Mikrosegmentierung mit NetBird: Wer darf was erreichen – bis auf den Port
Ein Netz, in dem jedes Gerät jedes andere erreicht, ist bequem – bis ein Gerät übernommen wird. Mikrosegmentierung schränkt das auf das Nötige ein. Dieser Beitrag zeigt, wie das mit NetBird aussieht, ohne dass die Regelwerke unübersichtlich werden.
Das Wichtigste in Kürze
- Mikrosegmentierung heißt: Jedes System erreicht nur die Dienste, die es für seine Aufgabe braucht – auf Port-Ebene, nicht auf Netzebene.
- In NetBird werden dafür Regeln zwischen Gruppen formuliert. Die mitgelieferte Standardregel, die alles mit allem verbindet, gehört als Erstes ersetzt.
- Die eigentliche Arbeit ist nicht die Technik, sondern die Frage, wer tatsächlich mit wem sprechen muss.
Wie ein Mesh-Netz das klassische VPN ablöst, haben wir in Vom VPN zum Mesh beschrieben. Dort ging es um den Zugang von außen. Dieser Beitrag behandelt die Frage, die danach kommt: Wenn alle Geräte in einem gemeinsamen Netz stehen – wer darf dann eigentlich wen erreichen?
In vielen gewachsenen Netzen lautet die ehrliche Antwort: jeder jeden. Das ist bequem und macht Fehlersuche einfach. Es bedeutet aber auch, dass ein einziges übernommenes Gerät die gesamte Umgebung erreicht. Genau das nutzen Verschlüsselungsangriffe, um sich von einem Arbeitsplatz auf die Server auszubreiten.
Was Mikrosegmentierung bedeutet
Klassische Segmentierung trennt Netzbereiche: Büro, Server, Gäste, Produktion. Zwischen den Bereichen regelt die Firewall, was durchdarf. Innerhalb eines Bereichs erreicht aber weiterhin jedes Gerät jedes andere.
Mikrosegmentierung geht eine Stufe feiner. Nicht mehr der Netzbereich ist die Einheit, sondern der einzelne Dienst. Die Buchhaltung erreicht den Datenbankserver auf dem Port der Datenbank – aber nicht dessen Verwaltungsoberfläche, nicht seine Freigaben und nicht den Server daneben. Alles, was nicht ausdrücklich erlaubt ist, ist nicht erreichbar.
Wie Regeln in NetBird aufgebaut sind
NetBird formuliert Zugriffe als Regeln zwischen Gruppen. Jede Regel hat eine Quellgruppe, eine Zielgruppe, ein Protokoll und – wo sinnvoll – bestimmte Ports. Ohne passende Regel kann kein Gerät ein anderes erreichen; das Netz ist grundsätzlich geschlossen.
| Quelle | Ziel | Protokoll / Port | Zweck |
|---|---|---|---|
| Buchhaltung | Warenwirtschaft | TCP auf den Port der Anwendung | Tägliche Arbeit |
| Alle Arbeitsplätze | Namensauflösung | UDP/TCP 53 | Grundfunktion |
| IT-Verwaltung | Server | SSH, RDP, Verwaltungsoberflächen | Administration |
| Maschinenlieferant | Eine Steuerung | Genau ein Port | Fernwartung |
Zusätzlich lassen sich Regeln an den Zustand eines Geräts knüpfen – etwa daran, dass das Betriebssystem aktuell ist oder ein Schutzprogramm läuft. Und für Geräte, auf denen kein NetBird-Dienst installiert werden kann, stellt ein sogenannter Routing-Peer einzelne Adressen oder Adressbereiche im Netz bereit. Auch dafür gelten die Regeln – in diesem Fall nur in einer Richtung, von der Quelle zum Ziel.
Beim Anlegen eines neuen NetBird-Kontos entsteht automatisch eine Regel, die alle Geräte über alle Protokolle miteinander verbindet. Das ist für den ersten Test praktisch – und im Betrieb genau das Netz, das man mit Mikrosegmentierung vermeiden will. Sie gehört ersetzt, sobald die ersten echten Regeln stehen.
