In einem flachen Netz ohne Segmentierung erreicht ein kompromittiertes Gerät jedes andere, kann DHCP-Anfragen beantworten und Zugangsdaten abgreifen. Netzwerksegmentierung nach dem Zero-Trust-Prinzip begrenzt diese seitliche Ausbreitung (Lateral Movement) und ist auch im KMU mit Open-Source-Werkzeugen umsetzbar.

Voraussetzungen

Managed Switch mit 802.1Q-VLAN-Unterstützung, mindestens 8 Ports, idealerweise mit DHCP-Snooping; für UniFi-Beispiele ein UniFi-Switch mit UniFi Network
OPNsense-Hardware: x86-64-Mini-PC mit mindestens 2 Netzwerkschnittstellen (Intel-NICs empfohlen), Dual-Core-CPU, 4 GB RAM, 40 GB SSD; mit Suricata (IDS/IPS) laut Herstellerempfehlung 8 GB RAM und 120 GB SSD
OPNsense 26.7 installiert und grundkonfiguriert (WAN/LAN aktiv, WebGUI erreichbar) – falls noch nicht: OPNsense Firewall Erstkonfiguration
Zugriff auf Switch-Management und OPNsense-WebGUI
Eine Geräteliste des Bestandsnetzes (IP, Funktion, Standort) als Grundlage für die Zuordnung
Optional: Nmap und tcpdump für Tests

Hardware für diese Anleitung

Enthält Werbelinks

Managed Switch	Für VLANs muss der Switch IEEE 802.1Q beherrschen. Für Access Points ist PoE praktisch.	Switches bei Amazon (Werbelink)
Firewall-Mini-PC	Für OPNsense oder pfSense: Mini-PC mit zwei bis vier Intel-Netzwerkports.	Bei Amazon ansehen (Werbelink)
WLAN-Access-Point	Für WPA3-Enterprise und dynamische VLANs einen Access Point mit RADIUS-Unterstützung wählen.	Bei Amazon ansehen (Werbelink)

Vorhandene Hardware reicht oft. Die Liste zeigt, worauf es bei einem Neukauf ankommt. * Werbelink

Schritt 1: Segmentierungs-Konzept – Segmente sinnvoll schneiden

Legen Sie die Segmente vor der ersten Switch-Änderung fest. Der BSI IT-Grundschutz-Baustein NET.1.1 verlangt, Clients und Server in unterschiedlichen Netzsegmenten zu betreiben. Für die meisten KMU reicht folgendes Modell:

VLAN	Name	Subnetz	Typische Geräte	Internet
10	Management	10.0.10.0/24	Switches, APs, OPNsense, Server-IPMI	eingeschränkt
20	Clients	10.0.20.0/24	PCs, Laptops, Thin Clients	ja
30	Server/DMZ	10.0.30.0/24	File-, Mail-, Webserver	eingeschränkt
40	VoIP	10.0.40.0/24	IP-Telefone, SIP-Clients	SIP/RTP
50	IoT/OT	10.0.50.0/24	Kameras, Smart-Devices, WLAN-Drucker	ja
60	Drucker	10.0.60.0/24	Netzwerkdrucker, Multifunktionsgeräte	nein
70	Gast	10.0.70.0/24	Besucher-WLAN, externe Geräte	nur HTTP/S

Die Matrix zeigt den erlaubten Verkehr zwischen den Zonen; alles andere ist blockiert (Zero Trust: „Least Privilege“):

Von \ Nach	MGMT	Clients	Server	VoIP	IoT	Drucker	Gast	WAN
Management	–	SSH/HTTPS	SSH/HTTPS	SSH/HTTPS	SSH/HTTPS	SSH/HTTPS	–	Updates
Clients	–	–	SMB/HTTP/S	–	–	IPP/9100	–	ja
Server/DMZ	–	–	–	–	–	–	–	eingeschränkt
VoIP	–	–	SIP/RTP	–	–	–	–	SIP/RTP
IoT/OT	–	–	–	–	–	–	–	ja
Drucker	–	–	–	–	–	–	–	–
Gast	–	–	–	–	–	–	–	HTTP/S

Wichtig: Nutzen Sie VLAN 1 (Default-VLAN) nicht produktiv. Setzen Sie das Native-VLAN auf Trunk-Ports auf ein ungenutztes „Black Hole“-VLAN (z. B. VLAN 99), damit ungetaggte Frames in keinem produktiven Segment landen.

Verifizieren: Jedes Gerät der Geräteliste ist genau einem Segment zugeordnet, und jeder Verkehr, den ein Dienst braucht (z. B. Client zu Dateiserver per SMB), steht als Zelle in der Matrix.

