Netzwerksegmentierung: VLANs, Schichten und Zugang

Netzwerksegmentierung macht aus einem physischen Netz mehrere logische: damit ein Smartphone im Gastnetz, ein Rechner der Buchhaltung und ein Server nie zufällig in derselben Broadcast-Domäne landen, und damit Verkehr zwischen ihnen eine Kontrollstelle passieren muss, an der jemand die Regeln geschrieben hat.

Denken Sie an ein Straßennetz. Asphalt allein ist noch keine Verkehrsordnung; das sind die Markierungen. Eine durchgezogene Linie zwischen zwei Fahrstreifen heißt: kein Wechsel, der Verkehr der Buchhaltung gerät nie auf den Streifen der Gäste. Eine gestrichelte Linie heißt: Wechsel erlaubt, aber nur an einer gekennzeichneten Stelle und nach deren Regeln. Im Netz sind die durchgezogenen Linien VLAN-Grenzen, die gestrichelten der Router, Layer-3-Switch oder die Firewall, an der Verkehr zwischen Segmenten erlaubt, geprüft oder abgewiesen wird. Ein flaches Netz ist eine Straße ganz ohne Markierung: Sie funktioniert bei wenig Verkehr, und dann steht jeder jedem im Weg.

Dieser Leitfaden ist die Karte. Jeder Abschnitt sagt, was ein Teil der Segmentierung leistet, wo er in der Praxis schiefgeht und wo es tiefer geht. Zwei Teile haben eigene Artikel: Was ist ein VLAN? und Was ist ARP, und wo endet die Broadcast-Domäne?

Warum ein Netz segmentieren?

Segmentierung begrenzt zweierlei: wie weit ein Broadcast reicht und wie weit ein Eindringling kommt. Beides bezahlt ein flaches Netz still.

Das Erste ist Rauschen. Jedes Gerät in einem flachen Netz ruft regelmäßig alle anderen: um die Hardware-Adresse eines Nachbarn zu finden, eine IP-Adresse anzufordern oder sich zu melden. Jeder Broadcast erreicht jede Netzwerkkarte und unterbricht kurz jede CPU. Bei ein paar Dutzend Geräten merkt das niemand. Bei einigen Hundert, darunter Telefone, Kameras und Drucker, die Unterbrechungen schlechter verkraften als Server, wird das Netz auf schwer greifbare Weise langsamer.

Das Zweite wiegt schwerer. Geräte einer Broadcast-Domäne entdecken einander, ohne jemanden zu fragen. Ein Laptop im Gastnetz findet die Adresse des Buchhaltungsservers ohne Hindernis, und Protokolle wie ARP glauben jeder Antwort. In einem flachen Netz heißt „ein Unbefugter ist drin“ immer „er ist überall drin“. Segmentierung verhindert den ersten Schritt nicht; sie verkleinert den Raum, in den er führt.

Wann brauchen Sie keine? In einem Drei-Personen-Büro mit einem Router bringt sie nichts Messbares und nur Pflegeaufwand. Der Maßstab ist nicht die Geräteanzahl, sondern ob Sie den Satz „diese Gruppe darf jene nicht erreichen“ zu Ende sprechen können.

Karte und Gelände: logische und physische Topologie

Jedes Netz hat zwei Topologien, und in der Lücke dazwischen scheitern die meisten Segmentierungspläne.

Die logische Topologie ist die Karte: wie Verkehr fließen soll, welche Segmente es gibt, welche Regeln dazwischen stehen. Sie wird im Zeichenprogramm entworfen und ist immer ordentlich. Die physische Topologie ist das Gelände: welches Kabel wirklich an welchem Port steckt, welcher Switch in welchen Schrank gequetscht wurde und was seit der Zeichnung dazugekommen ist. Sie stimmt nie genau mit der Karte überein.

