UniFi Gäste-WLAN mit Captive Portal einrichten: Wie gebe ich Besuchern oder Kunden sicher Internetzugang?

Ein Gäste-WLAN gehört in jedes Netz, in dem Besucher online gehen sollen, ohne an Drucker, NAS oder Praxis-PC zu kommen. Mit der UniFi Network Application lässt sich das sauber lösen: eigenes Netzwerk, Hotspot-Portal, Zeitlimit und Bandbreitenbegrenzung. Die Menübezeichnungen unterscheiden sich je nach Version der Network Application leicht, das Vorgehen bleibt aber gleich.

Wie richte ich ein Gäste-WLAN in der UniFi Network Application ein?

Legen Sie zuerst ein eigenes Netzwerk (VLAN) für Gäste an, am besten mit eigenem Adressbereich, zum Beispiel einem separaten /24. Unter *Einstellungen → Netzwerke* erstellen Sie ein neues Netzwerk und markieren es als Gastnetzwerk. Danach legen Sie unter *Einstellungen → WiFi* eine neue SSID an und weisen ihr dieses Netzwerk zu. Wichtig: Das Gastnetz muss auf dem Gateway (Dream Machine, Cloud Gateway oder USG) enden und über alle Switch-Ports getaggt bis zu den Access Points durchgereicht werden. Fehlt das VLAN auf einem Uplink-Port, verbinden sich Geräte zwar mit der SSID, bekommen aber keine IP-Adresse.

Passwort, Voucher oder Landing Page: Was ist die richtige Zugangsart?

Das hängt davon ab, wie viel Kontrolle Sie brauchen.

• Einfaches WPA2/WPA3-Passwort ohne Portal: Am wenigsten Aufwand, geeignet für kleine Ferienwohnungen. Nachteil: Jeder mit dem Passwort ist dauerhaft im Gastnetz, und eine Zeitbegrenzung pro Gerät gibt es nicht.
• Hotspot-Portal mit Voucher: Sie erzeugen Codes mit definierter Gültigkeit, Datenlimit und Geschwindigkeit. Das passt gut für Ferienwohnungen mit wechselnden Gästen und für Ladengeschäfte, wo der Code an der Kasse ausgegeben wird.
• Hotspot-Portal mit Landing Page und Einverständnis: Gäste bestätigen Nutzungsbedingungen per Klick. Praktisch für Wartebereiche in Praxen, wenn Sie keine Codes verwalten wollen.

Das Portal aktivieren Sie unter *Einstellungen → Hotspot* (je nach Version unter „Gastportal“ oder Ähnlichem). Dort wählen Sie die Authentifizierung, legen die Gültigkeitsdauer fest und können Logo, Text und Weiterleitung anpassen. Vouchers erstellen und verwalten Sie anschließend im Hotspot-Manager.

Wie begrenze ich Zeit und Bandbreite pro Gast?

Die Zeitbegrenzung stellen Sie im Portal ein, entweder als allgemeine Gültigkeit der Freischaltung oder pro Voucher. Nach Ablauf muss sich das Gerät neu authentifizieren. Für die Bandbreite gibt es zwei Ebenen: Beim Voucher können Sie Download- und Upload-Limits pro Gast hinterlegen. Zusätzlich lässt sich in den Portal-Einstellungen ein Standardlimit für alle Gäste setzen. Wählen Sie die Werte nicht nach Gefühl, sondern orientieren Sie sich an Ihrem Anschluss: Die Summe der gleichzeitig aktiven Gäste sollte Ihre eigene Nutzung (Telefonie, Cloud, Kassensystem) nicht verdrängen. Bei knappen Upload-Raten lohnt sich ein deutlich strengeres Upload-Limit.

Wie trenne ich Gäste zuverlässig vom internen Netz?

Wenn das Netzwerk als Gastnetz markiert ist, setzt UniFi automatisch Firewall-Regeln, die den Zugriff auf andere interne Netze blockieren. Verlassen Sie sich trotzdem nicht blind darauf, sondern testen Sie es: Verbinden Sie ein Smartphone mit dem Gast-WLAN und versuchen Sie, die IP eines Druckers oder NAS im Hauptnetz aufzurufen. Das darf nicht funktionieren. Zusätzlich sinnvoll:

• Client-Isolation (Geräteisolierung) aktivieren, damit sich Gäste untereinander nicht sehen.
• Die Verwaltungsoberfläche des Controllers nicht aus dem Gastnetz erreichbar lassen.
• Bei eigenen Firewall-Regeln auf die Reihenfolge achten: Erlaubnisregeln für Ausnahmen müssen vor den Sperrregeln stehen.

In Praxen ist das besonders wichtig, weil dort Systeme mit Patientendaten im Netz hängen. Das Praxisnetz gehört in ein eigenes VLAN, das vom Gastnetz vollständig getrennt ist. Zur datenschutzrechtlichen Seite (Protokollierung, Einwilligungstexte) sollten Sie sich separat beraten lassen.

Das Portal erscheint nicht oder zeigt HTTPS-Warnungen: Was prüfe ich?

Das sind die häufigsten Fehlerbilder aus der Praxis:

1. Portal erscheint nicht automatisch: Moderne Geräte öffnen die Anmeldeseite über eine Erkennungsabfrage. Wenn das Gerät sie nicht auslöst, rufen Sie testweise eine reine HTTP-Seite auf. Prüfen Sie außerdem, ob das Gerät eine private MAC-Adresse nutzt und ob DNS im Gastnetz funktioniert. 2. Keine IP-Adresse oder kein Internet: VLAN nicht auf allen Switch-Ports getaggt, DHCP im Gastnetz deaktiviert oder falsches Gateway. 3. Portal lädt nur über die IP: Die Gäste müssen den Controller bzw. das Gateway im Gastnetz erreichen können. Eine Sperrregel, die zu breit gefasst ist, blockiert auch das Portal. 4. HTTPS-Warnung: Das Portal läuft standardmäßig mit einem selbst signierten Zertifikat. Bei Aufruf einer HTTPS-Seite vor der Anmeldung meldet der Browser einen Fehler. Das lässt sich nicht durch „Ignorieren“ lösen, sondern nur mit einem gültigen Zertifikat auf einem Hostnamen, der im Gastnetz auf den Controller zeigt. Alternativ bleibt es bei der Erkennungsseite, die Gäste ohnehin automatisch geöffnet bekommen. 5. Nach Anmeldung kein Zugriff: Pre-Authorization-Regeln und Zugriffsbeschränkungen prüfen, die Seiten wie Zahlungs- oder Anmeldedienste vor der Freischaltung erlauben sollen.

Was ist je nach Einsatz zu beachten?

Ferienwohnung: Voucher mit Gültigkeit passend zur Aufenthaltsdauer, Bandbreite begrenzt, Portal zweisprachig. Der Controller sollte zuverlässig dauerhaft laufen, etwa auf einer Dream Machine, damit nach Stromausfall nichts verloren geht.

Praxis: Strikte VLAN-Trennung, Landing Page mit Nutzungsbedingungen, kurze Gültigkeit. Keine Verbindung ins Praxisnetz, auch nicht für Drucker.

Ladengeschäft: Einfaches Portal mit Einverständnis oder Voucher an der Kasse, Bandbreite pro Gast niedrig halten, damit Kassensystem und EC-Terminal Vorrang behalten. Dafür kann man deren VLAN zusätzlich priorisieren.

Wenn Sie bei Planung, VLAN-Konfiguration oder der Fehlersuche unsicher sind, unterstützt Sie der Fachbetrieb gern.