VLANs zu Hause: IoT und Gäste trennen

Deine smarte Steckdose hat an deinem NAS nichts zu suchen, das Handy deiner Gäste noch weniger. Ein paar VLANs und ein paar Firewall-Regeln setzen eine Tür dazwischen.

Kurz gesagt

Ein VLAN teilt ein physisches Heimnetz in mehrere logische Netze, sodass IoT-Geräte, Gäste und deine eigenen Geräte in getrennten Netzen auf denselben Kabeln leben. Dafür brauchst du drei Dinge: einen Router oder eine Firewall, die zwischen VLANs routen und filtern kann, einen Managed Switch, der IEEE 802.1Q spricht, und Access Points, die jedes WLAN (SSID) einem VLAN zuordnen. Ein Punkt entscheidet, ob es funktioniert: Ein VLAN ohne Firewall-Regeln ist kein Schutz. Das VLAN trennt nur die Netze. Die Regeln dazwischen entscheiden, wer mit wem reden darf. Unsere Einschätzung: Drei VLANs (vertraut, IoT, Gäste) reichen für die meisten Haushalte.

So funktioniert’s

1. Was ein VLAN ist. IEEE 802.1Q beschreibt, wie Bridges und VLAN-Bridges mehrere virtuelle LANs über ein Netz transportieren [1]. In der Praxis fügt ein Switch ein 4 Byte langes Tag in den Ethernet-Frame ein, zwischen Quelladresse und Typfeld [2]. Das Tag enthält eine 16-Bit-Kennung mit dem Wert 0x8100, 3 Prioritätsbits, 1 weiteres Bit und eine 12-Bit-VLAN-ID [2]. Die IDs 0 und 4095 sind reserviert, nutzbar sind also 1 bis 4094 [3]. Manche Switches bieten weniger: NETGEAR nennt für eine Easy-Smart-Familie 1 bis 4093 [6]. Ein Gerät, das VLAN-Tags nicht versteht, verwirft getaggte Frames [3]. Gewöhnliche Endgeräte wie PCs und smarte Steckdosen senden und empfangen ungetaggte Frames, und der Switch-Port entscheidet, zu welchem VLAN sie gehören [4].
2. Tagged, untagged, PVID. Am Switch legst du für jeden Port fest, wie er jedes VLAN behandelt. Ein Port, an dem ein Endgerät hängt, ist ein Access-Port: Er sendet Frames ohne Tag und ordnet alles, was hereinkommt, dem VLAN zu. Ein Port, der mehrere VLANs führt, etwa zum Router oder zu einem Access Point, ist ein Trunk-Port, und seine Frames tragen ein Tag [5]. OpenWrt beschreibt dieselbe Idee mit eigenen Worten: „untagged“ Frames verlassen den Port ohne Tag, „tagged“ Frames mit Tag, und die PVID (Port-VLAN-ID) ist das VLAN, das ungetaggten eingehenden Frames zugewiesen wird [8]. TP-Link beschreibt die PVID genauso, mit dem Standardwert 1 [7]. Die Begriffe unterscheiden sich je nach Hersteller (Access, Trunk, General, Tagged, Untagged), und die IEEE-Arbeitsgruppe weist darauf hin, dass „Trunk“ kein Begriff des Standards selbst ist [4]. Bei vollständig verwalteten NETGEAR-Switches nimmst du außerdem jeden Access-Port aus VLAN 1, denn alle Ports starten als Mitglieder von VLAN 1 [5][6].
3. Warum ein VLAN allein nichts schützt. Zwei Geräte in verschiedenen VLANs können nicht direkt miteinander reden. Ihre Frames treffen sich nur an einem Layer-3-Gerät, meist deinem Router oder deiner Firewall. Dort wird entschieden, ob sie reden dürfen. Bei OPNsense werden Regeln auf der Schnittstelle geprüft, an der der Verkehr hereinkommt, die erste passende Regel gewinnt, und ohne Treffer wird blockiert [9]. Ein neues VLAN ist also zu, bis du eine Pass-Regel anlegst. Die übliche Pass-Regel „erlaube zu jedem Ziel“ passt aber auch auf deine anderen VLANs, und alles dahinter wird nie erreicht [9]. Unsere Faustregel: erst die anderen internen Netze sperren, dann das Internet erlauben.
4. WLAN: eine SSID je VLAN. Ein Access Point ordnet jede SSID einem VLAN zu und schickt diesen Verkehr getaggt zum Switch. Der Switch-Port zum Access Point muss deshalb ein Trunk sein, der dieselben VLANs führt [19]. OpenWrt lässt dich das Netz wählen, an das eine WLAN-Schnittstelle gehängt wird, und die Schnittstelle gehört dann zum richtigen VLAN [8]. Lege nicht zu viele SSIDs an. Cisco Meraki empfiehlt höchstens 3 SSIDs je Access Point [18], und Juniper Mist rät zu 2 oder 3, weil jede SSID Beacon-Frames hinzufügt, die alle 102,4 ms mit der minimalen Basisrate gesendet werden und Sendezeit kosten [19]. Vertraut, IoT und Gäste belegen schon drei. Schalte im Gäste-WLAN die Client-Isolation ein: Peer-to-Peer-Isolation verhindert, dass Geräte im selben WLAN miteinander reden [19].
5. Geräteerkennung überquert keine VLANs. Multicast DNS (mDNS), mit dem Handys Drucker und Cast-Ziele finden, nutzt die Adresse 224.0.0.251 und verlässt sein Subnetz nicht [11]. Sitzt dein Handy im vertrauten VLAN und der Lautsprecher im IoT-VLAN, sieht das Handy ihn nicht. OPNsense bietet einen mDNS-Repeater für 2 bis 5 Schnittstellen, der diese Ankündigungen weiterreicht [10][11]. Setze ihn nur zwischen den VLANs ein, die ihn brauchen, und nie für Gäste. Erkennen ist nicht Verbinden: Der Stream selbst ist eine normale, geroutete Verbindung, und deine Firewall-Regeln müssen sie erlauben. Dieser Teil ist unsere Überlegung, kein Zitat aus der Dokumentation.

