Trennen schafft noch keine Regel.
Ein VLAN trennt Geräte auf der Verbindungsebene. Ein Subnetz ordnet IP-Adressen. Die Firewall entscheidet, welche Verbindungen zwischen diesen Bereichen erlaubt sind.
Die Firewall prüft eine Verbindung.
Typische Regeln betrachten Quelle, Ziel, Dienst beziehungsweise Port, Richtung und Aktion. Je genauer eine Erlaubnis ist, desto kleiner bleibt die unnötig offene Fläche.
Darf diese Verbindung passieren?
Das Beispiel arbeitet mit einer sicheren Grundidee: Nicht ausdrücklich erlaubter Verkehr zwischen getrennten Netzen wird verworfen.
VLANs sind virtuelle Räume.
Geräte können am selben Switch hängen und trotzdem in getrennten Broadcast-Domänen liegen. Kommunikation zwischen VLANs benötigt Routing – dort kann die Firewall kontrollieren.
Direkt oder über die Firewall?
VLAN 10 · Mitarbeitende
&
Firewall
VLAN 30 · Gäste
Wähle Quelle und Ziel und prüfe den Weg.
- 1VLAN allein ist keine Firewall
Die Trennung verhindert direkten Layer-2-Verkehr. Sobald ein Router zwischen den Netzen vermittelt, bestimmen dessen Regeln die Erreichbarkeit.
- 2Standardmäßig sperren, gezielt erlauben
Erlaube DNS, Internet oder einzelne Dienste präzise. Eine Regel „alle zu allen“ hebt den Sicherheitsgewinn weitgehend auf.
- 3Management separat schützen
Switches, Access Points, Hypervisor und Backups gehören nicht in dasselbe frei erreichbare Netz wie Gäste oder IoT-Geräte.