP, ein lokales Netzwerkgateway für Ihren Standort und eine Site-to-Site-Verbindung. Die Schritte folgen dem Azure-Portal, die Werte entsprechen dem Beispiel in der Grafik.
Wichtig vorab: BGP unterstützen alle VPN-Gateway-SKUs außer Basic. Die älteren SKUs VpnGw1 bis VpnGw5 ohne Zonenredundanz hat Microsoft zum 30. September 2026 abgekündigt, für neue Gateways wählen Sie deshalb eine AZ-SKU wie VpnGw1AZ. Die Bereitstellung des Gateways kann laut Microsoft 45 Minuten und länger dauern.
- 1
Virtuelles Netz anlegen
Ein VNet mit dem Adressraum
10.20.0.0/16und Subnetzen für Ihre Workloads anlegen. Dazu ein Subnetz mit dem festen Namen GatewaySubnet, empfohlen /27 oder größer, zum Beispiel10.20.255.0/27. - 2
VPN Gateway erstellen
Gatewaytyp VPN, VPN-Typ Routenbasiert, SKU VpnGw1AZ oder größer. Unter BGP konfigurieren „Aktiviert“ wählen, ASN
65515belassen und als Azure-APIPA-BGP-IP-Adresse169.254.21.1eintragen. - 3
Lokales Netzwerkgateway anlegen
Als IP-Adresse die öffentliche IP Ihres UniFi Gateways. Den Adressraum können Sie leer lassen, wenn nur BGP genutzt wird. Unter Erweitert BGP aktivieren, ASN
65010und BGP-Peer-IP169.254.21.2eintragen. - 4
Verbindung erstellen
Verbindungstyp Site-to-Site (IPsec), VPN Gateway und lokales Netzwerkgateway wählen, einen langen gemeinsamen Schlüssel (PSK) festlegen, IKEv2 und BGP aktivieren.
- 5
IPsec-Richtlinie festlegen
Empfohlen ist eine benutzerdefinierte IPsec/IKE-Richtlinie mit denselben Werten wie im UniFi Gateway, etwa AES256, SHA256, DH-Gruppe 14 und PFS2048. So handeln beide Seiten garantiert dieselben Verfahren aus.
- 6
Werte notieren
Auf der Seite Konfiguration des VPN Gateways die öffentliche IP-Adresse ablesen. Sie wird im UniFi Gateway als Gegenstelle eingetragen.
Beispielwerte dieses Leitfadens
Fiktive Werte. Im BGP-Konfigurator passen Sie sie an Ihr Netz an.
- Lokales Netz10.10.0.0/16 (Clients, Server, Telefonie)
- Azure VNet10.20.0.0/16
- GatewaySubnet10.20.255.0/27
- ASN UniFi Gateway65010
- ASN Azure VPN Gateway65515
- BGP-Adresse UniFi169.254.21.2
- BGP-Adresse Azure169.254.21.1
Quelle: Microsoft Learn (Configure BGP for VPN Gateway, VPN Gateway FAQ). Stand: Oktober 2026.
UniFi Gateway einrichten
Tunnel, BGP-Datei, Firewall und OSPF
Im UniFi Gateway richten Sie einen manuellen, routenbasierten IPsec-Tunnel zum Azure VPN Gateway ein, laden die BGP-Konfiguration als Datei hoch und geben in der Zone-Based Firewall den Verkehr zwischen Azure und den gewünschten Netzen frei. OSPF im lokalen Netz kommt unabhängig davon hinzu.
Die Menüpunkte unterscheiden sich je nach Version von UniFi Network leicht. Die Begriffe in Fettschrift entsprechen der englischen Oberfläche.
- 1
Modell und Version prüfen
BGP setzt ein unterstütztes Gateway und mindestens UniFi OS 4.1.13 voraus, beim Next-Gen Gateway Enterprise Firmware 4.1.8. Aktualisieren Sie vorher auf den aktuellen Stand.
- 2
Site-to-Site VPN anlegen
Unter Settings > VPN > Site-to-Site VPN einen Manual IPsec-Tunnel erstellen. Remote IP ist die öffentliche IP des Azure VPN Gateways, dazu derselbe PSK wie in Azure.
