in modernes Heimnetzwerk wächst schnell: Saugroboter, smarte Steckdosen, IP-Kameras, Smart-TVs, Smartphones, NAS-Systeme und viele weitere Geräte sind heute ständig mit dem Netzwerk und häufig auch mit dem Internet verbunden.
Doch nicht jedes Gerät sollte automatisch auf alle anderen Geräte und Dienste im Heimnetzwerk zugreifen können. Genau hier kommen VLANs, Netzwerksegmentierung und Firewall-Regeln ins Spiel.
Mit einer passenden UniFi-Konfiguration kannst du dein Heimnetzwerk in verschiedene Bereiche aufteilen und anschließend gezielt festlegen, welches Gerät aus welchem VLAN auf welches Ziel und welchen Dienst zugreifen darf.
In diesem Beitrag zeige ich dir anhand von zwei Praxisbeispielen, wie ich das in meinem eigenen Heimnetzwerk umgesetzt habe:
- Geräte aus dem Kinder-VLAN sollen auf meinen Drucker im Hauptnetzwerk zugreifen können.
- Eine Fotoanwendung auf meinem NAS soll auch von unterwegs erreichbar sein, ohne das NAS selbst direkt aus dem Internet erreichbar zu machen.
🎬 Das Video zum Beitrag
Du möchtest die Konfiguration direkt im UniFi Controller sehen? Im folgenden Video zeige ich die beiden Praxisbeispiele Schritt für Schritt und erkläre, wie VLANs, Zonen und Firewall-Regeln dabei zusammenspielen.
Im Anschluss findest du die komplette Konfiguration noch einmal ausführlich als schriftliche Anleitung. Dabei geht es nicht nur darum, welche Einstellungen vorgenommen werden, sondern auch darum, warum die jeweiligen Firewall-Regeln so aufgebaut sind.
Hinweis: Die gezeigte Konfiguration entspricht meinem eigenen Heimnetzwerk und dient als Praxisbeispiel. Welche VLANs, Zonen und Firewall-Regeln für dein Netzwerk sinnvoll sind, hängt von deinen eigenen Geräten und Anforderungen ab.
Warum VLANs und Firewall-Regeln im Heimnetzwerk sinnvoll sind
Eine Netzwerksegmentierung kann helfen, die Auswirkungen eines kompromittierten oder nicht vollständig vertrauenswürdigen Geräts zu begrenzen.
Nehmen wir beispielsweise ein IoT-Gerät. Selbst wenn dieses Gerät einen Internetzugang benötigt, bedeutet das nicht automatisch, dass es auch auf deinen PC, dein NAS oder andere interne Dienste zugreifen können sollte.
Das gleiche Prinzip gilt für ein separates Netzwerk für Kinder, Gäste oder bestimmte Smart-Home-Komponenten.
Statt alle Geräte in einem einzigen Netzwerk zu betreiben, können unterschiedliche Bereiche voneinander getrennt werden:
- Hauptnetzwerk: PCs, Server und vertrauenswürdige Geräte
- IoT-Netzwerk: Smart-Home-Geräte und andere weniger vertrauenswürdige Komponenten
- Kinder-Netzwerk: Geräte der Kinder
- Gäste-/Hotspot-Netzwerk: Geräte von Gästen
- DMZ: Dienste, die von außen erreichbar sein müssen
Die eigentliche Sicherheit entsteht dabei nicht allein durch die VLANs. Entscheidend ist, wie die Kommunikation zwischen diesen Netzwerken durch die Firewall geregelt wird.
Meine VLAN-Struktur als Beispiel
In meinem Netzwerk habe ich unter anderem folgende Bereiche eingerichtet:
- VLAN 20 – Main: Hauptnetzwerk und interne Infrastruktur
- VLAN 40 – Child: Netzwerk für die Geräte der Kinder
- VLAN 50 – Exposed: DMZ für von außen erreichbare Dienste
- Internal Semi-Trusted: Netzwerkbereich für Geräte, denen ich innerhalb meines Netzes nicht vollständig vertraue, beispielsweise bestimmte IoT- oder Smartphone-Komponenten
Welche Aufteilung sinnvoll ist, muss natürlich jeder für sein eigenes Netzwerk entscheiden.
