UniFi-Netzwerk planen: Gateway, VLANs und WLAN für KMU

1. Bestandsaufnahme: erst verstehen, dann auswählen

Vor der Produktauswahl wird der Standort aufgenommen. Dazu gehören nicht nur Netzwerkdosen und Serverschrank, sondern auch Internetübergabe, Etagen, Leitungswege, Wand- und Deckenaufbau, vorhandene Glasfaser, Stromkreise, USV, Fremdsysteme und mögliche Erweiterungsflächen. Parallel entsteht eine Geräteliste: Arbeitsplätze, Telefone, Drucker, Server, NAS, Kassen, Maschinen, Kameras, Zutrittsleser, Displays und mobile Geräte.

• Physik: Anzahl, Kategorie und Messzustand der Datenleitungen, Patchfelder, Trassen, Schranktiefe, Kühlung und Stromversorgung.
• Logik: bestehende Subnetze, DHCP- und DNS-Dienste, feste IP-Adressen, Portfreigaben, VPNs, Verzeichnisdienste und Sonderregeln.
• Nutzung: gleichzeitige Nutzer, Spitzenzeiten, große Datenströme, Echtzeit-Anwendungen und Geräte, die nur ältere WLAN-Standards beherrschen.
• Risiko: Welche Unterbrechung ist tolerierbar, welche Systeme müssen auch bei Internet-, Switch- oder Stromausfall weiterlaufen?
• Wachstum: zusätzliche Mitarbeiter, neue Räume, weitere Kameras, VoIP, zweite Internetleitung oder ein zusätzlicher Standort.

2. Anforderungen in messbare Größen übersetzen

Begriffe wie schnell, sicher oder ausfallsicher sind für eine Planung zu ungenau. Jede Anforderung braucht eine prüfbare Größe und einen geschäftlichen Kontext. Ein Gigabit-Internetzugang sagt zum Beispiel noch nichts darüber aus, ob die Firewall diesen Durchsatz mit aktivierten Sicherheitsfunktionen erreicht oder ob ein langsamer Uplink zwischen zwei Switches zum Engpass wird.

3. Gateway und Firewall nach Lastfall dimensionieren

Das Gateway verbindet Internet, interne Netze, VPNs und gegebenenfalls mehrere Standorte. Seine Auswahl richtet sich deshalb nicht allein nach der nominellen WAN-Geschwindigkeit. Entscheidend ist der ungünstigste geplante Lastfall mit allen Funktionen, die tatsächlich aktiv sein sollen. Dazu zählen Firewalling, IDS/IPS, VPN-Verschlüsselung, Inter-VLAN-Verkehr, Content-Filter, mehrere WAN-Anschlüsse und die Zahl gleichzeitiger Verbindungen.

• WAN heute und morgen: Vertrag, reale Übergabeart, möglicher zweiter Provider und erwarteter Ausbau innerhalb der Nutzungszeit.
• Sicherheitsprofil: Durchsatz nicht nur im Idealfall, sondern mit den vorgesehenen Prüf- und Filterfunktionen bewerten.
• VPN: Anzahl gleichzeitiger Benutzer und Standorttunnel, eingesetztes Protokoll sowie die benötigte Datenrate erfassen.
• Interne Routen: Verkehr zwischen VLANs kann das Gateway belasten, wenn er nicht auf geeigneten Layer-3-Komponenten geführt wird.
• Betriebsform: UniFi Network läuft typischerweise auf einem Cloud Gateway. Alternativ läuft die Anwendung auf einem Cloud Key, auf dem kostenlosen, selbst gehosteten UniFi OS Server oder im kostenpflichtigen Official UniFi Hosting; das Routing übernimmt dann ein Gateway ohne eigene Verwaltungssoftware aus der UXG-Serie.

4. Switching und PoE: Ports allein reichen als Kennzahl nicht

Bei Switches werden vier Budgets parallel geplant: Portanzahl, Portgeschwindigkeit, Uplink-Kapazität und PoE-Leistung. Ein Switch kann genug freie Buchsen besitzen und trotzdem ungeeignet sein, weil die benötigte PoE-Klasse an einzelnen Ports fehlt, das gesamte Leistungsbudget zu klein ist oder mehrere stark belastete Access Points und Server über einen zu schmalen Uplink laufen.

PoE wird portweise dokumentiert. Für jeden Access Point, jedes Telefon, jede Kamera und jeden Türcontroller werden Standard, maximale Leistungsaufnahme und vorgesehener Switchport notiert. Eine Reserve für Anlaufzustände, Modellwechsel und spätere Erweiterungen gehört dazu. Passive PoE-Injektoren werden nicht mit ausgehandeltem IEEE-PoE verwechselt und nur dort eingesetzt, wo die Gerätekompatibilität eindeutig belegt ist. Ubiquiti weist selbst darauf hin, dass seine PoE-Adapter passiv arbeiten, also ohne Aushandlung Spannung ausgeben.

5. VLANs: Zonen nach Funktion und Risiko planen

VLANs teilen die gemeinsame Infrastruktur in virtuelle Netze. Der Nutzen entsteht aber erst durch eine klare Regelmatrix. Ein VLAN-Name allein schützt nichts: Zwischen den Netzen muss definiert sein, welcher Verkehr erlaubt, protokolliert oder blockiert wird. UniFi kann WLANs und Switchports festen VLANs zuweisen; für komplexere Umgebungen ist auch eine dynamische Zuweisung per RADIUS möglich. Die Regeln zwischen den Netzen pflegt die UniFi-Network-Anwendung seit Version 9.0 im zonenbasierten Firewall-Modell (Zone-Based Firewall). Wichtig: Neue Netze landen zunächst in einer eingebauten Zone, typischerweise „Internal“, und innerhalb dieser Zone ist Verkehr standardmäßig erlaubt. Die Trennung entsteht erst durch eigene Zonen oder gezielte Richtlinien.

