Übungsaufgaben zu VLAN und Netzsegmentierung

Kopiere den Text in ein KI-Sprachmodell Deiner Wahl und passe Kompetenzstufe, Anzahl, Bearbeitungszeit und Szenario bei Bedarf an. Wie die Aufgaben aufgebaut sind, beschreibt der Artikel Wie sind die Aufgaben aufgebaut?. Prüfe die Ergebnisse mit dem Lehrartikel: KI-Sprachmodelle machen Fehler.

Erstelle neue Übungsaufgaben zum Thema „VLAN und Netzsegmentierung“.

Bauplan: Halte Dich an Aufbau, Kompetenzstufen, Operatoren,
Anforderungsbereiche, Punkte und Zeitschätzung, die im Artikel
https://oer-informatik.de/aufgaben-aufbau beschrieben sind.

Fachliche Grundlage:
- https://oer-informatik.de/vlan
- https://oer-informatik.de/switches
- https://oer-informatik.de/strukturierte-verkabelung
- Stilbeispiel: https://oer-informatik.de/vlan-uebungsaufgaben

Die Aufgaben sollen Inhalte zu diesen Schlagwörtern abdecken:
- VLAN
- Netzsegmentierung
- IEEE 802.1Q
- Trunk
- Natives VLAN
- Router-on-a-Stick
- Subinterface
- DHCP-Relay
- Dynamisches VLAN
- RADIUS

Kompetenzstufe: Profilkompetenz (alternativ: Basiskompetenz, Kernkompetenz, Expertise)
Anzahl: 1 Aufgabe mit Teilaufgaben
Bearbeitungszeit in Minuten ca.: <5 bis 30 min>
Szenario: eines der Szenarien aus dem Bauplan

Vorgehen:
1. Lies zuerst die verlinkten Artikel. Kannst Du keine Webseiten
   abrufen, sag mir das, statt zu raten.
2. Steht bei einer Angabe noch ein Platzhalter in <…>, frag mich
   zuerst danach. Richte Punkte und Zahl der Teilaufgaben nach der
   Bearbeitungszeit (ca. 0,9 min je Punkt).
3. Gib je Aufgabe Titel mit Kompetenzstufe, Ausgangssituation und
   Teilaufgaben mit Operator und Punktzahl aus, dazu die geschätzte
   Bearbeitungszeit.
4. Gib die Beispiellösungen mit Punkteverteilung erst aus, wenn ich
   danach frage.

a) VLANs teilen ein physisches Netz (dieselben Switches und Kabel) in mehrere logische Netze auf (1 Punkt). Ein Switch leitet Frames, auch Broadcasts, nur an Ports desselben VLANs weiter; jedes VLAN ist eine eigene Broadcast-Domäne (1 Punkt). Geräte verschiedener VLANs können nur über einen Router, Layer-3-Switch oder eine Firewall miteinander kommunizieren (1 Punkt).

b) Wirkung (4 Punkte), z. B.:

• Werkstatt-PC und Buchhaltungsserver lägen in verschiedenen VLANs; es gäbe keinen direkten Weg auf Schicht 2, jeder Zugriff müsste über Router bzw. Firewall (1 Punkt).

• Dort lassen sich die Zugriffe aus der Werkstatt auf das Nötige beschränken, z. B. kein Dateifreigabe- oder Fernwartungszugriff (SMB, RDP) auf den Buchhaltungsserver; über diese Dienste breiten sich Verschlüsselungstrojaner typischerweise aus (2 Punkte).

• Die Schadsoftware fände im Werkstatt-VLAN per Broadcast bzw. Netzwerkscan nur die Werkstattgeräte; Zugriffsversuche auf andere Netze würden an der Firewall protokolliert und könnten Alarm auslösen (1 Punkt).

