VLANs im Unternehmen:
wann sinnvoll, welche Netze

Kurz gesagt: VLANs sind im Unternehmen sinnvoll, sobald Geräte mit unterschiedlichem Vertrauen im selben Netz hängen, etwa Gäste, Drucker, Kameras, Telefone oder Maschinen. Ein VLAN trennt das Netz in logische Bereiche. Sicher wird es erst, wenn zwischen den VLANs eine Firewall oder ein Layer-3-Switch mit klaren Regeln entscheidet, wer mit wem sprechen darf.

Was ein VLAN ist

Ein VLAN (Virtual Local Area Network) teilt ein physisches Netzwerk in mehrere logische Netze. Geräte in verschiedenen VLANs sehen sich nicht, obwohl sie an denselben Switches hängen. Zwischen den Switches werden die VLANs über eine Leitung übertragen und mit einer Kennung markiert, die im Standard IEEE 802.1Q festgelegt ist. Mehr dazu im Lexikon unter VLAN.

Wann VLANs sinnvoll sind

• Gäste-WLAN: Besucher sollen ins Internet, aber nicht auf Drucker und Server.
• Drucker, Kameras, Gebäudetechnik: Diese Geräte bekommen selten Updates und sind beliebte Einfallstore.
• Telefonie: Ein eigenes Sprachnetz lässt sich gezielt priorisieren.
• Produktion und Lager: Maschinen, Steuerungen und Scanner gehören nicht ins Büronetz.
• Server und Verwaltung: Der Zugriff auf Server und auf die Oberflächen von Switches und Firewalls sollte auf wenige Geräte begrenzt sein.
• NIS2 und Versicherung: Netzwerksegmentierung gehört zu den Maßnahmen, nach denen Prüfer und Cyberversicherer fragen.

In einem Büro mit zehn Laptops und einem Drucker bringen VLANs wenig. Ab etwa 20 Arbeitsplätzen, mit Gäste-WLAN oder mit Geräten wie Kameras und Telefonen lohnen sie sich fast immer.

Ein bewährter VLAN-Plan

So sieht ein typischer Plan für ein Unternehmen mit einem Standort aus. Die Nummern sind ein Vorschlag, wichtig ist ein einheitliches Schema über alle Standorte.

Im WLAN bekommt jedes VLAN, das drahtlos gebraucht wird, einen eigenen Netzwerknamen. Eleganter ist es, wenn sich alle Mitarbeitenden mit demselben Netz verbinden und die Zuordnung zum VLAN nach der Anmeldung über RADIUS erfolgt. Das spart Netzwerknamen und damit Funkzeit.

Regeln zwischen den VLANs

Ein VLAN allein schützt nicht. Wenn der zentrale Switch alle VLANs ungefiltert miteinander verbindet, ist die Trennung wirkungslos. Der Verkehr zwischen den VLANs gehört entweder über die Firewall oder auf einen Layer-3-Switch mit Zugriffslisten. Der Grundsatz lautet: Alles ist verboten, was nicht ausdrücklich erlaubt ist. Für Drucker heißt das zum Beispiel: erreichbar für den Druck aus dem Arbeitsplatz-VLAN, aber selbst ohne Zugriff auf andere Netze.

Einführung in sechs Schritten

1. Bestand erfassen: Welche Geräte gibt es, wo hängen sie, wer braucht welchen Zugriff?
2. Plan erstellen: VLAN-Nummern, IP-Bereiche, Regeln und Namen festlegen.
3. Switches prüfen: Nicht verwaltete Switches austauschen, Firmware aktualisieren.
4. Dienste vorbereiten: DHCP und DNS für jedes VLAN, Regeln an der Firewall.
5. Schrittweise umstellen: mit Gästen und Geräten wie Druckern beginnen, die Arbeitsplätze zuletzt.
6. Dokumentieren: Plan, Portbelegung und Regeln festhalten und aktuell halten.

Die häufigsten Fehler

• Freies Routing zwischen allen VLANs auf dem zentralen Switch, ohne Regeln.
• Verwaltung im Standard-VLAN 1, erreichbar aus jedem Netz.
• Zu viele VLANs ohne klares Schema, die niemand mehr überblickt.
• Vergessene Geräte wie Drucker oder Zeiterfassung, die nach der Umstellung nicht mehr funktionieren.
• Ein Netzwerkname pro VLAN im WLAN, bis acht Netze die Funkzeit verbrauchen.
• Keine Dokumentation, sodass bei einer Störung niemand weiß, welcher Port in welchem VLAN liegt.

Was es kostet

Wenn die Switches bereits verwaltbar sind, ist die Einführung von VLANs vor allem Arbeitszeit. Für einen Standort mit 50 bis 150 Arbeitsplätzen rechnen wir mit zwei bis vier Arbeitstagen für Plan, Umstellung und Dokumentation. Müssen Switches ersetzt werden, kommen die Geräte dazu. Wenn Sie die Segmentierung mit einer Anmeldung über 802.1X verbinden möchten, lesen Sie unseren Artikel NAC: Wann lohnt sich Network Access Control? Alle Leistungen rund ums Netz finden Sie auf der Seite Netzwerktechnik.