imported>TechCorner-Redaktion: Verlinkung auf den Artikel OPNsense - Firewall-Regeln ergänzt

2026-10-08T00:00:00Z

Verlinkung auf den Artikel OPNsense - Firewall-Regeln ergänzt

Neue Seite

{{Steckbrief
| gilt_fuer = OPNsense 26.1 und 26.7 (Interfaces → Devices → VLAN, Interfaces → Assignments)
| bereich = IT-Security
| dauer = ca. 30 Minuten (drei VLANs über einen Trunk inkl. Firewall-Regeln)
| rechte = Administrator (OPNsense-WebUI), Zugriff auf die Switch-Konfiguration
| stand = Oktober 2026 (OPNsense 26.7.5)
}}
'''VLANs in OPNsense''' teilen ein physisches Netzwerk in mehrere logisch getrennte Netze – etwa für Arbeitsplätze, Server, Telefonie, Gäste und IoT-Geräte. Die OPNsense ist dabei der Router zwischen den [[VLAN]]s: Jedes VLAN erhält eine eigene Schnittstelle mit eigenem Netz, eigenem DHCP und eigenen Firewall-Regeln. So entsteht eine wirksame [[Netzwerksegmentierung]], die die Ausbreitung von Angriffen begrenzt und Gäste oder unsichere Geräte vom Firmennetz fernhält.

Dieser Artikel zeigt Planung und Einrichtung mit OPNsense 26.7: VLAN-Grundlagen, die Verbindung zum Switch über einen [[Trunk-Port]] (optional mit [[Link Aggregation|LAGG/LACP]]), VLAN-Schnittstellen, Zuweisung und Adressen, DHCP, Firewall-Regeln für Inter-VLAN-Routing, Sonderfälle wie Provider-VLANs und QinQ sowie die Fehlersuche.

== VLAN-Grundlagen ==
{| class="wikitable"
! Begriff !! Bedeutung
|-
| '''VLAN-Tag''' (802.1Q) || 4-Byte-Kennung im Ethernet-Rahmen mit der VLAN-ID (1–4094) und der Priorität (PCP, 0–7)
|-
| '''Tagged''' || Rahmen werden mit Tag übertragen – mehrere VLANs über eine Leitung (Trunk)
|-
| '''Untagged''' || Rahmen ohne Tag; der Switch-Port ordnet sie einem Standard-VLAN zu (Access-Port für Endgeräte)
|-
| '''Trunk''' || Verbindung, über die mehrere VLANs tagged laufen – z. B. zwischen Switch und OPNsense
|-
| '''Inter-VLAN-Routing''' || Verkehr zwischen VLANs läuft über die OPNsense und wird dort per Firewall-Regeln kontrolliert
|-
| '''QinQ''' (802.1ad) || zwei gestapelte VLAN-Tags, z. B. bei Provider-Netzen
|}

[[Datei:OPNsense-VLAN.png|thumb|center|750px|VLANs auf der OPNsense: Ein Trunk (optional als LAGG mit LACP) trägt die VLANs 5 (LAN), 20 (DMZ) und 33 (Gäste) tagged zum Switch; die OPNsense routet zwischen den VLANs und entscheidet per Firewall-Regeln, welcher Verkehr erlaubt ist.]]

== Planung ==
Beispiel nach dem Muster der OPNsense-Dokumentation:
{| class="wikitable"
! VLAN !! Zweck !! Netz !! Firewall-Adresse
|-
| 5 || LAN (Arbeitsplätze) || <code>192.168.5.0/24</code> || <code>192.168.5.1</code>
|-
| 20 || DMZ (Webserver) || <code>192.168.20.0/24</code> || <code>192.168.20.1</code>
|-
| 33 || Gäste-WLAN || <code>192.168.33.0/24</code> || <code>192.168.33.1</code>
|-
| 40 || VoIP-Telefone || <code>192.168.40.0/24</code> || <code>192.168.40.1</code>
|-
| 50 || IoT / Gebäudetechnik || <code>192.168.50.0/24</code> || <code>192.168.50.1</code>
|}
Tipps aus der Praxis:
* '''VLAN-ID im Netz abbilden''' (VLAN 20 → <code>192.168.20.0/24</code>) – erleichtert die Fehlersuche.
* Jedes VLAN braucht ein '''eigenes, eindeutiges Netz'''; bei mehreren Standorten (VPN) dürfen die VLAN-IDs gleich sein, die Netze aber nicht.
* Ein eigenes '''Management-VLAN''' für Switches, Access Points und die Verwaltung der Firewall.

