Wer sein Heimnetzwerk mit UniFi-Komponenten betreibt, weiß die Flexibilität und den Funktionsumfang der Network Application zu schätzen. Mit dem Release der Network-Version 9.0 (speziell ab 9.0.108) hat Ubiquiti ein massives neues Sicherheits-Feature ausgerollt: Zone-Based Firewalls.

Was genau sich hinter den zonenbasierten Firewalls verbirgt, welche Voraussetzungen du erfüllen musst und wie die Umstellung in der Praxis (inklusive einer kleinen Stolperfalle) abläuft, erfährst du in diesem Artikel.

Was sind Zone-Based Firewalls und welche Voraussetzungen gibt es?

Bisher wurden Firewall-Regeln bei UniFi primär über klassische Traffic-Regeln oder LAN-In/LAN-Out-Einträge sortiert. Das neue System denkt in Zonen. Du teilst deine Netzwerke (VLANs) logischen Bereichen zu und bestimmst über eine übersichtliche Matrix, welcher Bereich mit welchem kommunizieren darf.

Die Hardware- und Software-Voraussetzungen

Um das neue Feature nutzen zu können, stellt UniFi ein paar Bedingungen: 🔗(Link zur UniFi Website)

• Gateway: Du benötigst ein UniFi Cloud Gateway (wie das UCG / UniFi Cloud Gateway Ultra) oder ein eigenständiges UniFi Gateway.
• Software-Version: Die UniFi Network Application muss mindestens auf Version 9.0.108 (Official Release) laufen.
• Betriebssystem: Das UniFi OS deines Gateways muss mindestens die Version 4.1 oder höher aufweisen.

Hinweis: Die mit Sternchen (*) gekennzeichneten Links sind sogenannte Affiliate-Links. Wenn du auf so einen Link klickst und über diesen einkaufst, bekomme ich von dem betreffenden Online-Shop eine Provision. Für dich verändert sich der Preis nicht, aber mit deinem Kauf über diese Links unterstützt du direkt diesen Blog – Danke dir! 🫶

Die 6 Standard-Zonen von UniFi im Überblick

Sobald du das Feature aktivierst, bringt UniFi bereits sechs vordefinierte Zonen mit, die den Datenverkehr logisch trennen:

1. External: Hier landet der gesamte unvertrauenswürdige (Untrusted) Datenverkehr, der von außen über deine WAN-Anschlüsse ins Netzwerk gelangt.
2. Internal: Die Zone für vertrauenswürdigen Datenverkehr innerhalb deines Heimnetzwerks.
3. Gateway: Reguliert den gesamten Datenverkehr, der direkt zum oder vom UniFi-Gateway selbst gesendet wird.
4. VPN: Hier wird der Traffic aus VPN-Sitzungen (wie WireGuard oder dem UniFi Teleport-VPN) gebündelt.
5. Hotspot: Ein komplett gekapseltes (encapsulated) Netzwerk, ideal für Gästenetzwerke, die keinen Zugriff nach links oder rechts haben dürfen.
6. DMZ (Demilitarisierte Zone): Gedacht für Verkehr zu Servern oder Applikationen, die explizit im Internet freigegeben werden sollen.

Der Umstellungsprozess: Achtung vor der „Regel-Explosion“!

Der eigentliche Wechsel von den alten Firewall-Regeln hin zu den Zone-Based Firewalls läuft über einen komfortablen Assistenten ab. Wichtig vorab: Die Umstellung kann nicht einfach per Knopfdruck rückgängig gemacht werden! UniFi erstellt beim Start des Assistenten jedoch automatisch ein Backup, sodass du im Notfall ein sicheres Fallback-Szenario hast.

Die Stolperfalle bei der Migration

Obwohl der Prozess reibungslos durchläuft, gibt es einen Haken bei den bestehenden Regeln. UniFi versucht, deine alten Regeln logisch in das neue Zonensystem zu übertragen. Da nun aber Interaktionen zwischen allen sechs Zonen berücksichtigt werden müssen, werden bestehende Regeln im Hintergrund repliziert.

Aus der Praxis: Bei meinem Umstieg wurden aus ursprünglich ca. 30 Bestandsregeln plötzlich über 150 Regeln in den verschiedenen Zonen-Interaktionen!

