Woran die Sperre wirklich liegt
Wenn nur bestimmte Webseiten nicht laden, liegt die Ursache meist nicht am gesamten Internetzugang. Häufig greifen eine Firewallregel, ein DNS-Filter, eine Kindersicherung oder eine fehlerhafte Weiterleitung im Heimnetz ein. Sinnvoll ist daher zuerst die Unterscheidung: Ist die Seite auf allen Geräten weg oder nur auf einem einzigen Endgerät? Funktioniert sie im Mobilfunknetz oder im Gastnetz? Diese einfachen Vergleiche sparen Zeit und zeigen schnell, ob die UniFi Dream Machine selbst, ein DNS-Dienst oder ein einzelnes Gerät die Seite blockiert.
Bei der Fehlersuche hilft ein klarer Ablauf. Erst den Status prüfen, dann DNS und Firewall eingrenzen, anschließend Regeln und Filter durchgehen. Danach lohnt sich ein Blick auf DHCP, IPv6, Adblock- oder Security-Funktionen und auf eigene statische Einträge im Netzwerk. So lässt sich meist ohne Umbau erkennen, an welcher Stelle die Anfrage hängen bleibt.
Erst prüfen, ob die Sperre im Netz oder am Gerät sitzt
Bevor Einstellungen geändert werden, sollte das Verhalten auf mehreren Wegen getestet werden. So lässt sich trennen, ob die Seite wirklich im Netzwerk blockiert wird oder ob nur ein Browser, ein Profil oder ein Gerät betroffen ist.
- Die betroffene Seite auf einem zweiten Gerät im selben WLAN öffnen.
- Die Seite mit mobilen Daten statt über das Heimnetz aufrufen.
- Einen anderen Browser oder ein privates Fenster verwenden.
- Falls vorhanden, das Gastnetz testen, weil dort oft andere Regeln gelten.
Ist die Seite nur im Heimnetz nicht erreichbar, spricht das stark für DNS, Firewall oder Filterfunktionen der UniFi-Konfiguration. Tritt der Fehler nur auf einem Gerät auf, sind lokale DNS-Einträge, Sicherheitssoftware oder ein spezieller Proxy wahrscheinlicher.
Firewallregeln in UniFi sauber einordnen
Die Firewall der Dream Machine kann Verbindungen gezielt erlauben oder unterbinden. Besonders relevant sind Regeln im Bereich LAN IN, LAN OUT und WAN OUT. Für gesperrte Webseiten ist oft nicht der komplette Internetzugang betroffen, sondern nur der ausgehende Verkehr zu bestimmten Zielen oder Ports.
Wichtig ist die Reihenfolge der Regeln. In UniFi zählt die Position in der Liste, und eine früh greifende Regel kann spätere Freigaben übersteuern. Auch Regeln für einzelne VLANs, Gruppen oder Netzwerke können überraschend wirken, wenn das betroffene Gerät in einem anderen Netzsegment hängt als gedacht.
Diese Punkte sollten Sie in den Regeln prüfen
- Gibt es eine Blockregel für bestimmte IP-Bereiche, Domains oder Länder?
- Wird ein ganzes VLAN anders behandelt als das normale Heimnetz?
- Ist eine allgemeine Sperre vor einer Ausnahme platziert?
- Greifen Zeitpläne, die den Zugriff nur zu bestimmten Uhrzeiten erlauben?
- Wurde eine Gruppe mit Geräten oder IPs versehentlich in eine Sperrregel aufgenommen?
Wenn eine Seite nur über HTTPS nicht erreichbar ist, während andere Verbindungen funktionieren, kann auch eine Einschränkung auf Port 443 oder eine tiefere Filterregel beteiligt sein. Gerade bei selbst angelegten Regeln lohnt sich ein genauer Blick auf Quelle, Ziel, Port und Richtung des Datenverkehrs.
DNS als häufige Ursache
Viele Probleme mit einzelnen Webseiten entstehen nicht durch die Firewall, sondern durch DNS. Die Dream Machine kann eigene DNS-Server verwenden, an einen Provider weiterleiten oder über Pi-hole, AdGuard Home oder ähnliche Filter laufen lassen. Schon ein einziger fehlerhafter Eintrag genügt, damit nur bestimmte Adressen nicht aufgelöst werden.
