Smart-Home-Geräte, Gäste und deine Arbeitsrechner im selben Netz? Das ist unnötig riskant. Mit VLANs teilst du dein Netzwerk in getrennte Bereiche. In dieser Anleitung zeigen wir dir, wie du ein VLAN in UniFi einrichtest – vom neuen Netzwerk über die Port-Zuweisung bis zur Isolation per Firewall-Regel. Der Aufwand ist gering, der Sicherheitsgewinn enorm: Mit sauberer Netzwerksegmentierung in UniFi hältst du IoT-Geräte, Gäste und deine vertrauenswürdigen Clients dauerhaft auseinander. Wir erklären zusätzlich, wie du deine VLANs planst, typische Fehler vermeidest und dein Netz nach dem Einrichten testest.
- Was ist ein VLAN – und warum?
- Schritt 1: Ein neues Netzwerk anlegen
- Schritt 2: Das VLAN einem WLAN zuweisen
- Schritt 3: Switch-Ports zuweisen
- Schritt 4: VLANs mit Firewall-Regeln isolieren
- VLAN-Planung: welche Segmente sinnvoll sind
- Best Practices für sichere VLANs
- Häufige Probleme beim VLAN-Setup lösen
- Häufige Fragen
- Wie viele VLANs brauche ich zu Hause?
- Verliere ich durch VLANs an Geschwindigkeit?
- Funktioniert ein VLAN ohne Managed Switch?
- Fazit
Was ist ein VLAN – und warum?
Ein VLAN (Virtual LAN) trennt ein physisches Netzwerk logisch in mehrere unabhängige Netze. Jedes bekommt einen eigenen IP-Bereich und eine VLAN-ID. Der Vorteil: Geräte in einem VLAN erreichen die anderen nur, wenn du es ausdrücklich erlaubst – ideal, um IoT-Geräte, Gäste und vertrauenswürdige Clients zu trennen.
Schritt 1: Ein neues Netzwerk anlegen
Öffne in der UniFi-Oberfläche Settings → Networks → New Virtual Network. Vergib einen Namen (z. B. „IoT“) und eine VLAN-ID zwischen 2 und 4094. UniFi legt automatisch einen passenden IP-Bereich an, den du bei Bedarf anpasst.
Schritt 2: Das VLAN einem WLAN zuweisen
Damit sich WLAN-Geräte ins VLAN einbuchen, verknüpfst du es mit einer SSID. Unter Settings → WiFi wählst du beim jeweiligen Netzwerk unter „Network“ dein neues VLAN aus. Wie du ein separates WLAN erstellst, zeigt Gäste-WLAN in UniFi einrichten.
Schritt 3: Switch-Ports zuweisen
Für kabelgebundene Geräte legst du den Port auf das VLAN. In den Port-Einstellungen des Switches wählst du dein VLAN als „Native Network“. So landet alles, was an diesem Port hängt, im richtigen Segment.
Schritt 4: VLANs mit Firewall-Regeln isolieren
Standardmäßig dürfen VLANs oft noch miteinander reden. Die eigentliche Sicherheit bringen erst Firewall-Regeln. Lege unter Settings → Firewall & Security eine Regel an, die den Verkehr zwischen den VLANs blockiert:
- Typ: LAN In.
- Aktion: Drop.
- Quelle: das zu isolierende VLAN (z. B. IoT).
- Ziel: deine anderen Netze.
So kommen IoT-Geräte weiterhin ins Internet, aber nicht mehr an deine privaten Geräte.
VLAN-Planung: welche Segmente sinnvoll sind
Bevor du das erste VLAN in UniFi einrichtest, lohnt sich ein kurzer Plan. Überlege dir, welche Gerätegruppen wirklich getrennt gehören. Für ein typisches Heimnetz haben sich drei bis vier Segmente bewährt – jedes mit eigener VLAN-ID und eigenem IP-Bereich. So bleibt die Struktur übersichtlich und du weißt später genau, welche Firewall-Regel welchen Bereich betrifft.
| VLAN-ID | Segment | Typische Geräte |
|---|---|---|
| 10 | Vertrauenswürdig | Laptops, PCs, Smartphones |
| 20 | IoT / Smart Home | Steckdosen, Lampen, Kameras, Sprachassistenten |
| 30 | Gäste | Geräte von Besuchern |
| 40 | Server / NAS | Heimserver, NAS, Docker-Hosts |
Halte die VLAN-IDs einfach und dokumentiere sie. Ein durchdachtes Schema erspart dir später viel Sucherei, wenn du eine neue Regel oder einen weiteren Access Point ergänzt.