== Switch vorbereiten ==
Der Port bzw. die Portgruppe zur OPNsense wird als '''Trunk''' konfiguriert, über den '''alle VLANs tagged''' laufen:
{| class="wikitable"
! Verbindung !! Tagged !! Untagged !! Port-Modus
|-
| Switch ↔ OPNsense || 5, 20, 33, 40, 50 || keines || Trunk
|-
| Switch ↔ PC || – || 5 || Access
|-
| Switch ↔ Webserver || – || 20 || Access
|-
| Switch ↔ Access Point || 33 (Gast-SSID) || Management-VLAN || Trunk (gemischt)
|-
| Switch ↔ Telefon || 40 || 5 (PC hinter dem Telefon) || je nach Hersteller (Voice-VLAN)
|}
{{Hinweis|Laut OPNsense-Dokumentation sollten auf dem Trunk zur OPNsense '''keine tagged und untagged VLANs gemischt''' werden: Je nach Switch können sonst Router Advertisements, DHCP, CARP und andere Broadcasts zwischen den Netzen „durchsickern“. Lässt der Switch kein Trunk ohne Native VLAN zu, ein ungenutztes „Opfer-VLAN“ (z. B. 3999) als Native VLAN setzen und nirgends sonst verwenden. Mehrere Ports zum selben Switch nie per Bridge, sondern per LAGG verbinden – sonst entsteht eine Schleife.}}

== Schritt 1 (optional): LAGG mit LACP ==
Ein [[LACP]]-Verbund aus zwei oder mehr Ports erhöht Bandbreite und Ausfallsicherheit und schafft eine Abstraktionsebene: Die VLANs hängen am LAGG, nicht an einem bestimmten Port.
* Mitglieder dürfen '''nicht zugewiesen''' sein (''Interfaces → Assignments'' prüfen).
* '''Interfaces → Devices → LAGG''' → '''+''': Parent = z. B. <code>igc0</code> und <code>igc1</code>, Proto ''lacp'', Fast timeout aus, Hash Layers wie am Switch.
* Am Switch denselben LACP-Verbund anlegen und den Status prüfen.
Ein LAGG kann auch mit nur einem Port angelegt werden, um später einfach Ports zu ergänzen. Protokolle, Hash Layers, Timeouts und Redundanz über Switch-Stack oder MLAG beschreibt der Artikel [[OPNsense - LAGG und LACP Link Aggregation|LAGG und LACP auf der OPNsense]].

== Schritt 2: VLAN-Geräte anlegen ==
'''Interfaces → Devices → VLAN''' → '''+''' je VLAN:
{| class="wikitable"
! Feld !! Beispiel !! Hinweis
|-
| Device || <code>vlan0.20</code> || leer lassen = Name wird erzeugt; eigene Namen müssen mit <code>vlan</code> bzw. <code>qinq</code> beginnen
|-
| Parent || <code>lagg0</code> oder <code>igc0</code> || nur VLAN-fähige Schnittstellen werden angeboten
|-
| VLAN tag || <code>20</code> || 1–4094
|-
| VLAN priority || Best Effort (0) || PCP 0–7, z. B. ''Voice (5)'' für ein Telefonie-VLAN – wirkt nur, wenn Switches die Priorität auswerten
|-
| Protokoll || Automatic || 802.1Q, bei VLAN auf VLAN automatisch 802.1ad (QinQ)
|-
| Description || ''lagg0_vlan20_DMZ'' || sprechendes Schema aus Schnittstelle, VLAN und Zweck
|}
Seit OPNsense 26.7.3 können VLAN-Geräte auch Mitglied einer '''[[OPNsense - Bridge und transparente Firewall|Bridge]]''' sein.

== Schritt 3: Zuweisen und Adressen vergeben ==
# '''Interfaces → Assignments''': die VLAN-Geräte als neue Schnittstellen zuweisen und sprechend benennen. Die '''Parent-Schnittstelle bleibt in der Regel unzugewiesen''' (nur in Sonderfällen ohne IP-Konfiguration zuweisen, etwa um Linkgeschwindigkeiten festzulegen).
# Jede neue Schnittstelle öffnen, '''Enable''' setzen, ''IPv4 Configuration Type'' = ''Static IPv4'' und die Firewall-Adresse eintragen (z. B. <code>192.168.20.1/24</code>); für IPv6 z. B. ''Identity Association'' mit eigener Prefix ID.
# Speichern und anwenden.

