VLAN: Netzsegmentierung als Sicherheits- und Ordnungsprinzip

Ein VLAN (Virtual Local Area Network) unterteilt eine physische Netzwerkinfrastruktur in mehrere logisch getrennte Netze. Geräte in unterschiedlichen VLANs können nicht direkt miteinander kommunizieren, obwohl sie an denselben Switches hängen. Für mittelständische Unternehmen ist das die wirtschaftlichste Möglichkeit, Netzbereiche mit unterschiedlichem Schutzbedarf zu trennen.

Technische Grundlage

Die Umsetzung erfolgt nach dem Standard IEEE 802.1Q. Jedem Ethernet-Rahmen wird dabei eine VLAN-Kennung mitgegeben, anhand derer die Switches die Zugehörigkeit unterscheiden. In der Praxis werden zwei Porttypen konfiguriert: Ein Access-Port gehört zu genau einem VLAN und gibt die Rahmen ohne Kennzeichnung an das Endgerät weiter — der angeschlossene Rechner oder Drucker merkt davon nichts. Ein Trunk-Port überträgt mehrere VLANs gleichzeitig mit Kennzeichnung und verbindet typischerweise Switches untereinander oder bindet Firewall, Hypervisor und WLAN-Controller an. Jedes VLAN bildet eine eigene Broadcast-Domäne, was neben der Trennung auch die Netzlast verringert.

Eine praxistaugliche Segmentierung

Die Aufteilung sollte sich am Schutzbedarf und am Kommunikationsbedarf orientieren, nicht an der Organisationsstruktur. Eine bewährte Grundgliederung für ein mittelständisches Unternehmen umfasst:

• Clients: Arbeitsplatzrechner und Notebooks der Mitarbeiter.
• Server: interne Serverdienste, klar vom Client-Netz getrennt.
• Management: Verwaltungsschnittstellen von Switches, Firewalls, Hypervisoren, USV und Sicherungssystemen — der am strengsten zu schützende Bereich.
• Gäste-WLAN: ausschließlich Internetzugang, kein Zugriff auf interne Ressourcen.
• Drucker und Peripherie: Geräte, die selten aktualisiert werden und oft veraltete Dienste betreiben.
• Gebäude- und Produktionstechnik: Zutrittssysteme, Kameras, Steuerungen und Maschinen, für die Aktualisierungen selten oder gar nicht verfügbar sind.
• Telefonie: häufig ein eigenes VLAN, unter anderem zur Priorisierung des Sprachverkehrs.

Der entscheidende Punkt: Filterung zwischen den Netzen

Ein VLAN allein trennt nur die Schicht 2. Damit Geräte über VLAN-Grenzen hinweg arbeiten können — und das müssen sie in der Regel —, ist Routing nötig. Genau an dieser Stelle entscheidet sich der Sicherheitsgewinn. Routet ein Layer-3-Switch ungefiltert zwischen allen Segmenten, ist der Sicherheitseffekt praktisch aufgehoben; übrig bleibt eine Ordnungsstruktur. Der Nutzen entsteht erst, wenn der Verkehr zwischen den Segmenten über eine Firewall läuft, die nur ausdrücklich benötigte Verbindungen zulässt und alles Übrige verwirft. Formulieren Sie die Regeln als Positivliste: Das Client-Netz erreicht bestimmte Dienste auf bestimmten Servern, nicht das Server-Netz als Ganzes. Das Management-Netz sollte ausschließlich von definierten Administrationsarbeitsplätzen aus erreichbar sein — dieser eine Punkt hat in der Praxis erhebliche Wirkung auf die Ausbreitungsmöglichkeiten eines Angreifers.

Betrieb und Dokumentation

Eine Segmentierung ist nur so gut wie ihre Pflege. Dokumentieren Sie je VLAN die Kennung, den Adressbereich, den Zweck und die zugelassenen Verbindungen. Beim Anschluss neuer Geräte muss klar sein, in welches Segment sie gehören; für Konferenzräume und offen zugängliche Anschlüsse ist eine portbasierte Authentifizierung nach IEEE 802.1X die konsequente Ergänzung. Im laufenden Betrieb haben sich folgende Punkte bewährt:

• Je VLAN sind Kennung, Adressbereich, Zweck und zugelassene Verbindungen dokumentiert.
• Für neue Geräte ist vorab festgelegt, in welches Segment sie gehören.
• Offen zugängliche Anschlüsse in Konferenzräumen und Empfangsbereichen sind nach IEEE 802.1X authentifiziert.
• Wartungs- und Fernzugriffe unterlaufen die Segmentierung nicht.
• Das Regelwerk wird regelmäßig auf Einträge geprüft, die nur für ein längst abgeschlossenes Projekt angelegt wurden.

Typische Fehler

Der häufigste Fehler ist die Annahme, VLANs allein seien eine Sicherheitsmaßnahme — ohne filternde Instanz sind sie es nicht. Weitere wiederkehrende Punkte: ein Management-Netz, das aus dem Client-Netz erreichbar ist; das native VLAN eines Trunks unverändert auf der Voreinstellung; Serverdienste, die versehentlich im Gäste-Segment erreichbar sind; und Regelwerke, die im Laufe der Zeit durch Ausnahmen so aufgeweicht werden, dass die ursprüngliche Trennung nur noch auf dem Papier besteht. Planen Sie die Segmentierung deshalb vor der Umsetzung schriftlich — nachträgliches Aufteilen eines gewachsenen flachen Netzes ist deutlich aufwendiger.

• VLANs trennen ein physisches Netz logisch nach Standard IEEE 802.1Q in eigene Broadcast-Domänen.
• Die Aufteilung folgt dem Schutzbedarf: Clients, Server, Management, Gäste, Peripherie und Anlagentechnik.
• Sicherheitsgewinn entsteht erst durch eine Firewall zwischen den Segmenten mit Positivliste.
• Das Management-Netz gehört am strengsten abgeschottet und nur definierten Arbeitsplätzen zugänglich.
• Ohne Dokumentation und regelmäßige Prüfung verwässert die Trennung durch angesammelte Ausnahmen.