Best Practices für sichere VLANs
Ein VLAN allein trennt noch nichts – erst die richtige Kombination aus Isolation, DNS und Firewall macht dein Netz wirklich sicher. Diese Grundregeln solltest du beherzigen:
- Default-Deny statt Default-Allow: Blockiere den Verkehr zwischen VLANs grundsätzlich und erlaube nur gezielt, was wirklich nötig ist.
- IoT konsequent isolieren: Smart-Home-Geräte brauchen meist nur Internet, keinen Zugriff auf dein NAS oder deine PCs.
- Management-Netz separat halten: Verwalte UniFi-Geräte idealerweise über ein eigenes, gut geschütztes Segment.
- Sauberes DNS pro VLAN: Kombiniere die Segmentierung mit einem zentralen DNS wie Pi-hole, um Tracking netzwerkweit zu filtern.
- Regeln dokumentieren: Notiere zu jeder Firewall-Regel den Zweck – das erleichtert spätere Änderungen enorm.
Wenn du zusätzlich den DNS-Server anpassen willst, hilft dir DNS-Server bei UniFi-Geräten ändern weiter. Denk außerdem daran, deine Access Points und Switches nach dem Einrichten auf die aktuelle Firmware zu bringen – gerade bei VLAN- und Firewall-Funktionen bügeln Updates häufig kleine Fehler aus und bringen neue Optionen mit. Ein wöchentlicher Blick in die UniFi-Konsole reicht dafür völlig aus.
Häufige Probleme beim VLAN-Setup lösen
Nach dem Einrichten funktioniert nicht immer alles auf Anhieb. Die meisten Stolperfallen lassen sich schnell beheben, wenn du weißt, wo du suchen musst:
- Keine IP-Adresse im VLAN: Prüfe, ob der DHCP-Server für das neue Netzwerk aktiv ist und der Switch-Port das richtige „Native Network“ nutzt.
- Gerät landet im falschen Segment: Kontrolliere die Port-Zuweisung am Switch und die Netzwerk-Auswahl der SSID.
- VLANs erreichen sich trotz Regel: Achte auf die Reihenfolge der Firewall-Regeln – eine zu allgemeine „Allow“-Regel weiter oben kann deine „Drop“-Regel aushebeln.
- Smart Home findet Geräte nicht mehr: Dienste wie mDNS/Bonjour arbeiten nur innerhalb eines Segments. UniFi bietet dafür eine „mDNS“-Option, die Geräte über VLAN-Grenzen hinweg auffindbar macht.
Häufige Fragen
Wie viele VLANs brauche ich zu Hause?
Für die meisten Haushalte reichen drei bis vier Segmente: ein vertrauenswürdiges Netz, ein IoT-Netz, ein Gäste-Netz und optional ein Server-Netz. Mehr VLANs bedeuten mehr Regeln und mehr Pflege – fang lieber schlank an und erweitere bei Bedarf.
Verliere ich durch VLANs an Geschwindigkeit?
Nein. VLAN-Tagging verursacht praktisch keinen spürbaren Overhead. Moderne UniFi-Switches verarbeiten getaggten Verkehr in Hardware. Erst wenn du sehr viel Verkehr zwischen VLANs routest, kann die Leistung deines Gateways zum Flaschenhals werden. Für den normalen Heimgebrauch, bei dem der Großteil des Verkehrs Richtung Internet läuft, ist das aber kein Thema – die Segmentierung bleibt für dich unbemerkt schnell.
Funktioniert ein VLAN ohne Managed Switch?
Für getaggten kabelgebundenen Verkehr brauchst du einen VLAN-fähigen (managed) Switch. Rein über WLAN kannst du Geräte per SSID einem VLAN zuweisen – für die volle Trennung im gesamten Netz führt an einem Managed Switch aber kein Weg vorbei.
Fazit
Mit einem VLAN trennst du dein Netzwerk sauber in Zonen – Netzwerk anlegen, VLAN-ID vergeben, Ports und WLAN zuweisen, per Firewall isolieren. Das ist einer der größten Sicherheitsgewinne im Heimnetz. Als Nächstes lohnt sich ein Blick auf die DNS-Einstellungen deiner UniFi-Geräte.