UniFi SD-WAN: Standorte vernetzen mit Hub & Spoke oder Mesh

SD-WAN steht für Software-Defined Wide Area Network, auf Deutsch softwaredefiniertes Weitverkehrsnetz. Gemeint ist ein Netz, das mehrere Standorte eines Unternehmens verbindet und dessen Verhalten nicht mehr Gerät für Gerät, sondern zentral per Software festgelegt wird. Die Bezeichnungen SD-WAN, SD WAN und SDWAN meinen dasselbe.

Ein Vergleich aus dem Alltag: Ein klassisches WAN ist wie ein Lieferdienst, der jede Route einmal auf Papier festlegt. Ist eine Straße gesperrt, steht der Fahrer, bis jemand eine neue Route aufschreibt. SD-WAN ist der Lieferdienst mit Navigationssystem und Leitstelle. Die Leitstelle kennt alle Fahrzeuge und Ziele, und bei einer Sperrung wählt das Navi automatisch die Umleitung.

Underlay und Overlay

Technisch besteht jedes SD-WAN aus zwei Ebenen. Das Underlay sind die physischen Anschlüsse an den Standorten: Glasfaser, DSL, Kabel, 5G oder auch eine vorhandene MPLS-Leitung. Darüber legt SD-WAN das Overlay, ein Geflecht aus verschlüsselten Tunneln zwischen den Gateways. Für Anwendungen und Mitarbeitende sieht das Overlay wie ein einziges, durchgehendes Firmennetz aus, egal über welche Leitungen die Daten tatsächlich laufen.

Steuerungsebene und Datenebene

Die zweite Grundidee ist die Trennung von Steuerung (Control Plane) und Datenverkehr (Data Plane). Ein zentraler Controller, bei UniFi der UniFi Site Manager, kennt alle Standorte, verteilt Konfigurationen und Schlüssel und legt fest, welche Netze miteinander sprechen dürfen. Die Daten selbst fließen direkt zwischen den Gateways und nicht über den Controller. Fällt die Steuerung kurzzeitig aus, laufen bestehende Verbindungen deshalb weiter.

Hersteller setzen unterschiedliche Schwerpunkte, doch diese Funktionen gehören zum Kern jedes SD-WAN. In Klammern steht jeweils, wie UniFi die Funktion umsetzt.

1. Automatische Standortvernetzung: Tunnel, Schlüssel und Routen entstehen aus einer zentralen Vorgabe, nicht durch Handarbeit an jedem Gerät. (UniFi: Auswahl von Standorten und Netzen im Site Manager, die Tunnel baut das System selbst auf.)

2. Ausfallsicherheit über mehrere Leitungen: Fällt ein Anschluss aus, wechselt der Verkehr automatisch auf eine zweite Leitung, etwa von Glasfaser auf 5G. (UniFi: primäres WAN und Failover-WAN je Tunnel, bei Hub & Spoke bis zu vier parallele Tunnel je Standort.)

3. Lastverteilung: Mehrere Leitungen oder mehrere zentrale Knoten teilen sich die Last. (UniFi: Lastverteilung über mehrere Hubs in der Topologie Hub & Spoke.)

4. Verschlüsselung: Jeder Datenverkehr zwischen den Standorten läuft verschlüsselt über das öffentliche Internet. (UniFi: Tunnel auf Basis von WireGuard.)

5. Zentrale Richtlinien und Segmentierung: Festlegen, welche Netze an welchem Standort erreichbar sind, statt alles mit allem zu verbinden. (UniFi: Auswahl der freigegebenen Netze, Option „Isolate Spokes“ und Zone-Based Firewall.)

6. Zero-Touch-Bereitstellung: Neue Standorte gehen ohne Techniker vor Ort ans Netz. (UniFi: Gateways werden im Inventar des Site Managers vorab einem Standort zugeordnet, vor Ort genügt das Verkabeln.)

7. Transparenz: Zustand aller Tunnel und Leitungen auf einen Blick. (UniFi: Übersicht im Site Manager, Alarme bei Ausfall.)

