Homelab-VLAN-Segmentierung

Was macht Homelab-VLAN-Segmentierung?

So teilen Sie ein Heimnetzwerk in isolierte VLANs auf, damit IoT-Geräte, Gäste und Ihre Haupt-PCs nicht miteinander kommunizieren können. Das wirkungsvollste Sicherheits-Upgrade für ein Heimnetzwerk.

Alle hier gezeigten Firewall-Regeln erhöhen die Isolation zwischen den Segmenten – sie entfernen keine bestehenden Schutzmaßnahmen. Wenden Sie Änderungen in einem Wartungsfenster an und überprüfen Sie nach jedem Schritt die Konnektivität zwischen den Segmenten, bevor Sie fortfahren.

Verwendungszweck

• Einrichtung von VLANs in einem Heimnetzwerk zum ersten Mal
• Isolierung von IoT-Geräten (smarte Glühbirnen, Kameras, Fernseher) von vertrauenswürdigen Geräten
• Erstellen eines Gäste-WLANs, das keine Heimgeräte erreichen kann
• Erklärung der Funktionsweise von VLANs für jemanden, der mit dem Konzept nicht vertraut ist
• Konfiguration von Trunk-Ports, Access-Ports und SSID-zu-VLAN-Zuordnung
• Fehlerbehebung bei Inter-VLAN-Routing oder Firewall-Regel-Problemen auf pfSense/OPNsense/UniFi

Funktionsweise

Ohne VLANs – flaches Netzwerk:
  Alle Geräte in 192.168.1.0/24
  Smart-TV (potenzielle Malware) → kann Ihr NAS, Ihre PCs und alles erreichen

Mit VLANs:
  VLAN 10 — Vertrauenswürdig  192.168.10.0/24  (PCs, Telefone, Laptops)
  VLAN 20 — IoT              192.168.20.0/24  (Smart-TV, Glühbirnen, Kameras)
  VLAN 30 — Server           192.168.30.0/24  (NAS, Pi, VMs)
  VLAN 40 — Gäste            192.168.40.0/24  (Besucher-WLAN)
  VLAN 99 — Management       192.168.99.0/24  (Switch/AP-Weboberflächen)

  Smart-TV → blockiert vom Zugriff auf 192.168.10.0/24 und 192.168.30.0/24
  Gäste → nur Internet, können keine Heimgeräte sehen

VLAN-Design-Vorlage

VLAN  Name               Subnetz              Gateway            Zweck
10    vertrauenswürdig   192.168.10.0/24     192.168.10.1       PCs, Telefone, Laptops
20    iot               192.168.20.0/24     192.168.20.1       Smart-Home-Geräte
30    server            192.168.30.0/24     192.168.30.1       NAS, Pi, selbst gehostet
40    gast              192.168.40.0/24     192.168.40.1       Besucher-WLAN
99    management        192.168.99.0/24     192.168.99.1       Netzwerkgeräte-Weboberflächen

Beispiele

Typisches Homelab mit UniFi-AP und Managed Switch:

Szenario: 3-Zimmer-Haus, UniFi Dream Machine + UniFi 8-Port-Switch + 2 APs

VLAN 10 — Vertrauenswürdig  192.168.10.0/24   MacBook, iPhones, iPad
VLAN 20 — IoT              192.168.20.0/24   Nest-Thermostat, Philips Hue, Ring-Türklingel, Smart-TVs
VLAN 30 — Server           192.168.30.0/24   Synology NAS (192.168.30.10), Pi-hole (192.168.30.2)
VLAN 40 — Gäste            192.168.40.0/24   Besucher-WLAN — nur Internet

SSID → VLAN-Zuordnung:
  "Home"      → VLAN 10 (WPA2, starkes Passwort, nur vertrauenswürdige Geräte)
  "IoT"       → VLAN 20 (WPA2, separates Passwort, zum Einrichten auf dem Router notiert)
  "Gast"      → VLAN 40 (WPA2, einfaches Passwort, das Sie frei teilen können)

Switch-Port-Verhalten:
  Port 1  → Trunk zum Router (getaggte VLANs 10,20,30,40,99)
  Port 2  → Trunk zu APs (getaggte VLANs 10,20,40; AP übernimmt die pro-SSID-Tagging)
  Port 3  → Access VLAN 30 (NAS — ungetaggt, keine VLAN-Kenntnis erforderlich)
  Port 4  → Access VLAN 30 (Pi-hole — ungetaggt)
  Port 5–8 → Access VLAN 10 (verdrahtete Arbeitsstationen)

Angewandte Firewall-Regeln (alle Regeln erhöhen die Isolation, keine entfernt bestehenden Schutz):
  IoT → Vertrauenswürdig: BLOCK
  IoT → Server: BLOCK außer 192.168.30.2:53 (Pi-hole DNS erlaubt)
  IoT → Internet: ERLAUBT
  Gäste → Lokale Netzwerke: BLOCK
  Gäste → Internet: ERLAUBT
  Vertrauenswürdig → überall: ERLAUBT