Was deine Geräte können müssen

• Router oder Firewall: eine Schnittstelle je VLAN, ein DHCP-Bereich je VLAN und Firewall-Regeln je Schnittstelle. OpenWrt und OPNsense sind zwei dokumentierte Beispiele [8][9]. Ein Layer-3-Switch kann zwischen VLANs routen. Prüfe im Handbuch, ob er auch filtern kann, denn Routing allein schützt nicht.
• Switch: Er muss 802.1Q unterstützen und dir Tagged, Untagged und PVID je Port erlauben [5][6][7]. Ein unmanaged Switch hat keine VLAN-Einstellungen, alles an ihm landet also in dem VLAN, das sein Uplink ungetaggt führt. Lies das Handbuch, bevor du den VLAN-Modus einschaltest: Bei NETGEARs Easy-Smart-Familie warnt das Aktivieren von Advanced 802.1Q VLAN, dass die aktuellen VLAN-Einstellungen verloren gehen [6].
• Access Point: mehrere SSIDs, je einem VLAN zugeordnet, und ein Trunk-Uplink [19].
• Alles dazwischen: Powerline-Adapter, Medienkonverter und alte Switches, die VLANs nicht kennen, können getaggte Frames verwerfen. Deshalb verpackt AVM das Gastnetz seines Mesh im LAN in L2TP-Tunnel, statt es zu taggen [3][16].
• Clients: nichts einzustellen. Sie bleiben VLAN-unaware [4].