Wie ich mein Heimnetzwerk grundsätzlich segmentiert habe und welche Überlegungen dahinterstehen, habe ich bereits in meinem Beitrag VLAN im Heimnetzwerk: Warum du dein WLAN dringend aufteilen solltest! beschrieben.
Voraussetzungen: VLANs und UniFi Zone-Based Firewall
Bevor du dich mit den einzelnen Regeln beschäftigst, sollten die VLANs bereits eingerichtet und den entsprechenden UniFi-Zonen zugeordnet sein.
Die Zone-Based Firewall ermöglicht es anschließend, die Kommunikation zwischen diesen Zonen gezielt zu kontrollieren.
Wenn du dich mit dem Thema noch nicht beschäftigt hast, empfehle ich zunächst meinen Beitrag UniFi Zone-Based Firewalls im Heimnetzwerk: Das neue Sicherheits-Feature im Praxistest.
Der grundlegende Gedanke ist einfach:
Kommunikation zwischen unterschiedlichen Sicherheitszonen wird zunächst eingeschränkt und anschließend nur dort freigegeben, wo sie tatsächlich benötigt wird.
Damit verfolgen wir im Prinzip das Default-Deny-Prinzip: Was nicht ausdrücklich erlaubt wird, soll nicht automatisch erreichbar sein.
Meine UniFi-Hardware
Für mein Netzwerk setze ich auf UniFi-Hardware. Als Gateway kommt bei mir unter anderem das UniFi Cloud Gateway Ultra zum Einsatz.
Ubiquiti UniFi Cloud Gateway Ultra
Hinweis: Die mit Sternchen (*) gekennzeichneten Links sind sogenannte Affiliate-Links. Wenn du auf so einen Link klickst und über diesen einkaufst, bekomme ich von dem betreffenden Online-Shop eine Provision. Für dich verändert sich der Preis nicht. Danke dir! 🫶
Die UniFi-Zonenmatrix verstehen
Nachdem die VLANs den entsprechenden Zonen zugeordnet wurden, stellt UniFi die Kommunikation zwischen diesen Zonen in einer Zonenmatrix dar.
Dabei findest du grundsätzlich unterschiedliche Zustände:
- Allow: Die Kommunikation ist erlaubt.
- Allow Return: Antwortverkehr auf eine bereits erlaubte Verbindung ist möglich.
- Block All: Die Kommunikation zwischen den betreffenden Zonen ist grundsätzlich blockiert.
Genau diese blockierten Verbindungen sind für unsere Praxisbeispiele interessant.
Denn wir wollen nicht einfach eine komplette Zone für eine andere Zone freigeben.
Stattdessen wollen wir sehr gezielt sagen:
Gerät A aus VLAN 40 darf auf Dienst B in VLAN 20 zugreifen.
Oder:
Der Reverse Proxy in der DMZ darf ausschließlich auf den benötigten Dienst auf meinem internen Server zugreifen.
Damit wird aus einer einfachen Netzwerksegmentierung eine gezielte Zugriffskontrolle.
IP- und Port-Objekte erleichtern die Verwaltung
Für eine übersichtliche Konfiguration verwende ich in UniFi entsprechende Listen- bzw. Netzwerkobjekte. Statt mir beispielsweise mehrere IP-Adressen merken zu müssen, kann ich einem Gerät einen eindeutigen Namen geben.
Aus: 192.168.x.x wird dann beispielsweise: Printer_IPv4
Das macht Firewall-Regeln deutlich verständlicher und erleichtert spätere Änderungen.
Praxisbeispiel 1: Drucken aus dem Kinder-VLAN
Beginnen wir mit einem relativ einfachen Beispiel.
Mein Drucker befindet sich im VLAN 20 (Main). Die Geräte der Kinder befinden sich dagegen im VLAN 40 (Child). Die Zielsetzung lautet:
Die Geräte der Kinder sollen drucken können, aber keinen allgemeinen Zugriff auf das Hauptnetzwerk erhalten.
