Unifi Site Magic - Zugriff auf Router vor dem WAN?

zetor · October 15, 2025 at 11:42 AM

Hallo zusammen,

ich habe folgendes Problem an dem ich verzweifle: Ich habe 3 Standorte über Site Magic verbunden, es funktioniert soweit alles wunderbar. Nun habe ich aber an zwei Standorten einen DSL Anschluss mit einer Fritzbox die VOR dem WAN Port des UCG hängt. Ich will nun aus den jeweils anderen Netzen auf diese Fritzbox zugreifen können um diese zu konfigurieren. Das Ganze dient auch als Übung für einen 4. Standort, bei dem ich den UCG nur als VPN Gateway nutzen will. Das Problem ist nun:

Der Zugriff von einem anderen Standort funktioniert nicht
Der Zugriff aus dem Lokalen LAN auf die Fritzbox (über deren IP am WAN) klappt aber einwandfrei

Folgendes habe ich bereits probiert:

Statische Route am entfernten Standort gesetzt
SNAT Regel am Lokalen Standort erstellt

Beides hilft nichts, ich vermute es liegt am Site Magic selbst, dort kann ich den WAN Port nicht aktivieren und zum VPN hinzufügen.

Habt ihr eine Idee wie ich das realisieren kann? Oder eine Anleitung/Video dazu?

Danke im Voraus für Eure Hilfe!

DoPe · October 15, 2025 at 2:28 PM

Grundlegend wird es einfach ein Routingproblem sein. Möglicherweise ist das allerdings nicht zu beheben - ich weiß nicht wie die Wireguardkonfig aussieht, die durchs Site Magic erzeugt wird (allowed-IPs ?!?)

Folgendes muss auf jeden Fall erledigt werden:

- Die Fritzboxen müssen in einem VPN-weit einmaligen Netzwerk liegen, so wie eben auch alle VLANs

- in den Fritzboxen müssen ggf. statische Routen eingetragen werden für alle Netzwerke hinter dem entsprechenden Unifi Router, also auch die Netze der anderen Standorte, von denen aus Du auf die Fritzbox zugreifen willst. Hier muss mehr oder weniger viel rein, je nach Konfiguration des WANs (NAT an oder aus)

- In die Unifis müssen dann noch Routen für die Fritzbox IPS oder Netze eingetragen werden, mit dem korrekten HOP zum jeweiligen Standort. Da ich noch nie Site Magic benutzt habe, bin ich mir hier aber nicht sicher ob statisch oder über eine policy based route.

zetor · October 15, 2025 at 2:43 PM

Ja das hatte ich alles bereits versucht. Ich denke es liegt am Site Magic selbst, welches einen Zugriff auf die WAN Netzwerke kategorisch ausschliesst

DoPe · October 15, 2025 at 2:50 PM

Ich weiß ja nicht wofür der Zugriff notwendig ist, im Zweifelsfall eine Wireguard VPN direkt in die Fritzboxen konfigurieren. Dann sollte man zumindest zu administrativen Zwecken drauf kommen.

zetor · October 15, 2025 at 3:00 PM

Es sollte in erster Linie eine Übung sein für ein anderes Szenario:
Ich habe eine externe Trafostation mit einem Industrie LTE Router. Ich habe schon alle Wege versucht das elendige Ding mit unserem Netzwerk zu verbinden, aber der unterstützt kein Wireguard und IPSec als Site 2 Site mit dem Site Magic Netzwerk zu verbinden ist gescheitert. Nun hatte ich vor dort eine CGU rein zu hängen die nur als VPN Gateway dienen soll, ohne eigenen DHCP Adressbereich usw. Ich dachte ich muss die auch über die WAN Schnittstelle verbinden, das sollte aber einfacher gehen wenn ich die über den LAN Port integriere und DHCP deaktiviere. Dann müsste auch meine gewünschte Konstellation laufen - Alle Netzwerke über Site Magic zu verbinden.. Richtig?

DoPe · October 15, 2025 at 9:25 PM

Nein. Das Gateway muss sein Internet auf dem WAN Port haben. Du kannst das zwar auch nur mit dem LAN Port an einen anderen Router stecken, das wird dir aber nichts bringen.

Was ich nicht verstehe, was willst Du denn in dem Szenario auf dem LTE Router?

Internet - LTE Router (vielleicht sogar im Bridge Mode) - UCG - Trafozeugs (wo man wohl eigentlich drauf will) dann sollte Site Magic denke ich funktionieren.

zetor · October 16, 2025 at 8:04 AM

Das Problem ist das dieser Insys Industrie LTE Router vom Netzbetreiber konfiguriert wurde. Diese haben eine OpenVPN Verbindung zu dem Router am laufen um die PV Anlage Netzdienlich steuern zu können. Das heisst, ich will und darf an der ganzen Konfiguration dort eigentlich nichts ändern um keine Probleme zu verusachen. Sonst wäre es klar einfach: Den Unifi als Gateway nutzen und alle Geräte im LAN dahinter ins Unifi Netz stecken.

Mein Ziel mit dem Gateway ist, dieses nur als reines VPN Gateway zu nutzen um mein bestehendes Magic Site Netzwerk mit dem Insys Netzwerk zu verbinden um für Diagnose und Fehlerbehebung auf die Datenlogger dort zugreifen zu können.

Participate now!