Den UniFi-Traffic über einen VPN routen zu lassen, ist einer der praktischsten Griffe im UniFi-Ökosystem: Du kannst ein ganzes Netzwerk, ein einzelnes VLAN oder auch nur bestimmte Geräte gezielt durch einen VPN-Tunnel schicken – ohne auf jedem Endgerät einen Client zu installieren. Typische Anwendungsfälle sind eine statische Route ins Firmennetz, das Absichern eines Gast- oder IoT-Netzes über einen kommerziellen VPN-Anbieter oder schlicht der Wunsch, den Datenverkehr einzelner Clients zu anonymisieren. In dieser Anleitung zeigen wir Schritt für Schritt, wie du in der UniFi Network Application einen VPN-Client anlegst und den gewünschten Traffic sauber darüber leitest.
VPN-Client vs. Site-to-Site: Wo liegt der Unterschied?
Bevor du loslegst, lohnt sich die Unterscheidung zweier Betriebsarten. Bei einer Site-to-Site-Verbindung koppelst du zwei Netzwerke (LANs) dauerhaft miteinander – etwa deinen Standort mit einem Firmenstandort. Beide Seiten „sehen“ sich gegenseitig, Ressourcen lassen sich standortübergreifend nutzen.
Die VPN-Client-Option funktioniert dagegen anders: Deine UniFi-Konsole verbindet sich selbst als Client mit einem öffentlichen VPN-Endpunkt – also direkt ins Internet über einen Anbieter deiner Wahl. Genau diese Variante brauchst du, wenn du den Internet-Traffic eines Netzwerks oder einzelner Geräte über einen kommerziellen VPN leiten möchtest. Die Funktion steht in der Network Application ab Version 7.3.76 zur Verfügung; anfangs war sie nur über den Early-Access-Kanal erreichbar, inzwischen ist sie fester Bestandteil aktueller Releases.
Voraussetzung für beide Wege ist ein UniFi-Gateway, etwa eine UniFi Dream Machine Pro. Ein reiner Switch oder Access Point kann keine VPN-Routen verwalten – die Logik läuft immer auf dem Gateway.
UniFi-VPN-Client anlegen
Halte vor dem Start das OpenVPN-Konfigurationsprofil (.ovpn) sowie die Zugangsdaten deines VPN-Anbieters bereit. Anschließend gehst du in der Network Application so vor:
- Öffne die Einstellungen und navigiere zu „Teleport & VPN“.
- Scrolle bis zum Abschnitt „VPN Client“ ganz nach unten.
- Klicke auf „Create New VPN Client“.
- Trage einen aussagekräftigen Namen ein, hinterlege die Zugangsdaten und lade das OpenVPN-Profil hoch.
- Prüfe die Verbindung mit „Test“ und speichere anschließend mit „Save“.
Nach dem Speichern steht der VPN-Tunnel bereit – allerdings fließt jetzt noch kein Datenverkehr hindurch. Der Tunnel ist zunächst nur die „Leitung“; welcher Traffic hineingeht, entscheidest du im nächsten Schritt über eine Route.
Traffic per Route über den UniFi-VPN leiten
Das Herzstück ist die Routen-Funktion unter dem Menüpunkt „Traffic Management“. Hier legst du fest, welche Quelle über den eben erstellten Tunnel geleitet wird – wahlweise ein komplettes Netzwerk, ein einzelnes VLAN oder ausgewählte Geräte:
- Öffne „Traffic Management“ und wähle „Create New Route“.
- Unter „Target“ bestimmst du die Quelle: ein ganzes Netzwerk/VLAN oder einzelne Geräte.
- Wähle unter „Interface“ den zuvor angelegten VPN-Client aus.
- Vergib einen Namen und speichere die Route.
- Ab sofort wird der ausgewählte Traffic durch den VPN-Tunnel geroutet.
Praxis-Tipp: Gast- und IoT-Netze gezielt absichern
Besonders sinnvoll ist diese Technik in Kombination mit sauber getrennten Netzen. Wenn du dein Gastnetz oder IoT-Geräte in einem eigenen VLAN betreibst, kannst du gezielt nur dieses Segment über den VPN routen und dein Hauptnetz unangetastet lassen. Falls du die Grundlagen dazu noch schaffen musst, helfen dir unsere Anleitungen zum VLAN in UniFi einrichten sowie zum Gast-WLAN in UniFi. So entsteht eine klare Trennung: sensibler Traffic direkt, unkritischer oder anonymisierungswürdiger Traffic über den Tunnel.
Fazit
Mit dem VPN-Client und der Routen-Funktion bietet UniFi ein flexibles Werkzeug, um Traffic granular zu steuern – vom kompletten Netzwerk bis zum einzelnen Gerät. Der Ablauf ist immer derselbe: erst den Tunnel als VPN-Client anlegen, dann über eine Route im Traffic Management festlegen, welche Quelle darüber laufen soll. In wenigen Minuten hast du so ein zentrales, wartungsarmes Setup, das ganz ohne Client-Software auf den Endgeräten auskommt. Achte lediglich auf ein leistungsfähiges Gateway und einen VPN-Anbieter mit ausreichend Durchsatz, damit die Geschwindigkeit nicht zum Flaschenhals wird.
Häufige Fragen (FAQ)
Wird der über den VPN geroutete Traffic von der DPI erfasst?
Ja. Der Datenverkehr, der durch den VPN-Tunnel geleitet wird, wird weiterhin von der Deep-Packet-Inspection-Funktion (DPI) des UniFi-Gateways analysiert.
Bremst das Routing über einen VPN meine Internetgeschwindigkeit?
Ja, ein VPN kann die Geschwindigkeit beschränken. Zum einen begrenzt der maximale Durchsatz des VPN-Servers die Bandbreite – das hängt vom Anbieter ab. Zum anderen beansprucht der Tunnel die CPU des UniFi-Gateways; ist diese ausgelastet, wird die Geschwindigkeit gedrosselt.
Welche VPN-Technologie unterstützt der UniFi VPN-Client?
Der VPN-Client nutzt das OpenVPN-Protokoll. Du benötigst daher ein gültiges .ovpn-Profil deines Anbieters samt Zugangsdaten.
Brauche ich zwingend ein UniFi-Gateway?
Ja. VPN-Client und Routing laufen auf dem Gateway, etwa einer UniFi Dream Machine Pro (SE). Ein reiner Switch oder Access Point kann diese Funktionen nicht übernehmen.
Kann ich nur einzelne Geräte statt eines ganzen Netzwerks über den VPN leiten?
Ja. Beim Anlegen der Route wählst du unter „Target“ entweder ein komplettes Netzwerk bzw. VLAN oder gezielt einzelne Geräte aus. So bleibt der übrige Traffic auf der normalen Internetverbindung.