- 3
Routenbasiert mit Tunnel-IP
Als VPN-Typ Route-Based wählen und als Tunnel-IP
169.254.21.2/30eintragen. In den erweiterten Einstellungen IKEv2 und dieselben Verfahren wie in der Azure-Richtlinie setzen. - 4
BGP-Datei hochladen
Die Konfiguration aus dem BGP-Konfigurator als Textdatei speichern und im Bereich Routing unter BGP hochladen. Das UniFi Gateway baut die BGP-Sitzung zu
169.254.21.1selbst auf. - 5
Firewall freigeben
In der Zone-Based Firewall Richtlinien zwischen der VPN-Zone und den internen Netzen anlegen, die Azure erreichen darf. BGP läuft auf TCP-Port 179 nur durch den Tunnel, nie zum Internet hin öffnen.
- 6
OSPF im lokalen Netz
Unter Routing eine OSPF-Area 0 anlegen, die Netze zum Layer-3-Core auswählen und die Parameter des Nachbarn übernehmen. Per OSPF gelernte Netze tragen Sie im Konfigurator mit ein, damit sie auch Azure erreichen.
Quellen: Ubiquiti Help Center (UniFi - Border Gateway Protocol, UniFi Gateway - OSPF, Site-to-Site IPsec VPN). Stand: Oktober 2026. Den Aufbau testen wir vor jedem Projekt im UniFi Democenter.
BGP-Konfigurator für UniFi und Azure
Tragen Sie Ihre Werte ein. Der Konfigurator erzeugt die FRR-Datei für das UniFi Gateway und zeigt, was Sie in Azure eintragen. Ihre Eingaben verlassen den Browser nicht.
FRR-Datei für das UniFi Gateway
router bgp 65010 bgp router-id 10.10.10.1 ! network 10.10.10.0 mask 255.255.255.0 network 10.10.20.0 mask 255.255.255.0 network 10.10.30.0 mask 255.255.255.0 ! neighbor 169.254.21.1 remote-as 65515 neighbor 169.254.21.1 description Azure-VPN-Gateway neighbor 169.254.21.1 timers 60 180 ! address-family ipv4 neighbor 169.254.21.1 activate neighbor 169.254.21.1 soft-reconfiguration inbound neighbor 169.254.21.1 route-map AZURE_IN in neighbor 169.254.21.1 route-map ONPREM_OUT out exit-address-family ! exit ! route-map AZURE_IN permit 10 match ip address prefix-list AZURE_NETZE exit ! route-map ONPREM_OUT permit 10 match ip address prefix-list ONPREM_NETZE exit ! ip prefix-list AZURE_NETZE seq 5 permit 10.20.0.0/16 le 32 ! ip prefix-list ONPREM_NETZE seq 5 permit 10.10.10.0/24 ip prefix-list ONPREM_NETZE seq 10 permit 10.10.20.0/24 ip prefix-list ONPREM_NETZE seq 15 permit 10.10.30.0/24
In Azure und UniFi eintragen
- VPN GatewayASN: 65515
- VPN GatewayAzure-APIPA-BGP-IP: 169.254.21.1
- Lokales NetzwerkgatewayASN: 65010
- Lokales NetzwerkgatewayBGP-Peer-IP: 169.254.21.2
- UniFi Site-to-Site VPNTunnel-IP: 169.254.21.2/30
Prüfung
- Alle Werte sind plausibel.
Muster nach dem Beispiel im Ubiquiti Help Center und den BGP-Vorgaben von Microsoft, Stand Oktober 2026. Vor dem Produktivbetrieb im Wartungsfenster testen. Gern prüfen wir Ihre Konfiguration.