Viele Enterprise-Plattformen bieten zusätzlich eine anwendungsbezogene Pfadwahl: Sie messen Latenz, Jitter und Paketverlust jeder Leitung und schicken etwa Telefonie über die jeweils beste. Ob Sie diese Funktion brauchen, ist eine der wichtigsten Fragen bei der Wahl der Plattform. Mehr dazu unter Stärken und Schwächen.

Wer sich mit Standortvernetzung beschäftigt, stößt schnell auf vier Begriffe, die sich teilweise überschneiden. SD-WAN vs. VPN: Ein klassisches Site-to-Site-VPN ist ein einzelner, von Hand konfigurierter Tunnel zwischen zwei Firewalls. SD-WAN nutzt ebenfalls VPN-Tunnel, erzeugt und verwaltet sie aber automatisch für alle Standorte und ergänzt Failover und zentrale Richtlinien. SD-WAN vs. MPLS: MPLS ist ein privates Netz eines Providers mit zugesicherter Qualität, aber hohen Kosten und langen Bereitstellungszeiten. SD-WAN nutzt günstige Internetanschlüsse und gleicht deren fehlende Garantie durch mehrere Leitungen und automatische Umschaltung aus. SD-WAN vs. SASE: SASE (Secure Access Service Edge) verbindet SD-WAN mit Sicherheitsdiensten aus der Cloud, etwa Zero Trust Network Access und Web-Filter für Nutzer an jedem Ort. SD-WAN vernetzt Standorte, SASE schützt zusätzlich Nutzer und Cloud-Zugriffe.

Ubiquiti hat die automatische Standortvernetzung zunächst unter dem Namen Site Magic eingeführt. Heute heißt die Funktion im UniFi Site Manager schlicht SD-WAN und bietet zwei Topologien: Hub & Spoke und Mesh. Die Einrichtung erfolgt zentral unter „SD-WAN“ im Site Manager. Sie wählen die beteiligten Standorte, legen die Topologie fest und bestimmen, welche Netze jedes Standorts in das SD-WAN eingebunden werden.

Was im Hintergrund passiert

Die Gateways bauen verschlüsselte Tunnel auf Basis von WireGuard zueinander auf und tauschen die Routen der freigegebenen Netze automatisch aus. Ändert sich die öffentliche IP-Adresse eines Standorts, etwa nach einer Zwangstrennung, passen sich die Tunnel selbstständig an. Das gilt auch für Gateways hinter einem Provider-Router mit NAT oder an einem 5G-Anschluss. Eine feste öffentliche IP-Adresse braucht nur der Hub, bei Mesh mindestens ein Standort.

Voraussetzungen (Stand Oktober 2026)

• UniFi Network ab Version 9.0.108 und Gateway-Firmware ab 4.1.3
• Alle beteiligten Gateways gehören demselben UI-Konto (Owner) oder werden bei Hub & Spoke innerhalb derselben UniFi Fabric verwaltet
• Unterstützt werden UniFi Cloud Gateways (außer UniFi Express) sowie Gateways, die über Cloud Key, UniFi OS Server oder Official UniFi Hosting verwaltet werden
• Nicht unterstützt: ältere USG-Modelle und IPv6 (von Ubiquiti angekündigt)

Was passiert, wenn die Cloud nicht erreichbar ist?

Die Tunnel bleiben bestehen, der Datenverkehr läuft weiter. Nur Änderungen an der Konfiguration, zum Beispiel ein neues Netz oder ein geänderter WAN-Anschluss, setzen voraus, dass der Site Manager erreichbar ist. Wichtig für die Praxis: Wird ein Gateway auf ein anderes UI-Konto übertragen, schließt es seine SD-WAN-Verbindungen. Deshalb empfehlen wir von Anfang an ein unternehmenseigenes Konto, wie im Leitfaden zum UniFi Site Manager und UniFi Fabrics beschrieben.

