VLAN- und Sicherheitskonzept für eine gemischte Produktions- und Büroinfrastruktur
Ein Fertigungsbetrieb mit 120 Mitarbeitern betreibt ein flaches Netz: alle Geräte, darunter Büro-PCs, Drucker, IP-Kameras, SPS-Steuerungen und ein Wartungszugang eines Maschinenherstellers, hängen in einem einzigen Subnetz 192.168.10.0/24 an einem Router mit Internetzugang. Ein Praktikant hat kürzlich einen DHCP-Server auf einem Laptop gestartet, worauf mehrere SPS die Verbindung verloren. Zusätzlich berichtet die Produktion, dass ein Kamerasystem mit hoher Bildrate das Netz zeitweise auslastet. Der Maschinenhersteller verlangt Fernwartung über das Internet. Es gibt kein Netzwerkmanagement, keine Dokumentation und keine Firewall-Regeln.
1. Entwerfen Sie eine Segmentierung und begründen Sie die Zuordnung der Gerätegruppen. Welche Adressierungs- und DHCP-Entscheidungen treffen Sie?
Read the worked answer
Ich trenne mindestens vier logische Segmente: Büro-IT, Produktion/SPS, Gebäudetechnik mit Kameras sowie ein separates Wartungssegment für den Maschinenhersteller. Begründung: unterschiedliche Schutzbedarfe, unterschiedliche Verkehrsmuster und unterschiedliche Änderungszyklen. Büro-IT braucht Internet und Updates, SPS brauchen deterministische, störungsarme Kommunikation, Kameras erzeugen hohe Bandbreite, und der externe Wartungszugang ist das größte Risiko und gehört isoliert.
Adressierung: je Segment ein eigenes Subnetz, zum Beispiel 192.168.20.0/24 für Büro, 192.168.30.0/24 für SPS, 192.168.40.0/24 für Kameras, 192.168.50.0/24 für Wartung. Die Segmentierung erfolgt über VLANs an einem managed Switch mit Routing oder über eine Firewall als Inter-VLAN-Router. Zwischen den Segmenten gelten explizite Regeln: Büro darf nicht in die SPS, SPS nicht ins Internet, Kameras nur zu ihrem Aufzeichnungsserver.
DHCP: Für Büro-IT ein zentraler, autorisierter DHCP-Server mit Reservierungen für Drucker. Für SPS und Kameras feste Adressen oder DHCP-Reservierungen, damit kein fremder Server eingreifen kann. Der Vorfall mit dem Praktikanten zeigt, dass DHCP-Snooping und Port-Security auf den Access-Switches nötig sind: Nur der autorisierte Server darf DHCP-Antworten senden, alle anderen Ports werden als nicht vertrauenswürdig behandelt.
2. Wie gestalten Sie den Fernwartungszugang des Maschinenherstellers sicher, und welche Maßnahmen adressieren die Netzlast durch die Kameras?
Read the worked answer
Fernwartung löse ich nicht durch Portweiterleitung auf die SPS, sondern über einen dedizierten Zugang: ein eigenes Wartungs-VLAN mit einem Sprungserver oder einem VPN-Konzentrator, der nur bei Bedarf aktiviert wird. Der Hersteller erhält zeitlich begrenzte Zugangsdaten, der Zugriff wird protokolliert, und die Firewall erlaubt nur die spezifischen Ziele und Ports im Wartungssegment. Mehrfaktor-Authentifizierung und eine Freigabe durch den Betrieb sind Pflicht. So bleibt der Herstellerzugang vom Produktionsnetz getrennt und nachvollziehbar.
Netzlast der Kameras: Ich prüfe zunächst, ob die Bildrate und Auflösung dem Einsatzzweck entsprechen; oft genügen niedrigere Raten. Technisch trenne ich den Kameroverkehr in ein eigenes VLAN, nutze IGMP-Snooping bei Multicast und priorisiere den Produktionsverkehr per QoS. Bei Bedarf wird der Uplink zwischen Switch und Router dimensioniert oder aufgeteilt, sodass Büro- und Kameradaten den Produktionsverkehr nicht verdrängen.
Ergänzend dokumentiere ich die Topologie, verlege die Verwaltungszugänge auf ein Management-VLAN und sichere die Switches mit starken Passwörtern und deaktivierten ungenutzten Ports. Die Maßnahmen werden in einem Netzplan mit VLAN-IDs, Subnetzen und Firewall-Regeln festgehalten, damit der Zustand prüfbar bleibt.