VLAN-Netzsegmentierung: Geräte trennen, Betrieb beherrschbar halten

In vielen gewachsenen Netzwerken befinden sich Arbeitsplatzgeräte, Server, Drucker, Kameras, Gäste und Verwaltungsoberflächen im selben Bereich. Das ist bequem, weil Verbindungen ohne weitere Planung funktionieren. Gleichzeitig kann jedes kompromittierte oder falsch konfigurierte Gerät deutlich mehr Systeme erreichen als nötig. VLANs helfen, solche Bereiche logisch zu trennen. Die eigentliche Sicherheit entsteht aber erst durch die Regeln zwischen ihnen.

Nach Vertrauen und Aufgabe segmentieren

Eine gute Segmentierung beginnt nicht mit einer möglichst großen Zahl an VLANs. Sie beginnt mit der Frage, welche Geräte ein ähnliches Schutzbedürfnis und vergleichbare Kommunikationswege haben. Ein verwaltetes Notebook ist anders zu behandeln als ein privates Gastgerät. Ein Server benötigt andere Ziele als eine Überwachungskamera, und die Administration der Netzwerkkomponenten sollte nicht aus jedem Arbeitsplatznetz möglich sein.

Typische Zonen können beispielsweise Arbeitsplätze, Server, Verwaltung, Gäste, Telefonie und technisch eingeschränkte Geräte umfassen. Welche davon tatsächlich nötig sind, hängt von der Umgebung ab. Zu viele sehr kleine Bereiche erhöhen den Pflegeaufwand und erschweren die Fehlersuche. Zu wenige Bereiche lassen unnötige Verbindungen offen.

Kommunikationswege vorab beschreiben

Bevor Switches und Access Points umkonfiguriert werden, sollte für jede Zone feststehen, welche Ziele und Dienste erreichbar sein müssen. Dazu gehören nicht nur offensichtliche Anwendungen. DNS, DHCP, Zeitsynchronisierung, Druckdienste, Verzeichnisdienste und Monitoring werden bei einer groben Planung leicht vergessen. Eine einfache Kommunikationsmatrix macht diese Abhängigkeiten sichtbar.

• Quelle: Aus welcher Zone beginnt die Verbindung?
• Ziel: Welches konkrete System oder welche Zielgruppe wird benötigt?
• Dienst: Welches Protokoll und welcher Port sind erforderlich?
• Richtung: Wird die Verbindung nur ausgehend oder auch eingehend aufgebaut?
• Zweck: Welche Anwendung oder welcher Geschäftsprozess begründet die Freigabe?
• Verantwortung: Wer prüft die Regel bei einer späteren Änderung?

Firewall-Regeln lesbar und eng halten

VLANs trennen Layer-2-Domänen. Sobald Inter-VLAN-Routing aktiviert ist, bestimmen Router-, Firewall- oder ACL-Regeln, welche Übergänge erlaubt sind. Ein sinnvoller Ausgangspunkt ist, nur dokumentierte Verbindungen freizugeben. Regeln sollten mit verständlichen Namen, einem fachlichen Grund und möglichst konkreten Quellen sowie Zielen versehen sein. Großzügige Freigaben für komplette Netze lösen kurzfristig ein Problem, bleiben aber häufig dauerhaft bestehen.

Ebenso wichtig ist die Reihenfolge: allgemeine Sperren, gezielte Freigaben und temporäre Ausnahmen müssen nachvollziehbar zusammenspielen. Protokollierung hilft bei der Einführung, sollte aber so dosiert sein, dass relevante Ereignisse nicht in einer Masse erwartbarer Verbindungen verschwinden.

Adressierung, DNS und WLAN gemeinsam planen

Jede Zone benötigt einen eindeutigen IP-Bereich, passende DHCP-Einstellungen und eine klare DNS-Strategie. Überschneidende Netze erschweren später VPN-Verbindungen und Standortkopplungen. Im WLAN werden SSIDs meist bestimmten VLANs zugeordnet. Dabei muss bedacht werden, wie Geräte authentifiziert werden, ob Gäste voneinander isoliert sind und wie ein Wechsel zwischen kabelgebundenem und drahtlosem Zugang funktioniert.

Die Verwaltungszone besonders schützen

Oberflächen von Firewall, Switches, Hypervisoren und Access Points gehören in einen eigenen Verwaltungsweg. Dieser sollte nur von festgelegten Geräten oder über einen abgesicherten Administrationszugang erreichbar sein. Ein separates VLAN allein genügt nicht, wenn seine Zugangsdaten geteilt werden oder jede Person sich damit verbinden kann.

Schrittweise umstellen und testen

Eine Segmentierung lässt sich sicherer in überschaubaren Etappen einführen. Zuerst werden Netzplan, Portbelegung und Sicherungen der Konfiguration erstellt. Danach folgt eine weniger kritische Gerätegruppe, an der DHCP, DNS, Internetzugang und notwendige interne Dienste geprüft werden. Erst wenn die Regeln stimmen, wechseln weitere Bereiche. Für jede Etappe sollte ein klarer Rückweg vorhanden sein.

1. Geräte und benötigte Verbindungen erfassen.
2. Zonen, IP-Bereiche und Namen festlegen.
3. Firewall-Regeln zunächst in einer Testgruppe überprüfen.
4. Switch-Ports und WLAN-Zuordnungen kontrolliert umstellen.
5. Anwendungen aus Sicht der Nutzenden testen.
6. Netzplan und Regelwerk nach der Abnahme aktualisieren.

Segmentierung bleibt ein Betriebsprozess

Neue Geräte, Anwendungen und Standorte verändern die benötigten Wege. Deshalb gehören Regeln regelmäßig auf Zweck, Nutzung und verantwortliche Person geprüft. Temporäre Freigaben brauchen ein Ablaufdatum. Eine gute Segmentierung ist nicht die mit den meisten Zonen, sondern die, deren Grenzen auch Monate später verständlich und wirksam sind.

Wir planen Netzbereiche, Firewall-Regeln und sichere Zugänge als zusammenhängende Lösung. Mehr dazu finden Sie unter Netzwerk, Firewall & VPN.