# 19.7 VLAN, Switching, Routing und Firewall Spickzettel Dieser Spickzettel fasst vier zentrale Netzwerkthemen kompakt zusammen: - Switching - VLAN - Routing - Firewall Diese Themen hängen in Prüfungsaufgaben oft zusammen, weil sie bestimmen, wie Geräte im lokalen Netz kommunizieren und wie Verkehr zwischen Netzen erlaubt oder blockiert wird. Merksatz: Switches verbinden Geräte im LAN. VLANs trennen logisch. Routing verbindet Netze. Firewalls filtern Verkehr. --- **Grundübersicht** | Begriff | Hauptaufgabe | Typische Schicht | |---|---|---:| | Switch | Frames im lokalen Netz weiterleiten | OSI-Schicht 2 | | VLAN | logische Trennung innerhalb eines Switch-Netzes | OSI-Schicht 2 | | Router | IP-Netze miteinander verbinden | OSI-Schicht 3 | | Firewall | Verkehr erlauben oder blockieren | Schicht 3 bis 7 | Merksatz: VLAN trennt. Routing verbindet. Firewall entscheidet, was erlaubt ist. --- **Switching kurz erklärt** Ein Switch verbindet Geräte in einem lokalen Netzwerk. Er arbeitet hauptsächlich auf: OSI-Schicht 2 Er leitet Ethernet-Frames anhand von MAC-Adressen weiter. Merksatz: Switches arbeiten mit MAC-Adressen. --- **MAC-Adresstabelle** Ein Switch lernt, welche MAC-Adresse an welchem Port erreichbar ist. Beispiel: | MAC-Adresse | Switchport | |---|---| | AA:AA:AA:AA:AA:01 | Port 1 | | AA:AA:AA:AA:AA:02 | Port 2 | | AA:AA:AA:AA:AA:03 | Port 3 | Der Switch lernt aus der Quell-MAC-Adresse eingehender Frames. Merksatz: Switch lernt aus Quell-MAC-Adressen. --- **Switching-Ablauf** Wenn ein Frame beim Switch ankommt: 1. Switch liest die Quell-MAC-Adresse. 2. Switch speichert: Diese MAC-Adresse ist an diesem Port erreichbar. 3. Switch liest die Ziel-MAC-Adresse. 4. Wenn Ziel-MAC bekannt ist: Frame wird gezielt an den passenden Port gesendet. 5. Wenn Ziel-MAC unbekannt ist: Frame wird geflutet. Merksatz: Bekannte Ziel-MAC: gezielte Weiterleitung. Unbekannte Ziel-MAC: Flooding. --- **Flooding** Flooding bedeutet: Der Switch sendet einen Frame an alle Ports im VLAN, außer an den Eingangsport. Flooding passiert bei: unbekannter Ziel-MAC-Adresse Broadcast bestimmten Multicast-Fällen Merksatz: Flooding ist nicht immer Fehler, sondern bei unbekannter Ziel-MAC normal. --- **Broadcast** Broadcast bedeutet: Nachricht an alle Geräte im lokalen Broadcast-Bereich. Beispiel: ARP Request Broadcast bleibt normalerweise innerhalb: eines VLANs beziehungsweise einer Broadcast-Domäne Merksatz: Broadcast erreicht alle Geräte im gleichen VLAN. --- **Broadcast-Domäne** Eine Broadcast-Domäne ist der Bereich, in dem Broadcasts verteilt werden. Ohne VLAN: oft gesamtes Switch-Netz Mit VLAN: jedes VLAN ist eigene Broadcast-Domäne Merksatz: VLANs trennen Broadcast-Domänen. --- **VLAN kurz erklärt** VLAN steht für: Virtual Local Area Network Ein VLAN trennt ein physisches Netzwerk logisch in mehrere getrennte Netzbereiche. Beispiele: VLAN 10 Verwaltung VLAN 20 Clients VLAN 30 Server VLAN 40 Gäste VLAN 99 Management Merksatz: VLAN = logische Trennung auf Schicht 2. --- **Warum VLANs verwendet werden** Vorteile: logische Netztrennung kleinere Broadcast-Domänen bessere Struktur Trennung von Abteilungen Trennung von Gästen und internem Netz Trennung von Servern und Clients Managementnetz separat halten Sicherheitszonen ermöglichen Merksatz: VLANs verbessern Struktur, Übersicht und Sicherheit. --- **VLAN ist keine vollständige Firewall** Ein VLAN trennt auf Schicht 2. Aber: Kommunikation zwischen VLANs ist über Routing möglich. Deshalb braucht man für Sicherheit zusätzlich: Router-Regeln Firewall-Regeln ACLs