Verbindung prüfen und Fehler beheben
Befehle, Kontrollpunkte und typische Fehlerbilder
Eine BGP-Verbindung gilt erst als fertig, wenn der Peer verbunden ist, beide Seiten die erwarteten Netze gelernt haben und Anwendungen tatsächlich durch den Tunnel erreichbar sind. In Azure sehen Sie den Status im Portal am VPN Gateway unter BGP-Peers oder per PowerShell, im UniFi Gateway per SSH mit vtysh.
| Wo | Zeigt | Befehl |
|---|---|---|
| Azure PowerShell | Status der BGP-Peers | Get-AzVirtualNetworkGatewayBgpPeerStatus -ResourceGroupName RG -VirtualNetworkGatewayName GW |
| Azure PowerShell | Von UniFi gelernte Routen | Get-AzVirtualNetworkGatewayLearnedRoute -ResourceGroupName RG -VirtualNetworkGatewayName GW |
| Azure PowerShell | An UniFi gemeldete Routen | Get-AzVirtualNetworkGatewayAdvertisedRoute -ResourceGroupName RG -VirtualNetworkGatewayName GW -Peer 169.254.21.2 |
| UniFi Gateway per SSH | BGP-Sitzung und Anzahl Präfixe | vtysh -c "show bgp summary" |
| UniFi Gateway per SSH | Von Azure gelernte Routen | vtysh -c "show ip route bgp" |
| UniFi Gateway per SSH | OSPF-Nachbarn | vtysh -c "show ip ospf neighbor" |
Typische Fehlerbilder und Lösungen
| Fehlerbild | Ursache | Lösung |
|---|---|---|
| BGP-Peer bleibt getrennt | IPsec-Tunnel steht nicht | Zuerst Tunnel prüfen: PSK, IKEv2 und identische Verfahren auf beiden Seiten. BGP startet erst nach dem Tunnel. |
| Tunnel steht, BGP startet nicht | Bei APIPA-Adressen startet Azure die Sitzung nicht selbst | Das UniFi Gateway muss die Sitzung aufbauen. Tunnel-IP, Nachbaradresse und ASNs gegen die Azure-Werte prüfen. |
| Peer auf falsche Adresse | Nachbar auf die öffentliche IP statt auf die BGP-Adresse konfiguriert | Als Nachbar immer die BGP-Adresse von Azure eintragen, im Beispiel 169.254.21.1. |
| Azure lehnt die Konfiguration ab | Reservierte oder gleiche ASN auf beiden Seiten | Private ASN wählen, nicht 65515, 65517 bis 65520, 8074, 8075 oder 12076. |
| Azure zeigt 0 empfangene Routen | Netz steht nicht in der Routingtabelle oder Präfix-Liste filtert | Jede network-Zeile braucht eine exakt passende Route. Präfix-Liste ONPREM_NETZE prüfen. |
| BGP-Sitzung bricht wiederholt ab | Mehr als 4.000 gemeldete Präfixe | Netze zusammenfassen und Präfix-Listen eng fassen. |
| Ein Netz kommt in Azure nicht an | Präfix ist identisch mit einem VNet-Adressraum | Überschneidungsfreien Adressplan verwenden, Azure verwirft identische Präfixe. |
| Große Übertragungen hängen | Fragmentierung im Tunnel | TCP-MSS im Tunnel auf 1350 Byte begrenzen, wie von Microsoft empfohlen. |
| OSPF hängt im Zustand ExStart | Unterschiedliche MTU, etwa Jumbo Frames auf nur einer Seite | MTU auf beiden Seiten angleichen, meist 1500. |
| Keine OSPF-Nachbarschaft | Area, Hello, Dead, Authentifizierung oder Maske verschieden, Schnittstelle passiv | Parameter beider Seiten abgleichen, Schnittstelle zum Nachbarn nicht passiv setzen. |
| Routen vorhanden, aber kein Zugriff | Zone-Based Firewall blockiert | Richtlinien zwischen VPN-Zone und internen Netzen anlegen. |
| Umschalten dauert Minuten | Feste Azure-Timer von 180 Sekunden, kein BFD | VPN Gateway im Aktiv-aktiv-Modus mit zwei Tunneln betreiben. |
Quellen: Microsoft Learn (Troubleshoot BGP issues for Azure VPN Gateway, VPN Gateway FAQ), Ubiquiti Help Center. Weitere Lösungen im UniFi Troubleshooting für Administratoren. Stand: Oktober 2026.
