Ein UniFi Access Point kann ein sichtbares WLAN ausstrahlen, obwohl die Verbindung ins Internet nicht funktioniert. In diesem Fall ist nicht zuerst der Funk selbst verdächtig, sondern meist die Zuordnung im Netzwerk: VLAN, DHCP, Gateway oder die Anbindung an den Router oder Switch. Wer die Kette von der SSID bis zum Internetzugang sauber prüft, findet die Ursache meist schnell.
Erst unterscheiden: Funknetz oder Internetpfad?
Der erste Schritt ist die Trennung zwischen lokaler WLAN-Funktion und eigentlichem Internetzugang. Wenn sich Geräte mit dem WLAN verbinden, interne Freigaben erreichen und nur Webseiten oder Apps ins Leere laufen, arbeitet der Access Point grundsätzlich. Dann liegt der Fehler fast immer im Netzpfad hinter dem AP.
Hilfreich ist ein kurzer Gegencheck mit einem per Kabel verbundenen Gerät. Funktioniert LAN am gleichen Switch oder Router-Port, aber das WLAN nicht, ist die Ursache häufig im VLAN-Profil, in der IP-Vergabe oder in der SSID-Zuordnung zu suchen. Scheitern auch kabelgebundene Geräte, liegt das Problem eher am Router, am Gateway oder am Provideranschluss.
VLAN-Zuordnung der SSID überprüfen
Bei UniFi ist ein falsch gesetztes VLAN einer der häufigsten Gründe für ein WLAN ohne Internet. Die SSID kann auf ein Netz zeigen, das am Switch, am Router oder am Gateway nicht sauber durchgereicht wird. Dann bekommen Clients zwar eine Verbindung zum Access Point, landen aber in einem Netzsegment ohne funktionierende Weiterleitung.
Prüfe in der UniFi-Oberfläche die Einstellungen der betroffenen SSID. Wichtig sind dabei das Netzprofil, die VLAN-ID und die Frage, ob der AP-zu-Switch-Link als Trunk eingerichtet ist. Wird ein Gastnetz verwendet, muss das VLAN auch auf den Switch-Ports und auf dem Router beziehungsweise Gateway vorhanden sein.
- SSID und Netzprofil miteinander abgleichen
- VLAN-ID mit dem Router oder Gateway vergleichen
- Switch-Port des AP als Trunk oder passend zum Design prüfen
- Gastnetz nur mit vollständiger VLAN-Kette aktivieren
Wenn ein WLAN neu eingerichtet wurde, lohnt sich ein Test ohne VLAN-Zuordnung. Funktioniert der Internetzugang dann, ist die Ursache fast sicher in der Tagging-Kette zu finden. Danach kann das VLAN Schritt für Schritt wieder ergänzt werden, bis die Stelle sichtbar wird, an der die Weiterleitung abbricht.
DHCP: Bekommen die Clients eine gültige Adresse?
Ohne funktionierendes DHCP erhalten Geräte keine passende IP-Konfiguration. Sie verbinden sich zwar mit dem WLAN, bekommen aber entweder gar keine Adresse oder eine Selbstzuweisung aus dem Bereich 169.254.x.x. In diesem Zustand ist kein normaler Internetzugang möglich.
Auf einem verbundenen Gerät sollte die IP-Adresse, das Standardgateway und der DNS-Server geprüft werden. Eine gültige Konfiguration enthält eine Adresse aus dem richtigen Subnetz, das Gateway des Routers oder Gateways und einen erreichbaren DNS-Server. Fehlt einer dieser Werte oder passt das Subnetz nicht zum Netz der SSID, ist die DHCP-Konfiguration auf Router, Gateway oder Controller-Seite zu kontrollieren.
