Zonenbasierte Firewall in UniFi: Rückverkehr, Gateway-Zone und Verkehr innerhalb einer Zone

Geprüft: 24. Oktober 2026. Eine Zone bündelt Netzwerkschnittstellen, etwa VLANs oder VPNs. Ein VLAN ist ein logisch getrenntes Netz. In der Zonenmatrix steht die Zeile für die Quellzone und die Spalte für die Zielzone. Die Darstellung beweist weder funktionierende Freigaben noch die Sperrung sämtlicher unerwünschter Wege. Eine brauchbare Prüfung verfolgt eine konkrete Verbindung von der Quelle zum Dienst und untersucht anschließend Rückverkehr und tatsächlich passende Regeln.

Ein Gateway leitet Daten zwischen Netzen weiter. Eine Firewall erlaubt oder sperrt Verbindungen nach Regeln. ZBF bedeutet zonenbasierte Firewall. Ein VPN verbindet Geräte oder Netze über eine virtuelle private Verbindung. Ein Switch verbindet kabelgebundene Geräte; ein Access Point verbindet WLAN-Geräte mit dem Netz.

Mindestversionen und das passende Gateway

Ubiquiti nennt ein UniFi Gateway oder Cloud Gateway, Network ab 9.0 und Gateway-Software ab 4.1. ZBF erschien im offiziellen Release 9.0.108. Ein Controller-Update allein reicht nicht. [1]

Eine Bestandsaufnahme sollte Gateway-Modell, dessen Software und die Network-Anwendung getrennt erfassen. Eine Versionsnummer ohne Produktbezeichnung ist mehrdeutig. Vor einer Migration erleichtern eine gespeicherte Konfiguration und ein geprüfter administrativer Zugangsweg die Wiederherstellung. Die erfüllte Mindestversion bestätigt außerdem noch keine sinnvolle Regelplanung.

Rückverkehr benötigt eine wirksame Freigabe

Auto Allow Return Traffic erzeugt eine zusätzliche Regel; eine bereits passende Regel kann die Freigabe übernehmen. Zustandserkennung merkt sich, welche Datenpakete zu einer bestehenden Verbindung gehören. Antworten umgehen dadurch nicht sämtliche Regeln. [1]

Ein Verwaltungsrechner kann beispielsweise eine Verbindung zu einem vernetzten Gerät des Internets der Dinge (IoT), etwa einem Sensor, beginnen. Die Antwort darauf unterscheidet sich von einer neuen Verbindung, die das IoT-Gerät selbst startet. Eine breite Freigabe von IoT ins LAN erlaubt mehr als ursprünglich benötigt. Ein aussagekräftiger Test erfasst beides: die erlaubte Anfrage samt Antwort und einen unabhängig gestarteten Verbindungsversuch in Gegenrichtung, der scheitern soll.

Ein MQTT-Broker nimmt Nachrichten entgegen und verteilt diese an angemeldete Empfänger. Ein Sensor, der Daten an diesen Broker sendet, stellt eine andere Anforderung: Hier beginnt der Sensor die Verbindung. Zieladresse und tatsächlich verwendeter Dienstport gehören in die Planung. Die umgangssprachliche Bezeichnung als „Antwort“ macht eine Nachricht nicht zum Rückverkehr einer anderen Verbindung.

Das Gateway ist ein Ziel, keine Garantie für bestimmte Dienste

Die Gateway-Zone betrifft Verkehr zum Gateway selbst oder vom Gateway. Weitergeleiteter Verkehr zwischen zwei anderen Netzen ist davon zu unterscheiden. Beim Zugriff eines Clients auf einen Gateway-Dienst ist das Client-Netz die Quelle und Gateway das Ziel. Entscheidend bleibt, welche Dienste dort tatsächlich laufen. DNS ermittelt IP-Adressen zu Namen. Ein Client kann dafür das Gateway nutzen; ein separat betriebener DNS-Resolver verändert aber das Ziel. Ebenso erzeugt die Freigabe von UDP-Port 123 zum Gateway keinen NTP-Dienst. NTP gleicht Geräteuhren ab. Der konfigurierte Zeitserver muss vorhanden sein und antworten. Eine Portnummer bezeichnet den Zugang zu einem Dienst; die Freigabe startet diesen Dienst nicht.

Eine praktische Dienstliste enthält Quellnetz, Zielhost, Protokoll, Zielport und erwartete Funktion. Die getrennte Prüfung von Adressvergabe, Namensauflösung und Zeitsynchronisation erleichtert die Fehlersuche. Ein erfolgreicher Ping bestätigt diese Dienste nicht.

Dieselbe Zone bedeutet nicht dasselbe Netz

UniFi unterstützt Regeln innerhalb einer Zone, etwa Internal zu Internal. Getrennte Netze, deren Verkehr über das Gateway läuft, lassen sich daher auch bei gleicher Zonenzuordnung filtern. [1]

Direkt miteinander kommunizierende Geräte innerhalb eines VLANs nehmen einen anderen Weg. Gateway-Regeln ersetzen hier keine Kontrollen am Switch oder Access Point. Ubiquiti unterscheidet Gateway-Segmentierung, Zugriffskontrolllisten am Switch (ACLs) und die Trennung von WLAN-Geräten am Access Point. Welche Kontrolle passt, hängt vom Verkehrsweg und den Fähigkeiten der Hardware ab. [2]

Vier Prüffälle verdeutlichen den Unterschied: Geräte in verschiedenen Zonen, verschiedene VLANs derselben Zone, kabelgebundene Geräte in einem VLAN und WLAN-Clients an einem Access Point. Ein erfolgreicher Isolationstest belegt nicht automatisch die anderen drei Fälle.

Eine Prüfung mit nachvollziehbaren Ergebnissen

1. Dokumentation jeder beabsichtigten Verbindung mit konkreter Quelle und Ziel.
2. Prüfung beider Richtungen für neue Verbindungen und der Rückverkehrsfreigabe.
3. Bestimmung des tatsächlichen Wegs über Gateway, Switch oder Access Point.
4. Tests benötigter Dienste und einiger ausdrücklich verbotener Verbindungen.
5. Getrennte Prüfung beider IP-Versionen bei aktiviertem IPv4 und IPv6; eine nur für IPv4 passende Regel belegt keine IPv6-Isolation.
6. Dokumentation der Versionen, relevanten Regelreihenfolge, Beobachtungen und Schritte zum Wiederherstellen der vorherigen Konfiguration.

Der UniFi-Zonenmatrix-Planer hilft beim Dokumentieren der Absichten. Das Werkzeug liest keine installierten Regeln aus, bestätigt keine Gateway-Fähigkeiten und beweist keine Isolation. Aussagekräftig wird der Plan zusammen mit Beobachtungen im tatsächlichen Netz.

Grenze des Planers: Die aktuelle Ausgabe behandelt Rückverkehr pauschal als automatisch erlaubt und stellt die Regelreihenfolge zu stark in den Hintergrund. Diese Vereinfachungen beschreiben die installierte Firewall nicht zuverlässig. Rückverkehrsfreigabe und Reihenfolge müssen deshalb im tatsächlichen Regelwerk geprüft werden.