Hier wäre eine Option, komplett bei Null anzufangen, wünschenswert gewesen. So hieß es: Jede einzelne Regel manuell durchgehen, prüfen und aufräumen. Nach dem rigorosen Ausmisten konnte ich die aktiven Regeln von 30 auf nur noch 12 maßgeschneiderte Regeln reduzieren. Das zeigt, wie viel effizienter das neue Zonensystem arbeitet!

Praxis-Beispiel: VLAN-Zuordnung im smarten Heimnetzwerk

Nach der Migration landen standardmäßig erst einmal alle VLANs in der Zone Internal. Danach liegt es an dir, die Netzwerke sinnvoll zu verteilen. Neben den Standard-Zonen kannst du auch eigene Zonen erstellen.

Hier ist ein bewährtes Setup für ein modernes Heimnetzwerk:

💡Warum ich dieses Setup gewählt habe und welche Vorteile es bietet, habe ich in einem anderen Beitrag hier beschrieben: VLAN im Heimnetzwerk: Warum du dein WLAN dringend aufteilen solltest!

1. Zone: Internal (Trusted)

• VLAN Infrastruktur: Alle UniFi-Geräte (Switches, Access Points, Cloud Gateway) sowie die FritzBox für die Telefonie.
• VLAN Main: Die Hauptgeräte wie private PCs, Smartphones und der Homeserver (NAS) mit sensiblen Daten.

2. Zone: Internal Semi-Trusted (Selbst erstellt)

Hier gehören Netzwerke hinein, denen man nicht blind vertraut, die aber für bestimmte Funktionen dennoch mit anderen Netzen kommunizieren müssen:

• VLAN Smart Home: PV-Anlage, ioBroker und Haussteuerung.
• VLAN IoT: IP-Kameras, Saugroboter und smarte Haushaltsgeräte, die gerne „nach Hause telefonieren“.
• VLAN Child: Ein separater, abgesicherter Bereich für die Kinder.
• VLAN Hobby/Modelleisenbahn: Gekapselte Steuerungs-PCs und Kameras.

3. Zone: Hotspot (Isolated)

• VLAN Gast: Für Besucher – komplett isoliert vom restlichen Netzwerk.
• VLAN Arbeit/Homeoffice: Das Equipment des Arbeitgebers wird hier strikt vom privaten Heimnetzwerk getrennt, um Compliance- und Sicherheitsvorgaben zu erfüllen.

Die Zonenmatrix: Übersichtlichkeit pur

Das absolute Highlight des neuen Features ist die Zonenmatrix in der UniFi-Oberfläche. Sie listet alle Zonen als Quelle (Source) und Ziel (Destination) auf.

Dank dieser visuellen Matrix sieht man sofort, wo Daten fließen dürfen und wo ein Riegel vorgeschoben ist. Standardmäßig ist beispielsweise auch der Return Traffic (Antwort-Datenverkehr) logisch geregelt: Wenn eine Anfrage aus einer sicheren Zone in eine unsichere Zone geht, darf die Antwort die Firewall passieren, ohne dass man dafür extra eine komplizierte Regel bauen muss.

Fazit: Lohnt sich der Umstieg?

Abgesehen von der Fleißarbeit beim Aufräumen der replizierten Regeln ist die Zone-Based Firewall von UniFi ein riesiger Schritt nach vorne. Sie bringt ein enormes Plus an Übersichtlichkeit und hebt die Sicherheit im Heimnetzwerk auf ein professionelles Niveau. Die Erstellung eigener Zonen (wie Semi-Trusted) erlaubt ein extrem feingranulares Rechtemanagement für Smart Home und IoT.

Hast du den Umstieg auf die zonenbasierte Firewall schon gewagt? Welche individuellen Regeln nutzt du in deiner Matrix? Schreib es mir gerne unten in die Kommentare! Wenn dir dieser Beitrag geholfen hat, lass gerne ein Abo für den Blog da.

📹 Das vollständige Video kannst du dir hier anschauen: 🔗 Video

❗Gerne darfst du natürllich auch meinen YouTube Kanal ➡️ „Haus und Technik“ besuchen. Dort findest Du weitere spannende Inhalte. Ich würde mich freuen! 😊