Die häufigste Lücke hat im Feld einen Namen: der „dumme Switch“, ein unmanaged Switch, den jemand unter den Schreibtisch gelegt hat, weil zwei Ports fehlten. Er ist ein ohne Genehmigung angebautes Stockwerk. Meist funktioniert er, deshalb entfernt ihn niemand, und er untergräbt still den Entwurf darüber: Er vergrößert eine Broadcast-Domäne, die klein bleiben sollte, verbirgt jedes Gerät dahinter vor dem Blick des verwalteten Switches, und ein Port für ein vertrautes Gerät bedient nun mehrere unbekannte.

Finden können Sie ihn, ohne ihn anzufassen. Ein Switch-Port sieht normalerweise eine MAC-Adresse; zeigt die MAC-Tabelle eines verwalteten Switches mehrere an einem Port, vervielfältigt dahinter etwas Frames. Die gemessene Signatur steht in Was ist ARP? Die Regel daraus: Segmentierung wird auf der Karte entworfen, aber im Gelände durchgesetzt. Bevor Sie etwas ändern, finden Sie heraus, was wirklich angeschlossen ist.

Das Drei-Schichten-Modell: Core, Distribution, Access

Der klassische Aufbau eines geswitchten Netzes hat drei Schichten, jede mit eigener Aufgabe in der Segmentierung.

• Core: das Rückgrat, das Verkehr zwischen Netzteilen transportiert. Gebaut für Geschwindigkeit und Verfügbarkeit; fällt er aus, sind alle Segmente voneinander getrennt. Halten Sie Regeln aus dem Core heraus; seine Aufgabe ist Transport.
• Distribution: wo Segmente sich treffen. Hier liegen typischerweise die Default-Gateways der VLANs, das Routing dazwischen und die ersten Zugriffsregeln: die Stellen mit gestrichelter Linie.
• Access: wo Geräte eingesteckt werden. Edge-Switches entscheiden, zu welchem VLAN ein Port gehört und ob sich ein Gerät überhaupt verbinden darf.

In kleineren Netzen fallen Core und Distribution in ein Switch-Paar zusammen, und das ist in Ordnung. Wichtig ist, dass die Funktionen getrennt bleiben: Weiterleitung in der Mitte, Regeln an den Übergängen, Zulassung am Rand.

Redundanz im Core ist Best Practice: zwei Core-Switches, damit einer ausfallen kann. Nicht jedes Budget erlaubt das an jedem Standort. Eine tragfähige Alternative für viele kleine Standorte sind einige vorkonfigurierte Ersatz-Switches in der Zentrale und eine disziplinierte Sicherung jeder Gerätekonfiguration, sodass ein ausgefallener Core-Switch einer Filiale ein Tausch ist, kein Neuaufbau. Das funktioniert nur, wenn Konfigurationen automatisch gesichert und zentral vergleichbar sind.

Engpässe verstecken sich an den Schichtgrenzen. Ein Gebäude kann einen Gigabit-Anschluss haben, während ein Benutzer zehn Mbit/s bekommt, weil ein altes Patchkabel oder eine alte Anschlussdose eine niedrigere Geschwindigkeit aushandelt. Ein Access Point, der Gigabit kann, aber mit 100 Mbit/s am Switch hängt, erstickt, sobald zehn Personen darüber eine Videokonferenz starten. Finden Sie solche Stellen mit Port-Auslastungsgrafiken aus Ihrem Monitoring, bevor Sie etwas kaufen.

VLANs: die Linien ziehen

Ein VLAN teilt einen Switch in mehrere logisch getrennte Netze, indem es jedem Frame einen 4-Byte-Tag nach 802.1Q anheftet. Jedes VLAN ist eine eigene Broadcast-Domäne: Geräte am selben Switch, aber in verschiedenen VLANs, hören einander nicht.

Zwei Port-Rollen tragen den Entwurf. Ein Access-Port gehört zu einem VLAN und verbirgt den Tag vor dem Gerät, sodass PCs, Drucker und Kameras nie von VLANs wissen müssen. Ein Trunk-Port transportiert mehrere VLANs zwischen Switches, Routern und Servern, und jeder Frame behält seinen Tag. Ein Detail falsch, das Native VLAN eines Trunks, und zwei Netze können unbemerkt verbunden werden; bleibt es beim Standard (VLAN 1), landet jeder ungenutzte Port jedes Switches im selben Segment.