Nachteil (1 Punkt), z. B.: VLAN-fähige (managed) Switches nötig; Planungs- und Administrationsaufwand; Fehlkonfigurationen können ganze Bereiche vom Netz trennen.

c) Vor allem die Vertraulichkeit (1 Punkt): Der Zugriff zwischen den Netzbereichen ist eingeschränkt, Gäste oder Werkstattgeräte können nicht auf Daten des Büros zugreifen. Mitbegründbar ist auch die Verfügbarkeit, weil Störungen und Schadsoftware auf ein Segment begrenzt bleiben (1 Punkt).

d) Statisch: W-03 → VLAN 40, L-11 → VLAN 43, B-07 → VLAN 41 (1 Punkt). Dynamisch: an allen drei Dosen VLAN 40 (1 Punkt). Begründung: Bei statischer Zuordnung bestimmt die Port-Einstellung das VLAN, das Notebook „erbt“ es von der Dose; bei dynamischer Zuordnung legt der RADIUS-Server das VLAN nach der Anmeldung fest, und der Switch setzt den Port für diese Sitzung in VLAN 40 – egal, wo das Notebook steckt (1 Punkt).

e) Je Port 2 Punkte:

• Diagnose-PC: untagged in VLAN 40. Der Switch ordnet alle Frames dieses Ports über die Port-Einstellung dem VLAN 40 zu und sendet sie ohne Tag an den PC; der PC muss von VLANs nichts wissen.

• Access Point: tagged für VLAN 40 und 60. Über das eine Kabel laufen zwei VLANs; jeder Frame trägt ein 802.1Q-Tag mit seiner VLAN-ID, an dem Switch und Access Point erkennen, zu welcher SSID bzw. zu welchem VLAN er gehört. (Ein Management-VLAN des Access Points darf zusätzlich untagged auf dem Port liegen.)

f) Werkstatt-PC und Büroserver liegen jetzt in verschiedenen VLANs und Subnetzen; ein Switch leitet Frames nicht von einem VLAN ins andere (1 Punkt). Den Zugriff ermöglicht ein Router bzw. eine Firewall oder ein Layer-3-Switch mit einer Schnittstelle je VLAN; der PC schickt die Pakete an sein Gateway (1 Punkt). Regel (2 Punkte), z. B.:

Eine zustandsbehaftete Firewall lässt die Antworten der Datenbank automatisch zurück; die Erlaubnisregel muss vor der Verbotsregel stehen.

g) Port 8 von Switch Werkstatt mit Port 8 von Switch Lager verbinden: ein Kabel, über das beide VLANs getaggt laufen (1 Punkt). Alternative: je VLAN ein eigenes Kabel zwischen zwei untagged Ports desselben VLANs (z. B. VLAN-40-Port mit VLAN-40-Port, VLAN-45-Port mit VLAN-45-Port) (1 Punkt).

a) Der Vorschlag passt nicht zum Desk-Sharing (1 Punkt): Wer morgens an einem „fremden“ Platz sitzt, landet im VLAN einer anderen Abteilung, hat dort falsche Rechte oder kommt nicht an die eigenen Systeme; die Ports müssten ständig nachgezogen werden (1 Punkt). Besser sind dynamische VLANs, z. B. per IEEE 802.1X und RADIUS: Die Person bzw. ihr Gerät wird nach der Anmeldung unabhängig vom Port dem VLAN ihrer Abteilung zugeordnet (1 Punkt).

b) Je Schritt 1 Punkt, z. B.:

• Switches und Access Points arbeiten als Authenticator nach IEEE 802.1X (WPA2/WPA3-Enterprise im WLAN).

• Beim Verbinden übergibt der Access Point bzw. Switch die Anmeldedaten (Benutzerkonto/Kennwort oder Gerätezertifikat) an den RADIUS-Server.

• Der RADIUS-Server prüft die Anmeldung und sendet bei Erfolg RADIUS-Attribute mit der VLAN-ID der Person bzw. Abteilung zurück.

• Access Point bzw. Switch ordnet die Verbindung diesem VLAN zu; über den Trunk zum Switch läuft der Verkehr getaggt. Die SSID ist für alle gleich.

c) MAC-Adressen werden vom Gerät selbst übermittelt und lassen sich leicht ändern bzw. klonen (1 Punkt). Wer die MAC-Adresse eines Geräts aus der Verwaltung kennt (z. B. vom Aufkleber oder durch Mitschneiden), kann sein Gerät damit ausstatten und gelangt in das fremde VLAN (1 Punkt). Eine echte Authentifizierung der Person findet nicht statt; besser ist 802.1X mit Zertifikat oder Konto (1 Punkt).

d) Fehler (2 Punkte): Der Access Point ordnet die SSID LetsMeet-Gast dem VLAN 20 (Entwicklung) zu statt dem Gäste-VLAN 90.

