Computernetzwerke

WAN - eben das Internet - angeschlossen. Die etablierten Wege des Internet (Hosting-, Carrier-Netze) werden dabei mit unterschiedlichen Zugriffsmechanismen, Prozessen und Diensten genutzt, wofür VLANs (Kapitel 1.7) und VPNs (Kapitel 7.10) eine wichtige Rolle spielen.
    An der zentralen Schnittstelle zwischen LAN und WAN ist eine Firewall zu platzieren, die als separates Gerät (Server, Appliance) ausgeführt oder auch gleich mit im xDSL-Modem integriert sein kann, um das LAN somit vor unerwünschten Zugriffen aus dem Internet abzuschotten.

    Abbildung 1.11: Eine Netzwerk-Firewall befindet sich an der Schnittstelle zwischen einem LAN und dem Internet.
    Aus zusätzlichen Sicherheitsgründen wird oftmals neben der LAN-Zone eine weitere eingeführt, die sich gewissermaßen zwischen WAN und LAN befindet und üblicherweise als Demilitarisierte Zone (DMZ) bezeichnet wird.
    Die in der DMZ platzierten Systeme werden durch Filterregeln gegen die anderen Netze (LAN, Internet) abgeschirmt. Durch diese Trennung kann der Zugriff auf öffentlich erreichbare Dienste (Web-, Mail-Server) gestattet und gleichzeitig das interne Netz vor unberechtigten Zugriffen geschützt werden. UTM-Appliances (Netzwerk-Firewall) verfügen üblicherweise mindestens über einen separaten Netzwerkanschluss, der explizit für eine DMZ vorgesehen ist.
    1.7 Virtual Local Area Network - VLAN
    Die Bezeichnung Virtual Local Area Network (VLAN) bringt zum Ausdruck, dass es sich dabei um ein scheinbar eigenes Netzwerk innerhalb eines LAN oder auch WAN (VPN) handelt. Mithilfe von VLANs werden räumlich verteilte Computer zu Arbeitsgruppen zusammengefasst, etwa eine Gruppe der Buchhaltung, eine der Produktion und eine der Entwicklungsabteilung. Router und mitunter auch einige Managed Switches (Layer-3-Switch) bieten die Möglichkeit, die Ports einem oder auch mehreren VLANs zuordnen zu können.
    Durch die Aufteilung eines LAN in VLANs ist es möglich, den Gruppen bzw. den jeweils dazugehörigen Ports unterschiedliche Prioritäten einzuräumen. Die Zusammenfassung bestimmter Clients zu einem VLAN kann zu einem geringeren Datenverkehr innerhalb eines LAN führen, da beispielsweise die Daten der Buchhaltung nicht im VLAN der Entwicklungsabteilung transportiert werden, was auch zu zusätzlicher Sicherheit führt.
    Die Kommunikation von einem VLAN zu einem anderen ist gewissermaßen ein Umweg, der stets über einen Router führt, wie es in der Abbildung 1.13 gezeigt ist. Dies war auch einer der Gründe für die Entwicklung der Layer-3-Switches, die von der Funktion her einem Router entsprechen.
    Abbildung 1.12: In der DMZ sind Server angeschlossen, die vom Internet aus erreichbar sein sollen.
    Clien

    Demnach muss man sich bei der Planung von VLANs einige Gedanken machen und kann hier nicht einfach diese oder jene Port-Zuordnung treffen, die bei Nichtbeachtung der typischen Wege innerhalb eines Geschäftsnetzes den Datenverkehr letztendlich gehörig ausbremsen und auch sicherheitstechnisch bedenklich werden kann, wenn etwa die Gehaltskonten der Mitarbeiter in der Entwicklungsabteilung auftauchen.

    Abbildung 1.13: Die Ports 1 bis 4 des Switches gehören zum VLAN_1 und die Ports 5 bis 8 zum VLAN_2. Die Kommunikation der Clients, die an die jeweiligen Ports angeschlossen sind, findet nur innerhalb des jeweiligen VLAN statt, und falls ein Client vom Port 4 zu einem an Port 7 kommunizieren will, geht dies nur über den Weg »Port 1 zum Router« und »Router zum Port 8«.
    Computer, die zu einem bestimmten VLAN gehören, sind den jeweiligen Gruppendefinitionen untergeordnet, die eine eigene Broadcast-Domain bilden. Je nach Switch-Typ ist eine unterschiedliche Anzahl von VLANs möglich, und die Mitglieder können zu einem oder auch zu mehreren VLANs gehören.
    Alle aktuellen Switches, die die Möglichkeit von VLANs bieten, entsprechen dem Standard IEEE 802.1Q, wobei es auch ältere, herstellerspezifische VLAN-Realisierungen gibt. Während Geräte nach dem aktuellen IEEE-Standard mehrere VLANs über einen einzigen Link bilden können, gilt dies nicht für die älteren VLANs, bei denen stets separate Links für ein VLAN notwendig sind.
    Wenn ein VLAN über LAN-Grenzen hinweg, also auch über WAN-Verbindungen (Internet), realisiert wird, führt dies automatisch zu den sogenannten Virtual Private Networks, die im Kapitel 7.10 näher erläutert werden.
    1.8 Standards und Normen
    Im Computerbereich existiert eine Vielzahl von Standards, Normungen und Empfehlungen von