Die Ausgangslage
Vereinfacht sieht die Kommunikation so aus:
Das Kinder-VLAN befindet sich dabei in meiner restriktiveren Zone Internal Semi-Trusted.
Das Hauptnetzwerk befindet sich in der Zone Internal.
Die Zonenmatrix blockiert die Kommunikation zwischen diesen Bereichen zunächst.
Das ist auch genau das gewünschte Verhalten.
Wir möchten schließlich nicht das komplette Hauptnetzwerk für die Geräte im Kinder-VLAN öffnen.
Stattdessen benötigen wir nur eine Ausnahme für den Drucker.
Drucker als Netzwerkobjekt anlegen
Damit Firewall-Regeln übersichtlich bleiben, verwende ich in UniFi entsprechende Listen- bzw. Netzwerkobjekte.
Für den Drucker habe ich beispielsweise ein Objekt mit dem Namen: Printer_IPv4 angelegt. Darin befindet sich die feste IPv4-Adresse des Druckers.
Der Vorteil: Ich muss die IP-Adresse nicht bei jeder Firewall-Regel erneut eingeben und kann stattdessen einfach das Objekt auswählen. Das wird besonders praktisch, wenn später weitere Regeln hinzukommen.
Firewall-Regel erstellen
Die Firewall-Regel sieht in meinem Beispiel vereinfacht so aus:
| Einstellung | Wert |
|---|---|
| Name | allow_devices_to_printer |
| Source Zone | Internal Semi-Trusted |
| Source | Spezifische Geräte aus dem Kinder-VLAN |
| Action | Allow |
| Auto Allow Return Traffic | Aktiviert |
| Destination Zone | Internal |
| Destination | Printer_IPv4 |
| IP-Version | IPv4 |
| Protocol | All |
| Port | Any |
| Schedule | Always |
Quelle und Ziel definieren
Als Source Zone wählen wir Internal Semi-Trusted, weil sich die Geräte der Kinder dort befinden. Bei der Quelle kann ich anschließend festlegen, welche Geräte diese Regel verwenden dürfen.
In meinem Beispiel sind das beispielsweise:
- iPad
- Desktop-PC
- Tablet
- Smartphone
Damit können nur diese Geräte auf den Drucker zugreifen. Alternativ könnte man die Regel auch für ein gesamtes VLAN bzw. einen größeren Adressbereich erstellen.
Als Destination Zone wählen wir Internal, weil sich der Drucker im Hauptnetzwerk befindet.
Beim Ziel möchte ich aber nicht das gesamte Internal-Netzwerk freigeben.
Deshalb wähle ich das zuvor angelegte Objekt:
Printer_IPv4
Damit ist die Regel auf genau diesen Drucker beschränkt.
Action: Allow
Da die Verbindung ausdrücklich erlaubt werden soll, wird die Aktion auf Allow gesetzt.
Wichtig ist außerdem die Option: Auto Allow Return Traffic
Ist diese Option aktiviert, kümmert sich UniFi automatisch um den entsprechenden Antwortverkehr.
Der Drucker kann also auf eine von diesen Geräten initiierte Verbindung antworten, ohne dass dafür zwingend eine separate Rückrichtung manuell definiert werden muss.
Ports und Protokolle
In meinem Beispiel habe ich die Ports zunächst auf Any und das Protokoll auf All gesetzt. Das ist bewusst eine Vereinfachung.
Ein Multifunktionsdrucker kann für unterschiedliche Funktionen verschiedene TCP- und UDP-Ports verwenden – beispielsweise für Druckaufträge, Scannen oder weitere Dienste.
Wer die Regel möglichst restriktiv gestalten möchte, sollte stattdessen die tatsächlich benötigten Ports und Protokolle ermitteln und ausschließlich diese freigeben.
Das folgt dem Prinzip:
So viel Zugriff wie nötig, so wenig wie möglich.
IP-Version: IPv4
Da mein Drucker über IPv4 erreichbar ist und ich diese Regel auch nur für IPv4 benötige, beschränke ich die Regel entsprechend auf IPv4.
