Peplink oder UniFi als Gateway? Die Rollen sauber trennen

"Peplink oder UniFi?" klingt nach einer Produktentscheidung und ist in Wahrheit eine Rollenfrage. Die beiden Welten überlappen sich nur an einer einzigen Stelle — dem Gateway — und sind sonst komplementär.

Peplink ist stark, wo mehrere Internetleitungen zu einer belastbaren Verbindung werden sollen: Bündeln, unterbrechungsfreies Umschalten, Paketredundanz, Priorisierung am Übergabepunkt ins Internet. Das ist der Kern von SpeedFusion und in dieser Tiefe im UniFi-Portfolio nicht vorhanden.

UniFi ist stark im Netz dahinter: viele Ports, saubere PoE-Versorgung, ein durchdachtes WLAN-System mit einheitlicher Verwaltung, günstige Access Points, VLAN-Trennung mit wenigen Klicks, und ein Bedienkonzept, mit dem auch Nicht-Spezialisten zurechtkommen.

Die sinnvolle Antwort ist deshalb fast immer: beides, mit klarer Rollenteilung. Der Peplink ist Router und Firewall am Übergang ins Internet. UniFi liefert Switch, Access Points und die Verwaltung. Interessant wird es nur an zwei Punkten — was passiert, wenn man ein UniFi-Gateway zusätzlich einbaut, und wo die Priorisierung hingehört.

Die Gateway-Geräte von UniFi sind gute Router. Sie beherrschen mehrere WAN-Anschlüsse, erkennen den Ausfall der primären Leitung und schalten auf die zweite um. Für die meisten Büros ist das vollkommen ausreichend.

Der Unterschied liegt in dem, was während und nach dieser Umschaltung passiert. Ein Failover ohne Tunnel bedeutet: Die öffentliche Adresse wechselt, bestehende Verbindungen brechen ab, Anwendungen bauen neu auf. Bei Webseiten und E-Mail merkt das niemand. Bei einer laufenden Videokonferenz sehen alle Teilnehmer den Abbruch.

Zwei Fähigkeiten fehlen dem UniFi-Portfolio in dieser Form:

• Bündeln mehrerer Leitungen zu einer Verbindung — nicht Sitzungen verteilen, sondern eine einzelne Übertragung über mehrere Wege gleichzeitig tragen.
• Paketredundanz über mehrere Leitungen, also dasselbe Paket parallel senden und beim Empfänger die erste Kopie verwenden. Genau dieses Verfahren macht eine Übertragung gegen kurze Störungen immun.

Daraus ergibt sich eine einfache Entscheidungsregel: Wenn eine laufende Übertragung einen Leitungsausfall überleben muss, ist das Gateway ein Peplink. Wenn es genügt, dass das Büro nach einigen Sekunden wieder online ist, kann ein UniFi-Gateway die Rolle übernehmen — und man spart sich ein Gerät.

Ein häufiger Vorschlag lautet, den Peplink für die Leitungen zu nehmen und dahinter eine Dream Machine "für das UniFi-Erlebnis" zu setzen. Das funktioniert und ist trotzdem keine gute Idee, weil man zwei Router in Reihe betreibt.

Die Folgen sind konkret:

• Doppelte Adressumsetzung. Jedes Paket wird zweimal umgeschrieben. Portweiterleitungen müssen an zwei Stellen eingerichtet werden, und Protokolle, die Adressen im Datenteil mitführen, brauchen doppelt Aufmerksamkeit.
• Zwei Firewalls. Jede Regel existiert potenziell zweimal, und die Fehlersuche fragt bei jedem blockierten Verbindungsversuch zuerst: welches der beiden Geräte war es?
• Zwei Adressbereiche und zwei DHCP-Zuständigkeiten. VLANs müssen an beiden Geräten konsistent gehalten werden.
• Kein Zugewinn. Die interessanten UniFi-Funktionen — Verwaltung, WLAN, VLANs, PoE, Statistik — hängen am Controller, an den Switches und an den Access Points. Sie brauchen kein UniFi-Gateway.

Die sauberere Variante ist deshalb: Peplink als Gateway, UniFi als Switch- und WLAN-Ebene. Die Access Points werden über den Controller verwaltet, die VLANs enden am Peplink, und es gibt genau eine Stelle, an der geroutet und gefiltert wird.

Eine Ausnahme gibt es: Wenn ein Standort ohnehin ein UniFi-Gateway betreibt und der Peplink nur eine einzelne kritische Anwendung absichern soll, kann man den Peplink auch als reines Tunnelgerät hinter dem Gateway betreiben. Das ist eine bewusste Sonderlösung — nicht die Standardarchitektur.

Ein verbreiteter Denkfehler betrifft die Frage, wo man wichtigen Verkehr bevorzugt. Die Intuition sagt: im Switch, denn dort laufen die Kabel zusammen. Die Physik sagt etwas anderes.

