VLAN und Netzwerksegmentierung

Hier sollst du ein Netzwerk in Segmente aufteilen und begründen, welcher Verkehr durchgelassen werden darf. Du benötigst Adresse, Präfix, Gateway und Port aus [[Protokolle Layer 3 – IP, Subnetz und Standard-Gateway|IP, Subnetz und Standard-Gateway]] sowie [[Protokolle Layer 1 – Netzwerkprotokolle|Netzwerkprotokollen]].

Beginne mit dem VLAN-Beispiel, Aufgabe 1 und der Firewall-Übung. Der Basisweg ist einen Zugriffsplan mit erwartetem zulässigem und blockiertem Traffic. Eine praktische Änderung erfordert eine eigene, genehmigte Testumgebung und einen Weg zurück zum vorherigen Setup. Ohne solchen Zugriff verwendest du das Beispiel zur Planung; du darfst nicht das Netz der Schule ändern. Subnetzberechnung und DHCP-Einrichtung sind optional.

Warum segmentieren?

Die Segmentierung teilt das Netzwerk in kleinere Bereiche auf. VLAN trennt den Verkehr auf Layer 2. Ein Router oder ein Layer-3-Switch kann weiterhin Traffic zwischen ihnen vermitteln; eine Firewall oder Zugriffsregeln bestimmen, was tatsächlich erlaubt ist.

Was ist ein VLAN?

Ein virtuelles lokales Netzwerk (Virtual Local Area Network, VLAN) unterteilt einen physischen Switch in logische Netzwerke. Die VLAN-ID gibt an, welchem VLAN der Datenverkehr zugeordnet wird. Der Zugriff zwischen VLANs muss zusätzlich gesteuert werden.

Video: So teilt ein VLAN ein physisches Netzwerk auf

Das Video erklärt, wie ein VLAN ein physisches Netzwerk in mehrere logische Netzwerke unterteilt und den Verkehr zwischen ihnen trennt.

In diesem Beispiel verwendet jedes VLAN ein eigenes IPv4-Subnetz:

Getaggter vs. ungetaggter Verkehr

Damit VLANs über mehrere Switches hinweg funktionieren können (oder zwischen Switch und Router), wird Tagging verwendet:

Ein normaler PC ist in der Regel an einen Access-Port angeschlossen, ohne dass er selbst den Verkehr mit einer VLAN-ID kennzeichnet. Ein Trunk kann mehrere zulässige VLANs tragen, nicht unbedingt alle. Ein Trunk kann auch ein ungetaggtes, so genanntes Native-VLAN haben. Lesen Sie die tatsächliche Konfiguration des Portprofils, bevor Sie den Verkehrsverlauf interpretieren.

Aufgabe 1 – VLAN in der Praxis

Wenn Sie die Berechtigung haben, das Netzwerksetup in UniFi oder einem anderen Tool zu lesen, untersuchen Sie es ohne Änderungen vorzunehmen:

• Welche VLANs sind konfiguriert?
• Welchen Ports ist als Access zugewiesen und welchen als Trunk?
• Vergleichen Sie die IP-Konfiguration des PCs mit dem Subnetz und dem Port-Profil. Die IP-Adresse allein bestätigt nicht die VLAN-Zugehörigkeit.

Ohne Administratorzugriff: Verwenden Sie die Beispieltabelle. Ein Client hat die Adresse 10.0.30.10/24 und Gateway 10.0.30.1. In welches der Beispielsubnetze passt dieser ein, und welche Portart würden Sie für einen normalen PC wählen? Die erwartete Antwort lautet Schülerunternetz und ein Access-Port im VLAN 30. Dies ist eine Interpretation des Beispiels und keine Messung Ihres eigenen Netzes.

Firewall-Regeln zwischen VLANs

Beschreibe zuerst, wer eine Verbindung initiieren soll, zu welchem Ziel und über welches Protokoll/Port. Eine allgemeine Bezeichnung wie „Mitarbeiter zu Servern“ ist für die direkte Konfiguration zu grob. Die Tabelle ist ein Beispielrichtlinie, die konkretisiert werden muss:

Antwortverkehr bedeutet nicht, dass der Server neue Verbindungen zu allen initiieren darf. Regeln für established/related und die Reihenfolge der Regeln müssen zur Firewall passen. Verkehr zwischen Geräten im selben VLAN geht normalerweise nicht durch die Firewall, die das Routing zwischen VLANs steuert.

Dies ist die gewünschte Endpolitik und keine Anweisung, zunächst eine breite Blockierung in einem bereits genutzten Netzwerk zu aktivieren. Erhalten Sie die notwendige Verwaltung sowie DNS- und DHCP-Dienste bei der Änderung eines abgegrenzten Testaufbaus.

Übung: Client über Proxy statt direkt zur Anwendung

Verwenden Sie diese Beispielrollen oder entsprechende bekannte Werte aus einer Testumgebung:

Der Client soll die Anwendung über den Proxy öffnen können, aber nicht direkt am Anwendungsport. Docker Level 3 zeigt, wie der Proxy und die Anwendung eingerichtet und kontrolliert werden. Schreiben Sie den Plan in ein eigenes Dokument:

Proxy und App befinden sich im Beispiel im selben VLAN. Die Verbindung zwischen ihnen wird direkt getestet, unterliegt jedoch nicht diesen Regeln zwischen VLANS. Ein erfolgreicher Test über den Proxy zeigt an, dass die Application auf diesem Weg verfügbar war; ein fehlgeschlagener direkter Test allein beweist nicht, dass die Firewall korrekt blockierte.