Das verhindert, dass eine eventuell später vorhandene IPv6-Konnektivität unbeabsichtigt über diese Freigabe genutzt wird.
Firewall-Regel im UniFi Controller
Beispiel für die Firewall-Regel, mit der ausgewählte Geräte aus dem Kinder-VLAN ausschließlich auf den Drucker im Main-VLAN zugreifen dürfen.
Das Ergebnis
Nach dem Anlegen der Regel können die ausgewählten Geräte aus dem Kinder-VLAN auf den Drucker im Hauptnetzwerk zugreifen.
Der entscheidende Punkt ist aber: Die Regel gibt nicht das gesamte Main-VLAN frei. Sie erlaubt lediglich die gewünschte Kommunikation zwischen den definierten Quellen und dem Drucker.
Genau darin liegt der Vorteil einer solchen Segmentierung.
Praxisbeispiel 2: Von unterwegs auf das NAS zugreifen
Kommen wir zum etwas komplexeren Beispiel.
Auf meinem NAS – in meinem Fall ein Synology NAS – liegen private Bilder. Diese Bilder möchte ich auch unterwegs über mein Smartphone aufrufen können.
Das Smartphone befindet sich dann nicht mehr im heimischen WLAN, sondern beispielsweise im Mobilfunknetz.
Vereinfacht sieht der Weg so aus:
Und genau hier wird das Zusammenspiel verschiedener Zonen besonders interessant.
Warum das NAS nicht direkt ins Internet sollte
Eine wichtige Grundregel bei diesem Aufbau lautet:
Das NAS bzw. den internen Dienst nicht unnötig direkt aus dem Internet erreichbar machen.
Stattdessen verwende ich einen Reverse Proxy als vorgelagerte Instanz. In meinem Fall läuft dieser in einer eigenen DMZ*. Der Reverse Proxy ist damit der von außen erreichbare Einstiegspunkt. Er nimmt die Anfrage entgegen und leitet sie anschließend an den tatsächlich benötigten internen Dienst weiter.
Das hat einen wichtigen Vorteil: Der eigentliche Server mit meinen privaten Daten ist nicht direkt aus dem Internet erreichbar.
Sollte der Reverse Proxy kompromittiert werden, bedeutet das nicht automatisch, dass der Angreifer auch Zugriff auf mein komplettes internes Netzwerk erhält. Die DMZ bildet dabei eine zusätzliche Sicherheitsgrenze.
Wichtig: Ein Reverse Proxy ist kein alleiniger Sicherheitsmechanismus. Er reduziert die Angriffsfläche, ersetzt aber weder aktuelle Software, sichere Authentifizierung, MFA, Backups noch eine restriktive Firewall-Konfiguration.
* Eine DMZ (kurz für Demilitarisierte Zone) ist im Computernetzwerk ein eigenständiges, isoliertes Teilnetzwerk. Es fungiert als eine Art Pufferzone zwischen dem geschützten privaten Netz (LAN) und einem unsicheren öffentlichen Netz (wie dem Internet).
Reverse Proxy in der DMZ
In meinem Netzwerk befindet sich der Reverse Proxy im: VLAN 50 – Exposed
Dieses VLAN ist der DMZ zugeordnet. Mein eigentlicher Server mit der Fotoanwendung befindet sich dagegen weiterhin im internen Netzwerk.
Damit haben wir zwei unterschiedliche Firewall-Übergänge:
- External → DMZ
- DMZ → Internal
Diese beiden Verbindungen müssen jeweils separat erlaubt werden.
Das Prinzip des Zonen-Hoppings
Der Begriff „Zonen-Hopping“ klingt zunächst kompliziert, beschreibt aber eigentlich nur den Weg der Anfrage durch mehrere Sicherheitszonen.
In meinem Fall sieht dieser Weg so aus:
Es gibt also nicht einfach eine große Freigabe: Internet → NAS
Stattdessen wird die Kommunikation in einzelne Schritte zerlegt: Internet → Reverse Proxy
und anschließend: Reverse Proxy → Fotoanwendung
Jeder dieser Schritte wird durch eine eigene Firewall-Regel kontrolliert.