OSPF bis in Azure mit Router-VM
Die Alternative, wenn OSPF in der Cloud ankommen soll
Wer OSPF bis in Azure benötigt, setzt eine eigene Router-VM ein, eine Network Virtual Appliance (NVA), die OSPF mit dem lokalen Netz spricht und ihre Routen per BGP an den Azure Route Server weitergibt. Azure selbst bleibt auch hier bei BGP: Der Route Server unterstützt ausschließlich BGP und trägt die gelernten Netze in die Subnetze des VNet ein.
Die Router-VM, etwa ein Linux-Server mit FRR oder eine Firewall-Appliance, braucht aktivierte IP-Weiterleitung an der Netzwerkkarte, eine eigene ASN ungleich 65515 und eBGP Multihop, weil der Route Server in einem eigenen Subnetz namens RouteServerSubnet liegt. Der Datenverkehr fließt über die Router-VM, nicht über den Route Server. Auf UniFi Seite muss sich der Tunnel zur Router-VM als OSPF-Schnittstelle auswählen lassen. Das hängt von der Version von UniFi Network ab und wird im Labor geprüft, alternativ läuft auch zur Router-VM BGP.
Sinnvoll, wenn
- eine Firewall oder IDS in Azure den Verkehr sehen soll
- das lokale Netz durchgehend auf OSPF aufgebaut ist
- mehrere Clouds oder Rechenzentren angebunden werden
Zu bedenken
- Laufende Kosten für VM und Route Server
- Betrieb, Updates und Hochverfügbarkeit der VM liegen bei Ihnen
- Route Server: höchstens 16 BGP-Peers und 4.000 Routen je Peer
Quelle: Microsoft Learn (Azure Route Server FAQ). Stand: Oktober 2026. Für die meisten Unternehmen ist die direkte Kopplung per VPN Gateway und BGP einfacher und günstiger.
Stärken und Schwächen
Dynamisches Routing mit UniFi, ehrlich eingeordnet
UniFi bringt OSPF und BGP lizenzfrei mit und reicht für die Kopplung mit Azure, AWS und Layer-3-Netzen anderer Hersteller, BGP erfordert aber Erfahrung mit FRR-Konfigurationen. Vor dem Wechsel zu Ubiquiti war die InSys AG® mehr als 20 Jahre Partner von HP Aruba. Wir kennen dynamisches Routing daher auch aus klassischen Enterprise-Plattformen.
Stärken
- OSPF in der Oberfläche: Areas, Kosten, Authentifizierung und Weitergabe ohne Kommandozeile
- BGP mit FRR: Präfix-Listen und Route-Maps wie bei großen Routern, als Textdatei versionierbar
- Standardkonform: OSPF und BGP sprechen mit Azure, AWS, Providern und Routern anderer Hersteller
- Lizenzfrei: keine Zusatzlizenz für Routing-Protokolle
- Eine Plattform: Firewall, VPN, Routing, Switches und WLAN in UniFi Network
- SD-WAN inklusive: zwischen UniFi Standorten routet UniFi SD-WAN automatisch, intern mit OSPF
Schwächen
- BGP ohne Oberfläche: Konfiguration nur per Datei, Fehler zeigen sich erst im Betrieb oder per SSH
- Nur ausgewählte Gateways: BGP laut Help Center nur auf bestimmten Modellen und Versionen
- Weitergabe eingeschränkt: OSPF gibt in der Oberfläche nur angeschlossene und statische Routen weiter
- Diagnose per SSH: Nachbarn und Routen sieht man vollständig nur mit vtysh
- Azure kennt kein OSPF: zu Azure immer BGP, OSPF nur über eine eigene Router-VM
- Langsames Umschalten zu Azure: feste Timer bis 180 Sekunden, kein BFD
Unser Fazit: Für Unternehmen mit UniFi am Standort und Workloads in Microsoft Azure ist die Kopplung per IPsec und BGP der richtige Weg: lizenzfrei, standardkonform und ohne zusätzliche Router. Die BGP-Datei sollte aber jemand erstellen und pflegen, der FRR kennt. Für sehr große Routingtabellen oder komplexe Richtlinien über viele Clouds ist eine Enterprise-Routing-Plattform die bessere Wahl. Welche Lösung passt, klären wir in der Ubiquiti UniFi Beratung.
