Zwei UniFi-Standorte verbinden: Site-to-Site-VPN mit Site Magic & IPsec einrichten

Wer zwei Standorte betreibt – etwa Zuhause und Buero oder ein Ferienhaus –, moechte oft, dass beide Netze so zusammenarbeiten, als waeren sie eins: NAS-Backups zwischen den Standorten, ein zentraler Drucker oder der Zugriff auf Kameras. Genau das leistet ein Site-to-Site-VPN, das die beiden UniFi-Gateways ueber einen verschluesselten Tunnel dauerhaft verbindet. UniFi bietet dafuer zwei Wege: das automatische Site Magic und das klassische, manuelle IPsec.

Zwei UniFi-Standorte werden über einen verschlüsselten Tunnel gekoppelt.

Zwei Wege, ein Ziel: Site Magic vs. IPsec

Ein Site-to-Site-VPN verbindet nicht einzelne Geraete, sondern ganze Netzwerke miteinander. Statt sich per Client-VPN einzuwaehlen, koennen Geraete an Standort A die Geraete an Standort B direkt erreichen, als saessen sie im selben Gebaeude. UniFi kennt dafuer zwei grundverschiedene Ansaetze, deren Wahl fast immer davon abhaengt, was auf der Gegenseite steht.

Site Magic – Auto-VPN zwischen UniFi-Sites

Site Magic ist Ubiquitis Auto-VPN und im Kern der bequemste Weg, wenn an beiden Standorten UniFi-Gateways stehen und diese in derselben UniFi-Verwaltung (UniFi Site Manager, dieselbe Organisation) liegen. Der Tunnel wird auf WireGuard-Basis quasi per Klick aufgebaut: Man waehlt die beteiligten Sites aus, legt die Topologie fest und aktiviert die Verbindung – den verschluesselten Tunnel zwischen den Gateways stellt UniFi selbst her. Es sind kein manueller Schluesseltausch, keine Zusatzhardware und keine laufende Gebuehr noetig; auch NAT-Traversal muss man nicht selbst loesen.

Site Magic unterstuetzt zwei Topologien: Mesh (jede Site baut direkte Tunnel zu jeder anderen auf, ohne zentralen Knoten) und Hub & Spoke (ein zentraler Hub buendelt den Verkehr, weshalb hier nur die groesseren Cloud-Gateways als Hub in Frage kommen). Fuer zwei Standorte reicht in der Regel eine einfache Mesh-Verbindung.

IPsec – manuell zu Nicht-UniFi-Gegenstellen

Steht auf der Gegenseite kein UniFi-Geraet – etwa eine Fritzbox, eine pfSense/OPNsense, ein Firmen-Firewall-Cluster oder das Gateway eines Cloud-Anbieters –, dann ist Site Magic keine Option. Hier fuehrt der Weg ueber IPsec, den herstelleruebergreifenden VPN-Standard. IPsec verbindet ein UniFi-Gateway mit einer beliebigen entfernten Gegenstelle und nutzt einen Pre-Shared Key (gemeinsames Passwort) zur Authentifizierung. Die Konfiguration ist manuell: Gegenstellen-IP, Schluessel und die beteiligten Subnetze muessen auf beiden Seiten sauber und passend eingetragen werden.

UniFi baut IPsec standardmaessig als Route-Based-Tunnel auf (alternativ Policy-Based). Der Vorteil des routenbasierten Ansatzes: Er nutzt eine virtuelle Netzverbindung zwischen den Standorten, sodass die Gateways die noetigen statischen Routen automatisch anlegen. Auch die passenden Firewall-Regeln werden fuer Standardfaelle automatisch erzeugt, sodass sich der Handaufwand in Grenzen haelt.

Voraussetzungen

Site Magic: An beiden Standorten ein kompatibles UniFi-Gateway (z. B. UDM Pro, UDM SE, UDM Pro Max, UCG Max, UCG Ultra, UCG Fiber, Dream Router 7, UXG Pro/Enterprise), beide Sites in derselben UniFi-Verwaltung.
IPsec: Ein UniFi-Gateway auf der einen Seite, eine IPsec-faehige Gegenstelle auf der anderen. Die entfernte Gegenstelle wird als IPv4-Adresse eingetragen – ohne feste oeffentliche IP auf beiden Seiten gibt es Probleme; alternativ hilft DDNS.
Immer: Die Subnetze der Standorte duerfen sich nicht ueberlappen (siehe unten).