Merksatz: VLAN trennt logisch, Firewall kontrolliert Verkehr. --- **Access-Port** Ein Access-Port gehört normalerweise zu genau einem VLAN. Typische Nutzung: Client Drucker Telefon Access Point im einfachen Betrieb Arbeitsplatzgerät Beispiel: Port 5 ist Access-Port in VLAN 20. Ein angeschlossenes Endgerät muss das VLAN meist nicht kennen. Merksatz: Access-Port = ein VLAN für Endgeräte. --- **Trunk-Port** Ein Trunk-Port transportiert mehrere VLANs. Typische Nutzung: Verbindung zwischen Switches Verbindung zu Router Verbindung zu Firewall Verbindung zu Hypervisor Verbindung zu VLAN-fähigem Access Point Merksatz: Trunk-Port = mehrere VLANs über eine Verbindung. --- **Access-Port und Trunk-Port vergleichen** | Porttyp | VLAN-Anzahl | Typische Nutzung | |---|---:|---| | Access-Port | ein VLAN | Endgeräte | | Trunk-Port | mehrere VLANs | Switch, Router, Firewall, Hypervisor | Merksatz: Access = ein VLAN. Trunk = mehrere VLANs. --- **VLAN-Tagging** Bei Trunk-Verbindungen müssen Frames einem VLAN zugeordnet werden. Dafür wird meistens verwendet: IEEE 802.1Q Dabei bekommt der Frame einen VLAN-Tag. Merksatz: 802.1Q markiert Frames mit VLAN-Information. --- **Untagged und Tagged** Untagged: Frame enthält keinen sichtbaren VLAN-Tag für das Endgerät. Typisch: Access-Port Tagged: Frame enthält VLAN-Information. Typisch: Trunk-Port Merksatz: Access meist untagged. Trunk meist tagged. --- **Native VLAN** Das Native VLAN ist das VLAN, dessen Frames auf einem Trunk untagged übertragen werden können. Wichtig: Native VLAN muss auf beiden Seiten passend konfiguriert sein. Risiko: Fehlkonfiguration kann zu unerwarteter Kommunikation führen. Merksatz: Native VLAN auf Trunks bewusst und einheitlich konfigurieren. --- **Management-VLAN** Ein Management-VLAN dient der Verwaltung von Netzwerkgeräten. Darin liegen zum Beispiel: Switch-Management Access-Point-Management Firewall-Management Monitoring Administrationszugriffe Merksatz: Managementzugänge nicht ins normale Clientnetz legen. --- **Gast-VLAN** Ein Gast-VLAN trennt Gäste vom internen Netz. Typische Regeln: Zugriff ins Internet erlaubt Zugriff auf interne Server blockiert Zugriff auf Managementnetz blockiert Merksatz: Gastnetz vom internen Netz trennen. --- **Voice-VLAN** Ein Voice-VLAN wird für IP-Telefone genutzt. Vorteile: Sprachverkehr getrennt vom normalen Clientverkehr QoS leichter möglich bessere Übersicht getrennte Sicherheitsregeln möglich Merksatz: Voice-VLAN trennt Telefonie vom normalen Datenverkehr. --- **Inter-VLAN-Routing** VLANs sind getrennte Layer-2-Netze. Damit Geräte aus verschiedenen VLANs miteinander kommunizieren können, braucht man Routing. Das nennt man: Inter-VLAN-Routing Möglich über: Router Layer-3-Switch Firewall Merksatz: VLANs trennen. Inter-VLAN-Routing verbindet sie wieder gezielt. --- **Router-on-a-Stick** Router-on-a-Stick bedeutet: Ein Router verbindet mehrere VLANs über eine Trunk-Verbindung. Der Router hat logische Subinterfaces, zum Beispiel: VLAN 10 VLAN 20 VLAN 30 Merksatz: Router-on-a-Stick routet mehrere VLANs über einen Trunk. --- **Layer-3-Switch** Ein Layer-3-Switch kann: switchen auf Schicht 2 und routen auf Schicht 3 Typische Nutzung: schnelles Routing zwischen VLANs im internen Netz Merksatz: Layer-3-Switch verbindet Switching und Routing. --- **Routing kurz erklärt** Routing bedeutet: Pakete zwischen verschiedenen IP-Netzen weiterleiten. Ein Router entscheidet anhand der Routing-Tabelle, wohin ein IP-Paket gesendet wird. Merksatz: Routing verbindet IP-Netze. --- **Routing-Tabelle** Eine