Kurz gesagt: Wir erklären, wie die Aufteilung des Netzwerks in VLANs Sicherheit und Ordnung der IT-Infrastruktur erhöht.
In vielen kleinen und mittleren Unternehmen laufen alle Geräte — Mitarbeitercomputer, Drucker, IP-Kameras, Telefone und manchmal sogar das Gäste-WLAN — in einem einzigen, gemeinsamen Netzwerk. Das ist zu Beginn bequem, wird aber mit wachsendem Unternehmen zur Quelle von Sicherheits- und Leistungsproblemen. Wir erklären, was ein VLAN ist und wie Segmentierung die Netzwerkinfrastruktur ordnet.
Was ist ein VLAN
Ein VLAN (Virtual Local Area Network) ist eine Methode, ein einzelnes physisches Netzwerk logisch in mehrere voneinander unabhängige virtuelle Netzwerke zu unterteilen. Geräte in unterschiedlichen VLANs sehen sich nicht direkt gegenseitig, selbst wenn sie an denselben Switch angeschlossen sind — die Kommunikation zwischen ihnen muss über einen Router oder eine Firewall laufen, wo sie kontrolliert und gefiltert werden kann. Technisch wird dies durch das Markieren von Netzwerk-Frames gemäß dem Standard 802.1Q realisiert, wodurch ein einzelnes Kabel (sogenannter Trunk) den Datenverkehr mehrerer VLANs gleichzeitig übertragen kann.
Häufigste Einsatzbereiche im Unternehmen
- Gästenetzwerk — Besucher und Geschäftspartner nutzen das Internet ohne Zugriff auf interne Unternehmensressourcen wie Server oder Netzwerkdrucker.
- VoIP-Telefonie — Die Trennung von Sprach- und Datenverkehr verringert das Risiko einer Netzwerküberlastung und erleichtert die Priorisierung von Sprachverbindungen.
- IP-Kameras und Sicherheitssysteme — Die Isolierung vom Büronetzwerk verringert das Risiko, dass ein schlecht gesichertes IoT-Gerät zum Einfallstor für die restliche Infrastruktur wird.
- Server und kritische Ressourcen — Der Zugriff auf die Buchhaltung oder den Serverraum lässt sich ausschließlich auf bestimmte VLANs beschränken, unabhängig davon, wo sich der jeweilige Arbeitsplatz physisch befindet.
Was für die Umsetzung benötigt wird
Die VLAN-Segmentierung erfordert verwaltbare Switches, die den Standard 802.1Q unterstützen, sowie einen Router oder eine Firewall, die zum Routing zwischen virtuellen Netzwerken (sogenanntes Inter-VLAN-Routing) fähig ist. Im WLAN werden zusätzlich Access Points benötigt, die mehrere SSIDs unterstützen, von denen jede einem anderen VLAN zugeordnet werden kann — dadurch bedient ein einziges physisches Gerät gleichzeitig das Firmen- und das Gästenetzwerk bei vollständiger Trennung des Datenverkehrs.
Praxisregel: Je mehr unterschiedliche Gerätetypen im Netzwerk vorhanden sind — Computer, Telefone, Kameras, Drucker, AV-Systeme —, desto größer der Nutzen der VLAN-Segmentierung; in einem kleinen, homogenen Büronetzwerk fällt ihr Fehlen weniger ins Gewicht.
Zusammenfassung
VLANs sind kein Zusatz, der großen Konzernen vorbehalten ist — sie sind ein grundlegendes Ordnungswerkzeug, das bei überschaubaren Kosten das Sicherheits- und Übersichtsniveau des Unternehmensnetzwerks deutlich erhöht. Die Segmentierung lässt sich am besten bereits bei der Netzwerkplanung einführen, kann aber ebenso gut in eine bereits laufende Infrastruktur integriert werden — dies erfordert lediglich eine sorgfältige Planung der Reihenfolge der Änderungen, um den Geschäftsbetrieb nicht zu unterbrechen.
Lesen Sie auch: Cisco