Wenn Kameras Teil des Projekts sind, gehören Aufzeichnung, Berechtigungen und Datenschutz in eine eigene Teilplanung. Der Ratgeber UniFi Protect und DSGVO: Videoüberwachung im Betrieb ordnet diese Punkte ein.

6. WLAN als Funknetz planen, nicht als Zubehör

Die Access-Point-Anzahl wird nicht aus einer pauschalen Quadratmeterzahl abgeleitet. Wände, Decken, Regale, Maschinen, Nachbarnetze, Clienttypen und gleichzeitige Nutzung verändern das Ergebnis. Außerdem muss die Funkzelle zum Kabelweg und zum PoE-Plan passen. Die Antennendiagramme des Herstellers helfen bei der Vorplanung, ersetzen aber keine Messung im realen Gebäude.

• Kapazitätszonen markieren: Besprechungsräume, Schulungsflächen, Wartebereiche und Produktion können mehr AP-Kapazität brauchen als Flure und Lagerräume.
• Montagepositionen nach Antennencharakteristik und Nutzung auswählen, nicht nach der bequemsten freien Wand oder Steckdose.
• SSID-Anzahl klein halten und jede SSID einem Zweck, einem VLAN und einer Sicherheitsvorgabe zuordnen.
• 2,4, 5 und 6 GHz getrennt bewerten, weil Reichweite, Störlage, Kanalangebot und Clientunterstützung verschieden sind.
• Nach der Montage Funkabdeckung, Störungen, Auslastung, Durchsatz, Latenz und Roaming mit repräsentativen Endgeräten prüfen.

Die vollständige Funkplanung mit Materialbewertung, Kanalplan, Site Survey und Abnahme beschreibt der Ratgeber UniFi-WLAN planen: Ausleuchtung, Kanäle und Roaming.

7. Reserve und Redundanz gezielt statt pauschal einbauen

Reserve bedeutet Kapazität für bekannte Veränderungen. Redundanz bedeutet einen alternativen Betriebsweg bei einem Fehler. Beides kostet Geld und sollte an der Ausfallfolge ausgerichtet werden. Ein zweites Gateway hilft wenig, wenn beide Internetleitungen am selben Hausübergabepunkt enden oder der einzige Switch und die einzige USV gemeinsame Fehlerquellen bleiben.

• Freie Ports, PoE-Leistung, Rackplatz, Strom- und Uplink-Kapazität für den realistischen Ausbau vorsehen.
• Für kritische Standorte zwei unabhängige WAN-Wege prüfen, inklusive Leitungsführung, Providertechnik und automatischem Failover-Test.
• Konfigurationssicherungen, dokumentierte Wiederanlaufverfahren und verfügbare Ersatzgeräte sind oft wirtschaftlicher als vollständige Doppelung.
• USV-Laufzeit auf das Gesamtsystem aus Gateway, Switches, Controller, Modem und kritischen PoE-Verbrauchern berechnen.
• Hochverfügbarkeitsfunktionen wie Shadow Mode nur einplanen, wenn Modellunterstützung, Verkabelung, Testverfahren und Betriebszuständigkeit geklärt sind. Shadow Mode setzt zwei baugleiche Rackmount-Gateways (etwa UDM Pro, UDM SE oder UDM Pro Max) oder zwei UXG Enterprise voraus.

8. Dokumentation und Rollout sind Teil der Architektur

Vor der Umschaltung werden Soll-Zustand, Abhängigkeiten und Rückfallweg dokumentiert. Ein kleines Netz braucht keine hundertseitige Betriebsmappe, aber ohne Portplan, IP-Plan und Zugangskonzept wird bereits der erste Gerätetausch unnötig riskant.

• Netzplan mit Geräten, Uplinks, Leitungskennungen, WAN-Übergaben und Stromversorgung.
• VLAN-, Subnetz-, DHCP-, DNS- und SSID-Plan samt Firewall-Regelmatrix.
• Switchport-Liste mit Profil, Geschwindigkeit, PoE-Modus und angeschlossenem Gerät.
• Administrationskonzept mit persönlichen Konten, Rollen, Mehr-Faktor-Authentisierung und sicher verwahrten Wiederherstellungsdaten.
• Abnahmeprotokoll für Internet, interne Dienste, VPN, WLAN, Gästezugang, Telefonie und geplante Ausfallszenarien.
• Änderungs- und Rückfallplan für die Migration, möglichst in überprüfbaren Etappen statt als Umstellung auf einen Schlag.

9. Betrieb: Das Netz bleibt ein lebendes System

Nach der Inbetriebnahme verändern neue Endgeräte, Nachbarnetze, Firmwarestände und Anwendungen die Ausgangslage. Deshalb gehören gesicherte Konfigurationen, gestaffelte Updates, Alarmierung, Kapazitätsbeobachtung und regelmäßige Wiederherstellungstests zum Betrieb. Änderungen an VLANs oder Firewallregeln werden wie kleine Projekte behandelt: Zweck festhalten, testen, dokumentieren und bei Bedarf zurückrollen.

Eine grundsätzliche Einordnung des Systems finden Sie im Beitrag zur Eignung von UniFi im Unternehmen. Wer das Lizenz- und Supportmodell mit einer Enterprise-Cloud-Lösung vergleichen möchte, findet den Vergleich unter UniFi vs. Cisco Meraki: Lizenzkosten über fünf Jahre. Planung, Umsetzung und laufende Betreuung bündele ich als UniFi-Netzwerke für Unternehmen.