Routing-Tabelle enthält typischerweise: Zielnetz Präfix Next Hop Interface Metrik Beispiel: | Zielnetz | Next Hop | Bedeutung | |---|---|---| | 192.168.10.0/24 | direkt verbunden | lokales Netz | | 192.168.20.0/24 | 192.168.10.1 | über Router erreichbar | | 0.0.0.0/0 | 192.168.10.254 | Standardroute | Merksatz: Routing-Tabelle bestimmt den nächsten Weg. --- **Standardroute** Die Standardroute ist die Route für alle Ziele, für die keine spezifischere Route vorhanden ist. IPv4-Schreibweise: 0.0.0.0/0 Typisch: Weg zum Internetrouter Merksatz: Standardroute = Route für unbekannte Ziele. --- **Spezifischste Route gewinnt** Wenn mehrere Routen passen, wird die Route mit dem längsten passenden Präfix verwendet. Beispiel: 192.168.10.0/24 ist spezifischer als: 192.168.0.0/16 Merksatz: Längster passender Präfix gewinnt. --- **Gateway** Das Standardgateway ist der Router, über den ein Client andere Netze erreicht. Wichtig: Das Gateway muss im lokalen Subnetz des Clients erreichbar sein. Merksatz: Gateway = Ausgang aus dem eigenen Netz. --- **Firewall kurz erklärt** Eine Firewall filtert Netzwerkverkehr. Sie entscheidet anhand von Regeln: erlauben oder blockieren Typische Kriterien: Quelle Ziel Port Protokoll Richtung Benutzer Anwendung Zustand Zeit Zone Merksatz: Firewall = kontrollierter Verkehr zwischen Bereichen. --- **Firewall-Regel** Eine gute Firewall-Regel enthält: Quelle Ziel Dienst oder Port Protokoll Richtung Aktion Zweck Verantwortlichen Datum Beispiel: | Quelle | Ziel | Protokoll | Port | Aktion | Zweck | |---|---|---|---:|---|---| | Client-VLAN | Webserver-DMZ | TCP | 443 | erlauben | HTTPS-Zugriff | | Gast-VLAN | internes Servernetz | any | any | blockieren | internes Netz schützen | | Admin-VLAN | Switch-Management | TCP | 22 | erlauben | SSH-Administration | Merksatz: Jede Firewall-Regel braucht einen Zweck. --- **Default Deny** Default Deny bedeutet: Standardmäßig ist alles verboten. Nur ausdrücklich erlaubter Verkehr wird zugelassen. Vorteil: kleinere Angriffsfläche bessere Kontrolle weniger unbeabsichtigte Freigaben Merksatz: Erst blockieren, dann gezielt erlauben. --- **Any-to-Any** Any-to-Any bedeutet: jede Quelle zu jedem Ziel Problem: sehr breite Freigabe schlechte Nachvollziehbarkeit große Angriffsfläche Sicherheitszonen werden umgangen Merksatz: Any-to-Any ist in der Regel kritisch. --- **Stateful Firewall** Eine Stateful Firewall merkt sich den Zustand einer Verbindung. Beispiel: Client startet HTTPS-Verbindung nach außen. Antwortpakete werden automatisch zugelassen, weil sie zur bestehenden Verbindung gehören. Merksatz: Stateful Firewall kennt Verbindungszustände. --- **Stateless Firewall** Eine Stateless Firewall betrachtet Pakete einzeln, ohne Verbindungszustand zu merken. Sie prüft nur einzelne Paketinformationen, zum Beispiel: Quelle Ziel Port Protokoll Merksatz: Stateless Firewall kennt keinen Verbindungszustand. --- **Firewall-Zonen** Firewall-Zonen teilen Netzbereiche nach Schutzbedarf. Beispiele: Internet DMZ internes Netz Servernetz Clientnetz Gastnetz Managementnetz Merksatz: Zonen helfen, Sicherheitsregeln strukturiert aufzubauen. --- **DMZ** DMZ steht für: Demilitarized Zone Eine DMZ ist ein getrenntes Netz für öffentlich erreichbare Dienste. Beispiele: Webserver Reverse Proxy Mail-Gateway VPN-Gateway Ziel: interne Netze schützen, wenn ein öffentlich erreichbarer Dienst kompromittiert wird. Merksatz: DMZ trennt öffentliche Dienste vom internen Netz. --- **ACL** ACL steht für: Access Control List Eine ACL ist eine Liste von Regeln, die Zugriff