Die FRITZ!Box: was die Dokumentation sagt

Die FRITZ!Box ist der verbreitetste Heimrouter in Deutschland, deshalb ist das die Frage, die wir am häufigsten hören. Stand 25. Okt. 2026 haben wir Folgendes gefunden:

• AVM dokumentiert eine VLAN-Einstellung für die Internetverbindung: „VLAN für den Internetzugang verwenden“ mit einer VLAN-ID, für Anbieter, die eine vorschreiben [14][15]. Das betrifft die Leitung zu deinem Anbieter, nicht die Aufteilung deines Heimnetzes.
• AVM beschreibt zwei Segmente im Haus: das Heimnetz und den Gastzugang. Ein Gerät, das über den Gastzugang verbunden ist, erreicht keine Geräte im Heimnetz [13].
• Wir haben keine AVM-Seite gefunden, die VLAN-Tags an LAN-Ports oder SSIDs beschreibt. Ein Guide eines Dritten vom 19. Juli 2026 sagt dasselbe: nur Heim- und Gastnetz, kein Tagging [17]. Prüfe Handbuch und FRITZ!OS-Version deines Modells, bevor du dich darauf verlässt.
• Laut heise läuft das Gastnetz zwischen Mesh-Geräten im LAN in L2TP-Tunneln und unverschlüsselt, sodass jemand mit Zugang zum Kabel es mitschneiden könnte [16].

Daraus ergeben sich drei Wege. Erstens: das Gastnetz für Gäste nutzen, und als grober erster Schritt auch für IoT-Geräte. Alle Gastgeräte teilen sich dann ein Segment. Zweitens: einen VLAN-fähigen Router oder eine Firewall hinter die FRITZ!Box setzen und die FRITZ!Box als Internet-Gateway laufen lassen. Portfreigaben müssen dann auf beiden Geräten existieren. Drittens: den Router ersetzen. Ein Gerät empfehlen wir hier nicht, weil die richtige Wahl von Budget und vorhandener Technik abhängt.

Ein Drei-VLAN-Plan

Das ist ein Beispiel, kein Bericht über unsere Systeme. Zu unserem eigenen Netz ist für diesen Artikel nur dokumentiert: Router und Firewall hängen hinter einer FRITZ!Box, die die Internetverbindung liefert (Inventar vom 14. Okt. 2026). Das Inventar führt VLAN und DHCP als offen, wir machen daher keine Aussage zu VLANs oder Regeln im Einsatz.

Gib jedem VLAN ein eigenes Subnetz und halte die Bereiche frei von Überschneidungen mit VPN-Bereichen. Nutze VLAN 1 nicht für etwas, das dir wichtig ist, denn jeder Port startet dort [6][7]. Das Verwaltungs-VLAN ist optional, hält aber die Adminseiten deiner Geräte von IoT-Geräten und Gästen fern.

Die Firewall-Regeln

Die Regeln sind der Schutz. Dieser Satz ist unser Vorschlag im OPNsense-Stil: Regeln werden von oben nach unten auf der Schnittstelle geprüft, an der der Verkehr hereinkommt [9]. Lege einen Alias an, der die privaten Bereiche 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16 enthält, hier PRIVATE_NETS genannt. Willst du für IoT und Gäste dieselben Regeln, kann OPNsense Schnittstellen gruppieren, sodass sie ein gemeinsames Regelwerk teilen [12]. Getrennte Regeln lassen sich zum Einstieg leichter lesen, deshalb führt die Tabelle sie einzeln auf.

Drei Einzelheiten zählen. Erstens muss Regel 1 über Regel 2 stehen, weil der DNS-Server in den privaten Bereichen liegt. Zweitens kommen Antworten auf Verbindungen, die du aus dem vertrauten VLAN geöffnet hast, automatisch durch, weil die Firewall den Verbindungszustand verfolgt, und OPNsense erwartet, dass der Rückverkehr per Zustand erlaubt wird [9]. IoT-Geräte können also keine Verbindungen ins vertraute VLAN starten, dein Handy kann sie aber weiter steuern. Muss ein IoT-Gerät an einen Server melden, etwa an eine Hausautomations-Zentrale, lege oberhalb des Blocks eine schmale Pass-Regel für genau diesen Host und Port an. Drittens gelten Regeln je IP-Version [9]. Nutzt dein Netz IPv6, schreibe die entsprechenden Regeln dafür, oder schalte IPv6 in den IoT- und Gäste-VLANs ab, bis du es getan hast. Betreibst du einen DNS-Filter, richte die IoT-DHCP-Einstellungen darauf aus und erlaube nur Port 53 dorthin. Unsere Artikel zu Zero Trust, DNS und Pi-hole oder AdGuard Home findest du unter „Passt dazu“.