- Mit dem WLAN verbinden und IP-Details auf dem Endgerät anzeigen lassen
- Prüfen, ob eine Adresse aus dem erwarteten Subnetz vergeben wurde
- Gateway-Adresse mit dem Router oder Gateway vergleichen
- DNS-Server kontrollieren und bei Bedarf testweise manuell setzen
- DHCP-Bereich im Router auf Überschneidungen und Reservierungen prüfen
Mehrere DHCP-Server im selben Netz führen ebenfalls zu seltsamen Effekten. Dann erhält ein Gerät zwar eine Adresse, aber ein falsches Gateway oder falsche DNS-Werte. Das passiert häufig nach Umbauten mit zusätzlichem Router, Mesh-System oder separatem Layer-2-Switch mit eigener Verwaltung.
Gateway und Routing sauber einordnen
Das Gateway ist die Stelle, an die ein Gerät Verkehr außerhalb des lokalen Netzes schickt. Wenn diese Adresse fehlt, falsch ist oder nicht erreichbar bleibt, endet die Verbindung am Rand des Heimnetzes. Das WLAN wirkt dann aktiv, aber das Internet bleibt unerreichbar.
Besonders wichtig ist die Unterscheidung zwischen Access Point und Router. Ein UniFi AP übernimmt in einem normalen Setup nur die Funkverteilung. Die Route ins Internet kommt vom Router, vom Gateway oder von einem vorgeschalteten Modem oder ONT. Steht der AP in einem Netz mit mehreren Routern oder in einer Sonderkonfiguration mit VLANs, muss eindeutig klar sein, welches Gerät die Standardroute liefert.
Ein schneller Test ist der Ping auf das Gateway vom verbundenen Client aus. Antwortet das Gateway nicht, obwohl die WLAN-Verbindung steht, liegt der Fehler vor oder am ersten Layer-3-Gerät. Antwortet es, aber Webseiten laden nicht, ist DNS oder die WAN-Seite wahrscheinlicher.
DNS als stille Fehlerquelle
DNS fällt im Alltag oft erst auf, wenn Namen nicht mehr in IP-Adressen übersetzt werden. Das WLAN scheint dann aktiv, lokale Ziele funktionieren womöglich noch, aber Domains wie Webseiten oder Apps bleiben unerreichbar. In vielen Netzen wird dieser Fehler mit einem allgemeinen Internetproblem verwechselt.
Prüfe deshalb, welche DNS-Server der Client per DHCP erhält. Wenn dort ein internes Gerät eingetragen ist, muss dieses auch zuverlässig erreichbar sein. Ist der DNS-Server des Routers oder Gateways selbst betroffen, hilft testweise ein öffentlicher DNS wie 1.1.1.1 oder 8.8.8.8, um die Ursache einzugrenzen.
- DNS-Server im Client anzeigen lassen
- Testweise einen anderen DNS-Server setzen
- Interne DNS-Weiterleitung im Router prüfen
- Eigene Pi-hole-, AdGuard- oder Firewall-Setups mit einbeziehen
Switch, Port und Verkabelung nicht übersehen
Ein Access Point kann nur so gut arbeiten wie sein Uplink. Ein falsch konfigurierter Switch-Port, ein defektes Kabel oder ein Port mit eingeschränkter VLAN-Freigabe reicht aus, um das WLAN nach außen abzuschneiden. Das gilt besonders dann, wenn ein neues Netz mit mehreren SSIDs und VLANs aufgebaut wurde.
Wichtig sind die Datenrate, die Stromversorgung per PoE und die Portzuordnung am Switch. Manche Probleme entstehen erst nach einem Portwechsel, weil das Zielport-Profil nicht mehr zum AP passt. Ein einfacher Tausch auf einen bekannten funktionierenden Port spart hier oft Zeit.
UniFi-Controller und Gerätelayout prüfen
Auch die Verwaltungsseite kann eine Rolle spielen. Ein Access Point mit alter Konfiguration, nicht übernommenem Profil oder fehlerhafter Netzwerkzuweisung kann ein WLAN senden, das nicht zum Rest des Netzes passt. Nach Änderungen an SSIDs, VLANs oder Netzwerken sollte geprüft werden, ob die Konfiguration wirklich auf dem AP angekommen ist.