Ein guter Test ist der direkte Vergleich zwischen Standard-DNS und einem alternativen Resolver. Lädt die Seite mit einem externen DNS sofort, spricht das für eine blockierende oder fehlerhafte DNS-Antwort im Heimnetz. Bleibt das Verhalten gleich, muss eher weiter unten in der Kette gesucht werden.
Typische DNS-Fehlerbilder
- Die Seite zeigt eine Fehlermeldung zur Namensauflösung.
- Einige Subdomains funktionieren, andere nicht.
- Die Website öffnet über die IP, aber nicht über den Namen.
- Nur Geräte mit fest eingestelltem DNS sind betroffen.
In der UniFi-Oberfläche sollten unter den Internet- oder Netzwerkeinstellungen die DNS-Server geprüft werden, die an Clients verteilt werden. Zusätzlich lohnt sich ein Blick auf lokale DNS-Weiterleitungen, Host-Einträge und Filterlisten. Wer einen externen Filter nutzt, muss auch dort die Sperrlisten und Ausnahmeregeln kontrollieren.
DNS-Filter, Adblock und Sicherheitsfunktionen richtig prüfen
Einige Webseiten scheitern, weil sie Elemente von Drittanbietern laden, die von einem Filterdienst blockiert werden. Die Seite selbst kann dabei teils sichtbar sein, aber Skripte, Loginbereiche oder Medien bleiben hängen. Das wirkt dann so, als wäre die ganze Domain gesperrt, obwohl nur einzelne Aufrufe unterdrückt werden.
Wer einen Schutzdienst oder Werbeblocker verwendet, sollte testweise die Filterung für das betroffene Gerät oder Netz kurz lockern. Wird die Seite dann erreichbar, liegt die Ursache sehr wahrscheinlich in einer Liste, einer Kategorie oder einer falsch bewerteten Domain. Anschließend kann gezielt eine Ausnahme gesetzt werden, statt den gesamten Schutz abzuschalten.
IPv6, DHCP und feste Einträge mitdenken
Auch Adressvergabe und Protokollwahl können eine Rolle spielen. Wenn ein Gerät per DHCP eine andere DNS-Konfiguration erhält als erwartet oder zusätzlich eine IPv6-Adresse verwendet, kann es zu abweichendem Verhalten kommen. Manche Webseiten sind über IPv4 problemlos erreichbar, während IPv6-Verbindungen an einer fehlerhaften Route oder an unpassenden Filterregeln scheitern.
Praktisch ist ein Vergleich zwischen Geräten mit automatischer und fester Netzwerkkonfiguration. Hat ein Endgerät manuell eingetragene DNS-Server, kann es am restlichen Heimnetz vorbeigehen. Bei statischen IPs sollte geprüft werden, ob Gateway, DNS und Subnetz zueinander passen. Schon ein kleiner Fehler reicht, damit nur einzelne Ziele unerreichbar wirken.
So gehen Sie in UniFi systematisch vor
- Die betroffene Webseite auf mehreren Geräten und in verschiedenen Netzen testen.
- Die Firewallregeln auf Blockaden, Reihenfolge und betroffene Netzwerke prüfen.
- Die verwendeten DNS-Server im Clientnetz und auf dem Gerät selbst vergleichen.
- Filterdienste, Adblock-Funktionen und Sicherheitsprofile kurz gegenprüfen.
- DHCP, feste Einträge und IPv6-Einstellungen auf Abweichungen kontrollieren.
- Nach jeder Änderung die Seite mit einem DNS-Flush und einem neuen Verbindungsaufbau testen.
Diese Reihenfolge ist sinnvoll, weil sie von außen nach innen arbeitet. Erst wird geklärt, ob der Zugang generell funktioniert, dann folgen Namensauflösung, Filterung und schließlich die Detailkonfiguration der Netzwerke.
Wenn nur ein bestimmter Browser oder ein Gerät betroffen ist
Bleibt die Störung auf ein einzelnes Endgerät begrenzt, liegt die Ursache oft außerhalb der Dream Machine. Dann helfen ein anderer Browser, ein sauberer DNS-Cache, das Deaktivieren lokaler Sicherheitssoftware und der Vergleich mit einem anderen Benutzerprofil. Auch Kindersicherungen, Browsererweiterungen oder ein lokaler Proxy können einzelne Seiten abfangen.
