Der Weckruf kam an einem Dienstagabend. Ich hatte für einen Bekannten eine günstige IP-Kamera im Wohnzimmer installiert — eine dieser Billig-Kameras mit einer App, die man besser nicht hinterfragt. Zwei Wochen später, beim Durchsehen der Router-Logs, sah ich es: Die Kamera redete nachts um 3 Uhr mit Servern in China. Sie hatte Zugriff auf mein komplettes Heimnetz — auf den NAS, auf die Drucker, auf die Arbeits-PCs. Nicht weil irgendjemand böse war, sondern weil alles in einem einzigen flachen Netz hing. Genau für solche Momente gibt es VLANs.
VLAN-Segmentierung klingt nach Enterprise-Switches für vierstellige Beträge und nach einem CCNA-Lehrgang. In Wahrheit reicht ein Managed Switch für 35 Euro, ein Router, der VLANs kann, und ein Abend Zeit. Dieser Artikel zeigt den kompletten Plan: die VLAN-Tabelle mit Subnetzen, den 802.1Q-Trunk, die ersten Firewall-Regeln und die Fallstricke, an denen ich fast gescheitert wäre.
Warum überhaupt segmentieren?
Ein flaches Netz ist eine Party, zu der jeder Gast alle Räume betreten kann. Ein kompromittiertes IoT-Gerät — Kamera, Bridge, Smart-Plug — hat dann denselben Zugriff wie dein Desktop. Der Angriffspfad heißt Lateral Movement: Erst ist die Kamera dran, dann der NAS, dann deine Backups. Die Zahlen dazu sind ernüchternd: Billig-IoT-Geräte haben regelmäßig offene Telnet-Ports, bekannte Default-Passwörter oder keine Updates. Es ist keine Frage des „ob", sondern des „wann" eines der Geräte kompromittiert wird.
Segmentierung macht aus dem Partygast mit All-Access einen Gast mit einem einzigen Raum: Die Kamera darf ins Internet (für den Hersteller-Cloud-Dienst), aber nicht zu deinem NAS. Der Gast-Laptop bekommt Internet, aber keinen Blick auf dein Heimnetz. Und dein Desktop darf zu den Servern, aber nicht umgekehrt. Das ist der ganze Trick — und er kostet weniger als 50 Euro.
Die Hardware: was du wirklich brauchst
Mein Setup für das Homelab-Netz besteht aus zwei Geräten, die zusammen unter 100 Euro kosten:
- Managed Switch (ca. 35–40 Euro): Der TP-Link TL-SG108E (8 Ports) oder der TL-SG105E (5 Ports) können 802.1Q-VLANs und kosten um die 35 Euro. Es gibt sie auch gebraucht für die Hälfte. Für die Segmentierung reicht ein Layer-2-Switch völlig — das Routing übernimmt der Router.
- Router mit VLAN-Support: Die Fritzbox kann VLANs nur eingeschränkt (und oft nur mit Bastelarbeit). Deutlich besser: ein OpenWrt-fähiger Router (z. B. ein gebrauchter TP-Link Archer C7 für 30 Euro oder ein x86-Mini-PC mit pfSense). Ich betreibe OpenWrt auf einem kleinen x86-Gerät mit 4 Ports — damit lassen sich VLANs und Firewall-Regeln sauber konfigurieren.
Wer keinen zweiten Router kaufen will, kann die Segmentierung auch mit der Fritzbox plus Managed Switch umsetzen — die Firewall zwischen den VLANs übernimmt dann aber der Switch nicht, und du brauchst einen Router, der die getaggten Frames versteht. Meine Empfehlung: ein OpenWrt-Router als Herzstück. Damit hast du VLANs, Firewall und DNS in einem Gerät, das du verstehst.
