UniFi Gäste-WLAN: So prüfen Sie die Trennung vom Firmennetz
UniFi Gäste-WLAN für Schweizer KMU: VLAN, Firewall und Client-Isolation verständlich erklärt – mit einem konkreten Abnahmetest für Ihr Firmennetz.
Ein Besucher verbindet sich mit Ihrem Gäste-WLAN, öffnet eine Website und kann arbeiten. Damit ist der Internetzugang geprüft. Ob er auch interne Drucker, Dateien oder die Netzwerkverwaltung erreichen könnte, bleibt zunächst offen. Für Schweizer KMU lohnt sich deshalb eine Abnahme mit zwei Fragen: Was muss für Gäste funktionieren, und welche Zugriffe müssen gesperrt sein?
Produktabbildung: Ubiquiti U7 Pro. Die Trennung eines Gäste-WLANs wird gemeinsam über Access Points, Switches und Gateway geplant.
Ein eigener WLAN-Name braucht ein passendes Netzwerk
Der sichtbare WLAN-Name heisst technisch SSID. In UniFi Network lässt sich dieser Name einem Netzwerk beziehungsweise VLAN zuordnen. Ein VLAN bildet einen logisch getrennten Netzbereich auf gemeinsam genutzter Infrastruktur. Die Verbindungen zwischen Access Point, Switch und Gateway müssen das zugeordnete VLAN durchgehend transportieren können. Ubiquiti: WiFi-SSIDs erstellen
Für Ihr Unternehmen bedeutet das: «Firma-Gast» als zusätzlicher Name ist erst der Anfang. Legen Sie fest, welchem Netz Gäste angehören und wie dessen Verbindungen kontrolliert werden. Ein VLAN allein legt noch nicht fest, ob beispielsweise Zugriffe auf ein anderes VLAN erlaubt sind.
Drei Stellen entscheiden über die Trennung
UniFi bietet unterschiedliche Funktionen mit unterschiedlichen Aufgaben. Für die Planung sollten sie getrennt betrachtet werden:
| Stelle | Funktion | Aufgabe |
|---|---|---|
| Gateway | Network Isolation oder gezielte Firewall-Regeln | Verbindungen zwischen verschiedenen Netzbereichen begrenzen |
| Access Point | Client Device Isolation | Direkte Kommunikation zwischen WLAN-Geräten am selben Access Point unterbinden |
| Geeigneter Switch | Device Isolation über Access Control Lists, kurz ACLs | Kommunikation zwischen Geräten im selben VLAN auf der Switch-Ebene begrenzen |
Ubiquiti beschreibt diese Ebenen ausdrücklich als Ergänzungen. Eine Sperre am Access Point beantwortet daher noch nicht, was zwischen Gästen an verschiedenen Access Points geschieht. Ubiquiti: Netzwerk- und Client-Isolation
Prüfen Sie bei bestehenden Installationen auch die Hardware: Nicht jeder UniFi-Switch unterstützt ACLs. Laut Hersteller sind diese unter anderem auf den integrierten Switch-Ports von UniFi Gateways und In-Wall Access Points nicht verfügbar. Das betrifft gerade kleine Installationen, in denen mehrere Geräte direkt am Gateway angeschlossen sind. Ubiquiti: Switches und ACLs
Die Verwaltung schützen, notwendige Dienste erhalten
Bei der zonenbasierten UniFi-Firewall werden Netzbereiche zu Zonen zusammengefasst. Die Zone «Gateway» umfasst auch Datenverkehr zum Gateway selbst, beispielsweise für Adressvergabe, Namensauflösung oder administrative Zugriffe. Wird diese Zone pauschal gesperrt, können deshalb DHCP und DNS beeinträchtigt werden. Firewall-Regeln können auf IPv4, IPv6 oder beide Protokollversionen angewendet werden. Ubiquiti: Zone-Based Firewalls
Die konkrete Vorgabe für die Abnahme lautet besser: Gäste bekommen eine Adresse, können Namen auflösen und erreichen die vorgesehenen Internetdienste. Administrative Oberflächen und interne Anwendungen bleiben für sie unzugänglich. Welche Ausnahmen dafür erforderlich sind, hängt von den tatsächlich verwendeten Diensten ab. Werden beide IP-Versionen eingesetzt, müssen beide in der Prüfung berücksichtigt werden.
Planungsbeispiel: Ein Büro mit zwei Gäste-Bereichen
Stellen Sie sich ein Büro mit einem Empfang und einem Sitzungszimmer vor. In jedem Bereich steht ein UniFi Access Point. Beide sind über einen Switch angebunden. Die Mitarbeitenden nutzen ein internes Netz mit Dateispeicher und Drucker; die Gäste erhalten ein separates Netz mit Internetzugang.
Das ist ein frei gewähltes Planungsbeispiel, keine Irontec-Kundenreferenz und keine Empfehlung für eine bestimmte Anzahl Access Points.
Vor der Umsetzung vereinbart das Unternehmen diese Ziele:
- Besucher können Websites und die benötigten Besprechungsdienste nutzen.
- Interne Dateiablage, Drucker und Geräteverwaltung sind vom Gästenetz aus gesperrt.
- Gäste können auch untereinander keine direkten Verbindungen aufbauen.