Zu sinnvollen Gruppen kommen
Die Qualität eines Regelwerks steht und fällt mit den Gruppen. Zu grob, und die Regeln erlauben mehr als nötig. Zu fein, und niemand überblickt sie mehr. Bewährt hat sich eine Aufteilung nach zwei Achsen:
- Personengruppen nach Aufgabe – Buchhaltung, Vertrieb, Produktion, IT-Verwaltung, externe Dienstleister. Idealerweise kommen sie aus dem vorhandenen Identitätsanbieter, sodass Zuordnungen nicht doppelt gepflegt werden.
- Systemgruppen nach Funktion – Datenbanken, Dateiablage, Verwaltungszugänge, Steuerungen. Ein neuer Datenbankserver erbt dann automatisch die Regeln seiner Gruppe.
Regeln werden zwischen diesen Gruppen formuliert, nie zwischen einzelnen Geräten. Das hält die Zahl der Regeln klein und macht sie lesbar: Eine Regel „Buchhaltung darf die Warenwirtschaft erreichen“ versteht auch jemand, der das Netz nicht aufgebaut hat.
Einführung ohne Stillstand
Wer ein offenes Netz auf einen Schlag schließt, legt am Montagmorgen den Betrieb lahm. Besser ist ein Vorgehen in Stufen:
- Beobachten. Welche Verbindungen gibt es tatsächlich? Die Antwort weicht fast immer von dem ab, was man erwartet.
- Gruppen bilden und die beobachteten Verbindungen als Regeln abbilden.
- Die offene Standardregel entfernen – zunächst für eine überschaubare Gruppe, dann schrittweise für alle.
- Nachschärfen. In den ersten Wochen tauchen Verbindungen auf, die niemand kannte. Jede davon wird bewusst erlaubt oder bewusst nicht.
Aufwand
Die Technik ist in NetBird schnell eingerichtet. Der eigentliche Aufwand liegt in der Bestandsaufnahme und in den Gesprächen mit den Fachabteilungen darüber, was sie tatsächlich brauchen. Das ist keine verlorene Zeit: Die dabei entstehende Übersicht, wer mit wem sprechen muss, ist auch dann wertvoll, wenn die Umsetzung später mit einem anderen Werkzeug erfolgt.
Im laufenden Betrieb verlangt ein Regelwerk Pflege. Neue Anwendungen, neue Dienstleister, neue Standorte – jede Änderung muss sich in den Regeln wiederfinden. Ohne diese Pflege entstehen erfahrungsgemäß schnell wieder breite Ausnahmen, die das Konzept aushöhlen.
Was Mikrosegmentierung nicht ersetzt
- Die Firewall am Netzübergang. Sie schützt die Internetanbindung und filtert den ausgehenden Verkehr. Mit einer OPNsense-Firewall und NetBird ergänzen sich beide Ebenen.
- Die Absicherung der Systeme selbst. Ein Dienst, der erreichbar sein muss, muss auch aktuell und gehärtet sein. Segmentierung verkleinert die Angriffsfläche, sie beseitigt sie nicht – die übrigen Grundmaßnahmen aus IT-Sicherheit im Mittelstand bleiben nötig.
- Geräte ohne eigene Software. Drucker, Kameras und ältere Steuerungen lassen sich über Routing-Peers einbinden, aber untereinander nicht feiner trennen als ihr Netzbereich. Hier bleibt die klassische Segmentierung zuständig.
Fazit
Mikrosegmentierung verwandelt ein Netz, in dem jeder jeden erreicht, in eines, in dem jede Verbindung einen Grund hat. NetBird macht die technische Umsetzung vergleichsweise einfach: Regeln zwischen Gruppen, grundsätzlich geschlossen, bis auf den Port genau. Der Aufwand liegt in der Bestandsaufnahme – und die lohnt sich unabhängig davon, womit am Ende segmentiert wird.
Wir planen und setzen solche Regelwerke um, siehe Netzwerk & IT-Sicherheit.