Wann lohnt sich dynamisches Routing?
Typische Szenarien aus der Praxis
Dynamisches Routing lohnt sich, sobald mehr als ein Router Netze kennt, die andere erreichen müssen. Die Karten zeigen typische Szenarien und das Protokoll, das wir dort in der Regel einsetzen.
Hybrid Cloud mit Azure
Server, Datenbanken oder Azure Virtual Desktop in Azure, Benutzer und Geräte am Standort. Neue Subnetze sind ohne Handarbeit auf beiden Seiten bekannt.
ProtokollBGP über IPsec
Layer-3-Core anderer Hersteller
Bei der Migration zu UniFi bleibt ein bestehender Core von Cisco oder HPE Aruba zunächst im Einsatz und tauscht seine Netze mit dem UniFi Gateway aus.
ProtokollOSPF
Virtualisierung mit eigenem Routing
Plattformen wie VMware NSX oder Kubernetes melden ihre Netze selbst an das Gateway, statt dass jede Änderung von Hand nachgezogen wird.
ProtokollOSPF oder BGP
Eigene IP-Adressen und mehrere Provider
Unternehmen mit eigenem AS und eigenen Adressen melden diese bei zwei Providern an und bleiben bei einem Ausfall erreichbar.
ProtokollBGP
Rechenzentrum und Standorte
Ein Rechenzentrum mit eigenen Routern wird mit UniFi Standorten gekoppelt. Zwischen den UniFi Standorten selbst übernimmt UniFi SD-WAN das Routing.
ProtokollOSPF und SD-WAN
AWS und weitere Clouds
Dasselbe Prinzip wie bei Azure: zwei IPsec-Tunnel, je eine BGP-Sitzung, Werte gibt der Cloud-Anbieter vor.
ProtokollBGP über IPsec
Praxistipps aus unseren Projekten
Was dynamisches Routing mit Azure dauerhaft stabil macht
Ein überschneidungsfreier Adressplan, eng gefasste Präfix-Listen und ein getesteter Failover entscheiden darüber, ob dynamisches Routing im Alltag ruhig läuft. Diese sieben Punkte klären wir in jedem Projekt vor der ersten Konfiguration, in der professionellen UniFi Netzwerkplanung.
- 01
Adressplan zuerst
Lokale Netze und Azure-Adressräume dürfen sich nicht überschneiden. Azure verwirft Präfixe, die exakt einem VNet-Adressraum entsprechen.
- 02
Netze zusammenfassen
Melden Sie lieber 10.10.0.0/16 als Dutzende /24-Netze. Das hält die Tabellen klein und bleibt weit unter der Grenze von 4.000 Präfixen.
- 03
Präfix-Listen in beide Richtungen
Nur erwartete Netze annehmen und melden. Ein Tippfehler in einer Gegenstelle kann sonst Ihren eigenen Verkehr umleiten.
- 04
Zwei Tunnel für schnelles Umschalten
Azure-Timer sind fest auf 60 und 180 Sekunden eingestellt. Ein VPN Gateway im Aktiv-aktiv-Modus mit zwei Tunneln schaltet deutlich schneller um.
- 05
MSS im Tunnel begrenzen
Microsoft empfiehlt eine TCP-MSS von 1350 Byte im Tunnel. Das verhindert hängende Übertragungen durch Fragmentierung.
- 06
Konfiguration versionieren
Die BGP-Datei ist Text. Speichern Sie jede Fassung mit Datum, dann lässt sich jede Änderung nachvollziehen und zurücknehmen.
- 07
Failover testen
Einen Tunnel bewusst trennen und prüfen, ob Routen zurückgezogen werden und Anwendungen erreichbar bleiben. Ein verbundener Peer allein beweist noch keine funktionierende Verbindung.
Ihre Azure-Kopplung mit uns planen
Wir prüfen Adressplan, Gateways und Azure-Umgebung und erstellen die BGP-Konfiguration für Ihr Netz.
Warum die InSys AG® für UniFi und Azure?