Bei Smartphones und Tablets sollte zusätzlich geprüft werden, ob private DNS-Dienste, Sicherheits-Apps oder ein VPN aktiv sind. Solche Funktionen umgehen das Heimnetz teilweise oder verändern die Auflösung der Domain. Das führt schnell zu einem Bild, das nach Routerfehler aussieht, obwohl das Problem direkt auf dem Gerät sitzt.
Wenn Änderungen keine Wirkung zeigen
Bleibt die Seite trotz angepasster Regeln und sauberer DNS-Einstellungen gesperrt, ist ein Blick in die Ereignisse und Logs sinnvoll. Dort lässt sich oft erkennen, ob ein Paket verworfen wurde oder ob eine DNS-Anfrage an einem Filter hängen blieb. Bei komplexeren Setups mit mehreren VLANs, VLAN-übergreifenden Regeln oder externen DNS-Filtern sollte auch die Verkettung der Zuständigkeiten geprüft werden.
Ein Neustart der Dream Machine kann helfen, wenn alte Zustände, Cache-Daten oder kurzzeitige Fehler im Speicher hängen geblieben sind. Bleibt das Verhalten unverändert, ist ein kontrollierter Vergleich mit einer einfachen Testkonfiguration der nächste saubere Schritt. Dabei zeigt sich, ob eine Regel, ein DNS-Dienst oder ein Zusatzmodul die Blockade auslöst.
Regeln nicht nur aktivieren, sondern auch in die richtige Reihenfolge bringen
In UniFi entscheidet nicht allein die Existenz einer Firewallregel über das Ergebnis, sondern auch ihre Position in der Regelkette. Eine zu breite Allow-Regel vor einer Sperre kann den gesamten Filter wirkungslos machen, selbst wenn die eigentliche Block-Regel sauber formuliert ist. Deshalb lohnt sich ein Blick auf die komplette Liste der Regeln für das betroffene Netzwerk, nicht nur auf den einen Eintrag, der die Seite sperren soll.
Wichtig ist außerdem, ob die Regel auf dem passenden Bereich arbeitet. Eine LAN-In-Regel beeinflusst andere Verkehrspfade als eine WAN-Out- oder eine inter-VLAN-Regel. Wer Webseiten nur auf einzelnen Netzen sperren will, sollte die Quelle eindeutig eingrenzen und prüfen, ob Geräte über ein Gastnetz, ein eigenes VLAN oder ein anderes Profil ins Internet gehen. Sonst greift die Regel an der falschen Stelle.
- Regelrichtung mit dem tatsächlichen Datenpfad abgleichen.
- Quelle auf das richtige Netzwerk oder die passende Geräteliste begrenzen.
- Ausnahmen oberhalb der Sperre prüfen.
- Temporäre Testregeln immer wieder entfernen, damit sie spätere Fehler nicht verdecken.
DNS-Auflösung gezielt testen statt nur die Oberfläche zu prüfen
Bei Websperren über DNS genügt es nicht, in den UniFi-Einstellungen einen Filter zu sehen. Entscheidend ist, welcher Resolver das Gerät wirklich verwendet und welche Antwort bei der Auflösung zurückkommt. Ein Browser kann über einen alternativen DNS-Dienst, einen eingebauten Sicherheitsresolver oder per verschlüsseltem DNS vorbeigehen, während die Netzwerkkonfiguration auf den ersten Blick korrekt wirkt.
Darum sollte der Test auf mehreren Ebenen erfolgen. Auf dem betroffenen Gerät lässt sich die aufgelöste Adresse prüfen, am besten mit einem anderen Client im selben Netz zum Vergleich. Kommt die Domain im DNS noch normal zurück, liegt das Problem meist nicht bei der Sperre selbst, sondern bei einem abweichenden Resolver oder bei einem Zwischenfilter. Wird dagegen schon die Auflösung umgebogen oder verweigert, ist der DNS-Weg die richtige Spur.
- Am Client den aktuell genutzten DNS-Server ermitteln.
- Die Domain einmal mit aktivem Filter und einmal mit einem externen Resolver prüfen.
- Zwischengespeicherte DNS-Einträge auf dem Gerät leeren.
- Den Test mit einem zweiten Endgerät im selben Segment wiederholen.