Meine Zonen- und Netzwerkübersicht
Die Zuordnung der VLANs zu den verschiedenen UniFi-Zonen bildet die Grundlage für die anschließenden Firewall-Regeln.
Firewall-Regel 1: External → DMZ
Zuerst muss der Reverse Proxy überhaupt aus dem Internet erreichbar sein.
In meinem Fall kommt dabei eine Besonderheit hinzu: Mein Glasfaseranschluss verfügt nicht über eine öffentliche IPv4-Adresse. Deshalb nutze ich für die externe Erreichbarkeit IPv6.
Der grundlegende Aufbau lautet: Internet / External → DMZ → Reverse Proxy
Die Regel
| Einstellung | Wert |
|---|---|
| Name | allow_DMZ_npm_from_External |
| Source Zone | External |
| Action | Allow |
| Auto Allow Return Traffic | Aktiviert |
| Destination Zone | DMZ |
| Destination | npm_Edge_DMZ |
| Ports | 80 und 443 |
| Protocol | TCP |
| IP-Version | IPv6 |
| Schedule | Always |
Source Zone: External
Die Anfrage kommt aus dem Internet.
Daher lautet die Source Zone: External
Eine Einschränkung auf bestimmte Quell-IP-Adressen ist bei einem allgemein erreichbaren Webdienst normalerweise nicht praktikabel, da Nutzer aus unterschiedlichen Netzen kommen können.
Destination: Nur der Reverse Proxy
Jetzt kommt ein besonders wichtiger Punkt.
Wir geben nicht die komplette DMZ frei. Stattdessen wird als Ziel ausschließlich die Adresse meines Reverse Proxys angegeben.
In meinem Fall heißt das entsprechende Objekt: npm_Edge_DMZ Damit ist nur dieses eine Gerät Ziel der Regel.
Ports: 80 und 443
Für meinen Reverse Proxy benötige ich HTTP und HTTPS. Deshalb habe ich dafür ein entsprechendes Listenobjekt angelegt, das die Ports:
- 80
- 443
enthält. Wer eine andere Konfiguration verwendet, sollte selbstverständlich nur die Ports öffnen, die tatsächlich benötigt werden.
Protokoll: TCP
HTTP und HTTPS laufen in dieser Konfiguration über TCP.
Deshalb beschränke ich die Regel entsprechend auf: TCP
Andere Protokolle werden für diese Regel nicht benötigt.
Firewall-Regel External → DMZ
Von außen wird ausschließlich der Reverse Proxy in der DMZ über die benötigten TCP-Ports erreicht. Das restliche DMZ-Netzwerk wird durch diese Regel nicht freigegeben.
Firewall-Regel 2: DMZ → Internal
Damit ist der erste Teil erledigt.
Die Anfrage aus dem Internet erreicht jetzt den Reverse Proxy in der DMZ.
Aber dort soll sie natürlich nicht bleiben.
Der Reverse Proxy muss die Anfrage an meinen internen Server mit der Fotoanwendung weiterleiten.
Der zweite Kommunikationsweg lautet daher: DMZ → Internal Auch diese Verbindung ist zunächst blockiert und muss explizit freigegeben werden.
Die Regel
| Einstellung | Wert |
|---|---|
| Name | allow_photo_from_DMZ_to_internal |
| Source Zone | DMZ |
| Source | IPv4-Adresse des Reverse Proxys |
| Action | Allow |
| Auto Allow Return Traffic | Aktiviert |
| Destination Zone | Internal |
| Destination | IP-Adresse des Foto-/Media-Servers |
| Port | Spezifischer Port der Fotoanwendung |
| Protocol | TCP |
| IP-Version | IPv4 |
| Schedule | Always |
Source: Nur der Reverse Proxy
Als Quelle wird nicht die gesamte DMZ freigegeben.
Stattdessen wähle ich ausschließlich die interne IPv4-Adresse meines Reverse Proxys.