Der VLAN-Plan: fünf Netze, fünf Subnetze
Die Kunst liegt nicht in der Technik, sondern im Plan. Bevor ich einen Port konfiguriert habe, habe ich die VLANs auf Papier gebracht — und die Subnetze mit dem bitcalc Subnetz-Rechner durchgerechnet. Jedes VLAN bekommt ein eigenes Subnetz aus dem 10er-Block, damit sich nichts je überlappen kann (die Lektion aus dem VPN-Artikel). Die Zuordnung:
Zwei Details aus der Tabelle verdienen Beachtung:
Das Management-VLAN (99) ist der heimliche Star. Switch und Router sind nur aus dem Privat-VLAN erreichbar. Wenn ein Angreifer in ein anderes VLAN eindringt, kann er die Netz-Infrastruktur nicht umkonfigurieren. Das ist eine Zeile Firewall-Regel und der Unterschied zwischen „Kamera kompromittiert" und „ganzes Netz kompromittiert".
Die Subnetzgrößen passen zur Gerätezahl. Für 30 Geräte ist ein /24 mit 254 Hosts Platzverschwendung. Ich habe dem IoT-VLAN ein /26 gegeben (62 Hosts) und dem Gäste-VLAN ein /25 (126 Hosts) — so bleibt im 10er-Block Platz für weitere Netze. Der Subnetz-Rechner zeigt die Hostanzahl und den nutzbaren Bereich in Sekunden; wer da mit dem Kopf rechnet, macht garantiert irgendwann einen Fehler.
802.1Q: Tags, Trunks und die zwei Port-Typen
Ein VLAN ist im Kern ein Tag im Ethernet-Frame: 12 Bit in der VLAN-Header-Erweiterung (802.1Q), die dem Switch sagen, zu welcher Broadcast-Domäne der Frame gehört. Die IDs gehen von 1 bis 4094. Und es gibt genau zwei Port-Typen, die man kennen muss:
- Access-Port: Gehört zu genau einem VLAN, sendet Frames ungetaggt (ohne VLAN-Header). Daran hängen Endgeräte: Kamera, PC, NAS. Der Switch fügt das Tag intern hinzu (PVID).
- Trunk-Port: Transportiert mehrere VLANs, sendet Frames getaggt. Daran hängt die Verbindung zwischen Switch und Router — und nur dort brauchst du getaggte Frames überhaupt.
Die wichtigste Regel, die mir am Anfang niemand gesagt hat: Getaggte Frames gehören nur auf Trunks. Wenn du an einem Access-Port ein Gerät anschließt, das getaggte Frames erwartet (oder umgekehrt), entstehen genau die „funktioniert nicht"-Rätsel, die Nächte kosten. Am TP-Link heißt das Konfigurationsfeld übrigens „802.1Q VLAN" mit Tagged/Untagged-Auswahl pro Port — und der PVID steht separat. Ja, das ist verwirrend, und ja, ich habe es beim ersten Mal verdreht.
Die Topologie: Router, Switch, Trunk, vier Welten
So sieht das fertige Setup aus. Der Router hat ein VLAN-Interface pro VLAN (in OpenWrt: eth0.10, eth0.20, …) und übernimmt das Routing zwischen den Netzen. Der Switch leitet die Frames nur an den richtigen Port weiter. Die Firewall-Regeln sitzen komplett im Router — der Switch ist dumm in dem Sinne, dass er nicht entscheidet, wer wohin darf, sondern nur, wer im selben VLAN steckt.
Die ersten drei Firewall-Regeln
Die Firewall-Konfiguration ist der Moment, in dem die Segmentierung wirklich wirksam wird. In OpenWrt (oder pfSense) sind die Regeln pro Interface-Zone definiert. Die ersten drei Regeln, mit denen ich gestartet bin:
- IoT → Internet: erlaubt, aber nur das Nötigste. Die Kamera braucht Zugriff auf die Cloud des Herstellers, aber nicht auf beliebige Ziele. Wer mag, legt pro Gerät eine Regel an — für den Start reicht „Internet erlaubt, alles andere deny".
- IoT → alle anderen VLANs: DENY. Die Kernregel. Die Kamera darf weder zum NAS noch zu deinem Desktop noch ins Management. Damit ist der Lateral-Movement-Pfad aus der Eingangsgeschichte tot.
- Gäste → LAN: DENY, Gäste → Internet: erlaubt. Besucher bekommen Netz, aber keinen Blick auf dein Heimnetz. Eine Ausnahme: Wenn du Besuchern den Drucker anbieten willst, öffnest du gezielt den Port 9100 zum Drucker — nicht das ganze VLAN.