Im Controller sind besonders die Netzwerke, die WLAN-Profile und die Gerätezuordnung relevant. Wenn mehrere Standorte, mehrere Switches oder getrennte Netze im Einsatz sind, hilft ein klarer Blick auf die Pfadfolge vom AP über den Switch bis zum Gateway. So lässt sich erkennen, an welcher Stelle die Kette abbricht.
Schrittfolge für die Eingrenzung
- Mit dem WLAN verbinden und prüfen, ob lokale Ziele erreichbar sind
- IP-Adresse, Gateway und DNS auf dem Endgerät ansehen
- Testweise ein anderes Endgerät im selben WLAN verwenden
- VLAN-Zuordnung der SSID kontrollieren
- Switch-Port und Uplink des AP prüfen
- DHCP-Bereich und Router-Gateway abgleichen
- DNS testweise auf einen alternativen Server umstellen
- Bei Bedarf die SSID ohne VLAN und mit Standardnetz testen
Wenn nach diesen Schritten nur ein bestimmtes Gerät betroffen ist, liegt der Fehler eher am Endgerät, am gespeicherten WLAN-Profil oder an einer lokalen Sicherheitssoftware. Sind alle Geräte im gleichen WLAN betroffen, spricht das deutlich für ein Netzproblem zwischen AP und Router oder für eine falsche VLAN-/DHCP-/Gateway-Kombination.
Wann Reset oder Neuaufbau sinnvoll sind
Ein Reset ist erst dann sinnvoll, wenn die Netzpfade geprüft wurden und die Konfiguration unübersichtlich geworden ist. Vorher sollten alle relevanten Daten gesichert werden, denn eine Werkseinstellung löscht individuelle Einstellungen, WLAN-Profile und oft auch Verwaltungsdaten. Bei laufendem Betrieb mit instabiler Stromversorgung sollte außerdem kein Firmware-Update gestartet werden.
Nach einem Neuaufbau empfiehlt es sich, mit einem einfachen, getesteten Netz zu beginnen: ein VLAN-freies WLAN, ein eindeutiger DHCP-Bereich, ein klar definiertes Gateway und danach erst zusätzliche Netze wie Gastzugang oder getrennte Segmentierung. So wird sichtbar, welche Ergänzung die Störung auslöst.
Wenn die Ursache weiterhin unklar bleibt, ist der nächste sinnvolle Schritt ein direkter Test am Router oder Gateway, also ohne zwischengeschaltete Sonderlogik. Damit lässt sich schnell entscheiden, ob das Problem im WLAN-Teil oder in der Netzverteilung sitzt.
VLAN-Tagging am AP und am Switch konsistent halten
Ein UniFi-AP sendet nur dann ein nutzbares Funknetz, wenn die SSID auf das richtige Netzwerk zeigt und die VLAN-Markierung auf dem gesamten Pfad unverändert bleibt. Entscheidend ist nicht nur die Einstellung im UniFi-Controller, sondern auch die Behandlung des Trunk-Ports am Switch und der Weg bis zum Router oder Layer-3-Gateway. Schon eine abweichende Native-VLAN-Zuordnung kann dazu führen, dass Clients zwar eine Verbindung aufbauen, aber anschließend im falschen Netz landen oder gar keine Antwort vom Gateway erhalten.
Prüfen Sie zuerst das Netzwerkobjekt der SSID. Dort muss das passende VLAN eingetragen sein, sofern das Funknetz nicht untagged laufen soll. Danach folgt der Switch-Port, an dem der AP hängt. Der Port sollte das Management-VLAN erlauben und zusätzlich das VLAN der SSID weiterreichen. Bei mehreren SSIDs ist darauf zu achten, dass jedes Netz auch auf dem Uplink bis zum Router transportiert wird.
