VLAN einfach erklärt
Ein verwaltbarer Switch lässt sich mit einem Verteilzentrum vergleichen, in dem jeder Anschluss eine Farbe bekommt. Sendungen von einem grünen Anschluss stellt er nur an andere grüne Anschlüsse zu. Ein blauer Anschluss bekommt davon nichts zu sehen, obwohl beide im selben Gerät stecken. Beim Netzwerk heißt diese Farbe VLAN-Kennung oder VLAN-ID.
Ohne VLANs bildet ein kabelgebundenes Netz einen einzigen großen Bereich. Der Arbeitsplatz der Geschäftsführung, das Telefon im Lager und das Smartphone eines Gastes im WLAN könnten sich gegenseitig erreichen. Wer das trennen wollte, musste früher eigene Kabel und Geräte für jeden Bereich anschaffen. Mit VLANs erledigt das die Konfiguration der vorhandenen Technik.
So werden Daten einem VLAN zugeordnet
Die Aufteilung übernimmt der verwaltbare Switch. Dafür gibt es zwei Wege:
- Fester Port: Ein Anschluss wird genau einem VLAN zugewiesen. Was dort angeschlossen ist, landet automatisch in diesem Bereich, ohne dass das Endgerät davon weiß.
- Markierte Verbindung: Zwischen zwei Switches oder zu einem Access Point laufen die Daten mehrerer VLANs über eine einzige Leitung. Jedes Datenpaket trägt dann eine kleine Markierung mit der VLAN-Nummer. Das Verfahren ist im Standard IEEE 802.1Q festgelegt, deshalb können auch Geräte verschiedener Hersteller damit zusammenarbeiten.
Im Funknetz setzt sich das Prinzip fort. Sendet ein Access Point mehrere Funknetze aus, ordnet man jedes davon einem eigenen VLAN zu. Wer sich mit dem Gastnetz verbindet, landet im Gast-VLAN, Firmengeräte im internen Bereich. Wie das im Firmen-WLAN aussieht, beschreibt unsere Seite WLAN für Unternehmen.
Damit Geräte aus verschiedenen VLANs dennoch miteinander sprechen können, wo es nötig ist, braucht es eine Stelle, die zwischen den Bereichen vermittelt. Bei kleineren Firmennetzen fällt diese Rolle sinnvollerweise der Firewall zu, weil sie den Übergang zugleich kontrolliert.
Was VLANs leisten – und wo die Firewall übernimmt
VLANs schaffen zunächst Ordnung. Telefonie über das Datennetz (VoIP) läuft in einem eigenen Bereich und lässt sich gezielt bevorzugen, damit Gespräche bei großen Dateiübertragungen nicht stocken. Sogenannte Broadcasts, also Rundrufe an alle Geräte, bleiben auf ihr VLAN beschränkt. Zieht zum Beispiel eine Abteilung in ein anderes Stockwerk, genügt eine geänderte Port-Zuordnung statt neuer Leitungen.
Der Sicherheitsgewinn entsteht erst im Zusammenspiel. Das VLAN legt fest, welche Geräte zusammengehören. Die Regeln auf der Firewall bestimmen, welcher Verkehr zwischen diesen Gruppen erlaubt ist. Erlaubt die Firewall pauschal alles, sind die Bereiche zwar getrennt beschriftet, aber nicht gegeneinander abgeschirmt. Die Kombination aus Bereichen und Regeln heißt Netzwerksegmentierung.
Für Funknetze verlangt das BSI im Baustein NET.2.1 eine bewusste Entscheidung (NET.2.1.A7). Getrennt wird das Kabelnetz, an dem die Access Points hängen, entweder physisch oder logisch per VLAN auf den Switches. In kleineren Betrieben hat die logische Trennung den Vorteil, dass sie ohne zusätzliche Verkabelung auskommt.
Mitglieder, Check-in, Trainingsgeräte: ein Fitnessstudio teilt sein Netz auf
Angenommen, ein Fitnessstudio mit Kursräumen und 18 Beschäftigten betreibt bisher ein einziges Netz. Daran hängen das Büro mit den Mitgliederverträgen, die Terminals für den Check-in am Eingang, vernetzte Trainingsgeräte, die Telefone und das WLAN für die Mitglieder. Ein infiziertes Smartphone im Mitglieder-WLAN könnte theoretisch den Rechner im Büro ansprechen.
Bei der Neuordnung bekommt jede Gruppe ihr eigenes VLAN. Das Mitglieder-WLAN führt nur noch ins Internet. Die Trainingsgeräte erreichen ausschließlich den Online-Dienst, über den sie Trainingspläne laden.
Die Check-in-Terminals dürfen mit der Mitgliederverwaltung sprechen, aber nicht mit den übrigen Büroarbeitsplätzen. Für die Telefone ist ein eigener Bereich mit Vorrang eingerichtet. An Kabeln und Geräten ändert sich nichts, nur an deren Konfiguration und an den Firewall-Regeln.
Typische Fehler bei der Einrichtung
- Alles im Standard-VLAN: Im Auslieferungszustand liegen die Ports eines Switches in der Regel alle im selben Bereich. Bleibt das so, gibt es keine Trennung.
- Verwaltung im Arbeitsplatznetz: Sind die Bedienoberflächen von Switches und Access Points aus dem Büro-VLAN erreichbar, kann dort jedes Gerät zumindest die Anmeldeseite aufrufen. Besser liegt die Verwaltung in einem eigenen Bereich, der nur von wenigen Stellen aus zugänglich ist; für Router und Switches empfiehlt der BSI-Baustein NET.3.1 sogar ein separates Managementnetz.
- Markierte Leitungen an Arbeitsplätzen: Wo eine Verbindung alle VLANs transportiert, kann ein falsch angeschlossenes Gerät in fremde Bereiche gelangen.
- Keine Dokumentation: Ohne Plan mit VLAN-Nummern, Namen und Adressbereichen weiß nach einiger Zeit niemand mehr, warum ein Port so eingestellt ist.
Wie ProNet unterstützt
Gemeinsam mit Ihnen ordnen wir Ihre Geräte den passenden Bereichen zu und legen die nötigen VLANs auf Ihren Switches und Access Points an. Die Regeln zwischen den Bereichen richten wir auf der Firewall ein, und die Aufteilung halten wir in Ihrer IT-Dokumentation fest. Wie wir Firmennetze vom Technikschrank bis zum Funknetz planen, zeigt unsere Seite Netzwerktechnik für Unternehmen.