Vier Regeln decken die meisten Fehler ab: VLAN 1 für nichts verwenden; das Native VLAN auf eine ungenutzte Nummer setzen, an beiden Enden jedes Trunks gleich; ungenutzte Ports in ein VLAN legen, das nirgendwohin führt, und abschalten; und beim Umstellen auf Trunk das Native VLAN vor dem Moduswechsel festlegen, sonst schneiden Sie womöglich Ihre eigene Sitzung ab. Tag, Port-Rollen, ein Labor mit zwei VLANs auf einem Kabel, die zwei Mitschnitt-Fallen und ein VLAN-Pfad, der nur in eine Richtung funktionierte, stehen in Was ist ein VLAN?

Broadcast-Domänen und ARP: wo die Wand steht

Die Wand, die ein VLAN baut, ist eine Broadcast-Domäne, und das Protokoll, das zeigt, wo sie steht, ist ARP. Jedes Gerät löst die IP-Adresse eines Nachbarn per Broadcast-Frage in eine Hardware-Adresse auf; erreicht die Frage den Nachbarn nicht, fließt kein Verkehr, egal wie korrekt die IP-Einstellungen aussehen.

Damit ist die ARP-Tabelle in einem segmentierten Netz das erste Diagnosewerkzeug, noch vor Ping. Ping kann aus vielen Gründen schweigen, ARP nicht. Ein REACHABLE-Eintrag mit unbeantwortetem Ping heißt: Gerät da, etwas filtert ICMP. Ein Eintrag, der nie vollständig wird, heißt: Gerät in einer anderen Broadcast-Domäne oder gar nicht da, und die Suche in Routing-Tabellen oder Firewall-Regeln ist verlorene Zeit.

Eine Folge überrascht jedes Mal: Zwei Geräte im selben Adressblock sind nicht unbedingt in derselben Broadcast-Domäne. Die Maske sagt „Nachbar“, die Leitung „nein“, und ARP glaubt der Leitung. Die gemessene Version davon, dazu ARP-Cache-Laufzeiten, Gratuitous ARP und ARP-Spoofing, steht in Was ist ARP?

Routing zwischen Segmenten: die gestrichelten Linien

Geräte in verschiedenen VLANs erreichen einander nicht direkt, auch nicht am selben Switch. Dazwischen muss etwas auf Schicht 3 sitzen, und das ist keine Einschränkung, sondern der Entwurf. Drei Aufbauten übernehmen es: Router-on-a-Stick (ein Trunk zu einem Router, ein Subinterface pro VLAN; der gesamte Inter-VLAN-Verkehr teilt sich diese Leitung), der Layer-3-Switch (routet selbst, schnell) und die Firewall (wenn Verkehr zwischen Segmenten gegen Regeln geprüft werden soll; genau die Kontrollstelle, für die Segmentierung existiert).

Routing zwischen VLANs hebt die Isolation nicht auf. Es bündelt sie an einer Stelle. In einem flachen Netz gibt es keinen Ort, um „Gäste dürfen ins Internet, aber nichts Internes“ zu schreiben; mit Segmenten gibt es genau einen. Jedes VLAN braucht einen eigenen, nicht überlappenden Adressbereich.

An der Grenze braucht die Adressvergabe eine Sonderbehandlung: Die DHCP-Anfrage ist ein Broadcast und endet an der VLAN-Grenze, also braucht es ein DHCP-Relay auf dem Router oder Layer-3-Switch. Andere Dienste, die ein Gerät im flachen Netz nebenbei bekam (Namensauflösung, Zeit), können beim Umzug in ein neues Segment still wegbrechen; der VLAN-Artikel zeigt einen gemessenen Zeitserver, der danach auf einem stillen Rückfall weiterlief.