Begründung (3 Punkte): Die Adresse 10.20.0.117 stammt aus dem Netz der Entwicklung; das Gast-Notebook steckt also im VLAN 20 (1 Punkt). Notebook und Testserver liegen damit im selben VLAN und Subnetz, der Verkehr läuft direkt über den Switch und erreicht die Firewall gar nicht – ihre Regel 1 würde Gästen aus 10.90.0.0/24 den Zugriff auf interne Netze korrekt verbieten (1 Punkt). Der Switch überträgt auf beiden Trunks alle vier VLANs einschließlich 90 und ist richtig eingestellt (1 Punkt).

Korrektur (1 Punkt): wlan LetsMeet-Gast ... vlan 90; danach erhalten Gäste Adressen aus 10.90.0.0/24 und landen an der Firewall.

a) Je Fehler 1 Punkt für Fehler und Störung, 1 Punkt für die Korrektur:

• Gi1/0/1 (AP-A1) ist ein Access-Port nur für VLAN 110 → Gäste erhalten keine Adresse: Der Access Point schickt den Verkehr der Gäste-SSID getaggt mit VLAN 200, der Switch verwirft diese Frames; nur das Orga-WLAN funktioniert. Korrektur:

  interface GigabitEthernet1/0/1
   switchport mode trunk
   switchport trunk allowed vlan 110,200

• Gi1/0/8 (Encoder) liegt in VLAN 120 statt 130 → Kamera (VLAN 130) und Encoder sind in verschiedenen VLANs. Korrektur: switchport access vlan 130.

• Auf dem Uplink Te1/0/49 fehlt VLAN 120 → Der Infomonitor erreicht weder DHCP noch Info-Server in Gebäude B. Korrektur: switchport trunk allowed vlan 110,120,130,200 (oder switchport trunk allowed vlan add 120).

Wichtig: Nach der Umstellung auf den Trunk muss der Access Point auch das Orga-WLAN (VLAN 110) getaggt senden. Bisher kam VLAN 110 ungetaggt über den Access-Port; bleibt das so, landen die Frames auf dem Trunk im nativen VLAN (Standard VLAN 1) und das Orga-WLAN fällt aus. VLAN 110 einfach zum nativen VLAN zu machen, ist keine gute Lösung, weil das native VLAN nicht mit Endgeräteverkehr belegt sein sollte (siehe „Das native VLAN“ und Teilaufgabe d).

Wird ein Management-VLAN für den Access Point genutzt, kann es zusätzlich als natives VLAN auf Gi1/0/1 liegen.

b) Tags (je Abschnitt 0,5 Punkte): Auf allen drei Abschnitten trägt der Frame ein 802.1Q-Tag mit der VLAN-ID 200; alle drei Verbindungen transportieren mehrere VLANs.

SW-A0 (2,5 Punkte): Beim Empfang an Gi1/0/1 liest er die VLAN-ID 200 aus dem Tag, prüft, ob VLAN 200 an diesem Port erlaubt ist, und ordnet den Frame VLAN 200 zu (1 Punkt). Da die DHCP-Anfrage ein Broadcast ist, leitet er sie an alle anderen Ports weiter, die VLAN 200 führen – hier nur den Uplink Te1/0/49 –, und zwar wieder mit Tag 200 (1 Punkt). An einen untagged Port in VLAN 200 würde er den Frame ohne Tag ausgeben (0,5 Punkte).

ca) Die Bytes 13 und 14 enthalten 81 00, also die TPID 0x8100: An der Stelle, an der sonst der Typ steht, folgt ein 802.1Q-Tag (1 Punkt). Die nächsten zwei Byte a0 82 sind die Steuerinformation (1 Punkt):

