Manchmal soll ein ganzes Netz zu bestimmten Zeiten keinen Internetzugang haben, etwa das VLAN der Kinder ab 21 Uhr. Manchmal reicht ein einzelnes Gerät, das dauerhaft nicht nach draußen darf. In der UniFi Network Application geht beides mit wenigen Klicks. Dieser Artikel zeigt dir, wie du Zeitpläne und Sperren für Geräte, Netze und VLANs anlegst und was sich seit der zonenbasierten Firewall daran geändert hat.
Wofür das Ganze
Bei uns im Haus hängen die Tablets und Konsolen der Kinder in einem eigenen VLAN. Das hat zwei Vorteile. Die Geräte kommen nicht an Server, Kameras oder Smart-Home-Technik heran, und ich kann das ganze Netz mit einer einzigen Regel steuern, statt jedes Gerät einzeln anzufassen. Ein Zeitplan, der das VLAN nachts vom Internet trennt, ist der Klassiker. Dieselbe Technik funktioniert für eine IP-Kamera, die nie nach draußen telefonieren soll, oder für einen Smart-TV, der nur zwischen 18 und 23 Uhr streamen darf.
Wenn du noch keine VLANs hast, ist das kein Hindernis. Die Regeln lassen sich genauso auf einzelne Clients oder Gerätegruppen anwenden. Wie ich mein Heimnetz in zehn Zonen aufgeteilt habe, steht im Artikel zu meinem VLAN-Setup.
Stand der Oberfläche
Die Screenshots in diesem Artikel stammen aus der Network Application 8, in der es den Menüpunkt Traffic- und Firewall-Regeln gab. Seit Version 9 arbeitet UniFi mit einer zonenbasierten Firewall. Netze werden Zonen zugeordnet, und Regeln heißen jetzt Richtlinien, die zwischen zwei Zonen gelten. Der Weg ist dadurch etwas anders, das Prinzip ist gleich geblieben. Ich beschreibe beide Varianten, damit du dich unabhängig von deiner Version zurechtfindest.
Ein VLAN nach Zeitplan vom Internet trennen
Variante mit Traffic-Regeln (Network 8)
Melde dich in der Network Application an und klicke unten links auf das Zahnrad für die Einstellungen.
Dort gehst du auf Sicherheit und dann auf Traffic- und Firewall-Regeln. Je nachdem, ob du schon Regeln angelegt hast, ist die Liste leer oder gefüllt. Mit Eintrag erstellen legst du eine neue Regel an.
Der Regeltyp bleibt auf Einfach. Vergib einen sprechenden Namen, etwa VLAN Kids Zeitbeschränkung. Als Aktion wählst du Blockieren, denn das Netz soll zu bestimmten Zeiten nicht ins Internet. Die Quelle ist das VLAN, bei mir VLAN Kids, bei dir vermutlich ein anderer Name.
Als Ziel wählst du Internet. Beim Zeitplan hast du die Wahl zwischen täglich, wöchentlich und benutzerdefiniert. Im Beispiel läuft er benutzerdefiniert, damit Schultage und Wochenende unterschiedliche Zeiten bekommen.
Speichern, fertig. Die Regel greift ab dem nächsten Zeitfenster.
Variante mit zonenbasierter Firewall (Network 9 und neuer)
In den Einstellungen findest du den Punkt Richtlinien beziehungsweise Firewall. Dort siehst du eine Matrix aus Zonen. Standardmäßig gibt es Intern, Extern, Gateway, VPN, Hotspot und DMZ, eigene Zonen kannst du ergänzen. Das Kinder-VLAN liegt entweder in Intern oder in einer eigenen Zone, die du dafür anlegst.
- Klicke in der Matrix auf das Feld von der Zone des Kinder-VLANs in Richtung Extern.
- Lege eine neue Richtlinie an, Aktion Blockieren.
- Als Quelle wählst du nicht die ganze Zone, sondern gezielt das Netz VLAN Kids.
- Als Ziel bleibt die Zone Extern, also alles außerhalb deines Netzes.
- Unter Zeitplan wählst du das Zeitfenster, in dem die Regel gelten soll.
Wichtig ist die Reihenfolge. Richtlinien werden von oben nach unten abgearbeitet, die erste passende gewinnt. Eine allgemeine Erlauben-Regel oberhalb deiner Sperre macht die Sperre wirkungslos. Die Reihenfolge änderst du in der Oberfläche per Drag-and-drop.
Einzelne Geräte sperren
Für ein einzelnes Gerät oder eine Handvoll Geräte gehst du genauso vor, nur mit anderer Quelle. Statt des Netzes wählst du den Client direkt aus oder eine Gerätegruppe, die du vorher angelegt hast.
Zwei Dinge sind dabei zu beachten. Erstens sollten die Geräte eine feste IP-Adresse haben, sonst wandert die Regel irgendwann ins Leere, wenn der DHCP-Server eine neue Adresse vergibt. Das erledigst du in den Client-Einstellungen unter Feste IP. Zweitens gibt es für den Fall, dass ein Gerät gar nichts mehr darf, den einfacheren Weg über die Client-Details. Dort findest du den Button Blockieren, der das Gerät komplett vom Netz nimmt. Das ist die Notbremse, kein Zeitplan.
Was die Sperre kann und was nicht
Eine Regel in Richtung Internet trennt nur den Weg nach draußen. Innerhalb des VLANs und zu anderen erlaubten Netzen funktioniert alles weiter. Das ist meistens gewollt, ein Tablet darf nachts ruhig noch den Drucker sehen. Willst du auch den internen Verkehr unterbinden, brauchst du eine zweite Richtlinie mit dem entsprechenden Ziel.
Umgehen lässt sich die Sperre nur mit einem anderen Netz. Wer sein Handy als Hotspot nutzt, ist raus aus deiner Kontrolle. Eine VPN-App auf dem Tablet hilft dagegen nicht, denn der VPN-Tunnel muss ebenfalls durch die Firewall und wird genauso geblockt. DNS-Tricks laufen ins Leere, wenn du ausgehende DNS-Anfragen an fremde Server ohnehin sperrst, was ich für jedes Netz mit Kindern empfehle.
Fazit
Zeitpläne und Sperren gehören zu den Funktionen, die bei UniFi in fünf Minuten eingerichtet sind und danach jahrelang einfach laufen. Ob du noch mit Traffic-Regeln arbeitest oder schon mit der Zonen-Firewall, ändert nur den Weg durch die Menüs. Entscheidend ist eine saubere Quelle, also ein eigenes VLAN oder Geräte mit fester IP, und ein Blick auf die Reihenfolge der Regeln. Dann kannst du das Kinder-Netz abends abschalten, ohne jedes Mal Tablets einzusammeln.
