Search for answers or browse our knowledge base.
Warum ein UniFi Cloud Gateway kein stabiles VPN-Gateway ist
UniFi Cloud Gateways (UCG, UDM, UDM Pro usw.) sind leistungsfähige Geräte für WLAN, Switching und grundlegendes Routing.
Viele Nutzer versuchen damit jedoch auch, komplexe VPN-Szenarien umzusetzen – etwa:
„Ein gesamtes WLAN soll dauerhaft über eine deutsche IP-Adresse ins Internet gehen.“
In der Praxis führt das häufig zu einem frustrierenden Ergebnis:
-
Es funktioniert eine Zeit lang
-
Nach einem Neustart, Update oder über Nacht treten Probleme auf
-
E-Mails, iCloud, Apps oder Streaming-Dienste brechen sporadisch ab
Warum das kein Zufall ist, erklären wir hier.
Das Missverständnis: „VPN-fähig = VPN-Gateway“
Ein UniFi Cloud Gateway kann:
Aber:
👉 Ein vollwertiges, stateful VPN-Gateway ist etwas anderes.
Der entscheidende Unterschied liegt nicht im VPN selbst, sondern im Routing-Verhalten.
Das Kernproblem: Routing ohne Sitzungsbindung
Wie stabile VPNs funktionieren müssten
Bei stabilen VPN-Setups gilt eine einfache Regel:
Eine Verbindung entscheidet einmal ihren Weg – und bleibt darauf.
Das nennt man:
-
stateful routing
-
conntrack-basiertes Routing
-
session-persistentes Routing
Egal wie viele Pakete folgen – sie nehmen immer denselben Ausgang.
Wie UniFi Cloud Gateways arbeiten
UniFi Gateways treffen Routing-Entscheidungen:
-
dynamisch
-
regelbasiert
-
nicht verbindungsgebunden
Das bedeutet vereinfacht:
-
Paket A geht über den VPN-Tunnel
-
Paket B derselben Verbindung kann plötzlich über den normalen Internetanschluss gehen
Für kurze Verbindungen ist das oft egal.
Für lange Verbindungen ist es fatal.
Warum Browser funktionieren – aber E-Mail & Apps nicht
Browser
-
öffnen viele kurze Verbindungen
-
reconnecten automatisch
-
Fehler bleiben oft unbemerkt
E-Mail, iCloud, Banking, APIs
-
halten Verbindungen lange offen
-
erwarten gleichbleibende IP, Route und NAT-Zustände
-
reagieren empfindlich auf kleinste Abweichungen
Wenn UniFi während einer bestehenden Sitzung den Routing-Pfad ändert:
-
die Verbindung bricht
-
die App meldet oft keinen Fehler
-
der Nutzer merkt es erst viel später
Das zweite große Problem: mangelnde Persistenz
Ein weiterer Schwachpunkt ist die fehlende Konfigurations-Resistenz.
Was bei UniFi regelmäßig passiert
-
Neustart des Gateways
-
automatische Provisionierung
-
Firmware-Update
-
Netzwerkänderung im Backend
Dabei werden intern:
-
Firewall-Tabellen neu aufgebaut
-
Routing-Entscheidungen neu berechnet
-
VPN-Zustände kurzzeitig verworfen
Für klassische Heimnetzwerke kein Problem.
Für VPN-basierte Länder-Routings ein Risiko.
Warum das Problem „mal da, mal weg“ ist
Viele Nutzer berichten:
-
„Gestern ging alles“
-
„Heute Morgen geht Mail nicht mehr“
-
„Nach Neustart wieder ok“
Das liegt daran, dass:
-
Sessions neu aufgebaut werden
-
Routing kurzzeitig passt
-
sich das Verhalten später wieder ändert
👉 Das System ist nicht deterministisch genug für diesen Anwendungsfall.
Warum MTU, MSS und DNS das Problem nicht lösen
Oft wird versucht:
-
MTU zu senken
-
MSS zu erzwingen
-
DNS zu ändern
-
Keepalives hochzusetzen
Diese Maßnahmen können Symptome lindern, aber nicht die Ursache beheben.
Denn:
-
MTU löst Fragmentierungsprobleme
-
DNS löst Namensauflösung
-
Keepalive hält Tunnel offen
❌ Keine dieser Maßnahmen erzwingt verbindungsstabiles Routing.
Warum UniFi dafür auch nicht gebaut wurde
UniFi Cloud Gateways sind konzipiert für:
-
zentrales Management
-
einfache Netztrennung
-
komfortable Administration
-
typische Unternehmens- und Heimnetze
Nicht für:
-
komplexes Policy-Based Routing
-
Länder-Routing über VPN
-
Apple-TV-taugliche VPN-Gateways
-
asymmetriefreies Multi-Path-Routing
Das ist kein Fehler – sondern eine Designentscheidung.
Die saubere Alternative
Stabile Lösungen trennen die Aufgaben:
✔️ Dediziertes VPN-Gateway
-
baut die WireGuard-Verbindung auf
-
trifft Routing-Entscheidungen pro Sitzung
-
bleibt stabil über Neustarts hinweg
✔️ UniFi dahinter
So nutzt jedes System das, was es gut kann.
Fazit
Ein UniFi Cloud Gateway ist ein sehr gutes Netzwerkgerät –
aber kein belastbares VPN-Gateway für länderbasiertes Internet-Routing.
Wenn:
-
Apps sporadisch nicht funktionieren
-
E-Mail hängen bleibt
-
Probleme erst nach Stunden auftreten
liegt das meist nicht am VPN,
sondern an der Art, wie Routing intern behandelt wird.
Technik funktioniert dann am besten, wenn sie nicht über ihre Rolle hinaus gezwungen wird.