\mathrm{a082}_{16} = \underbrace{101}_{\text{PCP}}\;\underbrace{0}_{\text{DEI}}\;\underbrace{0000\,1000\,0010}_{\text{VID}}{}_{2}

Priorität: 101_2 = \underline{\underline{5}} (1 Punkt). VLAN-ID: 0000\,1000\,0010_2 = 82_{16} = \underline{\underline{130}}, also VLAN STREAM (1 Punkt). Danach folgt mit 08 00 der eigentliche Typ (IPv4).

cb) Länge: 1.518 Byte − 4 Byte = 1.514 Byte (1 Punkt). SW-B0 entfernt die vier Byte TPID und Steuerinformation, sodass der Typ 08 00 wieder direkt hinter der Quell-MAC-Adresse steht, und berechnet die Prüfsumme (FCS) neu, weil sich der Inhalt geändert hat (2 Punkte).

da) Betroffen sind nur die Frames, die ohne Tag über den Trunk laufen; die getaggten VLANs 110 bis 200 funktionieren weiter (1 Punkt). SW-A0 sendet Frames seines nativen VLANs 999 ungetaggt, SW-B0 ordnet ungetaggte Frames seinem nativen VLAN 1 zu – und umgekehrt. Frames geraten so in ein anderes VLAN, die Trennung ist an dieser Stelle aufgehoben (1 Punkt). Behebung: auf SW-B0 an Te1/0/2 ebenfalls VLAN 999 als natives VLAN einstellen (switchport trunk native vlan 999) (1 Punkt).

db) Je Einstellung 1 Punkt, z. B.:

• Natives VLAN auf beiden Seiten aller Trunks ein ungenutztes VLAN (hier 999), das keinem Access-Port zugeordnet ist: Kein Endgerät kann dann Frames im nativen VLAN senden.

• Ungenutzte Ports abschalten und einem leeren VLAN zuordnen; Access-Ports fest als Access-Port konfigurieren und die automatische Trunk-Aushandlung abschalten (z. B. switchport nonegotiate), damit ein Endgerät keinen Trunk aufbauen kann.

• Auch das native VLAN auf den Trunks taggen (z. B. vlan dot1q tag native) bzw. auf den Trunks nur die benötigten VLANs zulassen (switchport trunk allowed vlan …); ein Frame verliert dann beim Weiterleiten nie unbemerkt sein äußeres Tag.

a) Je Abschnitt 1 Punkt:

1. PC → SW-SEN: ohne Tag; der Switch ordnet den Frame über den Access-Port VLAN 43 zu. Ziel ist das Gateway 172.20.43.1, weil der Server in einem anderen Netz liegt.

2. SW-SEN → R-SEN über den Trunk Gi0/24: mit Tag 43.

3. R-SEN ordnet den Frame anhand der VLAN-ID 43 der Schnittstelle enp1s0.43 zu, routet das Paket ins Netz 172.20.41.0/24 und gibt es über enp1s0.41 aus – hier wechselt es das VLAN.

4. R-SEN → SW-SEN über dasselbe Kabel mit Tag 41; der Switch entfernt das Tag und gibt den Frame ohne Tag am Port des Servers in VLAN 41 aus. Das Paket läuft also zweimal über die Leitung zwischen Switch und Router.

b) Je Frame 1 Punkt:

• Tag 41: enp1s0.41 nimmt ihn an, entfernt das Tag; das enthaltene Paket wird zugestellt (an R-SEN selbst) bzw. geroutet.

• Tag 43: enp1s0.43 nimmt ihn an, Verarbeitung wie oben im Lager-Netz.

• ohne Tag: Er landet auf der physischen Schnittstelle enp1s0. Dort ist keine IP-Adresse eingerichtet, R-SEN routet nichts davon; der Frame wird praktisch verworfen. (Ein solcher Frame käme nur aus einem nativen VLAN des Trunks.)

c) Ursache (1 Punkt): enp1s0.44 ist mit type vlan id 34 statt 44 angelegt; der Name der Schnittstelle ist nur eine Bezeichnung. Prüfen lässt sich das z. B. mit ip -d link show enp1s0.44.

