vlannetzwerksegmentierungswitchrouter

VLANs verstehen und einrichten: Netzwerksegmentierung für Heimnetz und Büro

10 Min. Lesezeit

Stell dir vor, du hast zu Hause ein Netzwerk mit einem NAS, mehreren PCs, einem Dutzend Smart-Home-Geräten, einem Drucker und einem WLAN für Gäste. Alle diese Geräte im selben flachen Netzwerk laufen zu lassen, ist ein Sicherheitsrisiko: Eine kompromittierte Glühbirne könnte theoretisch auf dein NAS zugreifen. VLANs (Virtual Local Area Networks) lösen dieses Problem, indem sie ein physisches Netzwerk in mehrere logisch getrennte Netzwerke aufteilen – ohne zusätzliche Verkabelung.

Was ist ein VLAN und warum braucht man es?

Ein VLAN ist ein logisch abgetrenntes Netzwerksegment, das unabhängig von der physischen Verkabelung definiert wird. Geräte in unterschiedlichen VLANs können nicht direkt miteinander kommunizieren – auch wenn sie am selben Switch hängen. Kommunikation zwischen VLANs ist nur über einen Router möglich, der die Kommunikation kontrolliert und filtern kann.

Die wichtigsten Gründe für den VLAN-Einsatz:

802.1Q: Der VLAN-Standard

Der Standard IEEE 802.1Q definiert, wie VLANs in Ethernet-Frames markiert werden. Jeder Frame bekommt dabei einen VLAN-Tag von 4 Bytes eingefügt, der eine VLAN-ID (VID) von 1 bis 4094 enthält. Anhand dieser ID weiß jeder Switch, zu welchem VLAN ein Frame gehört.

Der Tag besteht aus:

Tagged vs. Untagged Ports: Access und Trunk erklärt

An einem Managed Switch kann jeder Port unterschiedlich konfiguriert werden. Die zwei wichtigsten Betriebsmodi:

Access-Ports (Untagged)

Ein Access-Port gehört genau einem VLAN an. Frames, die vom Endgerät (PC, Drucker, Kamera) ankommen, werden vom Switch mit der VLAN-ID getaggt – das Gerät selbst bekommt davon nichts mit. Frames, die zum Gerät gehen, werden vom Switch wieder enttaggt. Das Endgerät kommuniziert mit normalem, ungetaggtem Ethernet.

Typischer Einsatz: Jeder Port, an dem ein normales Endgerät hängt (PC, NAS, Drucker).

Trunk-Ports (Tagged)

Ein Trunk-Port transportiert Frames mehrerer VLANs gleichzeitig, alle mit ihrem VLAN-Tag. Er verbindet Switches untereinander oder einen Switch mit einem Router, der mehrere VLANs verarbeiten muss.

Typischer Einsatz: Die Verbindung zwischen Switch und Router, oder zwischen zwei Switches in größeren Netzwerken. Auch WLAN-Access-Points, die mehrere SSIDs in verschiedenen VLANs ausstrahlen, werden per Trunk angebunden.

Native VLAN

Auf einem Trunk-Port gibt es oft ein Native VLAN (bei Cisco-Switches Standard VLAN 1): Frames dieses VLANs werden ohne Tag übertragen. Das ist für manche Legacy-Geräte nötig, birgt aber Sicherheitsrisiken (VLAN-Hopping). Als Best Practice: Native VLAN auf ein ungenutztes VLAN setzen und nicht mit produktiven VLANs mischen.

Typische VLAN-Szenarien im Heimnetz

Eine bewährte VLAN-Struktur für ein durchdachtes Heimnetz könnte so aussehen:

Diese Segmentierung sorgt dafür, dass selbst wenn eine Glühbirne in VLAN 20 kompromittiert wird, dein NAS in VLAN 30 unerreichbar bleibt.

Router-on-a-Stick und Inter-VLAN-Routing

VLANs kommunizieren nicht von selbst miteinander. Wenn du willst, dass ein PC in VLAN 10 auf einen Dienst in VLAN 30 zugreifen kann, braucht es einen Router oder eine Firewall, die das Routing übernimmt und die Regeln durchsetzt.

Das klassische Setup im Heimnetz ist Router-on-a-Stick: Der Router ist per Trunk-Port mit dem Switch verbunden. Auf dem Router werden logische Unterinterfaces (Subinterfaces) pro VLAN konfiguriert, jedes mit einer eigenen IP-Adresse als Gateway für das jeweilige VLAN.