Priorisierung wirkt nur an der Stelle, an der es tatsächlich zu eng wird. Bei einem Anschluss mit 300 Mbit/s Upload und einem 24-Port-Switch mit Gigabit- oder 2,5-Gbit-Ports ist der Engpass eindeutig der Internetübergang, nicht das lokale Netz. Ein Switch, der 24 Gigabit-Ports bedient, staut bei vier Access Points und einem Arbeitsplatz nie.

Daraus folgt: Priorisierung gehört auf das Gateway. Peplink bietet dort Nutzergruppen mit Bandbreitenreservierung, Begrenzungen pro Gerät, anwendungsbezogene Bevorzugung und Verkehrsregeln, die Datenströme gezielt in einen Tunnel oder direkt auf eine Leitung lenken. Das ist die Ebene, auf der ein Backup daran gehindert wird, einen Konferenzstream zu verdrängen.

UniFi-Switches können durchaus priorisieren — per Port lassen sich Verkehrsklassen erkennen, neu markieren und Warteschlangen zuordnen; die größeren Serien bringen zusätzlich fertige Profile für Audio- und Videoanwendungen mit. Das ist nützlich, wird aber erst relevant, wenn im LAN ein Engpass entsteht: viele Kameras und ein Backup über denselben Uplink, oder ein Speichersystem, das eine Gigabit-Verbindung dauerhaft füllt. Dann ist die richtige Antwort meist ohnehin ein schnellerer Uplink und ein eigenes VLAN, nicht eine Warteschlange.

Die Faustregel: Am Internetübergang priorisiert der Peplink, im LAN vermeidet man Engpässe durch Topologie.

Ein UniFi-Netz braucht einen Controller. Er verwaltet Access Points und Switches, hält Konfiguration und Statistik und liefert die Oberfläche. Dafür gibt es drei Wege.

Eine Konsole im Haus — etwa ein Cloud Key. Bewährt, überschaubar, kostet eine Höheneinheit im Schrank, Strom und Wartung. Wichtig zu wissen: Für UniFi Protect, also die Kameraanwendung, ist eine solche Ubiquiti-Konsole nach Herstellervorgabe zwingend erforderlich. Wer Kameras plant, braucht sie also ohnehin — dann besser gleich mitplanen, als zweimal anzufassen.

Selbst betrieben auf einem eigenen Server. Ubiquiti unterstützt das für die Netzwerkanwendung, aber ausdrücklich nur für diese; Protect, Access und die übrigen Anwendungen verlangen Ubiquiti-Hardware. Als Dauerlösung für ein produktives Netz ist das eher etwas für Betreiber, die ohnehin Server administrieren.

Gehostet. Wir betreiben einen UniFi-Controller in unserem Rechenzentrum und binden Geräte auf Wunsch dort ein — abgerechnet pro eingebundenem Gerät und Monat. Das erspart die Anschaffung, den Platz im Schrank, die Stromaufnahme und vor allem die Wartung: Updates und Sicherung des Controllers übernehmen wir. Für ein Netz mit einer Handvoll Access Points und einem Switch ist das die unaufwändigste Variante — und sie lässt sich später auf eine eigene Konsole umstellen, wenn Kameras dazukommen.

Die Entscheidung hängt weniger am Preis als an der Frage, wer den Controller im Ernstfall aktualisiert.

Für einen Standort mit mehreren Internetleitungen, kabelgebundenen Arbeitsplätzen, WLAN und später vielleicht Kameras hat sich folgender Aufbau bewährt:

1. Leitungen an den Peplink. Zwei kabelgebundene WAN-Anschlüsse sind bei den kompakten Modellen die Regel; ein dritter Weg kommt über ein eingebautes Mobilfunkmodem oder über die Funktion Virtual WAN dazu.
2. Ein SpeedFusion-Tunnel mit einem Gegenpunkt im Rechenzentrum. Darin ein Sub-Tunnel mit Paketredundanz für den kritischen Verkehr, der Rest über unterbrechungsfreies Umschalten oder direkt.
3. Ein PoE-Switch von UniFi als einziges Verteilzentrum. Er versorgt die Access Points und trennt die Netze auf Portebene.
4. VLANs mit klarer Aufgabe: Arbeitsplätze und kritische Technik getrennt vom privaten oder Gästenetz, Kameras in einem eigenen Netz ohne Internetzugang, Gäste isoliert.
5. Access Points an den Kabeln, die schon liegen. Zwei Geräte pro Etage sind für die meisten Grundrisse eine gute Ausgangsgröße; entscheidend ist die Platzierung, nicht die Stückzahl.
6. Der Controller dort, wo er zuverlässig aktuell gehalten wird — im Haus oder gehostet.

Damit gibt es genau eine Stelle, an der geroutet, gefiltert und priorisiert wird, und genau eine Stelle, an der WLAN und Ports verwaltet werden. Diese Trennung ist der eigentliche Grund, warum die Kombination beider Hersteller so gut funktioniert — und warum das Zusammenlegen beider Rollen in ein Gerät fast immer die schlechtere Wahl ist.

Dieser Artikel wurde mit KI-Unterstützung recherchiert und verfasst und vor der Veröffentlichung von Ascends Technikern geprüft.