Browser-, Gerät- und App-Einstellungen sauber abgrenzen
Einzelne Webseiten werden nicht immer auf Netzebene blockiert. Manche Browser bringen eigenen Schutz, eigene DNS-Funktionen oder Erweiterungen mit, die eine Seite unabhängig von der UniFi-Konfiguration sperren. Das gilt auch für Sicherheits-Apps, Kinderschutzprofile und mobile Betriebssysteme, die den Netzwerkverkehr teilweise selbst steuern. Deshalb sollte zuerst unterschieden werden, ob wirklich das gesamte Gerät betroffen ist oder nur eine Anwendung.
Hilfreich ist ein strukturierter Wechsel: dieselbe Seite mit einem anderen Browser öffnen, ein privates Fenster nutzen und danach testweise Mobilfunk oder ein anderes Netz verwenden. Bleibt die Sperre nur in einem Programm bestehen, ist das Netz meist nicht die Ursache. Greifen mehrere Apps auf demselben Gerät nicht sauber zu, sollte man lokale DNS-Vorgaben, Profile, VPN-Verbindungen und Geräteschutzfunktionen prüfen.
- Browser-Erweiterungen testweise deaktivieren.
- Private Fenster und ein zweiter Browser dienen als Vergleich.
- Mobile Sicherheits-Apps und Webfilter im Gerät prüfen.
- VPN, Proxy und verschlüsseltes DNS auf dem Endgerät kontrollieren.
Saubere Wege in der UniFi-Oberfläche finden
Je nach Version und Oberfläche liegen die relevanten Funktionen an unterschiedlichen Stellen. Wer die Blockade systematisch eingrenzen will, sollte sich nicht nur auf einen Menüpfad verlassen, sondern die Bereiche für Netzwerke, Clients, Firewall, Traffic-Regeln und DNS nacheinander öffnen. Besonders bei mehreren Standorten oder mehreren Geräten im selben Controller kann eine Regel in einem anderen Kontext wirken, als es zunächst aussieht.
Ein sinnvoller Weg ist die Arbeit von außen nach innen: zuerst die Netzwerkrichtlinien prüfen, dann die DNS-Vorgaben des betroffenen Segments und anschließend die Sicherheitsfunktionen des Gateways. Auch DHCP-Zuordnungen, feste Adressen und manuelle DNS-Servereinträge gehören dazu, weil sie die Wirkung von Sperren umleiten können. So lässt sich unterscheiden, ob die Seite wirklich geblockt wird oder ob das Gerät schlicht an einem anderen Resolver vorbeigeht.
- Im Bereich für Netzwerke die DNS-Vorgaben des betroffenen VLANs oder LANs ansehen.
- Unter Firewall- und Traffic-Regeln nach Freigaben vor Sperren suchen.
- Im Client-Bereich prüfen, ob das Gerät feste Werte oder Sonderprofile nutzt.
- Bei Bedarf das Gerät kurz neu verbinden, damit neue DHCP- und DNS-Werte gezogen werden.
Den Treffer sauber verifizieren und die Sperre dauerhaft stabil halten
Nach jeder Anpassung braucht es einen sauberen Gegencheck. Eine einzige geladene Browser-Session reicht dafür nicht aus, weil Cache, Vorauflösung und eingeloggte Dienste das Ergebnis verfälschen können. Ein Test im Inkognito-Modus, ein DNS-Flush und ein neuer Verbindungsaufbau helfen dabei, die Wirkung der Regel wirklich zu bewerten. Erst wenn mehrere Geräte im selben Netz das gleiche Ergebnis zeigen, ist die Ursache ausreichend eingegrenzt.
Damit die Sperre nicht nur kurzfristig funktioniert, sollte die Konfiguration schlank bleiben. Mehrere parallele Filter sollten nicht dieselbe Aufgabe übernehmen, wenn sich ihre Zuständigkeiten überschneiden. Besser ist eine klare Aufteilung: DNS-Filter für Domain-Sperren, Firewall für netzwerkweite Einschränkungen und Ausnahmen nur dort, wo sie tatsächlich gebraucht werden. So bleiben spätere Änderungen nachvollziehbar und die Ursache für abweichendes Verhalten lässt sich schneller finden.
- Cache und gespeicherte DNS-Antworten vor dem Test leeren.
- Mit mehreren Geräten und mindestens zwei Browsern gegenprüfen.
- Überlappende Filter aufräumen, statt sie nebeneinander stehen zu lassen.
- Änderungen nacheinander vornehmen, damit ihre Wirkung erkennbar bleibt.
Häufige Fragen
Wie gehe ich am besten vor, wenn nur einzelne Seiten nicht laden?
