---
id: "11.1"
titel: Ein Gästenetz im Testaufbau einrichten
woche: 11
block: netzwerk
ziel: Du richtest im Testaufbau ein Gästenetz mit eigenem VLAN, Subnetz, DHCP, Firewallregeln und Funknetz ein und weist nach, dass Gäste ins Internet kommen, aber kein internes Netz erreichen.
zeitrahmen: 7 Stunden
rahmenplan: [B2, A6, A5, B1]
lernfeld: LF9
material:
  - Testswitch mit VLAN-Unterstützung
  - Testfirewall (z. B. OPNsense oder pfSense, auch als VM) mit Internetzugang
  - Ein Access Point, der mehrere Funknetze mit VLAN-Zuordnung kann
  - Zwei Testgeräte, eines davon ein Smartphone oder Notebook mit WLAN
  - Netzplan und VLAN-Übersicht des Testaufbaus
kriterien:
  - Ein Plan mit VLAN-ID, Subnetz, Gateway, DHCP-Bereich und Firewallregeln lag vor der Umsetzung vor
  - Switchports sind nach Plan als Access- bzw. Trunk-Port konfiguriert, auf dem Trunk sind nur die benötigten VLANs zugelassen
  - Ein Gastgerät erhält per DHCP eine Adresse aus dem Gästenetz
  - Ein Gastgerät erreicht Internetseiten über den Namen
  - Ein Gastgerät erreicht weder ein internes Netz noch die Verwaltungsoberfläche von Firewall, Switch oder Access Point – nachgewiesen mit Ping und Browser
  - Zwei Gastgeräte erreichen sich nicht gegenseitig
  - Jede Firewallregel hat eine Beschreibung mit Zweck
  - Netzplan und VLAN-Übersicht sind aktualisiert
---

## Auftrag

Für Besucher und Lieferanten soll es ein Funknetz geben, das ins Internet führt und sonst
nirgendwohin. Du baust es im Testaufbau.

1. **Planen:** VLAN-ID, Subnetz, Gateway auf der Firewall, DHCP-Bereich, DNS. Schreib die
   Firewallregeln in der Reihenfolge auf, in der sie stehen sollen – siehe Handout N6.
2. **Switch:** VLAN anlegen, Port zur Firewall und Port zum Access Point als Trunk mit den
   benötigten VLANs.
3. **Firewall:** Schnittstelle für das VLAN, Gateway-Adresse, DHCP, Regeln.
4. **Access Point:** Funknetz „Gast" mit WPA2/WPA3-Personal, Zuordnung zu VLAN 90, Isolation
   der Endgeräte.
5. **Nachweisen:** Mit einem Gastgerät Adresse prüfen, Internetseite öffnen, interne Adressen
   und die Verwaltungsoberflächen anpingen und im Browser aufrufen – das muss scheitern. Mit
   zwei Gastgeräten prüfen, dass sie sich nicht erreichen.
6. **Dokumentieren:** Plan mit den tatsächlichen Werten, Netzplan und VLAN-Übersicht
   aktualisieren.

## Worauf es ankommt

Der Nachweis, was **nicht** geht, ist wichtiger als der, was geht. Dass ein Gast ins Internet
kommt, merkt jeder. Dass er auch die Verwaltungsoberfläche der Firewall aufrufen kann, merkt
man erst, wenn es jemand ausprobiert – und dann besser du.

## Zeit

Sieben Stunden. Teste nach jedem Schritt, nicht erst am Ende – ein falsch eingestellter
Trunk ist nach dem Einrichten der Firewall nur noch schwer zu finden.