Zonenbasierte Firewall in UniFi: Rückverkehr, Gateway-Zone und Verkehr innerhalb einer Zone

Geprüft: 24. Oktober 2026. Eine Zone bündelt Netzwerkschnittstellen, etwa VLANs oder VPNs. Ein VLAN ist ein logisch getrenntes Netz. In der Zonenmatrix steht die Zeile für die Quellzone und die Spalte für die Zielzone. Die Darstellung beweist weder funktionierende Freigaben noch die Sperrung sämtlicher unerwünschter Wege. Eine brauchbare Prüfung verfolgt eine konkrete Verbindung von der Quelle zum Dienst und untersucht anschließend Rückverkehr und tatsächlich passende Regeln.

Mindestversionen und das passende Gateway

Ubiquiti nennt ein UniFi Gateway oder Cloud Gateway, Network ab 9.0 und Gateway-Software ab 4.1. ZBF erschien im offiziellen Release 9.0.108. Ein Controller-Update allein reicht nicht. [1]

Eine Bestandsaufnahme sollte Gateway-Modell, dessen Software und die Network-Anwendung getrennt erfassen. Eine Versionsnummer ohne Produktbezeichnung ist mehrdeutig. Vor einer Migration erleichtern eine gespeicherte Konfiguration und ein geprüfter administrativer Zugangsweg die Wiederherstellung. Die erfüllte Mindestversion bestätigt außerdem noch keine sinnvolle Regelplanung.

Rückverkehr benötigt eine wirksame Freigabe

Auto Allow Return Traffic erzeugt eine zusätzliche Regel; eine bereits passende Regel kann die Freigabe übernehmen. Zustandserkennung bedeutet nicht, dass Antworten sämtliche Regeln umgehen. [1]

Ein Verwaltungsrechner kann beispielsweise eine Verbindung zu einem IoT-Gerät beginnen. Die Antwort darauf unterscheidet sich von einer neuen Verbindung, die das IoT-Gerät selbst startet. Eine breite Freigabe von IoT ins LAN erlaubt mehr als ursprünglich benötigt. Ein aussagekräftiger Test erfasst beides: die erlaubte Anfrage samt Antwort und einen unabhängig gestarteten Verbindungsversuch in Gegenrichtung, der scheitern soll.

Ein Sensor, der Daten an einen MQTT-Broker sendet, stellt eine andere Anforderung: Hier beginnt der Sensor die Verbindung. Zieladresse und tatsächlich verwendeter Dienstport gehören in die Planung. Die umgangssprachliche Bezeichnung als „Antwort“ macht eine Nachricht nicht zum Rückverkehr einer anderen Verbindung.

Das Gateway ist ein Ziel, keine Garantie für bestimmte Dienste

Die Gateway-Zone betrifft Verkehr zum Gateway selbst oder vom Gateway. Weitergeleiteter Verkehr zwischen zwei anderen Netzen ist davon zu unterscheiden. Beim Zugriff eines Clients auf einen Gateway-Dienst ist das Client-Netz die Quelle und Gateway das Ziel. Entscheidend bleibt, welche Dienste dort tatsächlich laufen. Ein Client kann das Gateway für DNS nutzen; ein separater Resolver verändert aber das Ziel. Ebenso erzeugt die Freigabe von UDP-Port 123 zum Gateway keinen NTP-Dienst. Der konfigurierte Zeitserver muss vorhanden sein und antworten.

Eine praktische Dienstliste enthält Quellnetz, Zielhost, Protokoll, Zielport und erwartete Funktion. Die getrennte Prüfung von Adressvergabe, Namensauflösung und Zeitsynchronisation erleichtert die Fehlersuche. Ein erfolgreicher Ping bestätigt diese Dienste nicht.

Dieselbe Zone bedeutet nicht dasselbe Netz

UniFi unterstützt Regeln innerhalb einer Zone, etwa Internal zu Internal. Getrennte geroutete Netze lassen sich daher auch bei gleicher Zonenzuordnung filtern. [1]

Direkt miteinander kommunizierende Geräte innerhalb eines VLANs nehmen einen anderen Weg. Gateway-Regeln ersetzen hier keine Kontrollen am Switch oder Access Point. Ubiquiti unterscheidet Gateway-Segmentierung, Switch-ACLs und Client-Isolation am Access Point. Welche Kontrolle passt, hängt vom Verkehrsweg und den Fähigkeiten der Hardware ab. [2]

Vier Prüffälle verdeutlichen den Unterschied: Geräte in verschiedenen Zonen, verschiedene VLANs derselben Zone, kabelgebundene Geräte in einem VLAN und WLAN-Clients an einem Access Point. Ein erfolgreicher Isolationstest belegt nicht automatisch die anderen drei Fälle.

Eine Prüfung mit nachvollziehbaren Ergebnissen

1. Jede beabsichtigte Verbindung mit konkreter Quelle und Ziel festhalten.
2. Beide Richtungen für neue Verbindungen und die Rückverkehrsfreigabe prüfen.
3. Den tatsächlichen Weg über Gateway, Switch oder Access Point bestimmen.
4. Benötigte Dienste und einige ausdrücklich verbotene Verbindungen testen.
5. Bei aktiviertem IPv4 und IPv6 beide IP-Versionen getrennt prüfen; eine nur für IPv4 passende Regel belegt keine IPv6-Isolation.
6. Versionen, relevante Regelreihenfolge, Beobachtungen und Rückfallplan dokumentieren.

Der UniFi-Zonenmatrix-Planer hilft beim Dokumentieren der Absichten. Das Werkzeug liest keine installierten Regeln aus, bestätigt keine Gateway-Fähigkeiten und beweist keine Isolation. Aussagekräftig wird der Plan zusammen mit Beobachtungen im tatsächlichen Netz.

Grenze des Planers: Die aktuelle Ausgabe behandelt Rückverkehr pauschal als automatisch erlaubt und stellt die Regelreihenfolge zu stark in den Hintergrund. Diese Vereinfachungen beschreiben die installierte Firewall nicht zuverlässig. Rückverkehrsfreigabe und Reihenfolge müssen deshalb im tatsächlichen Regelwerk geprüft werden.