In pfSense oder OPNsense sieht das so aus:

  1. Im Interface-Menü das physische WAN/LAN-Interface auswählen.
  2. Unter Interfaces → VLANs für jede VLAN-ID ein logisches Interface anlegen (z. B. igb0.10, igb0.20).
  3. Diese VLAN-Interfaces unter Interfaces → Assignments zuweisen und aktivieren.
  4. Jedem Interface eine statische IP geben (z. B. 192.168.10.1/24 für VLAN 10).
  5. DHCP-Server pro VLAN-Interface aktivieren.
  6. Firewall-Regeln definieren, welches VLAN mit welchem kommunizieren darf.

Einrichtung mit OpenWrt

OpenWrt ist eine beliebte Open-Source-Firmware für Heimrouter, die vollständiges VLAN-Management bietet. Unter neueren OpenWrt-Versionen (ab 21.02) geschieht die VLAN-Konfiguration über das DSA-Framework (Distributed Switch Architecture) direkt in LuCI:

  1. Unter Network → Switch (bei älteren Versionen) oder Network → Interfaces plus Network → Bridges (bei DSA) die VLANs definieren.
  2. Ports als Tagged (Trunk) oder Untagged (Access) zuweisen.
  3. Für jedes VLAN ein neues Interface anlegen, DHCP aktivieren.
  4. Im WLAN-Bereich für jede SSID das passende VLAN-Interface als Netzwerk zuweisen – so landet jede SSID in ihrem eigenen VLAN.

Für ein professionelleres Setup empfiehlt sich der Einsatz von Proxmox als Hypervisor mit pfSense/OPNsense als VM – das gibt dir maximale Kontrolle und Flexibilität. Ergänzend dazu lohnt sich Pi-hole als DNS-Server pro VLAN, um Werbung und Tracking auch im IoT-Netz zu blockieren.

Managed Switches: Was du brauchst

VLANs funktionieren nur mit Managed Switches – unmanaged Switches kennen keine VLANs und leiten einfach alle Frames weiter. Empfehlenswerte günstige Einstiegs-Managed-Switches:

Für den Einstieg reicht ein TP-Link EAP oder Netgear-Switch völlig aus. Die Konfiguration erfolgt über ein Web-Interface und ist in 15 Minuten erledigt.

Häufige Fragen

Brauche ich VLANs wirklich zu Hause?

Für ein Netzwerk mit 3–5 vertrauenswürdigen Geräten ist es nicht zwingend nötig. Sobald du aber IoT-Geräte (Smart-TV, Kameras, Smarthome-Hardware) betreibst, die du nicht vollständig kontrollierst, ist ein separates IoT-VLAN eine sinnvolle Sicherheitsmaßnahme, die kaum Mehraufwand bedeutet.

Funktioniert VLAN auch ohne Managed Switch, nur per Router?

Wenn alle Geräte direkt am Router hängen (z. B. bei einer Fritz!Box mit USB-Hub), ist kein Managed Switch nötig. Sobald du aber einen Switch zwischenschalten möchtest und VLANs über den Switch führen willst, muss er VLAN-fähig (managed) sein. Reine Unmanaged Switches ignorieren VLAN-Tags oder strippen sie.

Wie verhindere ich VLAN-Hopping-Angriffe?

VLAN-Hopping über Double-Tagging ist vermeidbar, indem du das Native VLAN auf allen Trunk-Ports auf ein dediziertes, ungenutztes VLAN setzt (z. B. VLAN 999) und keine produktiven Geräte in diesem VLAN betreibst. Außerdem sollten Access-Ports nie ungetaggte Frames aus fremden VLANs akzeptieren – was sauber konfigurierte Managed Switches von Haus aus verhindern.

Kann ich VLANs auch im WLAN nutzen?

Ja. Moderne Access Points unterstützen mehrere SSIDs, wobei jede SSID einem eigenen VLAN zugeordnet werden kann. Der Access Point ist per Trunk-Port am Switch angebunden. So landen Gäste-WLAN-Clients automatisch im Gast-VLAN, ohne dass du eine separate WLAN-Hardware brauchst.

Was ist der Unterschied zwischen VLAN und einem separaten physischen Netzwerk?

Funktional bieten beide die gleiche Isolation – Geräte in verschiedenen Netzsegmenten können nur über einen Router kommunizieren. Der Unterschied liegt im Aufwand: Ein physisch getrenntes Netzwerk braucht eigene Kabel, eigene Switch-Ports und eigene Router-Ports. VLANs erledigen dasselbe auf vorhandener Infrastruktur, sofern alle Komponenten 802.1Q unterstützen.