- SSID im richtigen Netzwerkprofil verknüpfen.
- Am Switch-Port getaggte VLANs freigeben.
- Native VLAN nur dann nutzen, wenn es bewusst so geplant ist.
- Zwischen AP, Switch und Router dieselbe VLAN-Logik verwenden.
DHCP-Bereich, Relay und Adressvergabe sauber abstimmen
Selbst ein korrekt ausgestrahltes WLAN bleibt ohne Internet nutzlos, wenn Clients keine passende IP-Adresse erhalten. In UniFi-Umgebungen lohnt sich ein Blick auf die DHCP-Zuständigkeit im jeweiligen Netz. Ist der UniFi-Gateway selbst der DHCP-Server, muss das VLAN dort als eigenes Netzwerk mit passendem Adressbereich angelegt sein. Läuft DHCP auf einem anderen Router oder Server, braucht das VLAN einen funktionierenden DHCP-Relay oder eine saubere Weiterleitung auf Layer 3.
Typische Fehler entstehen durch überlappende Adressbereiche, vergessene Scopes oder einen zu kleinen Pool. Auch ein statischer Eintrag im Client, der nicht mehr zum Netz passt, führt zu scheinbar vorhandener Verbindung ohne brauchbaren Datenverkehr. Sinnvoll ist daher ein kurzer Abgleich zwischen Netzwerkprofil, DHCP-Range und den tatsächlich verteilten Adressen auf einem Testgerät.
- Im UniFi-Netzwerk prüfen, ob DHCP aktiv oder extern vergeben wird.
- Adressbereich und Subnetzmaske mit der SSID und dem VLAN abgleichen.
- Am Testclient eine neue Lease anfordern oder die Netzwerkeinstellungen erneuern.
- Auf dem DHCP-Server kontrollieren, ob Anfragen des VLANs ankommen.
Gateway, Firewall und Inter-VLAN-Regeln gezielt prüfen
Eine Verbindung zum Funknetz sagt noch nichts darüber aus, ob das Gateway erreichbar ist oder ob die Weiterleitung ins Internet erlaubt wurde. Gerade in Netzen mit mehreren VLANs blockieren Regeln oft nur den Verkehr zwischen internen Segmenten, während der Internetzugang erlaubt sein sollte. Fehlt eine passende Freigabe, erhalten Geräte zwar eine Adresse und sogar einen Default-Gateway-Eintrag, können aber keine externen Ziele auflösen oder erreichen.
Im Gateway ist zu prüfen, ob das jeweilige Netz aktiv ist, ob ein korrekter Next Hop gesetzt wurde und ob Firewall-Regeln den Verkehr aus dem Client-VLAN ins WAN zulassen. Bei komplexeren Setups mit mehreren Routern oder vorgeschalteten Firewalls muss die Rückroute ebenfalls stimmen. Ohne saubere Antwortwege wirken Verbindungen wie unterbrochen, obwohl die Ursache in der Gegenrichtung liegt.
- Gateway-IP des VLANs am Client kontrollieren.
- Firewall-Regeln für ausgehenden Verkehr prüfen.
- Inter-VLAN-Blockaden nicht mit WAN-Sperren verwechseln.
- Bei externer Firewall auch statische Routen beachten.
Gezieltes Vorgehen an den Geräten und in der Oberfläche
Für die Fehlersuche hilft ein klarer Ablauf, damit nicht mehrere Ebenen gleichzeitig verändert werden. Zuerst wird am Client geprüft, welche IP, Gateway- und DNS-Werte angekommen sind. Danach folgt der Blick auf die SSID-Zuordnung, anschließend auf den Switch-Port und schließlich auf das Gateway. In UniFi Network lassen sich Geräte- und Netzwerkdetails an mehreren Stellen einsehen, etwa unter den Netzwerkeinstellungen, bei den Access Points und im Ereignisprotokoll.