Ubiquiti Enterprise Partner und Microsoft Solutions Partner für Infrastruktur (Azure) aus einer Hand
Die InSys AG® plant und betreibt seit ihrer Gründung 1991 Unternehmensnetzwerke, von Bielefeld aus für Kunden in ganz Deutschland und Europa. Als Ubiquiti Enterprise Partner und UniFi Professional Integrator betreuen wir UniFi Netze vom Einzelstandort bis zu Installationen mit weit über 500 Access Points. Unsere Mitarbeitenden sind zertifiziert als UniFi Full Stack Professional (UFSP) und UniFi Routing, Switching & Cybersecurity Admin (URSCA).
Zugleich ist die InSys AG® Microsoft Solutions Partner für Infrastruktur (Azure) und betreut Azure-Umgebungen von der Migration bis zum laufenden Betrieb. Die Kopplung von UniFi und Azure planen, konfigurieren und betreiben wir deshalb aus einer Hand, ohne Abstimmung zwischen zwei Dienstleistern. Auf Wunsch übernehmen wir Überwachung und Updates im UniFi Managed Service.
Wie dynamisches Routing mit UniFi Gateways im Betrieb aussieht, zeigen wir Ihnen in Deutschlands größtem UniFi Democenter im H1 Bielefeld. Als autorisiertes UniFi Schulungscenter schulen wir auf Wunsch auch Ihr IT-Team.
Häufige Fragen zu OSPF, BGP und UniFi
Antworten auf die wichtigsten Fragen zu dynamischem Routing, UniFi Gateways und der Kopplung mit Microsoft Azure.
Was ist OSPF?
OSPF (Open Shortest Path First) ist ein offenes Routing-Protokoll für Netze innerhalb eines Unternehmens. Jeder Router kennt die gesamte Topologie seiner Area und berechnet daraus den Weg mit den geringsten Kosten. Fällt eine Verbindung aus, rechnen alle Router innerhalb von Sekunden neu und nutzen automatisch den nächstbesten Weg.
Was ist BGP?
BGP (Border Gateway Protocol) ist das Routing-Protokoll zwischen autonomen Systemen, also zwischen Netzen mit eigener Verwaltung wie Unternehmen, Providern und Clouds. Jedes System hat eine Nummer, die ASN, meldet seinen Nachbarn die eigenen Netze und entscheidet nach Regeln, welche Netze es annimmt. BGP verbindet das Internet und ist der Standard, um lokale Netze mit Microsoft Azure oder AWS dynamisch zu koppeln.
Was ist der Unterschied zwischen OSPF und BGP?
OSPF ist für das Netz innerhalb eines Unternehmens gedacht und wählt automatisch den schnellsten Weg nach Kosten. BGP verbindet verschiedene Netze, etwa Unternehmen, Provider und Clouds, und entscheidet nach Regeln wie Präfix-Listen und AS-Pfad, welche Netze ausgetauscht werden. In der Praxis ergänzen sich beide: OSPF im lokalen Netz, BGP zur Cloud oder zum Provider.
Was ist dynamisches Routing?
Beim dynamischen Routing tauschen Router ihre Netze automatisch über ein Routing-Protokoll wie OSPF oder BGP aus. Kommt ein Netz hinzu oder fällt eine Leitung aus, passen sich alle Routingtabellen selbstständig an. Beim statischen Routing trägt dagegen ein Administrator jede Route von Hand ein und muss sie bei jeder Änderung an jedem Gerät nachpflegen.
Unterstützt UniFi OSPF?
Ja. UniFi Gateways unterstützen OSPF seit UniFi Network 8.1 direkt in der Oberfläche. Sie legen eine Area an, zum Beispiel die Backbone-Area 0, wählen die Netze aus und stellen bei Bedarf Kosten, Hello- und Dead-Intervall, Authentifizierung per MD5 sowie die Weitergabe angeschlossener und statischer Routen ein. Auch UniFi SD-WAN nutzt OSPF intern, um zwischen den Standorten zu routen.
Unterstützt UniFi BGP?