Auch hierfür habe ich wieder ein entsprechendes Listenobjekt angelegt. Damit lautet die Aussage der Regel sinngemäß:
Nur mein Reverse Proxy darf diese Verbindung ins interne Netzwerk aufbauen.
Destination: Nur der Foto-Server
Auch beim Ziel beschränke ich mich auf den benötigten Server.
Der interne Server besitzt wiederum ein eigenes Objekt mit seiner IPv4-Adresse.
Damit kann der Reverse Proxy nicht automatisch auf alle Geräte im Internal-Netzwerk zugreifen.
Port: Nur der benötigte Dienst
Besonders wichtig ist jetzt der Zielport. Meine Fotoanwendung läuft auf einem bestimmten Port.
Genau diesen Port gebe ich in der Firewall-Regel frei. Damit lautet die eigentliche Berechtigung:
Der Reverse Proxy darf auf genau diesen Dienst auf genau diesem Server zugreifen.
Andere Ports des Servers bleiben von dieser Regel unberührt.
Firewall-Regel DMZ → Internal
Der Reverse Proxy darf aus der DMZ ausschließlich auf den benötigten Dienst des internen Servers zugreifen.
IPv6 von außen und IPv4 im internen Netzwerk
Interessant ist bei diesem Aufbau der Wechsel der IP-Version. Die Anfrage kommt von außen über IPv6 am Reverse Proxy an. Innerhalb meines Netzwerks kommuniziert der Reverse Proxy anschließend aber über IPv4 mit dem internen Server.
Vereinfacht:
Internet → Reverse Proxy: IPv6
Reverse Proxy → interner Server: IPv4
Das ist in meinem Aufbau vollkommen unabhängig voneinander möglich.
Warum die IPv6-Freigabe besonders wichtig ist
Wenn ein Dienst über IPv6 aus dem Internet erreichbar ist, sollte man sich nicht davon täuschen lassen, dass im Heimnetz vielleicht keine öffentliche IPv4-Adresse vorhanden ist.
Eine globale IPv6-Adresse kann einen Dienst direkt aus dem Internet erreichbar machen.
Deshalb muss die Firewall auch bei IPv6 entsprechend restriktiv konfiguriert werden.
In meinem Fall wird nur die IPv6-Adresse des Reverse Proxys und nur der benötigte TCP-Verkehr freigegeben.
Das ist ein wichtiger Unterschied zu einer Konfiguration, bei der versehentlich ein größerer IPv6-Adressbereich oder weitere Dienste erreichbar werden.
Der komplette Weg der Anfrage
Damit lässt sich der gesamte Aufbau noch einmal zusammenfassen:
Die Firewall kontrolliert dabei jeden Übergang.
Das ist der entscheidende Punkt: Nicht „Internet darf auf NAS zugreifen“, sondern „Internet darf den Reverse Proxy erreichen und der Reverse Proxy darf ausschließlich den benötigten Dienst auf dem internen Server erreichen“.
VPN oder Reverse Proxy?
Für den Zugriff auf private Dienste von unterwegs gibt es natürlich noch eine andere Möglichkeit: VPN.
Und für viele Szenarien ist VPN sogar die einfachere Lösung. Wenn beispielsweise ausschließlich ich selbst von unterwegs auf mein NAS zugreifen möchte, spricht viel dafür, einen VPN-Zugang zu verwenden.
Einen ausführlichen Beitrag dazu findest du hier: Sicheres VPN im Heimnetzwerk: WireGuard & Nginx Proxy Manager richtig konfigurieren
Ein Reverse Proxy kann dagegen sinnvoll sein, wenn ein bestimmter Webdienst bewusst über das Internet erreichbar sein soll.
