VLANs im Unternehmen: Netzwerksegmentierung verständlich erklärt

Ein VLAN teilt ein physisches Netzwerk logisch in mehrere getrennte Broadcast-Domänen. So können Mitarbeiter, Gäste, Server, Telefonie, Drucker oder technische Geräte dieselben Switches und Leitungen nutzen, ohne automatisch im selben logischen Netz zu liegen. VLANs schaffen Struktur, sind allein aber noch keine vollständige Sicherheitsmaßnahme.

Warum ein einziges Netz problematisch wird

In einem flachen Netz können viele Geräte direkt miteinander kommunizieren. Ein kompromittierter Gast- oder IoT-Client erreicht dadurch möglicherweise Systeme, die für ihn nie vorgesehen waren. Störungen und Broadcast-Verkehr lassen sich ebenfalls schlechter eingrenzen.

Segmentierung reduziert erreichbare Ziele und macht Regeln verständlicher. Sie sollte sich an Funktionen und Schutzbedarf orientieren, nicht an zufälligen Switchports.

Access-Port, Trunk und VLAN-ID

Ein Access-Port ordnet ein angeschlossenes Endgerät typischerweise einem VLAN zu. Ein Trunk transportiert mehrere markierte VLANs zwischen Switches, Firewall oder Access Points. Die VLAN-ID kennzeichnet das logische Netz. Falsche Zuordnungen können Geräte unbemerkt in den falschen Sicherheitsbereich setzen.

Ports, SSIDs, VLANs und IP-Netze sollten eindeutig dokumentiert werden. Unbenutzte Ports gehören deaktiviert oder in ein isoliertes Netz.

Die Firewall macht aus Trennung kontrollierten Verkehr

Geräte in unterschiedlichen VLANs kommunizieren nur über Routing. Dieses Routing sollte an einer kontrollierenden Instanz mit klaren Regeln erfolgen. Beispielsweise darf das Mitarbeiter-VLAN auf einen Druckdienst zugreifen, während das Gäste-VLAN nur das Internet erreicht.

Ein VLAN ohne passende Firewall- oder ACL-Regeln kann zwar technisch getrennt sein, aber dennoch zu breite Kommunikation erlauben. Regeln sollten notwendige Dienste statt pauschaler Freigaben beschreiben.

Typische VLAN-Struktur für Unternehmen

Häufige Bereiche sind Management, Server, Mitarbeiter, Gäste, Voice, Drucker und IoT. Nicht jedes kleine Unternehmen benötigt alle Segmente. Zu viele VLANs erhöhen Betriebsaufwand und Fehlermöglichkeiten. Die Struktur sollte so fein wie nötig und so einfach wie möglich bleiben.

WLAN, Telefonie und Management berücksichtigen

Mehrere WLAN-SSIDs können unterschiedlichen VLANs zugeordnet werden. IP-Telefone benötigen je nach Umgebung ein Voice-VLAN und passende Priorisierung. Managementoberflächen von Switches, Access Points und Firewalls gehören in einen besonders geschützten Bereich.

Änderungen kontrollieren

Neue Geräte, Ports oder Anwendungen verändern Kommunikationsbedarf. Deshalb gehören VLAN-Plan, IP-Plan, Firewall-Regeln und Portdokumentation in einen gemeinsamen Änderungsprozess. Bei Managed Network und Managed Site plane ich diese Änderungen als Teil der laufenden Betreuung.

Das können Sie selbst prüfen

• Gruppieren Sie Geräte nach Funktion, Schutzbedarf und notwendiger Kommunikation.
• Dokumentieren Sie VLAN-ID, IP-Netz, Gateway, DHCP, SSIDs und zugeordnete Switchports.
• Erlauben Sie zwischen Segmenten nur erforderliche Verbindungen über Firewall oder ACL.
• Schützen Sie Managementzugänge und deaktivieren oder isolieren Sie unbenutzte Ports.

Diese Fragen helfen bei der Einordnung

• Welche Geräte dürfen tatsächlich direkt miteinander kommunizieren?
• Welche Gäste-, IoT-, Voice- und Managementbereiche benötigen eigene Regeln?
• Wer aktualisiert VLAN- und Firewall-Dokumentation bei Änderungen?

Wenn mehrere Punkte offen sind: Dann lohnt sich zuerst eine Bestandsaufnahme. So sehen Sie, welche Baustelle dringend ist und was später warten kann.