Ja, auf ausgewählten Gateways. Laut Ubiquiti Help Center unterstützen die UniFi Enterprise Firewall (EFG), Dream Machine Pro Max, Dream Machine SE, Dream Machine Pro und Dream Wall ab UniFi OS 4.1.13 sowie das Next-Gen Gateway Enterprise ab Firmware 4.1.8 BGP. BGP wird nicht in der Oberfläche geklickt, sondern als Konfigurationsdatei im FRR-Format hochgeladen. Den passenden Text erzeugt der BGP-Konfigurator auf dieser Seite.
Unterstützt Microsoft Azure OSPF?
Nein. Das Azure VPN Gateway und der Azure Route Server unterstützen für dynamisches Routing ausschließlich BGP. Ein UniFi Netz verbinden Sie deshalb per IPsec-Tunnel und BGP mit Azure, während im lokalen Netz weiter OSPF laufen kann. Wer OSPF bis in Azure benötigt, setzt eine eigene Router-VM ein, die ihre Routen per BGP an den Azure Route Server weitergibt.
Welche Azure VPN Gateway SKU brauche ich für BGP?
BGP unterstützen alle Azure VPN Gateway SKUs außer Basic, und nur routenbasierte Gateways. Die älteren SKUs VpnGw1 bis VpnGw5 ohne Zonenredundanz hat Microsoft zum 30. September 2026 abgekündigt und auf die AZ-Varianten migriert. Für neue Projekte wählen Sie deshalb eine AZ-SKU wie VpnGw1AZ oder größer.
Welche ASN verwende ich für BGP mit Azure?
Das Azure VPN Gateway hat standardmäßig die ASN 65515. Für Ihr lokales Netz wählen Sie eine private ASN aus den Bereichen 64512 bis 65514 oder 65521 bis 65534, zum Beispiel 65010. Nicht erlaubt sind die von Azure reservierten ASNs 8074, 8075, 12076, 65515 und 65517 bis 65520 sowie von der IANA reservierte Nummern. Beide Seiten müssen unterschiedliche ASNs haben.
Was sind APIPA-Adressen bei BGP mit Azure?
APIPA-Adressen aus dem Bereich 169.254.x.x dienen als BGP-Adressen direkt im Tunnel. Für das Azure VPN Gateway sind eigene APIPA-Adressen aus dem Bereich 169.254.21.0 bis 169.254.22.255 erlaubt. Wichtig: Bei APIPA-Adressen startet Azure die BGP-Sitzung nicht selbst, das lokale Gateway muss sie aufbauen. Das UniFi Gateway tut das mit der Konfiguration dieser Seite automatisch.
Welchen Port nutzt BGP?
BGP nutzt TCP-Port 179. Bei der Anbindung an Azure läuft die BGP-Sitzung ausschließlich durch den verschlüsselten IPsec-Tunnel. Port 179 sollte nie zum Internet hin geöffnet werden.
Wie viele Netze kann ich per BGP an Azure melden?
Das Azure VPN Gateway nimmt bis zu 4.000 Präfixe je BGP-Nachbar an. Werden es mehr, beendet Azure die BGP-Sitzung vollständig. Fassen Sie lokale Netze deshalb sinnvoll zusammen, etwa 10.10.0.0/16 statt vieler einzelner /24-Netze, und filtern Sie die gemeldeten Netze mit Präfix-Listen.
Wie schnell schaltet BGP mit Azure bei einem Ausfall um?
Azure arbeitet mit festen BGP-Timern: Keepalive 60 Sekunden, Hold-Time 180 Sekunden. BFD für eine schnellere Erkennung unterstützt das Azure VPN Gateway bei Site-to-Site-Verbindungen nicht. Für schnelles Umschalten planen Sie deshalb ein Gateway im Aktiv-aktiv-Modus mit zwei Tunneln, über die BGP parallel läuft.
Was ist eine OSPF Area?
Eine Area ist ein Bereich des Netzes, innerhalb dessen alle Router dieselbe Topologie kennen. Jedes OSPF-Netz hat eine Backbone-Area mit der Nummer 0, weitere Areas werden daran angeschlossen. UniFi bietet die Area-Typen Normal, Stub und NSSA. Für die meisten mittelständischen Netze genügt eine einzige Area 0.
Funktioniert die Anbindung auch mit AWS?
