UniFi Site Manager mit Fabrics – UniFi Cloud Gateways und Enterprise Firewalls zentral verwalten

Der UniFi Site Manager ist die zentrale, lizenzfreie Konsole, mit der Sie alle Ihre UniFi Standorte an einer Stelle verwalten. Sie erreichen ihn über unifi.ui.com oder die UniFi App. Jeder Standort, den Sie besitzen oder für den Sie administrative Rechte haben, erscheint automatisch – ohne zusätzliche Einrichtung.

Der Site Manager ist Teil der Hybrid-Cloud-Architektur von UniFi: Die Fernverwaltung läuft sicher über die Cloud, die volle Kontrolle bleibt aber lokal. Selbst wenn die Internetverbindung ausfällt, bleiben Ihre Standorte über den lokalen Zugriff vollständig verwaltbar. Ist Ihr Rechner im selben Netzwerk, baut UniFi automatisch eine Direktverbindung zur UniFi Konsole auf; aus der Ferne ist das über die Direct Remote Connection ebenfalls möglich.

UniFi Fabrics ist eine Verwaltungsschicht, die auf dem Site Manager aufsetzt. Sie fasst mehrere Standorte zu einer gemeinsamen Vertrauens- und Verwaltungsdomäne zusammen – die Grundlage für zentrale Benutzerverwaltung, standortübergreifende Regeln und automatisierten Rollout. Alles davon ist lizenzfrei. Eine Einführung in das gesamte Ökosystem finden Sie unter Was ist Ubiquiti UniFi?

Ein einzelner Standort: Hier genügt die Verwaltung direkt in der UniFi Network-Anwendung. Der Site Manager gibt Ihnen zusätzlich bequemen Fernzugriff, ein Fabric brauchen Sie noch nicht.

Mehrere Standorte mit gemeinsamen Standards: Sobald Filialen, Außenstellen oder Liegenschaften dieselben Regeln, dasselbe WLAN und dieselbe Sicherheitskonfiguration erhalten sollen, lohnt sich ein Fabric. Sie konfigurieren einmal und rollen auf alle Standorte aus.

Viele Standorte oder mehrere Mandanten: Für Unternehmen mit zahlreichen Liegenschaften und für Managed-Service-Szenarien ist das Fabric die Grundlage für zentrale Identität, rollenbasierte Rechte und standortübergreifende Automatisierung. Als Faustregel gilt: ein Fabric je Vertrauensdomäne, typischerweise definiert durch einen eigenen Identity Provider.

Wir empfehlen, vor dem Aufbau eines Fabric die Eigentümerschaft aller Standorte auf ein einziges, unternehmenseigenes Konto zu übertragen. Das sichert die Kontinuität bei Personalwechseln und ist Voraussetzung für Site Magic SD-WAN. Bei der Einrichtung unterstützt Sie unser UniFi Consulting.

Der größte Zeitgewinn im UniFi Site Manager entsteht beim automatisierten Ausrollen neuer Standorte. Statt jeden Standort einzeln von Hand zu konfigurieren, definieren Sie Ihre Konfiguration einmal als Blueprint und wenden sie auf jeden neuen Standort an. So funktioniert das in der Praxis:

1. Referenzstandort vorbereiten. Wählen Sie einen bestehenden Standort, der sauber konfiguriert ist – mit allen Netzwerken, Internet-Einstellungen, Richtlinien und Firewall-Zonen. Dieser Standort dient als Vorlage.

2. Blueprint erstellen. Klonen Sie diesen Referenzstandort in einen Blueprint. Legen Sie je Standorttyp einen eigenen Blueprint an, zum Beispiel einen für große und einen für kleine Standorte oder einen für Basis- und einen für Hochsicherheitsstandorte.

3. VLAN-IDs vereinheitlichen. Achten Sie darauf, dass dieselbe VLAN-ID an jedem Standort dieselbe Bedeutung hat (zum Beispiel Mitarbeiter immer VLAN 10, Gast immer VLAN 20). Das ist entscheidend, damit standortübergreifende Regeln später sauber greifen.

4. Standort vorprovisionieren. Legen Sie den neuen Standort im Fabric vorab anhand des Blueprints an. Alle Einstellungen aus dem Blueprint sind damit bereits hinterlegt. Über Device Templates lassen sich zudem einheitliche Geräteeinstellungen standortübergreifend zuweisen.

5. Vor-Ort-Einrichtung per Magic Link. Der Installateur vor Ort erhält einen UniFi Magic Link mit einer Anleitung. Damit richtet er den neuen Standort schnell ein – alle Blueprint-Einstellungen sind vorkonfiguriert, nur die standortspezifischen WAN-Einstellungen kommen hinzu. Das ist echtes Zero-Touch-Provisioning: Die Standorterweiterung wird zu einem einfachen, wiederholbaren Vorgang.

Ihre Gateways sollten dabei auf einem zukunftssicheren Modell laufen. Wir empfehlen Kunden grundsätzlich die UniFi Dream Machine Beast; für größere Netze steht die UniFi Enterprise Firewall (EFG) bereit.

Während Blueprints neue Standorte schnell in Betrieb nehmen, sorgt Canvas für dauerhafte Konfigurations-Compliance. Canvas-Einstellungen werden zentral im Fabric gepflegt und auf die Geräte aller Standorte synchronisiert. Anschließend sind sie in der Network-Anwendung des einzelnen Standorts gesperrt und können nur noch zentral über Canvas geändert werden. So ist garantiert, dass eine Regel überall identisch gilt.