Dazu kommen zwei Regeln, die das Leben angenehm machen:
- Privat → Server: erlaubt. Dein Desktop darf zum NAS und zu den VMs. Umgekehrt (Server → Privat) bleibt dicht — ein kompromittierter Dienst kann sich so nicht in dein Arbeitsnetz ausbreiten.
- Privat → IoT: erlaubt. Für die Steuerung per App. Das ist ein bewusstes Risiko, das du eingehen kannst — oder du sperrst auch das und steuerst IoT-Geräte nur über deren Cloud.
Die Fallstricke, an denen es fast gescheitert wäre
Die Theorie ist in einer Stunde erklärt, die Praxis hat mir vier Abende gekostet. Die drei häufigsten Fallstricke:
mDNS und der unsichtbare Drucker. AirPlay, Chromecast und manche Drucker finden sich per Multicast-DNS (mDNS) — und Multicast bleibt standardmäßig im VLAN. Nach der Segmentierung war mein Drucker für die PCs im Privat-VLAN plötzlich weg, obwohl er im selben VLAN hing? Nein — das Problem war der Fernseher im Privat-VLAN, der den Drucker im Medien-VLAN nicht mehr fand. Die Lösung heißt mDNS-Reflektor (in OpenWrt: mdns-repeater oder reflector), der die mDNS-Pakete gezielt zwischen ausgewählten VLANs spiegelt. Ohne diese Zeile Konfiguration hätte ich die Segmentierung rückgängig gemacht — der Fernseher war wichtiger als die Sicherheit, dachte ich damals.
DHCP über VLAN-Grenzen. Der DHCP-Server sitzt im Router, die Clients in den VLANs. Damit das funktioniert, braucht jedes VLAN-Interface einen eigenen DHCP-Bereich (in OpenWrt: dnsmasq pro Subnetz). Wer vergisst, dem Gäste-VLAN einen Bereich zuzuweisen, bekommt Gäste ohne IP — und Besucher ohne Internet sind schlechte Werbung.
IoT-Geräte mit hartkodiertem Netz. Manche Billig-Geräte haben ihre Ziel-IP oder sogar ein Default-Gateway fest verdrahtet — meistens 192.168.1.1 oder 192.168.0.1. Wenn dein VLAN-Subnetz davon abweicht, funktioniert das Gerät nicht. Die pragmatische Lösung: Diesen Geräten ein eigenes Subnetz geben, das zu ihrer Firmware passt (oder sie zurückgeben — bei manchen Kameras ist das die bessere Option).
Was die Umstellung gebracht hat
Die Kamera von damals hängt heute in einem eigenen IoT-VLAN mit Internet-Zugang und sonst nichts. Die Logs zeigen weiterhin nächtliche Verbindungen zu Servern im Ausland — aber sie enden an der Firewall. Der NAS ist nur aus dem Privat-VLAN erreichbar, die Backups sind unantastbar für alles, was im IoT-Netz wohnt, und Gäste bekommen Internet, ohne dass sie auch nur ein Gerät von mir sehen.
Der größte Nebeneffekt war für mich die Beruhigung: Ich muss nicht mehr jedes Billig-Gerät einzeln vertrauen. Die Segmentierung ist der Unterschied zwischen „die Kamera redet mit China" und „die Kamera redet mit China, und das ist egal, weil sie nichts erreichen kann".
Fazit
VLAN-Segmentierung im Homelab ist kein Enterprise-Thema mehr. Ein Managed Switch für 35 Euro, ein OpenWrt-Router und ein klarer Plan reichen, um IoT, Gäste, Privat und Server sauber zu trennen. Der Plan ist die halbe Arbeit: Subnetze mit dem bitcalc Subnetz-Rechner durchrechnen, VLAN-Tabelle auf Papier, dann erst konfigurieren. Die Firewall-Regeln sind am Anfang drei Zeilen — und sie sind diejenigen, die dich nachts schlafen lassen, wenn wieder eine Billig-Kamera mit einem Server in Übersee redet.