VLANs im Heimnetz trotz FritzBox: So segmentierst du dein Netzwerk

Kurz gesagt: Die FritzBox unterstützt kein VLAN-Tagging (802.1Q) — Segmentierung klappt trotzdem: Ein Managed Switch übernimmt die VLANs, eine OPNsense oder ein Layer-3-Router das Routing dazwischen, und die FritzBox bleibt reines Internet-Gateway davor.

Netzwerksegmentierung ist der größte einzelne Sicherheitsgewinn im Heimnetz: IoT-Geräte, Server, Familie und Gäste in getrennte Netze — und dazwischen regelt eine Firewall, wer mit wem reden darf. Das Problem: Die FritzBox unterstützt kein VLAN-Tagging (802.1Q). Dieser Guide zeigt, wie Segmentierung trotzdem funktioniert.

Was ein VLAN ist — in zwei Sätzen #

Ein VLAN teilt einen physischen Switch in mehrere logische Netze: Pakete bekommen eine Markierung (Tag, 802.1Q), und nur Ports, die dem VLAN zugeordnet sind, sehen diesen Verkehr. Damit fährst du über ein Kabel mehrere getrennte Netze — z. B. Server, IoT und Gäste.

Warum die FritzBox dabei nicht mitspielt #

Die FritzBox kennt genau zwei Trennungen: ihr Heimnetz und das Gastnetz. Getaggte VLANs kann sie weder erstellen noch weiterleiten. Die Konsequenz ist nicht „keine VLANs“, sondern: Das Routing zwischen VLANs übernimmt ein anderes Gerät — typischerweise eine OPNsense (siehe unseren Guide OPNsense hinter der FritzBox) oder ein Layer-3-fähiger Router. Die FritzBox bleibt reines Internet-Gateway davor.

Die Hardware-Zutaten #

1. Ein Managed Switch mit 802.1Q-Support — schon günstige Smart-Managed-Switches (8 Ports) reichen fürs Homelab.
2. Ein Router/Firewall, der Tagging spricht — OPNsense (auch als VM), alternativ ein Layer-3-Switch für reines Inter-VLAN-Routing.
3. Optional: Access Points mit Multi-SSID + VLAN-Mapping, damit auch WLAN-Geräte je SSID in verschiedenen VLANs landen.

Ein bewährter VLAN-Plan fürs Homelab #

Falls dir die /24-Schreibweise noch nichts sagt: Der Subnetz-Rechner erklärt Netzadresse, Broadcast und nutzbare Hosts an genau diesen Beispielnetzen.

Die Firewall-Grundregeln dazu:

• Gäste und IoT dürfen ins Internet, aber nicht in andere VLANs.
• Trusted darf auf Server-Dienste zugreifen (gezielt per Portregel, nicht pauschal).
• Management ist nur aus Trusted erreichbar — und idealerweise nur von bestimmten Geräten.
• IoT-Geräte, die von Home Assistant gesteuert werden, erlauben gezielt eingehende Verbindungen vom Home-Assistant-Server, nicht umgekehrt pauschal ins Servernetz.

Trunk und Access: die zwei Port-Typen #

Am Switch konfigurierst du zwei Arten von Ports:

• Access-Ports gehören genau einem VLAN, Pakete verlassen den Port untagged — hier steckt der normale Client an.
• Trunk-Ports transportieren mehrere VLANs getaggt — sie verbinden Switch ↔ Router, Switch ↔ Switch und Switch ↔ Access Point.

Typischer Anfängerfehler: das Management-VLAN vom Trunk nehmen und sich damit selbst vom Switch aussperren. Konfiguriere die Management-Erreichbarkeit zuerst und teste jede Änderung mit einem zweiten Weg zum Gerät.

Und ganz ohne VLAN-Hardware? #

Wenn ein Managed Switch (noch) nicht drin ist, gibt es zwei ehrliche Zwischenlösungen: das FritzBox-Gastnetz für IoT-Geräte (grobe, aber echte Trennung) — oder physische Trennung über einen zweiten Access Point und separate Ports am Router. Beides ersetzt keine echte Segmentierung, ist aber besser als ein flaches Netz, in dem die Billig-Kamera neben dem NAS steht.