Ein Gast-WLAN ist längst keine Sache nur für Cafés und Firmen mehr. Wer Besuch hat, will schnell das WLAN teilen, ohne dass der Gast danach im selben Netz sitzt wie Server, Kameras und Smart-Home-Technik. Mit einer UniFi Dream Machine Pro bekommst du das inklusive Anmeldeseite, dem sogenannten Captive Portal, in einer halben Stunde eingerichtet. Dieser Artikel führt dich durch die Einrichtung und erklärt, worauf es bei der Trennung wirklich ankommt.
Warum ein eigenes Netz und nicht nur ein zweites Passwort
Ein zweites WLAN mit anderem Passwort bringt allein noch keine Sicherheit. Solange beide Funknetze im selben Netz landen, sieht der Gast alles, was du auch siehst. Der Punkt ist die Trennung dahinter. Das Gast-WLAN bekommt ein eigenes VLAN mit eigenem Adressbereich, und die Firewall lässt aus diesem Netz genau eine Richtung zu, nämlich ins Internet. Kein Zugriff auf das Heimnetz, keine Server, keine Kameras, nicht einmal die Gäste untereinander.
Bei mir ist das VLAN 5 mit dem Namen Gast. Internet und sonst nichts. Wie das ganze Zonenkonzept aussieht, steht im Artikel zu meinem VLAN-Setup.
Stand der Oberfläche
Die erste Fassung dieses Artikels stammt von 2023 und beschrieb die Menüs der damaligen Network Application. Seit Version 9 gibt es die zonenbasierte Firewall, und UniFi bringt eine eigene Zone namens Hotspot mit, die genau für diesen Zweck gedacht ist. Die folgenden Schritte beziehen sich auf die aktuelle Oberfläche. Menünamen können je nach Version leicht abweichen, die Logik bleibt gleich.
Schritt 1, das Gast-Netz anlegen
- In den Einstellungen unter Netzwerke ein neues Netzwerk anlegen.
- Namen vergeben, etwa Gast, und eine VLAN-ID wählen, die noch frei ist. Bei mir ist das die 5.
- Einen eigenen Adressbereich setzen, zum Beispiel 10.0.5.0/24, mit aktiviertem DHCP.
- Unter Erweitert die Option für Gastnetzwerk beziehungsweise Hotspot aktivieren. Damit landet das Netz automatisch in der Zone Hotspot.
Die Zone Hotspot hat von Haus aus keinen Zugriff auf die anderen Zonen, nur nach Extern. Das ist genau die Trennung, die du willst. Wenn du eine ältere Version ohne Zonen nutzt, erledigt die Einstellung Gastnetzwerk dasselbe über automatisch erzeugte Firewall-Regeln.
Schritt 2, das WLAN erstellen
- In den Einstellungen unter WLAN ein neues WLAN anlegen.
- SSID vergeben, zum Beispiel Weber Gast, und das eben angelegte Netzwerk Gast zuweisen.
- Als Sicherheit WPA2 oder WPA3 mit einem Passwort setzen. Das Passwort darf einfach sein, die eigentliche Absicherung übernimmt die Trennung.
- Client-Isolation aktivieren, damit die Gäste sich gegenseitig nicht sehen.
- Optional das WLAN nur auf bestimmten Access Points ausstrahlen, etwa im Wohnzimmer und auf der Terrasse, aber nicht im Büro.
Ein Tipp aus der Praxis ist die Bandbreitenbegrenzung. Unter den WLAN-Einstellungen kannst du ein Profil zuweisen, das den Gästen beispielsweise 20 Mbit pro Client gibt. Damit zieht ein Update auf dem Handy des Besuchs nicht den Stream im Wohnzimmer in den Keller.
Schritt 3, das Captive Portal einschalten
Das Captive Portal ist die Seite, die ein Gast beim ersten Verbinden sieht, bevor er ins Internet darf. Du findest die Einstellungen unter Hotspot beziehungsweise Gastportal.