== Schritt 4: DHCP und DNS je VLAN ==
* '''DHCP''': für jedes VLAN einen Bereich anlegen – mit [[OPNsense - Dnsmasq DHCP-Server|Dnsmasq]] (eigene Domain je VLAN, z. B. <code>dmz.internal</code>) oder [[OPNsense - Kea DHCP mit Hochverfügbarkeit|Kea]].
* '''DNS''': [[OPNsense - Unbound DNS Resolver|Unbound]] beantwortet Anfragen aus allen zugewiesenen Schnittstellen; Blocklisten lassen sich per Policy pro VLAN unterschiedlich gestalten (z. B. strenger im Gäste- und IoT-VLAN).

== Schritt 5: Firewall-Regeln und Inter-VLAN-Routing ==
Neue Schnittstellen haben '''keine''' Pass-Regeln – zunächst wird alles blockiert. Die Regeln unter '''Firewall → Rules''' (Schnittstelle wählen; Grundlagen siehe [[OPNsense - Firewall-Regeln|Firewall-Regeln in OPNsense]]) legen fest, was jedes VLAN darf. Ein bewährtes Muster:
{| class="wikitable"
! VLAN !! Erlaubt !! Gesperrt
|-
| LAN || Internet, DMZ (z. B. HTTPS), Drucker, Server-Dienste || Management-Zugriff nur für Admin-Geräte
|-
| DMZ || Internet (Updates), gezielte Ziele (z. B. Datenbank) || '''alle internen Netze'''
|-
| Gäste || Internet, DNS der Firewall || '''alle internen Netze''', Weboberfläche der Firewall
|-
| VoIP || Telefonanlage bzw. SIP-Anbieter, NTP, DNS || übrige interne Netze
|-
| IoT || nur benötigte Cloud-Dienste bzw. lokale Steuerzentrale || interne Netze, ggf. Internet
|}
Praktisch ist ein Alias ''RFC1918'' (<code>10.0.0.0/8</code>, <code>172.16.0.0/12</code>, <code>192.168.0.0/16</code>): Regel 1 ''Block → RFC1918'', Regel 2 ''Pass → any'' – so erhalten Gäste und DMZ Internet, aber keinen Zugriff auf interne Netze. Für mehrere VLANs mit identischen Regeln bieten sich '''Interface-Gruppen''' (''Firewall → Groups'') an.

Gäste-VLANs lassen sich zusätzlich mit dem [[OPNsense - Captive Portal für Gäste-WLAN|Captive Portal]] absichern und per [[OPNsense - Traffic Shaper und QoS|Traffic Shaper]] in der Bandbreite begrenzen.

== Sonderfälle ==
=== Provider-VLAN am WAN ===
Viele Glasfaser- und DSL-Anschlüsse erwarten den Internetverkehr in einem bestimmten VLAN – bei der Deutschen Telekom z. B. '''VLAN 7''' mit PPPoE. Dazu ein VLAN-Gerät mit dem WAN-Port als Parent und dem Tag des Providers anlegen und darauf die PPPoE-Verbindung (''Interfaces → Devices → Point-to-Point'') bzw. die WAN-Schnittstelle konfigurieren. Fordert der Provider eine bestimmte Priorität, wird sie unter ''VLAN priority'' gesetzt (für DHCPv6 gibt es im WAN-Interface die Option ''Use VLAN priority'').

=== QinQ (802.1ad) ===
Für Provider- oder Rechenzentrumsnetze mit doppelten Tags wird ein VLAN auf ein anderes VLAN gesetzt; OPNsense wählt dann automatisch 802.1ad und Gerätenamen mit <code>qinq</code>. Siehe auch [[QinQ]].

=== VLANs in virtuellen Umgebungen ===
In Proxmox, VMware oder Hyper-V entweder die VLANs im Hypervisor an getrennte virtuelle Netzwerkkarten übergeben (dann kein VLAN in der OPNsense nötig) oder einen Trunk an die VM durchreichen und die VLANs in der OPNsense anlegen. Bei VMware muss die Portgruppe dafür VLAN-ID 4095 (alle VLANs) verwenden, bei Proxmox die Bridge „VLAN aware“ sein.