Was es kostet

UniFi SD-WAN ist lizenzfrei. Es fallen weder Lizenzen je Standort noch Gebühren je Tunnel oder Bandbreite an. Sie investieren einmalig in die Gateways und in Planung und Inbetriebnahme. Kostenpflichtige Zusatzdienste wie CyberSecure sind für SD-WAN nicht erforderlich.

Hub & Spoke (Nabe und Speichen) verbindet alle Außenstellen sternförmig mit einem oder mehreren zentralen Standorten, den Hubs. Der Begriff stammt aus der Logistik: Wie Pakete über ein zentrales Verteilzentrum laufen, läuft der Verkehr zwischen den Standorten über die Zentrale. Mesh (Netz, Masche) verbindet dagegen jeden Standort direkt mit jedem anderen. Es gibt keinen zentralen Knoten, jeder Standort spricht auf kürzestem Weg mit jedem anderen.

Beide Topologien haben ihre Berechtigung. Hub & Spoke skaliert bis zu sehr vielen Standorten und bündelt Sicherheitsregeln an einer Stelle. Mesh bietet kurze Wege und kommt ohne zentrale Hardware aus, ist bei UniFi aber auf 20 Standorte begrenzt. Die Grafik zeigt beide Prinzipien mit je fünf Standorten.

Hub & Spoke ist bei UniFi die flexiblere der beiden Topologien. Drei Einstellungen bestimmen, wie ausfallsicher und wie groß Ihr SD-WAN wird.

1. Hub-Topologie: Single, Failover oder Distributed

Single: Alle Spokes verbinden sich mit genau einem Hub. Das ist die einfachste Variante, der Hub ist dann aber ein zentraler Ausfallpunkt.
Failover: Alle Spokes verbinden sich mit einem Haupt-Hub und wechseln bei dessen Ausfall automatisch zu einem Ersatz-Hub, zum Beispiel in einem zweiten Rechenzentrum.
Distributed: Sie ordnen jeden Spoke gezielt einem bestimmten Hub zu, etwa nach Region. So verteilen Sie die Last und wachsen über die Tunnelgrenze eines einzelnen Hubs hinaus.

2. Tunnel-Architektur je Spoke

Wie viele Tunnel ein Spoke gleichzeitig zum Hub hält, legen Sie mit der Architektur fest. Ubiquiti unterscheidet drei Stufen:

Mehr Tunnel bedeuten mehr Ausfallsicherheit, belegen aber auch mehr Kapazität am Hub. Ein Hub mit 200 Tunneln versorgt in der Architektur Scalable bis zu 200 Spokes, mit Max Resiliency nur bis zu 50. Für die Zweitleitung eignet sich häufig ein 5G-Anschluss, wie wir ihn auf der Seite zu UniFi 5G als Mobilfunk-Backup beschreiben.

3. Überlappende Netze: Auto-Scale und NAT

Verwenden mehrere Filialen denselben IP-Adressbereich, etwa weil überall 192.168.1.0/24 eingerichtet ist, können sie normalerweise nicht miteinander kommunizieren. Die Option Auto-Scale and NAT Spoke VPNs übersetzt den Verkehr jedes Spokes per Source-NAT in ein eindeutiges /24-Netz, bevor er den Hub erreicht. Verbindungen können dann allerdings nur vom Spoke aus aufgebaut werden. Soll der Hub eine Ressource in der Filiale erreichen, etwa einen Drucker oder eine Kamera, braucht es für jede Ressource eine Destination-NAT-Regel am Spoke. Bei vielen solchen Ressourcen ist ein sauberer, überschneidungsfreier IP-Adressplan die bessere Lösung.

4. Isolation der Spokes

Mit Isolate Spokes erzeugt UniFi am Hub automatisch Firewallregeln, die jeden Verkehr zwischen den Filialen sperren. Jede Filiale erreicht dann nur die Zentrale. Die Funktion setzt die Zone-Based Firewall am Gateway voraus. Sollen Filialen miteinander sprechen, schalten Sie Isolation und Auto-Scale ab, der Verkehr läuft dann über den Hub.

