Verständisfrage zur VLAN Aufteilung

Routen macht man vor allem mit dem Router/Firewall. Wenn es dir um die Aufteilung geht, dann teile das Netz so auf wie du es für richtig hälst und lass deine Firewall das Routing machen. Das macht ja auch Sinn, denn du willst ja eine Trennung und die Kontrolle darüber welche Clients welche Ziele auf welchen Ports erreichen darf.

Hallo,

Die Frage stellst Du berechtigt, nur Dein Schluss ist falsch. Server und Clients zu trennen ist nicht der Sinn von VLANs, sondern wie Kollege Mirko schon sagte, die logische Trennung von Netzwerksegmenten.

Als stark vereinfachtes Beispiel: Ein Abteilungsserver oder Server im KMU muss nicht in ein anderes Netz als die Clients. Da siehst Du zu Recht keinen Grund.
Die Clients aus Abteilung A müssen aber nicht auf den Server B und umgekehrt, also trennt man die Netze. Bei Ausnahmen muss man dann Routen.

(Achtung, das ist nur sehr ein simples Beispiel. Die Trennung auch innerhalb einer Abteilung kann dennoch sinnvoll sein und wird oft auch so praktiziert, da man über die Netzwerkgrenze aktives Firewalling (und mehr) machen kann). Dann braucht man aber auch entsprechende Routing- und Firewall-Leistung.)

Zweites Beispiel Telefonie: Telefonie ist gesondert schutzwürdiger Datenverkehr. Also läuft sie vorzugsweise im selbständigen VLAN, in dem die Telefone (Clients) und die Telefonanlage (Server) liegen. Auch hier also keine Trennung zwischen Clients und Servern, sondern zwischen logischen Einheiten.

Drittes Beispiel Backup: Backups sollen nicht vom Hauptnetz erreichbar sein, damit sie nicht Ziel von Trojanern werden. Ergo: Netztrennung und Pull-Backups.

VLANs als Selbstzweck sind natürlich sinnlos, das hast Du völlig richtig erkannt.

Viele Grüße, commodity

Ziel ist auch nicht die zwingende Segmentierung um jeden Preis. Grundsätzlich geht es darum die L2 Broadcast Domains klein und damit performat zu halten. Der goldene Daumenwert nicht mehr als 150 Clients plus, minus in einer Broadcast Domain ist jedem Admin bekannt.
Das ist natürlich auch immer abhängig von der Art der Endgeräte in so einem Segment. Ein VLAN mit 200 Stechuhren, Schliessanlagen oder einfachen Sensoren verhält sich grundlegend anders als wenn das die gleiche Anzahl geschwätziger Windows Rechner sind.
Es hilft auch einmal den Horizont zu erweitern und nicht immer nur an Heim-, Klein- und Kleinstnetze zu denken, sondern auch z.B. einmal an ein Krankenhausnetz mit 1000 und mehr Clients. Kein verantwortungsvoller Admin betreibt sowas als flaches und dummes L2 Netz.

Jeder Broad- und Multicast Frame triggert einen Interrupt im Netzwerk Endgerät das sich den Frame daraufhin ansehen und verarbeiten muss. Salopp gesagt viel geschwätzige Endgeräte = viel Perfromanceverlust.
Jetzt stelle dir in so einem Segment Endgeräte mit leistungsschwachen SoCs vor wie Drucker, Scanner, Stechuhren, einfache Sensoren usw. die dergleichen Last ausgesetzt sind. Details zu den Folgen muss man sicher nicht erklären.
Diese Last führt man durch Routing eben nicht mehr zusammen wie du das oben fälschlicherweise schilderst sondern trennt sie damit aktiv.
Das ist also das vornehmliche Ziel. Andere Ziele on Top können sein Segmente zu isolieren und abzusichern. Wie z.B. für Voice VLAN für die es, zumindestens in Firmen, auch eine rechtliche Verpflichtung gibt. Nicht zu reden von WLANs und ganz besonders Gast Netzen. Da kommt dann schon eins zum anderen. Jedes Netz ist in der Beziehung immer individuell.
Deine "aktuelle" Ansicht solltest du also besser einmal etwas entstauben und neu überdenken !

Ist ja eh schon alles gesagt, nur um das nochmals zu verdeutlichen: Ein vLAN an sich beinhaltet nicht zwangsläufig eine Firewall-Trennung.

Die Logik passt aber nicht ganz. VLAN's sind ja per se physisch immer völlig getrennt. Eine Trennung ist also immer evident und Firewalling kommt in dem Thema VLAN "an sich" gar nicht vor.
Firewall ist ne ganz andere Baustelle da L3. VLAN ist immer nur L2. Äpfel und Birnen... 😉

Ja, nach dem Publikums-Joker formuliere ich nochmal um:

Wenn Du mit vLANs Dein Netzwerk auf Layer2 trennst, können Deine Clients trotzdem auf Layer3 noch miteinander kommunizieren. Um das zu verhindern ist zusätzlich eine jeweilige Firewall nötig

Das ist jetzt aber schon ziemlichmissverständlich.
Ich denke, der Thread ist durch. Ab 19:20 h machen wir heute mal Schluss

Viele Grüße, commodity

Ähh, ja.

Reminder to me&myself: „Wenn Du so nen Unsinn schreibst, mach wenigstens ausreichend Smilies dahinter“

Aber ich kann auch Entwarnung geben: Pathologisch wirds erst bei einer Trennung von Layer 1 😂

so, jetzt aber in ausgeschlafenem Zustand:

… ist das Routing zwischen den vLANs deshalb noch nicht per se unterbrochen und die clients können sich ggfs. über den Router erreichen

"...können sich ggfs. über einen eventuell vorhandenen Router oder eine Bridge erreichen" 😉