erlauben oder verweigern. Einsatz: Router Switches Firewalls Betriebssysteme Anwendungen Merksatz: ACL = Regelbasierte Zugriffskontrolle. --- **VLAN und Firewall zusammendenken** VLANs trennen Netzbereiche. Firewalls regeln, welcher Verkehr zwischen diesen Bereichen erlaubt ist. Beispiel: | Quelle | Ziel | Erlaubt? | Grund | |---|---|---|---| | Client-VLAN | Internet | ja | normaler Zugriff | | Gast-VLAN | internes Servernetz | nein | Schutz interner Daten | | Admin-VLAN | Management-VLAN | ja | Administration | | Server-VLAN | Datenbank-VLAN | nur benötigter Port | Least Privilege | Merksatz: VLAN ohne Regeln ist nur Trennung. Firewall macht daraus kontrollierte Sicherheit. --- **Typisches Fehlerbild: falsches VLAN** Symptome: Client bekommt keine passende IP-Adresse. Client erreicht lokale Systeme nicht. DHCP funktioniert nicht. Gerät ist im falschen Netz. nur ein Switchport betroffen. Prüfen: Access-Port-VLAN Trunk erlaubt VLAN? VLAN existiert? DHCP-Scope passt? Switchport aktiv? Dokumentation korrekt? Merksatz: Falsches VLAN führt oft zu falscher oder fehlender IP-Konfiguration. --- **Typisches Fehlerbild: Trunk falsch konfiguriert** Symptome: mehrere VLANs funktionieren nicht ein bestimmtes VLAN fehlt auf zweitem Switch Access Points liefern falsche Netze Hypervisor-VLANs nicht erreichbar Prüfen: Trunk-Port aktiv? VLANs erlaubt? Tagging korrekt? Native VLAN gleich? Gegenstelle passend konfiguriert? Merksatz: Trunk-Probleme betreffen oft mehrere VLANs. --- **Typisches Fehlerbild: Routing fehlt** Symptome: Geräte im gleichen VLAN erreichen sich. Geräte in anderen VLANs nicht. Gateway erreichbar, aber Zielnetz nicht. Prüfen: Routing-Tabelle Gateway Layer-3-Switch oder Router Inter-VLAN-Routing Firewall-Regeln Rückroute Merksatz: Gleiches VLAN geht, anderes Netz nicht: Routing und Firewall prüfen. --- **Typisches Fehlerbild: Firewall blockiert** Symptome: Zielhost erreichbar, aber bestimmter Dienst nicht. Porttest schlägt fehl. Firewall-Log zeigt Drop oder Deny. nach Regeländerung funktioniert Dienst nicht mehr. Prüfen: Quelle Ziel Port Protokoll Richtung Zone NAT Regelreihenfolge Logs Merksatz: Host erreichbar, Dienst nicht: Port, Dienst und Firewall prüfen. --- **Typisches Fehlerbild: Rückroute fehlt** Bei Kommunikation zwischen Netzen muss nicht nur der Hinweg funktionieren, sondern auch der Rückweg. Symptom: Anfrage geht raus, Antwort kommt nicht zurück. Ursachen: Rückroute fehlt falsches Gateway asymmetrisches Routing Firewall blockiert Rückverkehr NAT falsch Merksatz: Netzwerkkommunikation braucht Hinweg und Rückweg. --- **STP kurz erklärt** STP steht für: Spanning Tree Protocol Aufgabe: Schleifen auf Schicht 2 verhindern. Warum wichtig? Layer-2-Schleifen können Broadcast-Stürme verursachen. Merksatz: STP verhindert Switch-Schleifen. --- **Broadcast-Sturm** Ein Broadcast-Sturm entsteht, wenn Broadcasts durch Schleifen immer wieder weitergeleitet werden. Folgen: Netz wird langsam Switches stark belastet Clients verlieren Verbindung Dienste brechen ab Merksatz: Layer-2-Schleifen können das Netz lahmlegen. --- **Port Security** Port Security begrenzt, welche oder wie viele MAC-Adressen an einem Switchport erlaubt sind. Ziel: unautorisierte Geräte erschweren einfache Angriffe reduzieren Portmissbrauch begrenzen Merksatz: Port Security kontrolliert MAC-Adressen am Switchport. --- **802.1X** 802.1X ist portbasierte Netzwerkzugangskontrolle. Prinzip: Gerät oder Benutzer muss sich authentifizieren, bevor Netzwerkzugriff erlaubt wird. Typisch mit: RADIUS Zertifikat