- Das Portal für das Netzwerk Gast aktivieren.
- Eine Anmeldemethode wählen. Zur Auswahl stehen ein einfacher Klick auf Verbinden, ein Passwort, Gutscheine mit Laufzeit oder externe Anbieter.
- Die Seite gestalten. Logo hochladen, Farben setzen, Willkommenstext und Nutzungsbedingungen eintragen.
- Die Sitzungsdauer festlegen, also wie lange ein Gast nach der Anmeldung verbunden bleibt, bevor das Portal erneut erscheint.
- Optional eine Weiterleitung nach der Anmeldung eintragen, etwa auf deine Website.
Für Privathaushalte reicht die einfache Variante mit Verbinden-Button und einer Sitzungsdauer von einem Tag. Gutscheine sind praktisch, wenn du Ferienwohnungen vermietest oder den Zugang zeitlich begrenzen willst, ohne das Passwort zu ändern.
Schritt 4, Gutscheine und Verwaltung
Mit der Methode Gutschein erzeugst du Codes mit fester Laufzeit, etwa acht Stunden oder eine Woche, und kannst pro Code die Anzahl der Geräte und die Bandbreite begrenzen. Die Verwaltung läuft im Hotspot-Manager, den du direkt in der Network Application oder über das Ubiquiti-Portal erreichst. Dort siehst du auch, wer gerade verbunden ist, und kannst einzelne Sitzungen beenden.
Schritt 5, testen
Verbinde ein Handy mit dem neuen WLAN. Beim ersten Aufruf einer Website sollte die Portalseite erscheinen. Auf iPhones und Android-Geräten öffnet sie sich meistens automatisch, weil die Systeme beim Verbinden eine Testseite abrufen und die Umleitung erkennen. Nach dem Klick auf Verbinden solltest du ins Internet kommen.
Danach kommt der wichtigere Test. Versuche aus dem Gast-WLAN, dein NAS, deinen Router oder eine Kamera zu erreichen. Nichts davon darf antworten. Wenn doch, sitzt das Netz nicht in der Zone Hotspot oder eine zu breite Regel erlaubt den Zugriff. Kontrolliere in der Zonenmatrix, dass zwischen Hotspot und Intern alles auf Blockieren steht.
Typische Stolperfallen
- Das Portal erscheint nicht, wenn DNS aus dem Gastnetz nicht funktioniert. Der DNS-Server, den das Gast-VLAN per DHCP bekommt, muss aus der Zone Hotspot erreichbar sein. Bei mir ist das AdGuard Home, dafür braucht es eine gezielte Erlauben-Regel für Port 53.
- Manche Geräte merken sich das Portal nicht und fragen bei jedem Verbinden neu. Das liegt meist an zufälligen MAC-Adressen, die moderne Handys pro Netz vergeben. Für einen Privathaushalt ist das kein Problem, für Dauergäste kannst du die Sitzungsdauer verlängern.
- Smart-Speaker oder Chromecasts gehören nicht ins Gast-WLAN. Sie brauchen Multicast und die Sichtbarkeit anderer Geräte, genau das ist im Gastnetz gesperrt.
- Wer den Internetzugang für Gäste öffnet, sorgt sich oft um die Haftung. Die sogenannte Störerhaftung für WLAN-Betreiber wurde in Deutschland 2017 abgeschafft. Ein Hinweis auf die Nutzungsbedingungen im Portal schadet trotzdem nicht.
Fazit
Ein Gast-WLAN mit Captive Portal ist auf einer UDM Pro keine große Sache, wenn du die Reihenfolge einhältst. Erst das Netz mit eigener VLAN-ID und Hotspot-Zone, dann das WLAN mit Client-Isolation, zuletzt das Portal als Aushängeschild. Die eigentliche Arbeit macht die Firewall, das Portal ist die Fassade davor. Wer den Test am Ende nicht auslässt, hat ein Gastnetz, das Besuch bequem nutzen kann, ohne dass jemand in Server oder Kameras stolpert.