Besonders nützlich sind kleine Vergleichstests. Ein Gerät an derselben Leitung per Kabel, ein anderes per WLAN und ein identisches SSID-Profil auf einem zweiten VLAN liefern schnell Hinweise darauf, ob das Problem im Funknetz, im Adressraum oder im Routing liegt. So lässt sich die Suche eingrenzen, ohne an mehreren Stellen gleichzeitig Einstellungen zu verändern.
- Client mit verbundenem WLAN auf IP, Gateway und DNS prüfen.
- Im UniFi-Controller das zugeordnete Netzwerk der SSID kontrollieren.
- Switch-Port des APs auf Tagging, Native VLAN und Profil prüfen.
- Im Gateway die Route und die Freigabe ins WAN nachvollziehen.
Saubere Trennung von Management-Netz und Nutznetz planen
In vielen Installationen hängt der Access Point selbst im Management-VLAN, während die SSIDs in getrennte Nutznetze weisen. Diese Trennung ist sinnvoll, verlangt aber eine klare Planung. Der AP muss sein eigenes Netz sicher erreichen, während die Clients in ihren jeweiligen VLANs bleiben. Wird das Management-VLAN versehentlich geändert oder am Uplink nicht erlaubt, verliert der AP zwar nicht zwingend sofort die Verbindung, meldet aber fehlende Erreichbarkeit oder unvollständige Funktionen im Controller.
Hilfreich ist eine einfache Netzstruktur mit eindeutigen Rollen. Das Management-Netz dient nur für Infrastrukturgeräte, während das Gast-, Büro- oder IoT-Netz jeweils eigene Regeln, DHCP-Bereiche und Freigaben erhält. Dadurch wird leichter erkennbar, ob ein Fehler am AP selbst, am VLAN-Transport oder an der Weiterleitung zum Internet liegt.
- Management-VLAN für APs und Switches separat halten.
- SSIDs nur auf die vorgesehenen VLANs legen.
- Uplink-Ports als Trunks sauber dokumentieren.
- Regeln für Gast-, Büro- und IoT-Netze getrennt definieren.
Hinweise aus Logs, Ping und Client-Details richtig lesen
Die kleineren Diagnosewerkzeuge liefern oft den entscheidenden Hinweis. Ein Ping auf die Gateway-Adresse zeigt, ob das lokale Netz funktioniert. Ein Ping auf eine öffentliche IP prüft, ob Routing und NAT in Ordnung sind. Scheitert nur die Namensauflösung, liegt der Schwerpunkt eher auf DNS. Scheitern bereits Verbindungen zum Gateway, steht meist die VLAN- oder DHCP-Strecke im Vordergrund.
Auch die Ereignisse im Controller sind nützlich, weil dort Authentifizierungsprobleme, Portwechsel oder Adresskonflikte sichtbar werden können. Wichtig ist, Meldungen im Zusammenhang mit dem tatsächlichen Netzpfad zu interpretieren. Ein Access Point kann vollständig online erscheinen, während nur ein einzelnes SSID-VLAN nicht korrekt weitergereicht wird. Dann muss die Suche auf dieses Netz und den zugehörigen Trunk konzentriert werden.
- Ping auf Gateway, dann auf externe IP und zuletzt auf einen Hostnamen testen.
- Client-Daten mit dem vorgesehenen Subnetz vergleichen.
- Controller-Events auf VLAN-, DHCP- oder Porthinweise prüfen.
- Bei Abweichungen zuerst das betroffene Netzsegment eingrenzen.
Häufige Fragen
Woran erkenne ich zuerst, ob das Funknetz oder der Internetzugang betroffen ist?
Prüfen Sie zuerst, ob Clients eine Verbindung zum WLAN aufbauen und interne Ziele im gleichen Netz erreichen. Danach testen Sie eine bekannte Internetadresse per Ping oder öffnen eine Webseite über die IP eines öffentlichen DNS-Servers, um den Weg ins externe Netz zu beurteilen.