Einführen, ohne dich auszusperren

1. Schreibe den Plan auf Papier: VLAN-IDs, Subnetze, welcher Switch-Port was führt und wo du deinen Laptop zur Verwaltung einsteckst.
2. Halte einen Port als Rückfall frei. Wähle einen Port, der in deinem jetzigen Netz ungetaggt bleibt, und stecke vor jeder Änderung einen Laptop per Kabel an.
3. Lege zuerst am Router die VLAN-Schnittstellen, die DHCP-Bereiche und die Firewall-Regeln an. Für deine Geräte ändert sich noch nichts.
4. Lege die VLANs am Switch an, mache den Port zum Router zum Trunk mit allen VLANs getaggt und lasse das bisherige ungetaggte Netz, wie es ist [5]. Speichere die Switch-Konfiguration, denn viele Switches halten Änderungen nur im Speicher, bis du speicherst [7].
5. Setze einen Testport als ungetaggten Access-Port in das IoT-VLAN, stelle seine PVID ein und stecke einen Laptop an [5]. Teste mit den Prüfungen unten, bevor du etwas anderes umziehst.
6. Hänge den Access Point an einen Trunk-Port und lege die SSIDs für IoT und Gäste an, eine nach der anderen [19].
7. Ziehe die echten IoT-Geräte um, danach das Gäste-WLAN. Halte die Anleitungen zum Werksreset von Router und Switch bereit.

Testen

Führe das von einem Laptop im IoT- oder Gäste-VLAN aus. Die Platzhalter stehen für deine eigenen Adressen. Ein Ping allein beweist wenig, weil viele Geräte ihn ignorieren, also teste echte Dienst-Ports.

ip route show default           # via 192.168.30.1: DHCP klappt
nslookup example.org            # Namensauflösung: klappt
curl -I https://example.org     # Internet: klappt
nc -vz -w 3 TRUSTED_NAS_IP 445  # Dateifreigabe des vertrauten NAS: muss scheitern
nc -vz -w 3 ROUTER_IP 443       # Router-Adminseite: muss scheitern

Ein Ping an das Gateway 192.168.30.1 bleibt mit diesen Regeln ohne Antwort, weil Regel 2 auch die eigenen Adressen des Routers erfasst. Von einem Gerät im vertrauten VLAN sollte eine Verbindung zum Web-Port eines IoT-Geräts klappen. Sieh danach ins Firewall-Log: Die blockierten Versuche sollten dort auftauchen.

Prüfliste

• Prüfe, ob Router, Switch und Access Point 802.1Q und mehrere SSIDs unterstützen, bevor du etwas kaufst oder anfängst.
• Notiere VLAN-IDs, Subnetze und Port-Rollen, bevor du eine Einstellung anfasst.
• Halte einen per Kabel verbundenen Laptop an einem Rückfall-Port bereit, solange du den Switch änderst.
• Setze die Block-Regeln für private Bereiche über die Regel „Internet erlauben“ auf den IoT- und Gäste-Schnittstellen.
• Erlaube DNS zu deinem Resolver vor der Block-Regel und sonst nichts, was du nicht benennen kannst.
• Spiegele jede IPv4-Regel für IPv6, oder schalte IPv6 in diesen VLANs ab.
• Beschränke dich auf drei SSIDs je Access Point und schalte die Client-Isolation für Gäste ein.
• Wiederhole mDNS nur zwischen den VLANs, die es brauchen, und erst, nachdem du es ohne versucht hast.
• Teste aus dem IoT- und Gäste-VLAN mit Dienst-Ports und lies das Firewall-Log.
• Speichere die Konfiguration von Switch und Router und lege eine Kopie außerhalb der Geräte ab.