Wirkung (1,5 Punkte): Die Frames der Versand-PCs kommen vom Switch mit Tag 44 an. R-SEN hat keine Schnittstelle für die VLAN-ID 44 und verwirft sie. Umgekehrt würde enp1s0.44 mit Tag 34 senden – ein VLAN, das der Trunk gar nicht überträgt.

Korrektur (1,5 Punkte):

ip link del enp1s0.44
ip link add link enp1s0 name enp1s0.44 type vlan id 44
ip addr add 172.20.44.1/25 dev enp1s0.44
ip link set enp1s0.44 up

Außerdem muss die Zeile im Startskript korrigiert werden, sonst kehrt der Fehler beim nächsten Neustart zurück.

d) Ursache (2 Punkte): Ein Gerät ohne Adresse sucht den DHCP-Server per Broadcast an 255.255.255.255. Broadcasts bleiben im VLAN 43; R-SEN routet sie nicht ins Büro-VLAN. srv-sen hört die Anfrage nie, deshalb wiederholt der Scanner sie nur.

Aufruf (1 Punkt): R-SEN muss als DHCP-Relay arbeiten, z. B. mit dem ISC-Relay dhcrelay -id enp1s0.43 -iu enp1s0.41 172.20.41.10 (Anfragen auf enp1s0.43 annehmen, über enp1s0.41 an den Server weiterleiten); andere Werkzeuge wie dnsmasq im Relay-Modus oder ip helper-address bei Cisco sind ebenso richtig.

giaddr (2 Punkte): Das Relay trägt die Adresse seiner Schnittstelle im Netz des Anfragenden ein, also 172.20.43.1, und schickt die Anfrage als Unicast an den Server. srv-sen erkennt daran, aus welchem Netz die Anfrage stammt, wählt den Bereich für 172.20.43.0/24 und schickt das Angebot an das Relay zurück, das es ins VLAN 43 weitergibt.

e) Der PC liegt im VLAN 43 (Lager): Port Gi0/12 ist VLAN 43 zugeordnet, die Adresse 172.20.43.57/24 stammt aus dem Lager-Netz (1 Punkt). Ursache: Der Switch-Port ist dem falschen VLAN zugeordnet; die Regel lässt nur Zugriffe aus dem Büro-VLAN zu (1 Punkt). Lösung: Gi0/12 dem VLAN 41 zuordnen bzw. den PC an einen Port im Büro-VLAN anschließen und die IP-Konfiguration erneuern (ipconfig /renew) (2 Punkte).

f) Je 1 Punkt, z. B.: Routing in Hardware und damit schneller und mit geringerer Latenz; kein Engpass durch eine einzige Router-Leitung, über die der gesamte Verkehr zwischen den VLANs hin und zurück läuft; weniger Geräte; Gateways direkt als VLAN-Schnittstellen (SVI) auf dem Switch.

a) Unterschied (2 Punkte): Bei physischer Trennung hat jede Gruppe eigene Switches und Leitungen, verbunden nur über Router bzw. Firewall – sehr sicher, aber teuer und unflexibel. Bei logischer Trennung teilen sich die Gruppen Switches und Leitungen; die Ports werden VLANs zugeordnet, über Trunks laufen die VLANs getaggt, Übergänge nur über Router bzw. Firewall – günstig und flexibel, die Trennung hängt aber an der richtigen Konfiguration.

Entscheidungen (je 1 Punkt), z. B.:

• Kameras: eigenes VLAN auf den vorhandenen PoE-Switches; die Außenports zusätzlich mit Port-Security sichern, weil die Leitungen am Unterstand zugänglich sind.

• Flurmonitore: bleiben im eigenen VLAN 520; sie brauchen nur Zugang zu RatzFahrt bzw. zum Internet.

• Heizung und Lüftung: mindestens ein eigenes VLAN mit strengen Firewall-Regeln; weil die Steuerung oft von einer Fremdfirma gewartet wird, selten Updates erhält und ein Ausfall den Schulbetrieb trifft, ist auch ein eigener Switch im Technikraum gut begründbar.