Die beiden Ansätze haben daher unterschiedliche Einsatzgebiete:
| VPN | Reverse Proxy |
|---|---|
| Privater Zugang zum eigenen Netzwerk | Veröffentlichung eines bestimmten Webdienstes |
| Sehr gut für persönlichen Fernzugriff | Praktisch für Webanwendungen |
| Kein interner Dienst muss direkt öffentlich sein | Nur der Proxy wird öffentlich erreichbar |
| Zugriff erfolgt über eine VPN-Verbindung | Zugriff erfolgt über eine Webadresse |
| Für private Dienste häufig einfacher | Erfordert sorgfältige Absicherung |
Welche Variante sinnvoller ist, hängt deshalb stark vom jeweiligen Anwendungsfall ab. Wenn du ausschließlich selbst auf dein NAS zugreifen möchtest, würde ich persönlich zunächst prüfen, ob ein VPN die bessere Lösung ist.
Best Practices für UniFi VLANs und Firewall-Regeln
Aus diesen beiden Beispielen lassen sich einige allgemeine Regeln ableiten.
1. Netzwerke nach Vertrauensniveau trennen
Geräte, denen du nicht vollständig vertraust, sollten nicht zwangsläufig im gleichen Netzwerk wie deine privaten Daten liegen.
2. Kommunikation zunächst blockieren
Eine Segmentierung ist besonders effektiv, wenn die Kommunikation zwischen den Bereichen zunächst eingeschränkt ist.
3. Nur benötigte Geräte freigeben
Wenn ein Kindergerät nur auf einen Drucker zugreifen muss, sollte nicht gleich das komplette Hauptnetzwerk freigegeben werden.
4. Zieladressen möglichst genau definieren
Ein einzelnes IP- bzw. Listenobjekt ist besser als eine unnötig große Netzwerkfreigabe.
5. Ports einschränken
Wenn ein Dienst nur einen bestimmten Port benötigt, sollte nicht das gesamte Gerät freigegeben werden.
6. IP-Versionen berücksichtigen
IPv4 und IPv6 müssen gleichermaßen in die Sicherheitsüberlegung einbezogen werden. Eine Firewall-Regel für IPv4 schützt nicht automatisch vor einer unbeabsichtigten IPv6-Erreichbarkeit.
7. Reverse Proxy nicht als alleinige Sicherheitsmaßnahme betrachten
Ein Reverse Proxy reduziert die Angriffsfläche, ersetzt aber keine sicheren Passwörter, MFA, aktuelle Software, regelmäßige Updates und eine restriktive Firewall.
8. Regeln verständlich benennen
Eine einheitliche Namenskonvention hilft später enorm dabei, den Überblick zu behalten.
Beispielsweise: allow_devices_to_printer
oder: allow_photo_from_DMZ_to_internal
Gerade bei vielen VLANs und Firewall-Regeln zahlt sich eine solche Struktur schnell aus.
Häufige Fragen zu UniFi VLANs und Firewall-Regeln
Wie kann ich VLANs in UniFi voneinander isolieren?
Du kannst deine Netzwerke unterschiedlichen UniFi-Zonen zuordnen und die Kommunikation zwischen diesen Zonen über die Zone-Based Firewall kontrollieren. Anschließend lassen sich gezielte Ausnahmen für benötigte Verbindungen definieren.
Wie kann ich mit UniFi Zugriff zwischen zwei VLANs erlauben?
Dafür erstellst du eine passende Firewall-Regel. Entscheidend sind dabei vor allem Source Zone, Quelle, Destination Zone, Ziel, Port und Protokoll.
Wie kann ich einen Drucker aus einem anderen VLAN erreichen?
Du kannst beispielsweise die Geräte aus dem Quell-VLAN als Source definieren und als Destination ausschließlich die IP-Adresse des Druckers angeben. Dadurch wird nicht automatisch das gesamte Ziel-VLAN freigegeben.
Wie kann ich einen bestimmten Port mit einer UniFi Firewall-Regel freigeben?
Bei der Destination kannst du den benötigten Zielport definieren. Noch übersichtlicher wird die Konfiguration, wenn du häufig verwendete Ports in entsprechenden Listenobjekten zusammenfasst.
Sollte ein NAS direkt aus dem Internet erreichbar sein?