Prüfen Sie zuerst, ob die Adresse auf mehreren Geräten und in mehreren Netzen fehlschlägt. Anschließend lohnt sich ein Blick auf DNS, Firewallregeln und Sicherheitsfunktionen in UniFi, weil diese drei Bereiche die häufigsten Ursachen sind.
Wo finde ich die Firewallregeln in der UniFi-Oberfläche?
Je nach Controller-Version liegen die Regeln unter den Netzwerk- oder Sicherheitsbereichen der Einstellungen. Suchen Sie nach den Regeln für LAN, WAN und Traffic Management, damit Sie Eingriffe in die Weiterleitung, Filterung oder Zonenkopplung finden.
Welche Regelarten sind besonders wichtig?
Relevant sind vor allem Regeln zum Blockieren, Erlauben und Priorisieren von Verkehr. Achten Sie darauf, ob eine Regel nach Quellnetz, Zieladresse, Port, Protokoll oder Anwendung arbeitet, denn eine scheinbar kleine Ausnahme kann eine einzelne Website schon ausbremsen.
Warum spielt DNS bei einzelnen Webseiten so oft eine Rolle?
DNS übersetzt den Namen der Website in eine IP-Adresse. Liefert der Resolver eine falsche, gefilterte oder langsame Antwort, wirkt es so, als sei die Seite selbst gesperrt, obwohl das eigentliche Problem im Namensauflösungsweg liegt.
Welche DNS-Einstellungen sollte ich in UniFi prüfen?
Kontrollieren Sie die für das Netz verteilten DNS-Server, die manuell gesetzten Einträge im DHCP und mögliche Overrides pro VLAN oder Gerät. Prüfen Sie außerdem, ob die Dream Machine eigene Filter, Weiterleitungen oder sichere DNS-Dienste eingebunden hat.
Wie erkenne ich einen DNS-Filter als Ursache?
Typisch sind Warnseiten, Zeitüberschreitungen oder wechselnde Ergebnisse je nach Gerät und Browser. Testen Sie dieselbe Domain mit einem anderen Resolver, etwa einem öffentlichen DNS, um zu sehen, ob die Namensauflösung das Problem verursacht.
Welche Rolle spielen Adblock- und Schutzfunktionen?
Einige Sicherheits- oder Werbeblocker auf der Dream Machine, im Browser oder auf dem Endgerät sperren Skripte, Tracker oder ganze Hostnamen. Das betrifft oft Teilbereiche einer Website, sodass die Seite nur halb lädt oder einzelne Komponenten fehlen.
Was ist bei IPv6 zu beachten?
Manche Geräte nutzen IPv6 bevorzugt und umgehen damit die IPv4-Pfade, die Sie zuerst geprüft haben. Kontrollieren Sie deshalb, ob IPv6-Adressen, Router Advertisements und DNS-Antworten zusammenpassen und ob eine Regel nur für eine der beiden Familien greift.
Wie finde ich heraus, ob ein Gerät eigene Vorgaben nutzt?
Sehen Sie in den Client-Details nach, ob dem Gerät feste DNS-Server, statische Routen oder eigene Einschränkungen zugewiesen sind. Auch MDM-Profile, Browser-Schutz oder VPN-Apps können die Verbindung anders behandeln als der Rest des Netzes.
Hilft es, die Einstellungen testweise zu vereinfachen?
Ja, ein gezielter Test mit einer einfachen Zwischenkonfiguration schafft schnell Klarheit. Deaktivieren Sie vorübergehend Filter, setzen Sie DNS auf einen sauberen Resolver und prüfen Sie dann erneut, ob die Seite erreichbar ist.
Welche Einstellungen sollte ich nach einer Änderung noch prüfen?
Wichtig sind die Übernahme ins richtige Netzwerk, die Reihenfolge der Regeln und die Aktualisierung der Clients. Danach sollten Sie den DNS-Cache auf Gerät und Router leeren, damit nicht alte Antworten weiterverwendet werden.
Fazit
Bei einer teilweisen Sperre lohnt sich der Blick in die UniFi-Konfiguration in einer festen Reihenfolge: Firewall, DNS, Schutzfunktionen und anschließend die Geräteeinstellungen. Wer systematisch prüft, findet die Ursache meist schneller als mit bloßem Ausprobieren. So lassen sich einzelne Seiten wieder erreichbar machen, ohne das gesamte Netz unnötig zu öffnen.