Schritt 2: RFC1918-Alias und VLAN-Interfaces in OPNsense anlegen

Richten Sie die komplette VLAN-Infrastruktur ein, bevor Sie ein Gerät umziehen. Legen Sie zuerst einen Alias für alle privaten Adressbereiche (RFC 1918) an, den die Firewall-Regeln verwenden:

# OPNsense: RFC1918-Alias anlegen
# Firewall > Aliases > + Hinzufügen

Name:     RFC1918
Type:     Network
Networks: 10.0.0.0/8
          172.16.0.0/12
          192.168.0.0/16

Legen Sie dann für jedes VLAN ein Interface an. Beispiel VLAN 50 (IoT) auf dem Uplink igb3:

# OPNsense: VLAN-Interface anlegen
# Interfaces > Devices > VLAN > + Hinzufügen

Device:      vlan0.50
Parent:      igb3
VLAN tag:    50
Description: IoT_VLAN

# Danach: Interfaces > Assignments
# vlan0.50 zuweisen, aktivieren
# IPv4 Static: 10.0.50.1/24
# DHCP-Bereich 10.0.50.10-10.0.50.200 anlegen, in 26.x standardmäßig
# unter Services > Dnsmasq DNS & DHCP (Kea oder ISC entsprechend)

Wiederholen Sie das für alle VLANs (10 bis 70).

Verifizieren: Unter Interfaces > Overview sind alle VLAN-Interfaces „up“ und tragen ihre Gateway-Adresse (z. B. 10.0.50.1/24), und im DHCP-Dienst ist für jedes VLAN ein Bereich aktiv.

Schritt 3: Managed Switch und Trunk-Port konfigurieren

Der Link zwischen Managed Switch und OPNsense muss alle VLANs als „tagged“ tragen. Mischen Sie auf dem Trunk kein produktives untagged VLAN mit tagged VLANs, sonst landen DHCP-Anfragen im falschen Segment.

# UniFi Network Controller: Uplink-Port konfigurieren
# Switches > Ports > [Uplink-Port zu OPNsense]

Native VLAN:  99  (Black Hole, ungenutzt)
Tagged VLANs: 10, 20, 30, 40, 50, 60, 70

# Endgerät-Port Beispiel: Drucker an Port 5
Native VLAN:  60  (Drucker-VLAN, untagged)
Tagged VLANs: keine

Bei Switches ohne Controller richten Sie dasselbe im Web-Interface ein: 802.1Q-VLAN-Tabelle, Trunk-Port als „T“ (Tagged) für alle VLANs, Access-Ports als „U“ (Untagged) nur für ihr VLAN, dazu die passende PVID.

VLAN Pruning: Ein Switch-Port, an dem nur ein Drucker hängt, trägt ausschließlich VLAN 60 als untagged. Kein IoT-VLAN, kein Client-VLAN. Das verkleinert die Angriffsfläche. Hintergründe zu Subnetzen erklärt die Anleitung Subnetting und CIDR verständlich erklärt.

Verifizieren: Ein Testgerät an einem Access-Port in VLAN 20 erhält eine Adresse aus 10.0.20.0/24 und erreicht das Gateway 10.0.20.1 per ping.

Schritt 4: Firewall-Regeln nach Default-Deny anlegen

OPNsense wertet Regeln eingehend pro Interface von oben nach unten aus; bei „Quick“ (Standard) gewinnt die erste passende Regel. Was keine Regel erlaubt, blockiert die Default-Deny-Regel. Sie legen also nur explizite Pass-Regeln an.

IoT-VLAN: Nur Internet, kein RFC1918-Zugriff

# Firewall > Rules > IoT_VLAN (Reihenfolge von oben nach unten)

# Regel 1: DNS zur Firewall erlauben
Action: Pass | Protocol: TCP/UDP
Source: IoT_VLAN net | Destination: IoT_VLAN address | Dest. Port: 53

# Regel 2: NTP zur Firewall erlauben
Action: Pass | Protocol: UDP
Source: IoT_VLAN net | Destination: IoT_VLAN address | Port: 123

# Regel 3: RFC1918 blockieren (verhindert Lateral Movement)
Action: Block | Source: IoT_VLAN net | Destination: RFC1918 (Alias)

# Regel 4: Internet erlauben
Action: Pass | Source: IoT_VLAN net | Destination: any

Blockierten Verkehr protokollieren: Nicht per Floating-Block-Regel: Floating-Regeln greifen vor den Interface-Regeln, eine Block-Regel „any to any“ mit Quick sperrt dann alles. Aktivieren Sie stattdessen das Logging der Default-Regel:

# Firewall > Settings > Advanced > Logging

Log packets matched from the default block rules: aktiviert

Management-VLAN absichern: Nur das Management-Segment erreicht WebGUI (443) und SSH (22) der Firewall.

