MikroTik VLAN-Konfiguration — Anleitung für kleines Büro

Netzwerksegmentierung mit VLANs ist eine der günstigsten und effektivsten Sicherheitsmaßnahmen im Büro. Mit einem MikroTik-Router können Sie Gäste-WLAN, IoT, Mitarbeiter und Server in unter 30 Minuten isolieren. Diese Anleitung nutzt „Bridge VLAN Filtering" auf RouterOS 7.

Ziel-Topologie

• VLAN 10 — Management
• VLAN 20 — Mitarbeiter
• VLAN 30 — Gäste-WLAN (nur Internet)
• VLAN 40 — IoT
• VLAN 50 — Server

Schritt 1: Bridge vorbereiten

/interface bridge
add name=bridge1 vlan-filtering=no protocol-mode=none

Schritt 2: Ports hinzufügen

/interface bridge port
add bridge=bridge1 interface=ether2 frame-types=admit-only-vlan-tagged
add bridge=bridge1 interface=ether3 pvid=20
add bridge=bridge1 interface=ether4 pvid=40
add bridge=bridge1 interface=ether5 pvid=50

Schritt 3: VLANs auf Bridge definieren

/interface bridge vlan
add bridge=bridge1 vlan-ids=10 tagged=bridge1,ether2
add bridge=bridge1 vlan-ids=20 tagged=bridge1,ether2 untagged=ether3
add bridge=bridge1 vlan-ids=30 tagged=bridge1,ether2
add bridge=bridge1 vlan-ids=40 tagged=bridge1,ether2 untagged=ether4
add bridge=bridge1 vlan-ids=50 tagged=bridge1,ether2 untagged=ether5

Schritt 4: VLAN-Interfaces

/interface vlan
add interface=bridge1 name=vlan10-mgmt vlan-id=10
add interface=bridge1 name=vlan20-staff vlan-id=20
add interface=bridge1 name=vlan30-guest vlan-id=30
add interface=bridge1 name=vlan40-iot vlan-id=40
add interface=bridge1 name=vlan50-servers vlan-id=50

Schritt 5: IPs + DHCP

/ip address
add address=10.10.10.1/24 interface=vlan10-mgmt
add address=10.10.20.1/24 interface=vlan20-staff
add address=10.10.30.1/24 interface=vlan30-guest
add address=10.10.40.1/24 interface=vlan40-iot
add address=10.10.50.1/24 interface=vlan50-servers

Schritt 6: Firewall

/ip firewall filter
add chain=forward action=accept connection-state=established,related
add chain=forward action=drop in-interface=vlan30-guest out-interface-list=!WAN
add chain=forward action=drop in-interface=vlan40-iot out-interface=vlan20-staff
add chain=forward action=accept in-interface=vlan20-staff out-interface=vlan50-servers

Schritt 7: VLAN Filtering aktivieren

/interface bridge set bridge1 vlan-filtering=yes

Häufige Fehler

• VLAN-Filtering vor den Regeln aktivieren → Aussperrung.
• Trunk-Port ohne passende getaggte VLANs.
• Gleiche VLAN-ID mit zwei pvids → Loops.
• Keine Gast-Isolation → echtes Sicherheitsrisiko.

Hilfe nötig? MikroTik-Konfiguration umfasst Design, Installation, Monitoring und Schulung. Kontakt.