== Hochverfügbarkeit ==
Im [[OPNsense - Hochverfügbarkeit mit CARP und pfsync|CARP-Cluster]] müssen VLAN-Geräte und Zuweisungen auf beiden Firewalls '''identisch''' sein (gleicher Parent, gleiches Tag, gleiche interne Bezeichnung wie ''opt3''). Pro VLAN wird eine eigene CARP-Adresse mit eigener VHID angelegt; DHCP verteilt diese als Gateway.

== Typische Probleme und Lösungen ==
{| class="wikitable"
! Symptom !! Ursache und Lösung
|-
| Clients im VLAN erhalten keine Adresse || VLAN am Switch-Trunk nicht erlaubt, Access-Port im falschen VLAN, DHCP-Bereich fehlt oder Schnittstelle nicht aktiviert.
|-
| Kein Zugriff zwischen VLANs || Firewall-Regel auf der '''Quell'''-Schnittstelle fehlt (Regeln wirken eingehend) oder Ziel-Host hat eine eigene Firewall bzw. ein falsches Gateway.
|-
| Verkehr „leckt“ zwischen Netzen, seltsame DHCP-/RA-Effekte || Tagged und untagged auf dem Trunk gemischt – Native VLAN entfernen bzw. Opfer-VLAN nutzen.
|-
| Sporadische Verbindungsabbrüche auf VLANs || Treiberprobleme mit Hardware-Offloading – unter ''Interfaces → Settings'' ''VLAN Hardware Filtering'' deaktiviert lassen (Standard).
|-
| Große Pakete gehen verloren || MTU: Parent und Switch müssen 1500 Byte plus Tag verarbeiten; bei QinQ ggf. höhere MTU am Parent.
|-
| Schleife / Broadcast-Sturm || Mehrere Ports per Bridge zum selben Switch – stattdessen LAGG mit LACP.
|-
| LAGG kommt nicht hoch || Protokoll oder Hash am Switch abweichend, Mitglieder noch zugewiesen – siehe [[OPNsense - LAGG und LACP Link Aggregation|LAGG-Fehlersuche]].
|}
Zur Diagnose helfen ''Interfaces → Overview'' (Status, Zähler) und ''Interfaces → Diagnostics → Packet Capture'' auf dem Parent, um zu prüfen, ob Rahmen mit dem erwarteten Tag ankommen.

== Fazit ==
VLANs sind auf der OPNsense schnell eingerichtet und die Grundlage jeder sauberen Netzwerksegmentierung: ein Trunk zum Switch (optional als LACP-Verbund), je VLAN ein Gerät, eine Schnittstelle mit eigenem Netz und eigenen Regeln. Die eigentliche Sicherheit entsteht in den Firewall-Regeln für das Inter-VLAN-Routing – Gäste, DMZ und IoT erhalten nur das, was sie wirklich brauchen.

== Unterstützung von m.a.x. it ==
Sie möchten Ihr Netzwerk mit VLANs segmentieren, Gäste-, IoT- und Telefonie-Netze sauber trennen oder Switches und Firewall gemeinsam neu strukturieren? m.a.x. it unterstützt Sie als OPNsense-Gold-Partner mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it] und einer [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it].

== Siehe auch ==
* [[OPNsense - Firewall-Regeln]]
* [[OPNsense - Bridge und transparente Firewall]]
* [[OPNsense - LAGG und LACP Link Aggregation]]
* [[VLAN]]
* [[Netzwerksegmentierung]]
* [[Trunk-Port]]
* [[Link Aggregation]]
* [[LACP]]
* [[QinQ]]
* [[DMZ]]
* [[OPNsense - Captive Portal für Gäste-WLAN]]
* [[OPNsense - Dnsmasq DHCP-Server]]
* [[OPNsense - Hochverfügbarkeit mit CARP und pfsync]]

== Links und Quellen ==
* [https://docs.opnsense.org/manual/how-tos/vlan_and_lagg.html OPNsense-Doku – VLAN and LAGG Setup]
* [https://docs.opnsense.org/manual/other-interfaces.html OPNsense-Doku – Other Interfaces (VLAN, LAGG, QinQ)]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - VLAN und Netzwerksegmentierung - Versionsgeschichte

imported>TechCorner-Redaktion: Verlinkung auf den Artikel OPNsense - Firewall-Regeln ergänzt