Praxisprüfung in einer genehmigten Testumgebung

Verwenden Sie eine bereits funktionierende Proxy-/App-Konfiguration. Dokumentieren Sie den Normalzustand und die geltenden Regeln und stellen Sie sicher, dass der Konsolenzugriff oder ein anderer Verwaltungsweg verfügbar bleibt, sodass Änderungen zurückgerollt werden können. Prüfen Sie Quelle, Ziel, Port, Richtung und Regelreihenfolge, bevor Sie eine einzelne abgegrenzte Regel ändern.

Von der Client-Seite aus testen Sie den Appnamen über das Proxy-Gateway. Für direkten App-Zugang können Sie Folgendes verwenden:

curl --fail --show-error --connect-timeout 5 --max-time 10 http://10.0.50.20:5000/status

Die Adresse stammt aus dem Beispiel; ersetzen Sie sie durch die App-Adresse der Testumgebung. Nach der Blockade sollte dieser Client keine HTTP-Verbindung mehr herstellen können. Ein Timeout kann andere Ursachen haben; vergleichen Sie das Ergebnis mit dem Firewall-Protokoll oder der Regelzählerstatistik (wenn das Tool dies ausgibt) und stellen Sie gleichzeitig sicher, dass die App weiterhin über den Proxy antwortet. Eine HTTP-Antwort 404 oder 500 vom App-Port zeigt an, dass die HTTP-Verbindung zugestellt wurde, auch wenn curl --fail einen Fehler meldet.

Kontrollpunkt: Geplanter und tatsächlicher Zugriff

Zeige beide Tests mit Quelle, Ziel, erwartetem und tatsächlichem Ergebnis. Erkläre die Regel und was die Tests bestätigen. Bei Abweichungen untersuchst du eine Regel oder einen Verkehrsfluss nach dem anderen wiederholst die Kontrolle. Führe Änderungen zurück, wenn sie den erforderlichen Zugriff beeinträchtigen.

Wenn nur das Beispiel verwendet wurde, markierst du die Ergebnisse als erwartete Werte und erklärst, welche Prüfungen noch ausstehen. Dann ist der Plan fertiggestellt, aber Implementierung und tatsächliche Wirkung wurden nicht demonstriert. Subnetzberechnung und DHCP unten sind optionale Erweiterungen nach dieser Kontrolle.

Untervernetzung

Nachwahl: Verwenden Sie [[Protokolle Ebene 3 – IP, Subnetze und Standard-Gateway|IP und Subnetz]], wenn ein anderer Adressbereich ausgewählt werden soll. Die folgenden Zahlen gelten für übliche IPv4-Subnets und zeigen die Anzahl der Hostadresses nach Netzwerk- und Broadcastadresse an:

Aufgabe 2 – Berechnen eines Subnets

Optionale Übungsaufgabe: Verwenden Sie die Vorgehensweise aus der IP-Namensauflösung oder einen Subnetzrechner, z. B. subnet-calculator.com:

• Geben Sie 10.0.60.0 mit der Maske /24 ein. Wie viele Adressen erhalten Sie?
• Was passiert, wenn Sie auf /25 ändern? Oder auf /23?
• Welche Option würden Sie für ein Klassenzimmer mit 30 Schülern wählen?

Prüfung: /24 ergibt 254 Host-Adressen, /25 ergibt 126 und /23 ergibt 510. Begründen Sie Ihre Wahl anhand aller Geräte, die eine Adresse benötigen, einschließlich des Gateways und anderer Ausrüstungen; die Anzahl der Schüler ist nicht das gesamte Adressbedürfnis.

DHCP pro VLAN

Optionale Auflösung: Clients, die ein automatisches IP-Einrichtung erhalten sollen, benötigen einen DHCP-Dienst, der die richtige Konfiguration für das UnterNetz bereitstellt. Statische Adressen benötigen keinen DHCP-Dienst. [[Protokolle Layer 2 - Netzwerkdienste und Serverrollen|Netzwerkdienste und Serverrollen]] erklärt DHCP und Reservierungen.

Beispiel für das Schüler-VLAN:

Zusammenfassung

• Segmenteierung unterteilt das Netzwerk in Bereiche, in denen der Datenverkehr gesteuert werden kann.
• Ein VLAN ist ein virtuelles Netzwerk auf demselben physischen Switch.
• Zugangsports verbinden Geräte mit einem einzigen VLAN; Trunkports transportieren mehrere VLANs.
• Firewallregeln bestimmen, was zwischen den VLANs zulässig ist.
• Im Beispiel hat jedes VLAN sein eigenes Subnetz; DHCP ist relevant, wenn Adressen automatisch zugewiesen werden sollen.
• Endgültige Richtlinie: Nicht benötigten Verkehr blockieren und die vereinbarten Dienste erlauben.

Quellen: UniFi: Access Rules and Return Traffic und Access-/Trunk-Ports.