UniFi-Konfiguration

Netzwerke im UniFi Controller erstellen

Einstellungen → Netzwerke → Neues Netzwerk erstellen

Für jedes VLAN:
  Name: IoT
  Zweck: Corporate  (gibt DHCP + Routing)
  VLAN-ID: 20
  Netzwerk: 192.168.20.0/24
  Gateway-IP: 192.168.20.1
  DHCP: Aktivieren
  DHCP-Bereich: 192.168.20.100 – 192.168.20.254

SSIDs VLANs zuordnen (UniFi)

Einstellungen → WLAN → Neues WLAN erstellen

  Name: IoT-Netzwerk
  Passwort: <separates Passwort>
  Netzwerk: IoT  ← wählen Sie hier Ihr VLAN aus
  # Alle Geräte, die sich mit dieser SSID verbinden, landen in VLAN 20

  Name: Gast
  Passwort: <Gäste-Passwort>
  Netzwerk: Gäste
  Gäste-Richtlinie: Aktivieren  ← isoliert Gäste auch voneinander

UniFi Firewall-Regeln (Verkehrsregeln)

Einstellungen → Verkehr & Sicherheit → Verkehrsregeln

# IoT vom Zugriff auf das vertrauenswürdige VLAN blockieren
  Aktion: Blockieren
  Kategorie: Lokales Netzwerk
  Quelle: IoT (192.168.20.0/24)
  Ziel: Vertrauenswürdig (192.168.10.0/24)

# IoT nur Zugriff auf das Internet erlauben
  Aktion: Erlauben
  Quelle: IoT
  Ziel: Internet

# Gäste von allen lokalen Netzwerken blockieren
  Aktion: Blockieren
  Quelle: Gäste
  Ziel: Lokale Netzwerke

pfSense / OPNsense-Konfiguration

VLANs erstellen

Schnittstellen → Zuweisungen → VLANs → Hinzufügen

  Übergeordnete Schnittstelle: em1  (Ihre LAN-NIC)
  VLAN-Tag: 20
  Beschreibung: IoT

# Für jedes VLAN wiederholen, dann jedes VLAN einer Schnittstelle zuweisen:
Schnittstellen → Zuweisungen → Hinzufügen
  Wählen Sie das erstellte VLAN aus → klicken Sie auf Hinzufügen
  Aktivieren Sie die Schnittstelle, setzen Sie die IP auf die Gateway-Adresse (192.168.20.1/24)

DHCP für jedes VLAN

Dienste → DHCP-Server → Wählen Sie Ihre VLAN-Schnittstelle aus

  DHCP aktivieren
  Bereich: 192.168.20.100 bis 192.168.20.254
  DNS-Server: 192.168.30.2  ← Pi-hole-IP, falls vorhanden

Firewall-Regeln (pfSense/OPNsense)

# Regeln werden von oben nach unten verarbeitet, der erste Treffer gewinnt.

# Auf der IoT-Schnittstelle (VLAN 20):
  Regel 1: IoT → Pi-hole DNS erlauben  ← MUSS vor der RFC1918-Blockregel kommen
    Protokoll: UDP/TCP
    Quelle: IoT-Netz
    Ziel: 192.168.30.2 Port 53
    Aktion: Erlauben

  Regel 2: IoT → RFC1918 blockieren (alle privaten IP-Bereiche)
    Protokoll: beliebig
    Quelle: IoT-Netz
    Ziel: RFC1918  (192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12)
    Aktion: Blockieren

  Regel 3: IoT → Internet erlauben
    Protokoll: beliebig
    Quelle: IoT-Netz
    Ziel: beliebig
    Aktion: Erlauben

# Auf der vertrauenswürdigen Schnittstelle (VLAN 10):
  Alles erlauben (vertrauenswürdige Geräte können alles erreichen)
    Quelle: Vertrauenswürdiges Netz
    Ziel: beliebig
    Aktion: Erlauben

# Zusätzliche Ausnahmen für IoT-Geräte, die bestimmte lokale Dienste benötigen:
  Vor Regel 2 (der RFC1918-Block) einfügen:
    Protokoll: TCP
    Quelle: IoT-Netz
    Ziel: 192.168.30.x Port 8123  ← Home Assistant
    Aktion: Erlauben

MikroTik-Konfiguration

# Schritt 1: Bridge mit VLAN-Filterung erstellen
/interface bridge
add name=bridge vlan-filtering=yes

# Schritt 2: Physische Ports zur Bridge hinzufügen
# Trunk-Port zum Router/Uplink (getaggt für alle VLANs)
/interface bridge port
add bridge=bridge interface=ether1 frame-types=admit-only-vlan-tagged

# Access-Port für vertrauenswürdige Geräte (ungetaggt VLAN 10)
/interface bridge port
add bridge=bridge interface=ether2 pvid=10 frame-types=admit-only-untagged-and-priority-tagged

# Access-Port für IoT-Geräte (ungetaggt VLAN 20)
/interface bridge port
add bridge=bridge interface=ether3 pvid=20 frame-types=admit-only-untagged-and-priority-tagged

