UniFi Gateway oder Fritzbox: Wie betreibe ich eine UniFi Dream Machine hinter einem Router mit Glasfaser- oder Kabelanschluss richtig?

Wer eine UniFi Dream Machine (UDM) einsetzen will, hat meist schon eine Fritzbox oder einen Provider-Router am Anschluss. Dann stellt sich die Frage, ob die Dream Machine den Router ersetzt oder dahinter läuft. Dieser Beitrag zeigt die drei üblichen Varianten, erklärt Doppel-NAT, Portfreigaben, VPN, IPv6 und Telefonie und endet mit einer Entscheidungshilfe.

Welche Betriebsarten gibt es überhaupt?

Es gibt drei praxistaugliche Varianten. Erstens der Betrieb hinter der Fritzbox: Die Fritzbox bleibt Router, die UDM hängt mit ihrem WAN-Port an einem LAN-Port der Fritzbox und bekommt von dort eine private Adresse. Zweitens die Fritzbox als reines Modem beziehungsweise die UDM als Router: Die Fritzbox übernimmt nur noch die Anbindung, soweit das Gerät und der Anschluss das zulassen, und die UDM wählt sich selbst ein oder bekommt die öffentliche Adresse durchgereicht. Drittens die komplette Ablösung: Bei Glasfaser mit ONT oder bei Kabel mit einem reinen Modem hängt die UDM direkt am Anschluss und ist der einzige Router.

Die erste Variante ist am schnellsten eingerichtet, die dritte am saubersten. Welche bei Ihnen geht, hängt vom Anschluss ab, dazu unten mehr.

Wie entsteht Doppel-NAT und wie erkenne ich es?

Doppel-NAT entsteht, wenn zwei Geräte hintereinander Adressen übersetzen. Das ist genau der Fall, wenn die UDM mit privater WAN-Adresse (zum Beispiel aus dem Bereich 192.168.178.x) hinter der Fritzbox hängt. Ausgehender Verkehr funktioniert meist ohne Probleme, eingehende Verbindungen kommen aber an der Fritzbox an und enden dort, solange nichts weitergeleitet wird.

Erkennen können Sie es einfach: Sehen Sie in der UniFi-Oberfläche die WAN-Adresse der UDM nach. Liegt sie in einem privaten Bereich (10.x, 172.16–31.x, 192.168.x), haben Sie eine NAT-Stufe davor. Weicht die dort angezeigte Adresse zusätzlich von der öffentlichen Adresse ab, die eine „Wie ist meine IP“-Seite im Browser anzeigt, ist es eindeutig. Bei Kabelanschlüssen kommt unter Umständen ein dritter Fall dazu: Manche Tarife arbeiten mit Carrier-Grade-NAT, dann hat auch die Fritzbox keine öffentliche IPv4-Adresse, und Portfreigaben sind nicht möglich, egal was Sie dahinter bauen.

Wie funktionieren Portfreigaben, wenn die UDM hinter der Fritzbox hängt?

Sie brauchen zwei Schritte. In der Fritzbox geben Sie den benötigten Port an die WAN-Adresse der UDM frei, oder Sie setzen die UDM als „Exposed Host“ (in der Fritzbox-Oberfläche als „Exposed Host“ bzw. Freigabe für „uneingeschränkten Zugriff“ zu finden, die Bezeichnung variiert je nach FRITZ!OS-Version). Danach legen Sie in der UniFi-Oberfläche eine Port-Forwarding-Regel auf das Zielgerät im UniFi-Netz an.

Der Exposed Host spart Einzelfreigaben, setzt aber die UDM komplett dem Internet aus. Das ist nur vertretbar, wenn die Firewall der UDM sauber konfiguriert ist und Sie keine Dienste unnötig öffnen. Wer es einfach halten will, gibt nur die tatsächlich benötigten Ports einzeln frei. Wichtig: Die WAN-Adresse der UDM in der Fritzbox sollte fest vergeben sein, sonst läuft die Freigabe nach einem Neustart ins Leere.

Wie komme ich per WireGuard-VPN von außen ins Netz?

Die UDM bringt einen WireGuard-Server mit, den Sie unter den VPN-Einstellungen anlegen. Er lauscht auf einem UDP-Port, den Sie vorgeben. Hinter der Fritzbox muss genau dieser UDP-Port an die UDM weitergeleitet werden, sonst erreicht kein Client den Server. Zusätzlich brauchen Sie eine Adresse, unter der Ihr Anschluss von außen erreichbar ist, in der Regel einen Dynamic-DNS-Namen, weil sich die öffentliche IP ändern kann. Die Fritzbox bietet dafür MyFRITZ, die UDM kann ebenfalls Dynamic DNS nutzen, allerdings nur sinnvoll, wenn sie selbst die öffentliche Adresse trägt.

Bei Carrier-Grade-NAT hilft kein Port-Forwarding. Dann bleibt nur ein Tarif mit öffentlicher IPv4-Adresse, eine verfügbare IPv6-Anbindung (siehe unten) oder ein Relay-Dienst.

Was ist bei IPv6 und Telefonie zu beachten?

IPv6 ist bei Glasfaser und Kabel häufig nativ vorhanden. Hinter der Fritzbox bekommt die UDM ein Präfix delegiert, wenn die Fritzbox Prefix Delegation an nachgeschaltete Router erlaubt; das müssen Sie in den IPv6-Einstellungen der Fritzbox prüfen. In der UDM stellen Sie das WAN-IPv6 auf DHCPv6 mit Präfixlänge entsprechend der Delegation. Prüfen Sie nach der Einrichtung, dass Clients eine globale Adresse bekommen und die IPv6-Firewall der UDM eingehenden Verkehr standardmäßig blockiert. Eingehende IPv6-Zugriffe öffnen Sie gezielt über Firewall-Regeln, nicht über Portfreigaben.

Bei der Telefonie liegt der häufigste Stolperstein. Die UDM ist kein Telefonie-Gerät. Hängt Ihre VoIP-Anlage oder Ihr DECT-Setup an der Fritzbox, sollte die Fritzbox als Router und Telefonanlage am Anschluss bleiben. Wird sie zum Modem degradiert oder entfernt, fällt die Telefonie meist weg. Bei Kabel- und Glasfaseranschlüssen mit SIP-Zugangsdaten vom Provider kann ein Weiterbetrieb der Fritzbox hinter der UDM möglich sein, dann gehört sie in ein eigenes Netz oder VLAN, und die nötigen SIP-Ports verwalten Sie dort.

Welche Lösung passt zu welchem Anschluss?

• DSL oder Anschluss mit Provider-Router, Telefonie über die Fritzbox: Fritzbox als Router behalten, UDM dahinter, Doppel-NAT in Kauf nehmen und Freigaben in beiden Geräten anlegen. Alternativ Exposed Host.
• Glasfaser mit separatem ONT und freier Routerwahl: UDM direkt am ONT, Fritzbox nur falls Telefonie nötig, dann hinter der UDM in eigenem Netz.
• Kabel mit Modem-Betrieb: Kabelrouter im Bridge- oder Modem-Modus, wenn der Provider es zulässt. Prüfen Sie vorher, ob Sie eine öffentliche IPv4-Adresse bekommen.
• Carrier-Grade-NAT: Eingehende Freigaben sind nicht möglich, VPN nur per IPv6 oder Relay.

Wenn Sie unsicher sind, welcher Fall bei Ihnen vorliegt, hilft der Fachbetrieb gern bei der Planung und Einrichtung.