Den Rand sichern: Port Security und 802.1X

Segmentierung entscheidet, was ein Port erreichen darf. Die Access-Schicht entscheidet, wer den Port überhaupt benutzen darf. Ohne das ist jede Netzwerkdose im Besprechungsraum eine offene Tür in das VLAN, dem sie zufällig angehört.

Port Security ist die Grundlage: begrenzen, wie viele MAC-Adressen ein Port lernen darf, und festlegen, was bei Überschreitung geschieht. Das stoppt den Gelegenheitsfall (ein unmanaged Switch an der Schreibtischdose), aber keinen entschlossenen Angreifer, da MAC-Adressen kopiert werden können. Kombinieren Sie es mit abgeschalteten, in ein Sackgassen-VLAN gelegten freien Ports.

802.1X ist die eigentliche Kontrolle. Ein so konfigurierter Port gibt einem neuen Gerät keinen Netzzugang, bis es sich authentifiziert. Der Switch reicht die Anmeldedaten (Benutzername und Passwort, besser ein Zertifikat) an einen RADIUS-Server weiter, der in drei Teilen antwortet, dem klassischen AAA: Authentifizierung (ist das Gerät, wer es vorgibt?), Autorisierung (wohin darf es? Der RADIUS-Server kann dem Switch sagen, in welches VLAN der Port kommt, sodass dieselbe Dose ein Buchhaltungs-Notebook ins Buchhaltungs-VLAN und das eines Gastes ins Gast-VLAN bringt) und Accounting (wer sich wann wie lange verbunden hat).

Führen Sie 802.1X zuerst im Überwachungsmodus ein. Sofort erzwungen, sperrt eine Fehlkonfiguration legitime Geräte aus: Drucker, Telefone, Gebäudetechnik, die sich nicht authentifizieren können. Protokollieren Sie einige Tage, was blockiert würde, schaffen Sie Ausnahmen mit eigenem, eingeschränktem VLAN und erzwingen Sie erst dann. Dieselbe Reihenfolge gilt für Dynamic ARP Inspection: überwachen, lesen, dann erzwingen.

Der Übergang ins Internet: NAT und Firewall

Zwischen Segmenten im eigenen Netz zu wechseln ist wie Reisen zwischen Städten im eigenen Land: Sie brauchen eine Route, und niemand kontrolliert an jeder Kreuzung Ihren Pass. Das Land zu verlassen, also ins Internet zu gehen, ist etwas anderes.

An der Grenze gibt NAT (Network Address Translation) Ihren internen Geräten eine öffentliche Adresse, die die Außenwelt akzeptiert, sodass Hunderte Geräte eine öffentliche Adresse teilen. Die Übersetzungstabelle am Grenzgerät merkt sich, zu welchem internen Gerät jede Verbindung gehört; deshalb ist ein interner Server von außen nicht erreichbar, solange ihn niemand bewusst veröffentlicht.

Die Firewall ist der Zoll. Sie prüft nicht nur, wohin Verkehr will, sondern was er mitführt: Webfilter nach Kategorien, Intrusion Prevention, Inhaltsprüfung auf Schadsoftware. Für die Segmentierung zählt, dass oft dasselbe Gerät den Internetübergang und die Regeln zwischen internen Segmenten durchsetzt, und beide Regelwerke verdienen dieselbe Sorgfalt. Eine Firewall, die alles Ausgehende prüft, aber jedes interne Segment jedes andere erreichen lässt, hat nur die halbe Arbeit getan. VPN-Benutzer landen am besten in einem eigenen Segment mit eigenen Regeln, und ihre Zugangsdaten schützt ein zweiter Faktor, denn ein gestohlenes VPN-Konto steht mitten im Netz.

Vorfahrt auf geteilten Straßen: QoS

Segmentierung trennt Verkehr; QoS (Quality of Service) entscheidet, was zuerst fährt, wenn Verkehr eine Leitung teilt. Schaltet ein Rettungswagen das Martinshorn ein, bilden alle eine Rettungsgasse; QoS gibt Sprache und Video diese Behandlung, weil ein Telefonat weder Verzögerung noch Jitter verträgt, während ein Download ein paar Millisekunden kaum bemerkt.