Ein NAS sollte nicht unnötig direkt aus dem Internet erreichbar sein. Wenn ein bestimmter Webdienst extern erreichbar sein muss, kann ein Reverse Proxy eine zusätzliche Sicherheitsgrenze schaffen. Für rein privaten Fernzugriff ist häufig ein VPN die naheliegendere Lösung.
Was ist eine DMZ bei UniFi?
Eine DMZ ist ein vom übrigen internen Netzwerk getrennter Netzwerkbereich. Dienste, die von außen erreichbar sein müssen, können dort platziert werden. Durch entsprechende Firewall-Regeln lässt sich anschließend festlegen, welche Verbindungen aus der DMZ in andere Netzwerkbereiche erlaubt sind.
Was bedeutet „Auto Allow Return Traffic“ bei UniFi?
Die Option sorgt dafür, dass Antwortverkehr zu einer erlaubten Verbindung automatisch berücksichtigt wird. Dadurch muss für den Rückweg nicht zwingend eine separate Regel angelegt werden.
Ist ein Reverse Proxy sicher?
Ein Reverse Proxy kann die Angriffsfläche reduzieren, ist aber selbst ein sicherheitsrelevanter Dienst. Er sollte aktuell gehalten und durch restriktive Firewall-Regeln, sichere Authentifizierung und weitere Sicherheitsmaßnahmen geschützt werden.
Ist VPN sicherer als ein Reverse Proxy?
Das lässt sich nicht pauschal beantworten. Für den persönlichen Fernzugriff auf das eigene Heimnetz ist VPN häufig die naheliegendere Wahl. Wenn dagegen eine bestimmte Webanwendung bewusst öffentlich erreichbar sein soll, kann ein Reverse Proxy sinnvoll sein.
Fazit: VLANs, Zonen und Firewall-Regeln richtig kombinieren
Eine VLAN-Struktur allein macht ein Heimnetzwerk noch nicht sicher. Entscheidend ist, welche Kommunikation zwischen den einzelnen Netzwerken tatsächlich erlaubt wird.
Die UniFi Zone-Based Firewall bietet dafür eine übersichtliche Möglichkeit.
Das Prinzip ist dabei immer ähnlich: Segmentieren → Zonen zuordnen → Kommunikation einschränken → benötigte Verbindungen gezielt freigeben.
Im ersten Beispiel haben wir genau eine solche Ausnahme geschaffen: Kinder-VLAN → Drucker im Main-VLAN
Im zweiten Beispiel wurde der Weg etwas komplexer: Internet → Reverse Proxy in der DMZ → Fotoanwendung im internen Netzwerk
Gerade dieses zweite Beispiel zeigt, warum es sinnvoll ist, Firewall-Regeln nicht nur nach dem Motto „Port auf oder zu“ zu betrachten.
Interessant wird es dort, wo mehrere Sicherheitszonen beteiligt sind und jeder einzelne Übergang separat kontrolliert wird.
Je genauer Quelle, Ziel, Port und Protokoll definiert werden, desto kleiner bleibt die tatsächlich erlaubte Kommunikationsfläche.
Dabei muss die Konfiguration natürlich immer zum eigenen Netzwerk und zum jeweiligen Anwendungsfall passen.
Wie hast du dein Netzwerk aufgebaut?
Wie hast du deine VLANs aufgeteilt?
Nutzt du ebenfalls eine DMZ mit Reverse Proxy oder setzt du für den Fernzugriff ausschließlich auf VPN?
Schreib deine Erfahrungen und Fragen gerne in die Kommentare.
🎬 Das passende Video
Du möchtest die komplette Konfiguration noch einmal direkt im UniFi Controller sehen?
Das vollständige Video findest du oben im Beitrag. Dort zeige ich die beiden Praxisbeispiele Schritt für Schritt und erkläre, wie die einzelnen Firewall-Regeln aufgebaut sind.
Wenn dir der Beitrag oder das Video geholfen hat, freue ich mich natürlich über einen Like, ein Abo meines YouTube-Kanals Haus und Technik und deine Fragen oder Erfahrungen in den Kommentaren.
Viel Spaß beim Nachbauen und vor allem beim sicheren Segmentieren deines Heimnetzw