Entscheidend für die Größe Ihres SD-WAN ist die Zahl der Tunnel, die der Hub gleichzeitig halten kann. Ein Hub braucht außerdem eine öffentliche IP-Adresse und sollte über zwei Internetanschlüsse verfügen. Als Spoke eignen sich nahezu alle aktuellen UniFi Cloud Gateways mit Ausnahme der UniFi Express. In Filialen setzen wir meist das UniFi Cloud Gateway Fiber ein, an größeren Standorten die Dream Machine Beast.

Vor dem Wechsel zu Ubiquiti war die InSys AG^® mehr als 20 Jahre Partner von HP Aruba und mehr als 10 Jahre Partner von Fortinet. Wir kennen klassische Enterprise-SD-WAN-Plattformen daher aus eigener Projekterfahrung und können UniFi SD-WAN realistisch einordnen.

Filialisten und Einzelhandel: Viele gleichartige Filialen greifen auf Warenwirtschaft und Kassensysteme in der Zentrale zu. Hub & Spoke mit isolierten Spokes ist hier die klassische Lösung, neue Filialen gehen per Zero-Touch ans Netz.

Gesundheitswesen: Kliniken, MVZ und Praxisverbünde verbinden Standorte mit dem zentralen Krankenhausinformationssystem und trennen medizinische Geräte sauber per VLAN und Zone-Based Firewall.

Soziale Träger, Verbände und Kommunen: Dutzende bis Hunderte kleiner Außenstellen mit einfachen Anschlüssen, zentral betreut von einer kleinen IT-Abteilung. Die Lizenzfreiheit macht hier einen großen Unterschied.

Produktion und Logistik: Werk, Außenlager und Verwaltung tauschen Daten mit ERP und Maschinensteuerung aus. Zwei Leitungen je Standort und die Architektur Redundant oder Max Resiliency halten die Produktion am Netz.

Mehrere Bürogebäude: Zwei bis fünf gleichberechtigte Standorte mit viel Austausch untereinander, etwa Konstruktion und Fertigung. Hier spielt Mesh seine Stärke der kurzen Wege aus.

Kameras und Zutritt an allen Standorten: Über das SD-WAN erreichen Sie UniFi Protect und UniFi Access aller Standorte zentral. Die Aufzeichnung bleibt dabei vor Ort, wie auf unserer Seite zu UniFi Protect und Videoüberwachung beschrieben.

IP-Adressplan zuerst: Vergeben Sie jedem Standort einen eigenen, überschneidungsfreien Adressbereich, zum Beispiel 10.Standortnummer.VLAN.0/24. Das spart NAT-Regeln und ist für Mesh zwingend.

Unternehmenskonto statt Privatkonto: Alle Gateways gehören in ein UI-Konto, das dem Unternehmen gehört, nicht einem Mitarbeitenden oder Dienstleister. Ein späterer Kontowechsel trennt die SD-WAN-Verbindungen.

Doppeltes NAT vermeiden: SD-WAN funktioniert zwar hinter Provider-Routern, stabiler und schneller wird es mit öffentlicher IP direkt am Gateway. Wie das mit einer Fritzbox gelingt, zeigt unsere Anleitung zum Fritzbox Bridge Mode mit UniFi Gateway.

Zweite Leitung einplanen: Der Hub braucht zwei Internetanschlüsse verschiedener Provider. Für Filialen ist 5G als Backup meist die wirtschaftlichste Zweitleitung.

Nur nötige Netze einbinden: Gästenetze, IoT-Netze und Kameranetze gehören nur dann ins SD-WAN, wenn ein anderer Standort sie wirklich erreichen muss. Regeln zwischen den Zonen setzen Sie nach dem Prinzip der geringsten Rechte.

Failover testen: Ein grüner Tunnelstatus beweist noch nicht, dass Anwendungen, DNS und Rückwege funktionieren. Wir ziehen bei der Inbetriebnahme jede Leitung einmal bewusst ab und prüfen die Anwendungen.