Die Priorität reist mit dem Frame: Der 802.1Q-Tag, der die VLAN-Nummer trägt, hat auch ein 3-Bit-Prioritätsfeld, weshalb Voice-VLAN und QoS meist zusammen konfiguriert werden. Zwei Vorbehalte: QoS wirkt nur bei Überlast und macht eine schlicht zu kleine Leitung nicht größer. Und auch Management-Verkehr (Logs, Monitoring, Geräteverwaltung) verdient Schutz; teilt er eine überlastete Leitung mit Benutzern, fällt er als Erstes weg, genau dann, wenn Sie ihn brauchen.

Beschriftung und Dokumentation: Karte und Gelände angleichen

Ein segmentiertes Netz ist nur beherrschbar, wenn jemand weiß, welches Kabel wohin führt. Physische Beschriftung ist die günstigste Versicherung im Netzbetrieb. Verantworten Sie viele Standorte, können Sie bei einem Ausfall nicht hinfahren, wohl aber jemandem vor Ort sagen: „Prüfen Sie das Kabel mit dem roten Etikett Server_01 an Switch 3.“ Ohne Etiketten ist das ein Rätsel.

Software-Portbeschreibungen allein genügen nicht. Ein Techniker steckt ein Kabel von Port 5 auf Port 12 und vergisst die Beschreibung; auf dem Bildschirm steht „Kamera_05“, eingesteckt ist ein Drucker. Ein Etikett am Kabel reist mit dem Kabel und ist vor Ort die einzige verlässliche Quelle. Wie beim Sicherungskasten: Eine Notiz, die Küche liege auf Sicherung 3, nützt nichts, wenn der Elektriker sie auf 5 umgelegt hat.

Für die Segmentierung führen Sie einen Eintrag pro VLAN (Nummer, Name, Zweck, Adressbereich, Gateway, erlaubte Regeln hinein und hinaus) und einen pro Trunk (beide Enden, erlaubte VLANs, Native VLAN). Und benennen Sie VLANs auf den Switches selbst; sechs Monate später ist ein Name oft der einzige Hinweis.

Fazit: Linien sind billig, falsche Linien nicht

Segmentierung ist kein Produkt, sondern eine Reihe von Linien, die Sie ziehen und durchsetzen: am Rand, an den Übergängen, an der Grenze. Die Linien selbst kosten wenig; ein VLAN sind ein paar Befehle. Teuer ist eine falsche Linie: ein Native VLAN auf Standard, ein Gast-VLAN, das frei ins interne Netz routet, ein unmanaged Switch, von dem niemand weiß, ein Server im neuen Segment, der still seine Zeitquelle verlor.

Eine kurze Prüfliste für den Anfang:

• Das Gelände kennen: MAC-Adressen pro Port zählen und klären, was hinter jedem Port mit mehr als einer steckt.
• VLAN 1 stilllegen: kein Verkehr, keine Management-Schnittstelle, kein Trunk mit VLAN 1 als Native.
• Freie Ports parken: Sackgassen-VLAN plus Abschaltung.
• Übergangsregeln schreiben: Jeder erlaubte Weg zwischen Segmenten existiert, weil jemand es entschieden und aufgeschrieben hat.
• Am Rand zulassen: überall Port Security, 802.1X wo es am meisten zählt, zuerst im Überwachungsmodus.
• Management schützen: eigenes VLAN, nur von Administratorrechnern erreichbar.
• Kabel beschriften: Das Etikett ist der Eintrag, der überlebt.

Die Artikel dieses Leitfadens gehen dort tiefer, wo die Praxis zuerst scheitert: Was ist ein VLAN? für Tag und Ports, Was ist ARP? für die Broadcast-Domäne und die erste Prüfung, wenn ein Gerät nicht erreichbar ist.