- Das Mitarbeiternetz funktioniert nach der Änderung weiterhin wie vereinbart.
Daraus entsteht eine überschaubare Prüfliste. Sie ist nützlicher als die alleinige Bestätigung, dass in der Oberfläche ein Häkchen bei «Isolation» gesetzt wurde.
Ein Abnahmetest mit überprüfbaren Ergebnissen
Verwenden Sie zwei eigene Testgeräte und ausdrücklich freigegebene Testziele. Dokumentieren Sie vorab, welche Anwendung oder welcher Dienst auf dem jeweiligen Ziel erreichbar sein muss. Prüfen Sie von einer berechtigten internen Verbindung aus, ob dieses Ziel tatsächlich funktioniert. Sonst könnte ein ausgeschalteter Rechner fälschlich als erfolgreich blockierter Zugriff erscheinen.
Stellen Sie während der Prüfung sicher, dass der Verkehr tatsächlich über das Gäste-WLAN läuft. Mobilfunk-Ausweichverbindungen oder ein anderer Netzwerkweg dürfen das Ergebnis nicht verfälschen.
| Prüfung im Beispiel | Erwartetes Ergebnis |
|---|---|
| Mit Gäste-WLAN verbinden und Netzzuordnung kontrollieren | Testgerät erhält die für das Gästenetz vorgesehene Konfiguration |
| Öffentliche Website öffnen und benötigte Besprechungsanwendung nutzen | Beide funktionieren nach einer gegebenenfalls erforderlichen Anmeldung |
| Freigegebenen Testdienst auf einem internen System direkt über seine IP-Adresse aufrufen | Verbindung aus dem Gästenetz wird blockiert |
| Bekannte interne Verwaltungsoberfläche aufrufen | Administrative Oberfläche ist aus dem Gästenetz nicht erreichbar |
| Zwei Testgeräte am selben Access Point verbinden | Der vereinbarte Testdienst auf dem anderen Gerät ist nicht erreichbar |
| Je ein Testgerät am Empfang und im Sitzungszimmer verbinden | Die Trennung gilt auch über unterschiedliche Access Points hinweg |
| Wenn vorhanden: ein Testgerät an einer Gäste-Netzwerkdose anschliessen | Die vereinbarten Sperren gelten auch für diesen Anschluss |
| Einen internen Arbeitsplatz erneut prüfen | Die vorgesehenen internen Anwendungen bleiben nutzbar |
Ein fehlgeschlagener Ping allein reicht als Nachweis nicht aus. Auch eine lokale Geräte-Firewall oder ein nicht laufender Dienst kann die Antwort verhindern. Nutzen Sie deshalb bekannte Testdienste, prüfen Sie deren Ausgangszustand und gleichen Sie auffällige Ergebnisse mit den passenden Netzwerkregeln ab. Prüfen Sie direkte IP-Zugriffe zusätzlich zu Namen, damit eine fehlende Namensauflösung keine ungewollte Freigabe verdeckt.
Führen Sie die relevanten Tests für IPv4 und, soweit genutzt, IPv6 durch. Halten Sie nicht verwendete oder nicht geprüfte Varianten ausdrücklich als solche fest. Ein bestandener Test gilt für die dokumentierten Wege und den geprüften Stand; er ist keine pauschale Sicherheitsgarantie.
Brauchen Ihre Gäste eine Anmeldeseite?
Ein Captive Portal ist die Anmeldeseite, die Gäste vor der Internetnutzung sehen können. UniFi unterstützt dafür unter anderem Kennwort- und Voucher-Verfahren. Bei Vouchern lassen sich beispielsweise Ablaufzeiten und Nutzungslimits festlegen. Ubiquiti: Hotspots und Captive Portals
Entscheiden Sie anhand Ihres Ablaufs: Ein Empfang mit wechselnden Besuchern hat andere Anforderungen als ein gelegentlich genutzter Besprechungsraum. Prüfen Sie mit einem frischen Testzugang sowohl die Anmeldung als auch den Zustand danach. Die erfolgreiche Anmeldung allein bestätigt die vereinbarten Zugriffssperren noch nicht.
Ubiquiti behandelt das Portal in seinen Gäste-WLAN-Empfehlungen als optionale Ergänzung zur Netzwerk- und Client-Isolation. Dort werden auch optionale Geschwindigkeitslimits zur Verteilung der verfügbaren Bandbreite beschrieben. Ubiquiti: Guest WiFi Best Practices
Das Ergebnis gehört in die Betriebsdokumentation
Notieren Sie das Testdatum, die beteiligten Geräte, deren Softwarestände, die Netzzuordnung sowie Soll- und Ist-Ergebnis. Für offene Punkte braucht es eine zuständige Person und einen Termin. Nach einem Wechsel der Switches, einer Änderung der Firewall-Regeln oder einer Erweiterung des Gästezugangs sollten die betroffenen Tests erneut durchgeführt werden.
Irontec unterstützt Sie bei UniFi WLAN und Funkplanung, der passenden Switching-Infrastruktur und UniFi Firewalls. Für eine erste Einordnung helfen ein vorhandener Netzwerkplan, die Geräteübersicht und die Beschreibung, was Ihre Gäste nutzen dürfen. Auch eine bestehende Installation lässt sich im Rahmen der IT-Betreuung geordnet prüfen.