Bitte um Erläuterung/Hilfe bei etwaiger Umstellung auf zonenbasierende Firewall

markaurel · February 8, 2026 at 9:52 PM

Guten Abend zusammen!

Ich habe ein relativ einfaches Setup meines UniFi Netzwerkes. Im Wesentlichen ein Default Netzwerk und ein VLAN.

Soweit so gut. Das VLAN wurde dann mit ein paar zusätzlichen Firewallregeln ausgestattet. Beispielsweise werden Zugriffe auf div. ServerIPs (welche sich im Default Netzwerk befinden) blockiert oder der Zugriff auf die Gateway GUI. Das funktioniert soweit zufriedenstellend.

Nun wollte ich - testweise - einmal die neue zonenbasierende Firewall mir ansehen. -> Ich habe versucht die grundsätzliche Funktionsweise zu verstehen und bin aber daran gescheitert.

Die Tabelle mit Quelle und Ziel ist an und für sich ja eh selbsterklärend. Aber ich kann meine definierten Firewallregeln in der neuen zonenbasierenden Firewall nicht mehr wiederfinden.

In dem Fall zwingt sich mir die Frage auf: wo ist dann die Verbesserung, wenn ich gewohnte und für mich logisch (aus organisatorischen Gründen) ergebende Regeln nicht wiederfinden kann?

Denkt ihr wird es zukünftig einen Zwang zum Umstieg auf diese zonenbasierende Firewall geben? UniFi änderte in den letzten Jahren doch häufig das Bedienkonzept z.B.: in seinem Controller, was ich nicht als Vorteil empfinde. Kleine Änderungen da und dort sind ja durchaus eine gute Sache - aber dieser zonenbasierende Firewall kann ich (noch) keine positiven Aspekte abgewinnen.

MfG

M.A.

DoPe · February 8, 2026 at 11:37 PM

Vermutlich wird der Zwang irgendwann kommen.

Was heißt Du findest die Regeln nicht wieder?

Das Konzept ist auf jeden Fall mal anders als vorher und dementsprechend ist auch nichts mit alten Gewohnheiten. Zonenbasierte Firewall ist keine Ubiquiti Erfindung und wird von vielen Herstellern verwendet.

Gibt es eine konkrete Frage? Ob Du etwas positiv findest oder nicht, ist ziemlich subjektiv, wie bei jeder anderen Person auch, aber eben nichts was konkret beantwortet werden kann.

**Networker** · February 9, 2026 at 3:43 AM

Quote from markaurel

UniFi änderte in den letzten Jahren doch häufig das Bedienkonzept z.B.: in seinem Controller, was ich nicht als Vorteil empfinde. Kleine Änderungen da und dort sind ja durchaus eine gute Sache - aber dieser zonenbasierende Firewall kann ich (noch) keine positiven Aspekte abgewinnen.

Ich sehe es eigentlich genau anders herum. Mich nerven eher die kleinen Veränderungen, die nur Knöpfe an andere Stellen legen und Einstellungen umbennen. Durch die ganzen größeren Änderungen, dazu gehört auch die zonenbasierte Firewall, sind Funktionsumfang und der professionelle Anspruch der Unifi-Reihe in den letzten fünf Jahren sehr stark gesteigert worden.
Wie bei allen Neuerungen muss man sich mit der ZBF mal eine Stunde beschäftigen, wird dann aber feststellen, dass die Handhabung viel flexibler und in manchen Situationen auch einfacher ist. Die ZBF hat einfach eine zusätzliche Abstraktionsschicht.

Ob es einen Zwang geben wird, keine Ahnung. Aber ich glaube auch nicht, dass Geräte in zwei Jahren noch so wie jetzt ausgeliefert werden und man dann immer noch gefragt wird, ob man auf "die neue" ZBF umstellen möchte. Wenn dann höchstens so, dass die ZBF der Standard ist und man auf Wunsch zur Legacy Firewall downgraden kann.

Da die alte Firewall aber vermutlich weiterhin kein IPv6 beherrscht und dies mit Sicherheit auch nie zun wird, sollte dies eigentlich schon für alle Grund genug sein, sich mit der ZBF vertraut zu machen.

markaurel · February 9, 2026 at 9:06 AM

Guten Morgen zusammen!

Sieht das Konzept der Migration von der derzeit verwendeten Firewallregeln zur zonenbasierenden Firewall vor, dass bestehende Regeln (welche mitunter relativ mühsam waren auszuarbeiten) mit bestehender Benennung übernommen werden und diese auch in der zonenbasierenden Firewall als solche aufgelistet werden?

Oder werden die bestehenden Regeln bei einer Umstellung "eingepflegt" und in die Systematik übernommen ohne der ursprünglichen Bezeichnung beizubehalten?

Bitte um Antwort/Erläuterung.

Danke.

MfG

M.A.

P.S.: Ich denke, dass ich noch eine gute Zeit lang mit IPv4 auskommen werde....

DoPe · February 9, 2026 at 9:25 AM

Die werden faktisch so übernommen wie sie sind und tauchen dann oft auch mehrfach an Stellen auf, an denen sie nichts bewirken (Weil da z.B. ein IP Bereich drin steht, der gar nicht zur entsprechenden Zone gehört). Diese können dann entsprechend gelöscht werden. Die verbleibenden Regeln sollte man in jedem Fall nochmal überprüfen.

Manche Dinge lassen sich auch sehr viel eleganter und einfacher regeln, da es einfach mehr Möglichkeiten gibt. Brauchte man früher einige Regeln um den Zugriff auf das GUI (über alle IPs) des Gateways aus diversen VLANs zu verhindern, kann man das jetzt auch mit einer Regel erschlagen.

Es ist also definitiv händisches Nachpflegen nötig.

Participate now!