Seminar IPFire – Netzwerkzonen, VLANs und DMZ

Inhaltsverzeichnis

• Einordnung und Lernziel
• Lernziele
• Zielgruppe
• Voraussetzungen
• Schrittweises Fachprogramm
• Praxisübungen
• Methodik

Einordnung und Lernziel

Die Sicherheitswirkung einer Firewall steht und fällt mit der tatsächlichen Netztrennung. Dieses Seminar vertieft das Zonenmodell von IPFire und verbindet GREEN, RED, BLUE und ORANGE mit VLAN-Segmenten, Switch-Konfiguration, DMZ-Design und kontrollierten Übergängen.

Aus einem Schutzbedarfsmodell entsteht ein umsetzbarer Netzplan. Schnittstellen, Tags, Adressen, Routing und Firewall-Regeln werden gemeinsam geprüft, damit logische und physische Trennung übereinstimmen.

Lernziele

• Schutzbedarf in ein klares IPFire-Zonenmodell übersetzen
• Physische Schnittstellen und VLANs sicher zuordnen
• DMZ- und Gastnetze ohne unbeabsichtigte Vertrauenspfade aufbauen
• Interzonen-Verkehr mit minimalen Regeln steuern
• Segmentierung mit technischen Positiv- und Negativtests abnehmen

Zielgruppe

Netzwerkadministration, Firewall-Administration, IT-Security, Infrastrukturarchitektur und technische Projektteams.

Voraussetzungen

Sichere Grundlagen zu IPv4, Subnetzen, Switching, VLAN-Tags, Routing und Firewall-Regeln.

Schrittweises Fachprogramm

1. Schritt 1: Schutzbedarf und Kommunikationsbeziehungen erfassen
   Benutzer, Server, Gäste, Management, öffentliche Dienste und externe Netze werden nach Vertrauensniveau getrennt. Notwendige Übergänge werden als Kommunikationsmatrix festgehalten.
2. Schritt 2: IPFire-Zonen passend auswählen
   GREEN, RED, BLUE und ORANGE werden nach Funktion und Risiko zugeordnet. Eine Zone wird nicht allein aufgrund vorhandener Schnittstellen, sondern aufgrund der Sicherheitsgrenze gewählt.
3. Schritt 3: Adress- und VLAN-Plan erstellen
   Subnetze, VLAN-IDs, Gateways, DHCP-Bereiche, Reserven und Namensschema werden dokumentiert. Doppelte IDs, überlappende Netze und unklare native VLANs werden ausgeschlossen.
4. Schritt 4: Schnittstellen und Tags konfigurieren
   Physische Adapter und VLAN-Interfaces werden eindeutig identifiziert. Switch-Port, Trunk, erlaubte VLANs und IPFire-Zuordnung werden als Ende-zu-Ende-Pfad geprüft.
5. Schritt 5: DMZ sicher aufbauen
   Öffentliche oder besonders schützenswerte Dienste werden in ORANGE platziert. Verwaltungszugriffe, ausgehende Abhängigkeiten und interne Rückverbindungen werden auf das notwendige Maß begrenzt.
6. Schritt 6: BLUE- und Gastsegmente integrieren
   WLAN- oder Gastzugänge werden von GREEN getrennt. DHCP, DNS, Internetzugriff und optionale Portalfunktionen werden ohne internen Zugriff bereitgestellt.
7. Schritt 7: Interzonen-Regeln umsetzen
   Jede erlaubte Beziehung wird aus der Kommunikationsmatrix abgeleitet. Breite Netzfreigaben werden durch ziel- und dienstbezogene Regeln ersetzt.
8. Schritt 8: Segmentierung abnehmen
   Erlaubte Dienste, gesperrte Querverbindungen, Managementzugang, VLAN-Isolation und Neustartverhalten werden mit einer Testmatrix aus mehreren Segmenten geprüft.

Praxisübungen

• Entwerfen eines Mehrzonen- und VLAN-Plans für einen Unternehmensstandort
• Konfigurieren von VLAN-Interfaces und zugehörigen IPFire-Zonen
• Aufbauen einer DMZ mit begrenzten Verwaltungs- und Backendpfaden
• Durchführen einer Segmentierungsabnahme mit Positiv- und Negativtests

Methodik

Die Laborumgebung umfasst einen verwalteten Switch, mehrere VLANs und unterschiedliche Endgeräte. Konfigurationsfehler auf Switch- und Firewall-Seite werden bewusst kombiniert, damit die gesamte Kette statt nur die IPFire-Oberfläche geprüft wird.