# Schritt 3: Definieren, welche VLANs auf welchen Ports erlaubt sind
/interface bridge vlan
add bridge=bridge tagged=ether1 untagged=ether2 vlan-ids=10
add bridge=bridge tagged=ether1 untagged=ether3 vlan-ids=20

# Schritt 4: VLAN-Schnittstellen auf der Bridge erstellen (Gateway-IPs)
/interface vlan
add interface=bridge name=vlan10 vlan-id=10
add interface=bridge name=vlan20 vlan-id=20

# Schritt 5: Gateway-IPs zuweisen
/ip address
add interface=vlan10 address=192.168.10.1/24
add interface=vlan20 address=192.168.20.1/24

# Schritt 6: DHCP-Pools und -Server
/ip pool
add name=pool-vertrauenswuerdig ranges=192.168.10.100-192.168.10.254
add name=pool-iot ranges=192.168.20.100-192.168.20.254

/ip dhcp-server
add interface=vlan10 address-pool=pool-vertrauenswuerdig name=dhcp-vertrauenswuerdig
add interface=vlan20 address-pool=pool-iot name=dhcp-iot

/ip dhcp-server network
add address=192.168.10.0/24 gateway=192.168.10.1
add address=192.168.20.0/24 gateway=192.168.20.1

# Schritt 7: Firewall — IoT vom Zugriff auf das vertrauenswürdige VLAN blockieren
/ip firewall filter
add chain=forward src-address=192.168.20.0/24 dst-address=192.168.10.0/24 \
    action=drop comment="Block IoT to Trusted"

Switch-Trunk- vs. Access-Ports

# Trunk-Port: Überträgt mehrere VLANs (getaggt) — verbindet Switch-zu-Switch, Switch-zu-Router, Switch-zu-AP
# Access-Port: Überträgt ein VLAN (ungetaggt) — verbindet Endgeräte (PC, Kamera, NAS)

# Ein Managed-Switch-Port, der mit Ihrem Router verbunden ist, sollte ein Trunk sein:
  Erlaubte VLANs: 10, 20, 30, 40, 99

# Ein Port, der mit einem PC verbunden ist, sollte ein Access-Port sein:
  VLAN: 10 (vertrauenswürdig)
  Kein Tagging — der PC weiß nichts von VLANs und interessiert sich nicht dafür

# Ein Port, der mit einem AP verbunden ist, muss ein Trunk sein:
  Der AP taggt den Datenverkehr jeder SSID mit der richtigen VLAN-ID
  Erlaubte VLANs: 10, 20, 40 (je nachdem, welche SSIDs der AP bedient)

Anti-Patterns

# SCHLECHT: VLANs erstellen, ohne Firewall-Regeln hinzuzufügen
# VLANs ohne Firewall-Regeln bieten keine Sicherheit — Inter-VLAN-Routing ist standardmäßig geöffnet
# GUT: Fügen Sie sofort nach der Erstellung der VLANs explizite Blockregeln hinzu

# SCHLECHT: Den Pi-hole in das IoT-VLAN setzen
# IoT-Geräte können ihn erreichen, aber vertrauenswürdige Geräte nicht (ohne zusätzliche Regeln)
# GUT: Pi-hole im Server-VLAN mit einer Regel, die allen VLANs den Zugriff auf Port 53 erlaubt

# SCHLECHT: Das native VLAN entspricht dem Management-VLAN
# Ungetaggter Datenverkehr in Ihrem Management-VLAN ermöglicht VLAN-Hopping-Angriffe
# GUT: Verwenden Sie ein dediziertes, ungenutztes VLAN als nativen VLAN (z. B. VLAN 999), halten Sie Management-Datenverkehr getaggt

# SCHLECHT: Gleiches WLAN-Passwort für IoT-SSID und vertrauenswürdige SSID
# Jeder, der das Passwort erfährt, kann IoT-Geräte mit dem falschen Segment verbinden

Best Practices

• Beginnen Sie mit 4 VLANs: Vertrauenswürdig, IoT, Server, Gäste – fügen Sie nach Bedarf weitere hinzu
• Platzieren Sie den Pi-hole im Server-VLAN (192.168.30.x)
• Fügen Sie eine Firewall-Regel hinzu, die DNS (Port 53) von allen VLANs zur Pi-hole-IP erlaubt – vor jeder RFC1918-Blockregel
• Testen Sie die Isolation nach jeder Regeländerung: Versuchen Sie vom IoT-VLAN aus, ein vertrauenswürdiges Gerät anzupingen – dies sollte fehlschlagen
• Verwenden Sie ein Management-VLAN für Switch- und AP-Weboberflächen und beschränken Sie den Zugriff auf das vertrauenswürdige VLAN
• Dokumentieren Sie Ihr VLAN-Design in einer Tabelle (VLAN-ID, Name, Subnetz, Zweck)

Verwandte Fähigkeiten

• homelab-network-setup
• homelab-pihole-dns
• homelab-wireguard-vpn