Firmware gestaffelt aktualisieren: Erst ein Pilot-Standort, dann die übrigen Spokes, zuletzt der Hub, immer mit Blick in die Release Notes. Hilfe bei typischen Fehlerbildern finden Sie in unserem UniFi Troubleshooting für Administratoren.

SD-WAN verbindet Standorte. Mitarbeitende im Homeoffice oder unterwegs sind damit noch nicht angebunden. Für sie gibt es bei UniFi das Remote-VPN per WireGuard und Teleport, das sich mit UniFi Endpoint und Microsoft Entra ID zentral verteilen lässt.

Unternehmen mit Microsoft 365 gehen oft einen Schritt weiter: Mit Microsoft Global Secure Access erhalten Nutzer identitätsbasierten Zugriff auf einzelne Anwendungen, ohne klassisches VPN. Die Kopplung der Standorte, Server-zu-Server-Verbindungen und Backups bleiben dabei Aufgabe des SD-WAN. Weil die InSys AG^® mit UniFi Enterprise und Microsoft 365 Security beide Welten aus einer Hand betreut, planen wir beides so, dass es sauber ineinandergreift.

Die InSys AG^® plant und betreibt seit ihrer Gründung 1991 Unternehmensnetzwerke, von Bielefeld aus für Kunden in ganz Deutschland und Europa. Als Ubiquiti Enterprise Partner und UniFi Professional Integrator betreuen wir UniFi Projekte vom Einzelstandort bis zu Installationen mit weit über 500 Access Points. Unsere Mitarbeitenden sind zertifiziert als UniFi Full Stack Professional (UFSP), UniFi Routing, Switching & Cybersecurity Admin (URSCA) und UniFi Wireless Admin (UWA).

Ein SD-WAN-Projekt beginnt bei uns mit der professionellen UniFi Netzwerkplanung: Topologie, IP-Adressplan, Dimensionierung der Hubs, Zweitleitungen und Firewallzonen. Die Hardware liefert unser Distributor bei Rollouts direkt an Ihre Standorte, Ihr Elektrounternehmen schließt sie an, und wir konfigurieren und nehmen jeden Standort remote in Betrieb. Danach übernehmen wir auf Wunsch Überwachung und Updates im UniFi Managed Service. Viele Migrationen von Fortinet, Cisco, Sophos und WatchGuard zu UniFi haben wir bereits umgesetzt.

Wie ein SD-WAN mit mehreren Gateways im Betrieb aussieht, zeigen wir Ihnen in Deutschlands größtem UniFi Democenter im H1 Bielefeld. Als autorisiertes UniFi Schulungscenter schulen wir auf Wunsch auch Ihr IT-Team, SD-WAN ist fester Bestandteil des UFSP-Kurses.

Sie möchten Ihre Standorte neu vernetzen, MPLS oder einzelne VPN-Tunnel durch UniFi SD-WAN ablösen oder erst einmal klären, ob Hub & Spoke oder Mesh zu Ihrem Unternehmen passt? Wir prüfen Ihre Ausgangslage und empfehlen Ihnen Topologie, Gateways und Ausfallkonzept.

Damit wir Ihnen schnell eine konkrete Einschätzung geben können, helfen uns diese Angaben:

Standorte: Anzahl und Art, zum Beispiel Zentrale, Filialen, Lager, Rechenzentrum
Anschlüsse: vorhandene Internetleitungen je Standort und gewünschte Zweitleitung
Bestand: vorhandene Firewalls, MPLS-Verträge oder bereits eingesetzte UniFi Gateways
Zeitrahmen: geplanter Projektstart oder Vertragsende bestehender Leitungen

Sie erreichen uns auch telefonisch unter +49 (521) 260105-0. Wir melden uns mit einem Vorschlag für Ihr UniFi SD-WAN inklusive Hub-Dimensionierung und IP-Adressplan.