# Firewall > Rules > MGMT_VLAN

Regel 1: Pass | TCP | Source: MGMT_VLAN net | Dest: any | Port: 443, 22, 8080
Regel 2: Pass | ICMP | Source: MGMT_VLAN net | Dest: any
Regel 3: Pass | any  | Source: MGMT_VLAN net | Dest: RFC1918

Verifizieren: Von einem IoT-Gerät aus scheitert ping 10.0.20.10, während nslookup example.com 10.0.50.1 antwortet. Unter Firewall > Log Files > Live View erscheint der Ping als blockiert.

Schritt 5: Drucker-VLAN und mDNS-Proxy einrichten

Nach der VLAN-Trennung funktionieren AirPrint, Bonjour und die Druckersuche nicht mehr: mDNS (UDP 5353) ist link-local und überquert keine VLAN-Grenze. OPNsense leitet mDNS mit dem Plugin os-mdns-repeater weiter (2 bis 5 Interfaces).

# System > Firmware > Plugins: os-mdns-repeater installieren

# Services > MDNS Repeater:
Enabled:     checked
Interfaces:  Clients_VLAN, Drucker_VLAN

Den Druckverkehr selbst erlauben Sie per Firewall-Regel:

# Firewall > Rules > Clients_VLAN

# IPP (Internet Printing Protocol)
Action: Pass | TCP | Source: Clients net | Dest: Drucker_VLAN net | Port: 631

# RAW Printing (viele HP/Kyocera/Brother-Drucker)
Action: Pass | TCP | Source: Clients net | Dest: Drucker_VLAN net | Port: 9100

# Optional: SNMP für Tintenstand-Monitoring
Action: Pass | UDP | Source: Clients net | Dest: Drucker_VLAN net | Port: 161

Manche Drucker brauchen zusätzlich LPD (TCP 515) oder WSD (UDP 3702, TCP 5357); Fehlendes zeigt das Live-Log.

Verifizieren: Unter Services > MDNS Repeater läuft der Dienst. Ein Mac oder iPhone im Client-VLAN findet den Drucker per AirPrint, und eine Testseite wird gedruckt.

Schritt 6: VoIP-Segment mit QoS konfigurieren

VoIP-Telefone brauchen Regeln für SIP/RTP und eine Priorisierung; die Sprachpakete markieren sie meist selbst mit DSCP EF (46).

# Firewall > Rules > VoIP_VLAN

# SIP-Signalisierung zur Telefonanlage/SIP-Trunk
Action: Pass | TCP/UDP | Source: VoIP net | Dest: any | Port: 5060

# RTP-Mediastrom (herstellerspezifisch, oft 10000-20000)
Action: Pass | UDP | Source: VoIP net | Dest: any | Port: 10000-20000

# Priorisierung: in der Pass-Regel unter „Match TOS / DSCP“ EF wählen
# und „Set priority“ setzen; auf VLAN-Interfaces schreibt OPNsense
# die Priorität in den 802.1Q-Header (PCP)

Wichtig: OPNsense selbst hat kein SIP-ALG (Application Layer Gateway). Hat ein vorgelagerter Router SIP-ALG aktiv, schalten Sie es dort ab; es manipuliert SIP-Header. Bei NAT zum SIP-Provider hilft eine Outbound-NAT-Regel mit „Static port“ für die Telefonanlage.

Verifizieren: Ein Testanruf nach extern und zurück hat in beide Richtungen Ton, und das Live-Log zeigt durchgelassene Pakete auf Port 5060 und im RTP-Bereich.

Schritt 7: Schrittweise Migration aus dem flachen Netz

Die Migration kommt ohne Gesamtausfall aus; jedes Gerät ist nur beim Wechsel kurz unterbrochen.

# A: Lease Time im DHCP-Dienst des alten LAN vorab auf 3600 s senken
# B: VLANs, DHCP, Switch, Regeln wie in Schritt 2 bis 4
#    Ping 10.0.20.x -> 10.0.50.x muss FEHLSCHLAGEN (Default Deny)
# C: Geräte gruppenweise umziehen, unkritisch zuerst:
#    1. Drucker und IoT  2. Clients je Abteilung  3. Server im Wartungsfenster
# D: DHCP im alten LAN abschalten, wenn alle Geräte neue Adressen haben
# Rollback: Switch-Port zurück auf das alte LAN stellen

Besonderheit UniFi: Die Geräteerkennung nutzt UDP-Broadcast auf Port 10001, der keine VLAN-Grenzen überquert. Übernehmen Sie (Adopt) alle UniFi-Geräte vor dem VLAN-Rollout oder setzen Sie die Inform-Adresse per SSH:

# SSH auf UniFi-Gerät (vor VLAN-Rollout)
ssh admin@<unifi-device-ip>
set-inform http://192.168.100.x:8080/inform

# Nach Adoption: Gerät ins Management-VLAN verschieben

Verifizieren: Im alten LAN vergibt der DHCP-Dienst keine Leases mehr, alle Geräte der Geräteliste haben Adressen aus ihrem Zielsegment, und nmap -sn 10.0.20.0/24 von einem IoT-Gerät findet keine Hosts.

