Guides · Netzwerk
VLANs im Heimnetz trotz FritzBox: So segmentierst du dein Netzwerk
Die FritzBox kann kein VLAN-Tagging — Segmentierung geht trotzdem. Was VLANs bringen, welche Hardware du brauchst und wie ein sinnvoller VLAN-Plan fürs Homelab aussieht.
Veröffentlicht:
Netzwerksegmentierung ist der größte einzelne Sicherheitsgewinn im Heimnetz: IoT-Geräte, Server, Familie und Gäste in getrennte Netze — und dazwischen regelt eine Firewall, wer mit wem reden darf. Das Problem: Die FritzBox unterstützt kein VLAN-Tagging (802.1Q). Dieser Guide zeigt, wie Segmentierung trotzdem funktioniert.
Was ein VLAN ist — in zwei Sätzen
Ein VLAN teilt einen physischen Switch in mehrere logische Netze: Pakete bekommen eine Markierung (Tag, 802.1Q), und nur Ports, die dem VLAN zugeordnet sind, sehen diesen Verkehr. Damit fährst du über ein Kabel mehrere getrennte Netze — z. B. Server, IoT und Gäste.
Warum die FritzBox dabei nicht mitspielt
Die FritzBox kennt genau zwei Trennungen: ihr Heimnetz und das Gastnetz. Getaggte VLANs kann sie weder erstellen noch weiterleiten. Die Konsequenz ist nicht „keine VLANs“, sondern: Das Routing zwischen VLANs übernimmt ein anderes Gerät — typischerweise eine OPNsense (siehe unseren Guide OPNsense hinter der FritzBox) oder ein Layer-3-fähiger Router. Die FritzBox bleibt reines Internet-Gateway davor.
Die Hardware-Zutaten
- Ein Managed Switch mit 802.1Q-Support — schon günstige Smart-Managed-Switches (8 Ports) reichen fürs Homelab.
- Ein Router/Firewall, der Tagging spricht — OPNsense (auch als VM), alternativ ein Layer-3-Switch für reines Inter-VLAN-Routing.
- Optional: Access Points mit Multi-SSID + VLAN-Mapping, damit auch WLAN-Geräte je SSID in verschiedenen VLANs landen.
Ein bewährter VLAN-Plan fürs Homelab
| VLAN | Zweck | Beispiel-Subnetz |
|---|---|---|
| 10 | Management (Switch, Proxmox, IPMI) | 192.168.10.0/24 |
| 20 | Trusted / Familie | 192.168.20.0/24 |
| 30 | Server / Selfhosting | 192.168.30.0/24 |
| 40 | IoT / Smart Home | 192.168.40.0/24 |
| 50 | Gäste | 192.168.50.0/24 |
Die Firewall-Grundregeln dazu:
- Gäste und IoT dürfen ins Internet, aber nicht in andere VLANs.
- Trusted darf auf Server-Dienste zugreifen (gezielt per Portregel, nicht pauschal).
- Management ist nur aus Trusted erreichbar — und idealerweise nur von bestimmten Geräten.
- IoT-Geräte, die von Home Assistant gesteuert werden, erlauben gezielt eingehende Verbindungen vom Home-Assistant-Server, nicht umgekehrt pauschal ins Servernetz.
Trunk und Access: die zwei Port-Typen
Am Switch konfigurierst du zwei Arten von Ports:
- Access-Ports gehören genau einem VLAN, Pakete verlassen den Port untagged — hier steckt der normale Client an.
- Trunk-Ports transportieren mehrere VLANs getaggt — sie verbinden Switch ↔ Router, Switch ↔ Switch und Switch ↔ Access Point.
Typischer Anfängerfehler: das Management-VLAN vom Trunk nehmen und sich damit selbst vom Switch aussperren. Konfiguriere die Management-Erreichbarkeit zuerst und teste jede Änderung mit einem zweiten Weg zum Gerät.
Und ganz ohne VLAN-Hardware?
Wenn ein Managed Switch (noch) nicht drin ist, gibt es zwei ehrliche Zwischenlösungen: das FritzBox-Gastnetz für IoT-Geräte (grobe, aber echte Trennung) — oder physische Trennung über einen zweiten Access Point und separate Ports am Router. Beides ersetzt keine echte Segmentierung, ist aber besser als ein flaches Netz, in dem die Billig-Kamera neben dem NAS steht.