Neues WLAN (SSID) für Gastnetzwerk auf UniFi Controller einrichten
In vielen Umgebungen ist es sinnvoll, ein separates Gastnetzwerk anzubieten. So können Besucher oder externe Dienstleister sicher auf das Internet zugreifen, ohne das interne Unternehmensnetzwerk zu gefährden. Dieser Artikel zeigt, wie man auf einem UniFi Controller eine neue SSID anlegt und dieser ein bereits eingerichtetes VLAN zuweist, zum Beispiel ein VLAN für Gäste.
Voraussetzungen
- UniFi Controller mit Zugriff auf die Weboberfläche.
- Bereits konfiguriertes VLAN (VLAN konfigurieren auf Sophos Firewall und UniFi Switch).
- VLAN ID und die dazugehörigen Firewall-Regeln sind eingerichtet. Das Gast-VLAN muss vom Gateway über die Switch-Uplinks bis zu den Access Points transportiert werden.
- DHCP und DNS für das Gastnetz sind verfügbar; die Firewall erlaubt den nötigen Internetzugriff und sperrt die vorgesehenen internen Ziele.
Neue SSID für das Gastnetzwerk anlegen
UniFi Controller öffnen
- Am UniFi Controller anmelden.
- Links im Menü Settings öffnen.
WLAN-Einstellungen aufrufen
- Im linken Bereich WiFi auswählen.
- Die Übersicht der vorhandenen WLAN-Netzwerke (SSIDs) prüfen.
Neue SSID erstellen
- Create New anklicken.
- Einen Namen für das Netzwerk vergeben, zum Beispiel GUEST.
- Ein Passwort festlegen, das Gäste verwenden sollen. Auf ausreichend Komplexität achten.
VLAN zuweisen
- In den Einstellungen unter Network kann man nun das zuvor erstellte VLAN definieren.
- Das zuvor erstellte VLAN für das Gastnetzwerk auswählen, zum Beispiel WLAN Guest.
Erweiterte Einstellungen (optional)
- Unter Advanced können weitere Optionen konfiguriert werden, zum Beispiel Guest Portal, Hotspot 2.0, Captive Portal oder Bandwidth Limits.
- Die Optionen unterscheiden sich nach UniFi-Network-Version. Für die Trennung von WLAN-Clients Client Device Isolation in den erweiterten SSID-Einstellungen prüfen. Diese Kontrolle betrifft Clients am selben Access Point und ersetzt keine Firewall-Regeln zwischen VLANs oder eine zusätzliche Isolation über Switches und mehrere Access Points hinweg.
Speichern und Anwenden
- Abschliessend Add WiFi Network anklicken, um die neue SSID zu erstellen.
- Nach kurzer Zeit sollte das WLAN für Gäste sichtbar sein.
Überprüfung der Konfiguration
- Verbindungsversuch: Testweise mit dem neuen WLAN verbinden und prüfen, ob eine korrekte IP-Adresse aus dem Gast-VLAN bezogen wird, sofern im Netzwerk bereits ein DHCP-Server eingerichtet wurde.
- Firewall Regeln: In der Sophos Firewall oder Gateway-Firewall prüfen, ob die passenden Regeln greifen.
- Netztrennung: Mit einem Gastclient prüfen, dass die vorgesehenen internen VLANs und Managementadressen nicht erreichbar sind. Dies wird über die Gateway-Firewall geprüft, nicht allein über die SSID-Einstellung.
- Client-Isolierung: Mit zwei Testclients am selben Access Point und, falls vorhanden, an unterschiedlichen Access Points prüfen, dass die erwartete gegenseitige Sperre greift. Ein erfolgreicher Internetzugriff allein belegt diese Isolation nicht.
Bleiben DHCP, DNS, Netztrennung oder Client-Isolation unklar, die SSID noch nicht für Gäste freigeben. Bei unerwartetem Zugriff die neue SSID bis zur Korrektur deaktivieren; bestehende VLANs und Firewall-Regeln nicht auf Verdacht entfernen.