IP-Kommunikation mit VLAN Access Control List (VACL) bzw. VLAN-Zugriffssteuerungslisten reglementieren.
IP-Routing verbindet
VLANs ermöglichen grundsätzlich mehrere getrennte, logische IP-Netze innerhalb eines Netzwerks. Wird das VLAN-Standardgateway aber nicht auf einer Firewall, sondern auf einem zentralen Router bzw. Layer-3-Switch konfiguriert, ist das ursprünglich getrennte VLAN wieder für alle erreichbar. Da dies unter anderem aus Performance-Gründen gelebte Praxis ist, muss am Router/Layer-3-Switch mit einer VLAN Access Control List (VACL) nachgeholfen werden.
Ausnahmen bestätigen die Regel: Gäste-WLANs (in einem eigenen VLAN), sollen im Normalfall nur ins Internet, aber nicht ins lokale Netzwerk kommunizieren können. In diesem Fall kann das dafür zuständige VLAN-Standardgateway auf der Firewall liegen. Die Firewallregeln erledigen den Rest.
VLAN Access Control List (VACL) erstellen
VLAN-ACLs bieten zahlreiche Einstellungsmöglichkeiten. Die IP-Destination-Einstellungen stellen eine übersichtliche Lösung dar.
Der Netzwerkaufbau
- In dem Beispiel wird von einem 192.168.1.0/24 (Subnet 255.255.255.0) ausgegangen.
- Server sind im Subnet 192.168.1.0 (VLAN-ID 1) angesiedelt.
- IP der Standardgateways enden mit 254 (im letzten IP-Oktett).
- Die getrennten Netze sind z.B. 192.168.2.0/24 (VLAN-ID 2), 192.168.3.0/24 (VLAN-ID 3) etc.
Die VACL
Action | Match Every | Dst IP | Dst IP Mask | Erklärung |
Permit | false | 192.168.1.0 | 0.0.0.255 | Kommunikation zu den IPs 192.168.1.1-254 erlaubt |
Permit | false | 0.0.0.254 | 255.255.255.0 | Alle IPs mit 254 im letzten IP-Oktett erlaubt (für Standardgateways) |
Permit | false | 192.168.1.1 | 0.0.0.0 | Nur die eine IP-Adresse erlaubt |
Deny | false | 192.168.0.0 | 0.0.255.255 | Alle anderen IPs in 192.168.0.0 verweigern |
Permit | true | Alle anderen IPs erlauben (z.B. Internet) |
Die erstellte VLAN-ACL wird anschließend den einzuschränkenden VLANs (z.B. VLAN-ID 2, 3…) zugeordnet.
VLAN-ID 1 wird nicht eingeschränkt, da die Server in alle Subnetze kommunizieren können sollen!