Der wichtigste Stolperstein: ueberlappende Subnetze

Egal welchen Weg Sie waehlen – die beiden Netze muessen unterschiedliche IP-Bereiche verwenden. Nutzen beide Standorte den Werkszustand 192.168.1.0/24, kann das Routing nicht entscheiden, ob eine Adresse lokal oder auf der Gegenseite liegt, und die Verbindung bleibt praktisch nutzlos. Vergeben Sie daher vorab getrennte Bereiche, etwa 192.168.10.0/24 am Standort A und 192.168.20.0/24 am Standort B. Site Magic ist hier zwar toleranter als klassisches IPsec, aber die saubere Trennung ist in beiden Faellen die richtige Grundlage.

Grober Ablauf fuer Site Magic

Beide Standorte unter demselben UniFi-Konto adoptieren, sodass beide Sites im UniFi Site Manager erscheinen.
Vorab pruefen, dass die LAN-Subnetze an beiden Standorten unterschiedlich sind.
In der Site-Magic-Verwaltung die beiden Sites auswaehlen, die verbunden werden sollen.
Topologie waehlen (fuer zwei Standorte meist Mesh) und optional festlegen, welche Netze bzw. Routen ueber den Tunnel erreichbar sein sollen.
Verbindung aktivieren – UniFi baut den Tunnel auf. Danach ping- oder Freigabetest zwischen den Standorten durchfuehren.

Die genauen Menuebezeichnungen aendern sich mit den UniFi-Versionen; halten Sie sich im Zweifel an die offizielle Ubiquiti-Dokumentation (Quellen unten).

Site Magic oder IPsec? Der direkte Vergleich

Kriterium	Site Magic	IPsec (manuell)
Gegenstelle	Nur UniFi-Sites (gleiche Verwaltung)	Beliebig, auch Nicht-UniFi
Aufwand	Sehr gering, quasi ein Klick	Manuelle Konfiguration beidseitig
Technik	WireGuard-basiert	IPsec, Route- oder Policy-Based
Authentifizierung	Automatisch ueber UniFi-Konto	Pre-Shared Key
Feste IP noetig	Nein (auch hinter dynamischer IP)	Ja bzw. DDNS empfohlen
Topologien	Mesh sowie Hub & Spoke	Punkt-zu-Punkt
Subnetz-Ueberlappung	Tolerant, Trennung dennoch ratsam	Muss zwingend getrennt sein

Typische Anwendungsfaelle

NAS-Backup zwischen Standorten: Das NAS im Buero sichert nachts automatisch auf das NAS Zuhause (Offsite-Backup) – ohne Cloud-Dienst.
Zentraler Drucker: Ein Drucker am Hauptstandort ist auch vom Ferienhaus aus ansprechbar.
Kameras & Ueberwachung: Zugriff auf die UniFi-Protect- oder IP-Kameras des zweiten Standorts, ohne Portfreigaben ins Internet.
Gemeinsame Dienste: Homelab, Fileserver oder interne Weboberflaechen sind standortuebergreifend erreichbar.

Haeufige Fragen

Brauche ich fuer Site Magic eine feste oeffentliche IP? Nein. Site Magic baut den Tunnel ueber die UniFi-Cloud auf und funktioniert auch hinter dynamischen IP-Adressen. Fuer manuelles IPsec dagegen sollten beide Seiten eine feste oeffentliche IP haben oder DDNS nutzen.

Kann ich Site Magic nutzen, wenn nur ein Standort ein UniFi-Gateway hat? Nein. Site Magic verbindet ausschliesslich UniFi-Sites derselben Verwaltung. Fuer eine gemischte Umgebung ist IPsec der richtige Weg.

Warum erreichen sich die Geraete trotz Tunnel nicht? Haeufigste Ursache sind identische Subnetze an beiden Standorten. Vergeben Sie getrennte IP-Bereiche und pruefen Sie, ob die betreffenden Netze auch fuer den Tunnel freigegeben sind.

Wie viele Standorte kann ich verbinden? Mit der Mesh-Topologie lassen sich mehrere Sites direkt vernetzen; fuer viele Standorte ist Hub & Spoke effizienter, das aber leistungsfaehigere Cloud-Gateways als Hub voraussetzt.