Benutzerkonto Merksatz: 802.1X prüft Zugriff vor Netzzugang. --- **Switching, Routing und Firewall unterscheiden** | Begriff | Aufgabe | Typische Entscheidung | |---|---|---| | Switching | Frames im LAN weiterleiten | Welche MAC an welchem Port? | | Routing | Pakete zwischen Netzen weiterleiten | Welcher nächste Hop? | | Firewall | Verkehr filtern | Erlauben oder blockieren? | Merksatz: Switch leitet lokal. Router leitet zwischen Netzen. Firewall entscheidet über Erlaubnis. --- **Typische Prüfungsfallen** VLAN und Subnetz gleichsetzen. Access-Port und Trunk-Port verwechseln. VLAN ohne Routing als netzübergreifende Verbindung verstehen. Firewall und Router gleichsetzen. Routing vergessen, wenn VLANs miteinander sprechen sollen. Firewall-Regeln ohne Richtung betrachten. Rückroute vergessen. Gateway außerhalb des Subnetzes eintragen. Any-to-Any als unkritisch ansehen. VLAN als vollständige Sicherheitsmaßnahme betrachten. Switch nur als „Verteiler“ ohne MAC-Lernen beschreiben. Merksatz: Viele Fehler entstehen, weil Trennung, Weiterleitung und Filterung vermischt werden. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was macht ein Switch? - Was ist eine MAC-Adresstabelle? - Was bedeutet Flooding? - Was ist ein VLAN? - Warum setzt man VLANs ein? - Was ist eine Broadcast-Domäne? - Was ist der Unterschied zwischen Access-Port und Trunk-Port? - Was bedeutet 802.1Q? - Was ist Inter-VLAN-Routing? - Was macht ein Router? - Was ist eine Standardroute? - Was bedeutet: spezifischste Route gewinnt? - Was macht eine Firewall? - Was ist Default Deny? - Warum ist Any-to-Any kritisch? - Was ist eine DMZ? - Was ist STP? - Warum kann eine Rückroute wichtig sein? --- **IHK-sichere Kurzformulierung** Ein Switch arbeitet hauptsächlich auf OSI-Schicht 2 und leitet Frames anhand von MAC-Adressen weiter. VLANs trennen ein physisches Netzwerk logisch in mehrere Broadcast-Domänen. Access-Ports gehören meist zu einem VLAN, Trunk-Ports transportieren mehrere VLANs mit VLAN-Tagging nach IEEE 802.1Q. Damit Geräte aus unterschiedlichen VLANs kommunizieren können, ist Inter-VLAN-Routing über Router, Layer-3-Switch oder Firewall nötig. Routing verbindet IP-Netze anhand von Routing-Tabellen. Eine Firewall filtert Verkehr anhand von Regeln wie Quelle, Ziel, Port, Protokoll und Aktion. VLANs trennen Netze, Firewalls kontrollieren den erlaubten Verkehr zwischen ihnen. --- **Merksätze** Switches arbeiten mit MAC-Adressen. Switch lernt aus Quell-MAC-Adressen. Unbekannte Ziel-MAC führt zu Flooding. Broadcast erreicht alle Geräte im gleichen VLAN. VLAN trennt logisch auf Schicht 2. VLANs bilden eigene Broadcast-Domänen. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. 802.1Q markiert VLAN-Frames. Access meist untagged. Trunk meist tagged. Managementzugänge gehören nicht ins Clientnetz. Gast-VLAN vom internen Netz trennen. VLAN ist keine vollständige Firewall. Inter-VLAN-Routing verbindet VLANs gezielt. Routing verbindet IP-Netze. Standardroute ist 0.0.0.0/0. Spezifischste Route gewinnt. Gateway führt aus dem eigenen Netz. Firewall filtert Verkehr. Default Deny ist sicherer. Any-to-Any ist kritisch. Stateful Firewall kennt Verbindungen. Stateless Firewall prüft Pakete einzeln. DMZ trennt öffentliche Dienste. ACL ist eine Regelliste für Zugriff. Rückroute nicht vergessen. STP verhindert Layer-2-Schleifen. Broadcast-Sturm kann ein Netz lahmlegen. Port Security kontrolliert MAC-Adressen. 802.1X prüft Netzzugang. Switch leitet lokal. Router leitet zwischen Netzen. Firewall entscheidet, ob Verkehr erlaubt ist.