Ja. Das Prinzip ist dasselbe: IPsec-Tunnel und BGP. Ubiquiti beschreibt im Help Center ein Beispiel mit zwei IPsec-Tunneln zu AWS, über die jeweils eine BGP-Sitzung läuft. Die Werte für ASN und Tunneladressen gibt dabei AWS vor.
Brauche ich mit UniFi SD-WAN noch OSPF oder BGP?
Zwischen UniFi Standorten nicht. UniFi SD-WAN baut die Tunnel selbst auf und verteilt die Routen automatisch, intern mit OSPF. OSPF oder BGP richten Sie selbst ein, wenn Router anderer Hersteller, ein Layer-3-Core, Microsoft Azure, AWS oder ein Provider mit eigenem AS beteiligt sind.
Welche Anbieter unterstützen bei UniFi und Microsoft Azure?
Die InSys AG® aus Bielefeld ist Ubiquiti Enterprise Partner und UniFi Professional Integrator und zugleich Microsoft Solutions Partner für Infrastruktur (Azure). Sie plant und betreibt UniFi Netze und Microsoft Azure aus einer Hand, einschließlich der Kopplung per IPsec und BGP. Mitarbeitende sind zertifiziert als UniFi Full Stack Professional (UFSP) und UniFi Routing, Switching & Cybersecurity Admin (URSCA). Aufbauten lassen sich in Deutschlands größtem UniFi Democenter im H1 Bielefeld live ansehen.
Projekt mit UniFi und Azure planen? Wir beraten Sie.
Ubiquiti Enterprise Partner. Microsoft Solutions Partner für Infrastruktur (Azure). Bundesweit seit 1991.
Sie möchten Ihr UniFi Netz mit Microsoft Azure koppeln, einen bestehenden Layer-3-Core per OSPF einbinden oder statische Routen durch dynamisches Routing ablösen? Wir prüfen Ihre Ausgangslage und empfehlen Ihnen Aufbau, Gateways und Routing-Protokoll.
Damit wir Ihnen schnell eine konkrete Einschätzung geben können, helfen uns diese Angaben:
Standort: vorhandenes UniFi Gateway, Router und Layer-3-Switches
Azure: vorhandene VNets, VPN Gateways oder ExpressRoute
Adressen: lokale Netze und Azure-Adressräume
Zeitrahmen: geplanter Projektstart oder Wartungsfenster
Sie erreichen uns auch telefonisch unter +49 (521) 260105-0. Wir melden uns mit einem Vorschlag für Ihre Kopplung von UniFi und Azure inklusive Adressplan und BGP-Konfiguration.
Projekt mit UniFi und Azure planen? Wir beraten Sie.
Ubiquiti Enterprise Partner. UniFi Professional Integrator. Bundesweit seit 1991.
Dynamisches Routing live im UniFi Democenter
Vor Ort sehen Sie UniFi Gateways mit OSPF und BGP im Betrieb und besprechen mit unseren Spezialisten die Kopplung Ihres Netzes mit Microsoft Azure.
- Deutschlands größtes UniFi Democenter mit über 50 UniFi Produkten auf 700 m²
- Im H1 Bielefeld, der Hauptbahnhof mit ICE-Anbindung liegt in Sichtweite
- Für Unternehmen mit konkretem UniFi Projekt, nur nach Terminvereinbarung
- Julijana Cosicsie/ihrAccount Manager Microsoft 365 SecurityAccount Manager Ubiquiti+49 (521) 260105-24cosic@insys.deTeams-Chat starten
- Alexander Honemeyerer/ihmVertriebsleitungAccount Manager Microsoft 365 SecurityMicrosoft 365 Licensing Specialist+49 (521) 260105-27a.honemeyer@insys.deTeams-Chat starten
- Thomas Honemeyerer/ihmVorstandLead Consultant KI und DigitalisierungSenior UniFi Enterprise Architect+49 (521) 260105-0honemeyer@insys.deTeams-Chat starten
- Annalena Uhesie/ihrTeamleitung TechnikConsultant Microsoft Copilot+49 (521) 260105-35uhe@insys.deTeams-Chat starten
Anfrage senden
Nennen Sie uns kurz Ihr Vorhaben. Wir melden uns mit einem Terminvorschlag bei Ihnen.