Rechner
Teil von Betriebsnetze einrichten: VLAN, WLAN und Firewall für kleine Unternehmen
Betriebsnetz planen mit Checkliste für IP-Adressen, VLANs und WLAN
Betriebsnetz planen: Checkliste mit IP-Adressbereichen, Subnetzmasken, VLAN-IDs, WLAN-Frequenzen und Firewall-Regeln für 10 bis 50 Arbeitsplätze.
Das Wichtigste auf einen Blick
- Adressplan zuerst, Hardware danach: IP-Bereiche, Subnetzmasken und DHCP-Reservierungen stehen vor dem Switch-Kauf.
- VLAN-IDs nach Zweck trennen: Verwaltung, Produktion, Gäste, WLAN und Management erhalten eigene Netze.
- Firewall-Regeln erlauben nur den benötigten Verkehr, alles übrige wird verworfen und protokolliert.
- WLAN-Frequenzen in Deutschland nach den Vorgaben der Bundesnetzagentur einstellen.
- Jeden Schritt mit Datum, Ergebnis und verantwortlicher Person dokumentieren.
Adressplan und Subnetzmasken festlegen
Die Planung beginnt mit dem Adressbedarf. Erfassen Sie je Standort, wie viele Arbeitsplätze, Telefone, Drucker, Kameras und Access Points versorgt werden müssen. Rechnen Sie zwei Adressen je Arbeitsplatz, eine für den Rechner und eine für das Telefon, und planen Sie mindestens 30 Prozent Reserve für Wachstum ein.
Nutzen Sie private Bereiche nach RFC 1918: 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Ein einzelner Standort bleibt mit 192.168.0.0/16 übersichtlich. Mehrere Standorte mit Routing zwischen den Häusern planen Sie sauberer mit 10.0.0.0/8 und je Standort einem eigenen zweiten Oktett.
Die Subnetzmaske legt die nutzbare Größe fest. /24 mit der Maske 255.255.255.0 fasst 254 Hosts, /25 mit 255.255.255.128 fasst 126, /26 mit 255.255.255.192 fasst 62, /27 mit 255.255.255.224 fasst 30 und /28 mit 255.255.255.240 fasst 14 Hosts.
Rechenbeispiel für 10, 20 und 50 Arbeitsplätze
| Arbeitsplätze | Geräte bei zwei Adressen je Platz | Subnetz | Maske | Nutzbare Adressen |
|---|---|---|---|---|
| 10 | 20 | 192.168.10.0/27 | 255.255.255.224 | 30 |
| 20 | 40 | 192.168.10.0/26 | 255.255.255.192 | 62 |
| 50 | 100 | 192.168.10.0/25 | 255.255.255.128 | 126 |
Bei 50 Arbeitsplätzen bleiben nach Abzug der 100 Geräte 26 Adressen für Server, Drucker und Reserve. Bei 20 Arbeitsplätzen sind es 22 Adressen, bei 10 Arbeitsplätzen 10 Adressen. Halten Sie statische Adressen für Router, Switches, Server und Drucker außerhalb der DHCP-Bereiche vor, im Beispiel von 192.168.10.2 bis 192.168.10.19.
VLAN-IDs vergeben und Netze trennen
VLAN-IDs reichen von 1 bis 4094. Lassen Sie VLAN 1 ausschließlich für die Verwaltung der Switches und meiden Sie es für Nutzdaten. Die IDs 1002 bis 1005 sind bei vielen Herstellern für ältere Ringtechnik belegt und bleiben unbenutzt.
| VLAN-ID | Zweck | Subnetz | Maske |
|---|---|---|---|
| 10 | Verwaltung und Büro | 192.168.10.0/25 | 255.255.255.128 |
| 20 | Produktion | 192.168.20.0/26 | 255.255.255.192 |
| 30 | Gäste | 192.168.30.0/26 | 255.255.255.192 |
| 40 | WLAN Mitarbeiter | 192.168.40.0/25 | 255.255.255.128 |
| 50 | Management | 192.168.50.0/26 | 255.255.255.192 |
| 60 | Telefonie | 192.168.60.0/25 | 255.255.255.128 |
Vergeben Sie die IDs in Zehnerschritten, damit später VLAN 70 für Kameras oder VLAN 80 für Testsysteme ohne Umbau passt. Jedes VLAN erhält ein eigenes Subnetz und einen eigenen DHCP-Bereich. Das Routing zwischen den Netzen übernimmt ein Layer-3-Switch oder die Firewall. Welche Modelle das leisten, beschreiben die Netzwerk-Switches von Cisco.