Troubleshooting / Typische Fehler

Management-Lockout: Der Switch-Port, über den Sie die OPNsense-WebGUI erreichen, wurde in das neue Management-VLAN verschoben, bevor VLAN-Interface und DHCP aktiv waren. Die automatische Anti-Lockout-Regel gilt nur für das LAN-Interface. Lösung: Auf dem neuen Management-VLAN zuerst eine Pass-Regel für WebGUI und SSH anlegen und testen, dann den Switch-Port umstellen. Im Notfall hilft die Konsole (physisch oder IPMI).
AirPrint, AirPlay, Chromecast nach VLAN-Trennung ausgefallen: mDNS wird nicht geroutet. Lösung: os-mdns-repeater (Schritt 5).
VLAN-Leak durch falsches Native VLAN: Ungetaggte Frames landen im produktiven Segment. Lösung: Native VLAN 99 wie in Schritt 1.
UniFi-Geräte nach VLAN-Rollout nicht mehr adoptierbar: siehe Schritt 7, set-inform per SSH.
Vergessene Abhängigkeiten: NTP (UDP 123), LDAP/AD (TCP 389/636), RADIUS (UDP 1812/1813), WSUS (TCP 8530/8531), Backup-Agenten, SNMP (UDP 161). Lösung: Vor der Migration den Verkehr erfassen (Live-Log oder ntopng) und Regeln daraus ableiten.
VoIP ohne Ton oder mit Abbrüchen: RTP-Bereich nicht freigegeben, SIP-ALG in einem vorgelagerten Router aktiv oder NAT ohne statischen Port. Lösung: siehe Schritt 6.
Fremder DHCP-Server im VLAN: Ein kompromittiertes Gerät verteilt Adressen. Lösung: DHCP-Snooping aktivieren, nur den Port Richtung OPNsense als „trusted“ markieren.
Inter-VLAN-Routing über Layer-3-Switch: Routet der Switch selbst zwischen VLANs (SVIs), umgeht der Verkehr die Firewall. Lösung: Routing nur auf OPNsense (Router-on-a-Stick).

Häufige Fragen

Wie viele VLANs brauche ich als KMU wirklich?

Meist 5 bis 7: Management, Clients, Server/DMZ, IoT/OT und Gast als Minimum, VoIP und Drucker bei vielen Endgeräten. Jedes weitere VLAN erhöht den Pflegeaufwand.

Reicht eine Fritz!Box für VLAN-Segmentierung?

Nein. Die FRITZ!Box trennt nur Heim- und Gastnetz und bietet keine frei definierbaren Regeln zwischen Segmenten. Sie brauchen einen Managed Switch mit 802.1Q und eine Firewall wie OPNsense.

Kann ich die Migration ohne Downtime durchführen?

Ohne Gesamtausfall ja, siehe Schritt 7. Einzelne Geräte sind beim Umzug kurz nicht erreichbar; planen Sie Server in ein Wartungsfenster ein.

Wie überprüfe ich, ob die Segmentierung wirklich funktioniert?

Testen Sie aus jedem Segment gegen die Matrix: Ping und nmap -sn in fremde Segmente müssen scheitern, erlaubte Dienste funktionieren. Wiederholen Sie das nach jeder Regeländerung.

Was ist der Unterschied zwischen VLAN-Segmentierung und Mikrosegmentierung?

VLANs trennen Gerätegruppen. Mikrosegmentierung isoliert einzelne Hosts auch innerhalb eines VLANs, etwa per Host-Firewall oder „Private VLANs“ am Switch; sinnvoll für Server mit hohem Schutzbedarf.

Brauche ich teure kommerzielle Lösungen für Zero Trust?

Nein. OPNsense liefert mit VLANs, Default Deny, IDS/IPS (Suricata) und VPN die Netzwerk-Grundlage. Kommerzielle Plattformen ergänzen identitätsbasierte Mikrosegmentierung.

Fazit

Segmentierung ist eine der wirksamsten Maßnahmen gegen Lateral Movement. Entscheidend ist die Reihenfolge: erst VLAN-Infrastruktur, dann Switch, dann Geräte. Der Preis ist Pflegeaufwand: Jeder neue Dienst braucht eine Regel. Der nächste Schritt ist ein sicherer Fernzugriff ins segmentierte Netz: WireGuard VPN für Homeoffice und Standortvernetzung.

Weiterführende Anleitungen und Quellen

Quellen: OPNsense-Dokumentation VLAN and LAGG Setup, Multicast DNS Proxy und Firewall-Regeln, BSI IT-Grundschutz NET.1.1, CISA Zero Trust Maturity Model (cisa.gov).