So könnte die Aufteilung als Netzwerkplan aussehen:

Andere schlüssig begründete Entscheidungen sind ebenso richtig.

b) Der Vorschlag ist abzulehnen (1 Punkt). Gründe (je 1 Punkt), z. B.:

• Datenschutz: Videobilder sind personenbezogene Daten; nur der Rekorder und berechtigte Personen dürfen darauf zugreifen. Im gemeinsamen VLAN erreicht jeder Monitor-Player die Kameras direkt.

• Unterschiedliche Regeln: Die Player brauchen Internetzugang für die Fahrtenanzeige, die Kameras gar keinen. Wird ein Player über das Internet gekapert, steht der Angreifer ohne Firewall dazwischen im Kameranetz.

• Last und Störungen: Die dauerhafte Videolast und Broadcasts der Kameras träfen die Player; Fehler lassen sich schwerer eingrenzen.

c) Vorteile (je 2 Punkte), z. B.: einfache Einrichtung ohne VLAN-fähige Hardware bzw. Switch-Konfiguration; unabhängig von der physischen Topologie; Regeln lassen sich auf dem Router/der Firewall nach IP-Adressen festlegen; Adressvergabe zentral per DHCP mit Reservierungen.

Begründung für VLANs (2 Punkte): Bei einer reinen Trennung auf Schicht 3 liegen alle Geräte in derselben Broadcast-Domäne; jedes Gerät kann seine IP-Adresse ändern und so in ein anderes Subnetz wechseln oder Broadcasts/ARP-Angriffe gegen andere Bereiche ausführen. VLANs trennen bereits auf Schicht 2, sodass ein Gerät ohne Routing und Firewall-Regel keine anderen Bereiche erreicht.

d) Bewertung (2 Punkte): Der Access Point trennt die SSIDs nur auf der Funkseite. Auf dem Kabel muss die Trennung über VLAN-Tags weitergehen. Ein untagged Port überträgt nur ein VLAN: Getaggte Frames für 310 und 390 verwirft der Switch; sendet der Access Point ungetaggt, landen Lehrkräfte und Gäste gemeinsam im Verwaltungs-VLAN – Gäste säßen dann im Verwaltungsnetz.

Korrektur (2 Punkte): Port 12 als Trunk einrichten, VLAN 310 und 390 tagged; die Verwaltung des Access Points in ein eigenes Management-VLAN (untagged bzw. nativ) statt ins Verwaltungs-VLAN 300. Die Uplinks müssen 310 und 390 bis zur Firewall transportieren; dort erhalten Gäste nur Internetzugang.

e) VLANs bilden mehrere logische Netze auf derselben physischen Infrastruktur; über einen Trunk laufen mehrere VLANs getaggt über ein Kabel, an den Access-Ports wird die Gebäudetechnik ihrem VLAN zugeordnet. Eigene Leitungen und Switches sind deshalb nicht nötig (2 Punkte). Sicherheit: Der Verkehr der Gebäudeleittechnik ist vom Schul- und Gästenetz isoliert; Zugriffe zwischen den VLANs sind nur über die Firewall mit festgelegten Regeln möglich, sodass Schadsoftware aus dem Schulnetz die Heizungssteuerung nicht direkt erreicht (2 Punkte).

f) Switch-Port (2 Punkte): Das Verwaltungs-VLAN bleibt am Port untagged (natives VLAN), damit sich am bisherigen Verkehr nichts ändert; zusätzlich wird VLAN 950 tagged zugelassen (Trunk- bzw. Hybrid-Port). Die Uplinks müssen VLAN 950 bis zur Firewall transportieren, dort wird der Zugang des Herstellers geregelt.

Terminal (2 Punkte): Es muss jetzt VLAN-fähig sein: Seine Netzwerkkarte bzw. sein Betriebssystem braucht eine zusätzliche VLAN-Schnittstelle mit der VLAN-ID 950 und einer Adresse aus dem Wartungsnetz und muss Wartungsverkehr mit diesem Tag senden. Kann das Terminal kein 802.1Q, geht es nur über einen zweiten Netzwerkanschluss an einem Port im VLAN 950.