Inter-VLAN Kommunikation: ACLs oder Firewall

Hallo signalgrau,

kurze Antwort: ja

Zwei Dinge vorweg, um mögliche Missverständnisse auszuschließen:

• Den SG350 hast du vermutlich bereits in den Modus "Layer 3" versetzt, richtig?
• Lese ich richtig heraus, dass bereits Routen zwischen den VLANs respektive Netzen existieren und die Kommunikation einwandfrei (aber noch nicht reglementiert) funktioniert?

Sollte dem so sein, hier ein Link zum gleichen Thema und Switch inkl. super Erklärung von (na klar) @aqui:
ACLs bei Cisco SG350
Damit ist dir vermutlich am ehesten geholfen. Wenn nicht, einfach wieder hier fragen.

Zum Thema, wie "wir" das lösen würden, gilt der übliche Spruch -> kommt drauf an. Nun, worauf denn? Bei der Entscheidung im Produktivumfeld sollte man einige Punkte beachten, abwägen und sich dann entscheiden.
Grundsätzlich: Kommunikation kann sowohl über ACLs als über Firewallregeln beschränkt (oder je nach Sichtweise: erlaubt) werden, wie du schon richtig erkannt hast.
Nebenbei: die Diskussion wird man mit ähnlichen Argumenten auch zum Routing führen können (soll Firewall oder Layer3-Switch routen?).

Der nullte Punkt befasst sich mit der Lizenzierung und Fähigkeit der Hardware, dies umzusetzen. Ein 10€-Blödmarktswitch kann i. d. R. nicht mal VLAN ;) Auch können an dieser Stelle bereits spezialisierte Chips (wie z. B. ASICs) den Ausschlag geben.
Der erste Punkt ist die Infrastruktur. Wie groß ist diese? Gibt es zentrales Management? Wie viel Aufwand bedeuten die Implementierung, die Pflege und Wartung des Regelwerks?
Als zweiten Punkt würde ich bereits das Design sowie die Topologie nennen. Hier spielen u. a. die Quell- und Zielnetze eine Rolle. Etwas übertrieben formuliert: Warum ein Paket vom Endgerät über vier Switche an den Router oder die Firewall weitergeben, diesen entscheiden lassen und dann wieder über vier Switche das evtl. entstandene "deny" (statt eines "drop") zurück an den Absender schicken? Andererseits passiert das je nach Auslastung und Dimensionierung der Uplinks normalerweise mit Wirespeed. Für internen Verkehr könnte man allerdings wieder direkt am ersten Switch die Pakete ablehnen. Dieses Spiel kann man beliebig fortführen.
Der dritte Punkt zielt auf die Auslastung. Wie stark sind die jeweiligen Geräte mit ihrer grundlegenden Tätigkeit beschäftigt? Wie viel Ressourcen verwenden sie für zusätzliche Dinge, die gefordert oder aus anderen Gründen implementiert wurden? So wird man einer Firewall, die bereits 60% Ressourcen für VPN, IPS, und diese ganzen Next Generation Features aufwendet, vielleicht nicht noch zusätzlich mit internem Verkehr belasten wollen, wenn man mit einem größeren Wachstum rechnet oder die Geräte möglichst hoch ausgelastet werden sollen, weil diese bei der vorangegangenen Implementierung mit sehr spitzem Bleistift kalkuliert wurden.
Der vierte Punkt spielt auf Wachstum und Reserve an und ist daher mit dem vorherigen Aspekt verbandelt. Wie skalierbar muss es sein?
Weiterhin können auch grundsätzliche Entscheidungen oder andere Aspekte eine Rolle spielen. Vielleicht hat man Monitoring im Einsatz, welches nur die zentralen Komponenten überwacht. Vielleicht möchte man die Intelligenz des Netzwerks an einer Stelle konsolidieren. Vielleicht ist in der aktuellen Konstellation die präferierte Lösung nicht umsetzbar. Vielleicht... nun ja... "kommt halt drauf an" ;)

Eine grundlegende Antwort auf die Frage könnte unter Vorbehalt lauten: ACL für Performance, Firewallregeln für feine(re) Abstufungen inkl. Next Generation Firewalling.

"Ich" beispielsweise fackel sämtliche Zugriffe zwischen den Netzen und VLANs über die Firewall des jeweiligen Standortes ab. Einerseits, weil die Kapazität locker dafür reicht. Andererseits, weil ich so ein differenzierteres Regelwerk an einer Stelle kreieren kann. Weiterhin existieren ein zentrales Management sowie Blaupausen für die jeweilige Standortfunktion ("Reparatur", "Reparatur und Verkauf", "wir fliegen zum Mond"). Somit ist die Pflege sehr einfach und sollte ein zusätzlicher Standort aus dem Boden gestampft werden, hätte ich den netzwerktechnisch mit einem Dreizeiler konfiguriert und in Betrieb genommen.

In dem Sinne wünsche ich einen guten Morgen.
Benandi

Edit / Nachtrag:
Bei der Variante mit der FritzBox baust du dir im Grunde nur eine Router-Kaskade ggf. mit doppeltem NAT. Davon ist eher abzuraten, sofern nicht anders lösbar. Grade in der Lernphase schießt man sich damit gerne ein Eigentor, weil eine zusätzliche Komplexität eingebracht wird, deren Auswirkungen nur schwer abschätzbar sind und teils kuriose Fehlerbilder entstehen, die man nicht einordnen kann.