Welche Rolle spielt das VLAN bei einem UniFi-SSID-Profil?
Ein falsch zugewiesenes VLAN trennt Clients schnell vom richtigen IP-Bereich oder führt sie in ein Netz ohne Route nach außen. Kontrollieren Sie im UniFi-Controller die SSID-Einstellungen und vergleichen Sie die VLAN-ID mit der Port-Konfiguration am Switch und dem erwarteten Netzsegment.
Warum bekommen manche Geräte zwar eine Verbindung, aber keine gültige IP-Adresse?
Dann antwortet der DHCP-Server häufig nicht im passenden VLAN oder der Relay-Pfad ist unterbrochen. Prüfen Sie den DHCP-Bereich, die Reichweite des Pools und ob der AP- oder Switch-Port das VLAN unverändert transportiert.
Wie finde ich heraus, ob das Gateway richtig gesetzt ist?
Auf dem Client sollte das Standardgateway zur IP des Routers im jeweiligen Subnetz passen. Vergleichen Sie die per DHCP verteilten Werte mit der Router-Konfiguration und achten Sie darauf, dass das Gateway im gleichen VLAN wie die Clients liegt.
Kann DNS das eigentliche Problem verdecken?
Ja, ein fehlerhafter DNS-Server erzeugt den Eindruck eines ausgefallenen Internetzugangs, obwohl Routing und Gateway bereits funktionieren. Testen Sie deshalb sowohl eine Domain als auch eine direkte IP-Adresse und tragen Sie bei Bedarf probeweise einen bekannten DNS-Server ein.
Welche Einstellungen im UniFi-Controller sollte ich zuerst prüfen?
Öffnen Sie die Netzwerkeinstellungen, die SSID-Konfiguration und das Gerätelayout des betroffenen APs. Dort sehen Sie, ob das WLAN einem falschen Netzwerk zugeordnet ist, ob der Access Point im richtigen Site-Bereich hängt und ob ein Profil eine VLAN-Kennung überschreibt.
Wie gehe ich bei einem Switch-Port vor, der den Access Point versorgt?
Kontrollieren Sie, ob der Port als Trunk oder als Access-Port eingerichtet ist und welche VLANs erlaubt sind. Ein AP braucht in vielen Umgebungen den Management-Zugang untagged oder in einem festen Management-VLAN sowie die WLAN-VLANs tagged.
Was prüfe ich an der Verkabelung oder am PoE-Port?
Ein unauffälliger Link sagt noch nichts über saubere Datenweiterleitung aus. Testen Sie ein anderes Patchkabel, wechseln Sie den Port und lesen Sie im Switch die Aushandlung sowie eventuelle Fehlerzähler aus.
Wie lässt sich die Fehlersuche sauber in Schritte aufteilen?
Beginnen Sie mit der Verbindung zum SSID-Profil, gehen Sie dann über VLAN, DHCP und Gateway bis zu DNS und Routing weiter. So erkennen Sie schnell, an welcher Stelle der Pfad unterbrochen wird, und vermeiden unnötige Änderungen an mehreren Stellen zugleich.
Wann ist ein Reset oder ein Neuaufbau sinnvoll?
Wenn mehrere Konfigurationsschichten widersprüchlich sind oder Änderungen sich nicht mehr sauber nachvollziehen lassen, lohnt sich ein gezielter Neuaufbau. Setzen Sie dann zunächst AP, SSID, Netzwerke und Switch-Port mit klaren Standardwerten auf und übernehmen Sie danach nur die benötigten Sonderregeln.
Fazit
Bei einem UniFi-WLAN ohne Internet liegt die Ursache selten nur am Access Point selbst. Meistens ist die Kette aus VLAN, DHCP, Gateway, DNS und Switch-Port an einer Stelle unterbrochen. Wer diese Stationen in einer klaren Reihenfolge prüft, findet die Fehlerquelle meist zügig und stellt den sauberen Internetzugang wieder her.