Typische Einsatzfälle für Canvas:

Einheitliche WLAN-SSID und einheitliches Passwort über alle Standorte – und ein zentraler Weg, ein WLAN-Passwort überall auf einmal zu ändern. Erzwungene Schutzrichtlinien wie Länderblockierung, verschlüsseltes DNS und Angriffserkennung (IPS). Zentral verwaltete Inhaltsfilterung in einer einzigen Richtlinie. Zentral durchgesetzte Firewall-Policies, die auf Fabric-Ebene definiert werden und an jedem Standort identisch gelten.

Wichtig zum Zusammenspiel: Canvas-Regeln greifen anhand der VLAN-ID, nicht anhand des Netzwerknamens. Deshalb müssen die VLAN-IDs über alle Standorte konsistent sein. Eine Einstellung, die Sie über Canvas steuern, dürfen Sie nicht zusätzlich im Blueprint setzen – sonst entstehen Dubletten, etwa doppelte SSIDs.

Mit diesem Zusammenspiel aus Blueprints für den Rollout und Canvas für die laufende Compliance verwalten Sie Regeln und Objekte wirklich standortübergreifend – einmal definiert, überall durchgesetzt und überall gleich.

Ein Fabric ist im Kern auf Zero-Trust-Netzwerke ausgelegt. Statt Vertrauen anhand des Netzwerkstandorts zu vergeben, werden Benutzer und Geräte vor jedem Zugriff anhand ihrer Identität geprüft. Administratoren definieren Personen, Rollen und Berechtigungen zentral über alle Standorte.

Optional binden Sie einen externen Identity Provider an, zum Beispiel Microsoft Entra ID. Die Anmeldung erfolgt dann per SAML direkt gegen Ihren Identity Provider, inklusive dessen Sicherheitsfunktionen wie Multi-Faktor-Authentifizierung. Über SCIM werden Benutzer und Gruppen in Echtzeit synchronisiert: Ein- und Austritte von Mitarbeitenden wirken sich sofort auf die UniFi Zugriffe aus. So bleiben Identität und Lebenszyklus in einer einzigen Quelle, während UniFi die Entscheidungen über alle Standorte konsistent durchsetzt.

Der Zugriff der Nutzer läuft über UniFi Endpoint auf allen gängigen Plattformen. Lokale und gerätebasierte Abläufe wie die Zutrittskontrolle an der Tür funktionieren auch bei einem Ausfall der Cloud oder des Identity Providers weiter.

Voraussetzungen: Der Site Manager und das Anlegen eines Fabric sind in jedem UniFi Konto ohne Zusatzgeräte möglich. Für die zentrale Personenverwaltung und die Anbindung eines Identity Providers läuft ein Identity-Sync-Dienst auf einer UniFi Konsole im Fabric (der sogenannten Master Site). Erforderlich ist UniFi OS Version 4.4 oder neuer. Für die IdP-Anbindung muss im Fabric eine dieser Konsolen vorhanden sein: UDM Pro, UDM SE, UDM Pro Max, UDM Beast, Enterprise Firewall (EFG), Enterprise Firewall Core (EF Core), UCG-Fiber, UNVR Pro, ENVR oder ENVR Core.

Ehrlich zu den aktuellen Grenzen: UniFi Fabrics ist eine junge, sich schnell entwickelnde Funktion. Einige Punkte sollten Sie bei der Planung kennen.

Über Canvas synchronisierte Netzwerke teilen sich dasselbe IP-Subnetz über alle Standorte. Für Netze, die in das SD-WAN eingebunden werden, braucht jeder Standort aber eine eigene Adressierung. In der Praxis setzen Sie solche Netze daher besser im Blueprint und passen die IP-Adressierung nach dem Ausrollen je Standort an.

Pro Fabric wird aktuell ein Identity Provider unterstützt. Für die meisten internen IT-Teams reicht das; für Mandanten-Szenarien hat Ubiquiti Erweiterungen angekündigt. Als Ihr Ubiquiti Enterprise Partner behalten wir die Weiterentwicklung für Sie im Blick.

Als autorisierter Ubiquiti Enterprise Partner und UniFi Professional Integrator planen, implementieren und betreiben wir Ihre standortübergreifende UniFi Umgebung mit dem Site Manager und Fabrics.

Wir richten Ihr Fabric ein, migrieren bestehende Standorte, entwerfen passende Blueprints für Ihre Standorttypen, definieren standortübergreifende Canvas-Regeln und binden Ihren Identity Provider wie Microsoft Entra ID für Zero-Trust-Zugriff an. Auf Wunsch übernehmen wir den laufenden Betrieb über unseren UniFi Managed Service. Die Einrichtung erfolgt vor Ort oder remote im UniFi Site Manager; die Planung Ihrer Standorte übernehmen wir KI-gestützt im UniFi Design Center.

Alle Komponenten erleben Sie live in Deutschlands größtem UniFi Democenter. Sprechen Sie mit uns über Ihr Multi-Site-Projekt – rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular für UniFi Projekte.

Mitarbeitende auf Reisen binden Sie mit dem UniFi Travel Router sicher an: Er baut unterwegs Ihr Firmen-WLAN auf und verbindet es per VPN mit Ihrem Standort.