WLAN-Frequenzen planen
In Deutschland weist die Bundesnetzagentur die Frequenzen für WLAN zu. Drei Bänder sind für Betriebsnetze relevant: 2,4 GHz von 2400 bis 2483,5 MHz mit 100 mW EIRP, 5 GHz in den Teilbändern 5150 bis 5350 MHz und 5470 bis 5725 MHz sowie 6 GHz von 5945 bis 6425 MHz. Prüfen Sie vor der Installation die aktuellen Nutzungsbestimmungen für Frequenzen.
Planen Sie 5 GHz und 6 GHz als Hauptversorgung für Büroetagen. Das 2,4-GHz-Band nutzen Sie nur für ältere Geräte und Randbereiche. Dort sind die Kanäle 1, 6 und 11 überlappungsfrei; im 5-GHz-Band starten Sie mit 20 MHz Kanalbreite und erhöhen nur bei ruhiger Funklage. Messen Sie nach der Inbetriebnahme die Abdeckung je Etage und dokumentieren Sie die Messpunkte.
Firewall-Regeln definieren
Grundsatz: Nur ausdrücklich erlaubter Verkehr passiert die Grenze zwischen VLANs und zum Internet, alles andere wird verworfen und protokolliert. Formulieren Sie jede Regel mit Quellnetz, Zielnetz, Port und Protokoll.
- Gäste-VLAN: ausgehend nur HTTP und HTTPS, kein Zugriff auf interne Subnetze.
- Management-VLAN: erreichbar nur von festen Administrator-Adressen über SSH und HTTPS.
- Verwaltung zu Produktion: nur Port 9100 für Druckaufträge.
- Internet zu intern: ausschließlich über den VPN-Endpunkt.
- Protokollierung: alle verworfenen Pakete gehen in ein zentrales Log.
Legen Sie fest, wer Regeländerungen beauftragt und wer sie einträgt. Ohne diese Trennung wächst das Regelwerk schnell und wird unübersichtlich.
Checkliste in fünf Schritten
- Bedarf erfassen (Woche 1): Die IT-Leitung zählt mit den Fachbereichen Arbeitsplätze, Telefone, Kameras und Access Points.
- Adresskonzept und VLAN-Struktur festlegen (Woche 1 bis 2): Der Netzwerkadministrator legt Subnetze, DHCP-Bereiche, Reservierungen und VLAN-IDs fest.
- Hardware auswählen (Woche 3): Der Planer bestellt Switches mit PoE, Router, Access Points und Firewall.
- Regeln und Funkplan umsetzen (Woche 4 bis 5): Der Administrator schreibt die Firewall-Regeln, der Techniker installiert und misst die WLAN-Abdeckung.
- Test und Übergabe (Woche 6): Der Betrieb prüft Erreichbarkeit, Protokolle und Dokumentation und übernimmt das Netz.
Dokumentation und BSI-Empfehlungen
Halten Sie Adressplan, VLAN-Matrix, Firewall-Regeln und Funkplan in einem Netzhandbuch fest. Vermerken Sie je Eintrag das Datum, den Bearbeiter und den Anlass der Änderung. Diese Nachvollziehbarkeit erleichtert Fehlersuche und Übergaben.
Der IT-Grundschutz des BSI liefert dafür ein passendes Gerüst. Die Bausteine aus dem Netzbereich behandeln unter anderem die Netzarchitektur und die Firewall. Für Server und Verzeichnisdienste im Netz ergänzen die Empfehlungen des BSI zu Servern die Absicherung von Zugriffen und Speicherung.
Häufige Fragen
Wie viele IP-Adressen brauche ich für 30 Arbeitsplätze?
Bei zwei Geräten je Platz sind es 60 Adressen. Ein Subnetz mit der Maske 255.255.255.192, also /26, bietet 62 nutzbare Adressen und passt knapp. Planen Sie besser /25 mit 126 Adressen.
Welche Subnetzmaske passt zu 20 Arbeitsplätzen?
Für 40 Geräte reicht /26 mit 62 nutzbaren Adressen. Die Maske lautet 255.255.255.192. Bleiben viele Zusatzgeräte geplant, wählen Sie /25 mit 255.255.255.128.
Welche WLAN-Frequenz soll ich im Büro nutzen?
Nutzen Sie 5 GHz und 6 GHz für die Grundversorgung und 2,4 GHz nur dort, wo ältere Geräte versorgt werden müssen. Die Sendeleistungen und Nutzungsbedingungen je Band gibt die Bundesnetzagentur vor.
Wie oft sollte ich den Adressplan prüfen?
Prüfen Sie ihn mindestens einmal jährlich und nach jedem größeren Umbau. Vergleichen Sie die dokumentierten Reservierungen mit den im DHCP tatsächlich vergebenen Adressen.
