Firewall & Netzwerk (C:)

Die Firewall ist der Übergabepunkt aller Netze – nach außen ins Internet und nach innen zwischen den Zonen. Deshalb gibt es sie bei uns nicht zu kaufen, sondern als Monatspauschale inklusive Gerät und Ersatzgerätevorhaltung, in zwei Stufen.

Welche Stufe und Hardware-Ausstattung (12×10G oder 4×10G + 16×1G) zu Ihrem Betrieb passt, klärt die kostenlose Bestandsaufnahme. Alle Preise netto pro Monat, monatlich kündbar.

Inklusive

In der Monatspauschale enthalten

• Fernüberwachung aller Funktionen
• Netzwerkmanagement inklusive Zonen und VLANs
• Zentral verwaltetes Hotspot-System für Gäste
• Verwaltung mehrerer WLAN-Netzwerke
• Automatisiertes Backup der Konfiguration
• Site-VPN zwischen Standorten (bei statischer IP an einem Standort)
• Teleworker-VPN für Homeoffice und Außendienst (bei statischer IP)
• Installation aller Sicherheitsupdates
• Ersatzgerätevorhaltung
• Redundantes Netzteil und Rackmount-Kit
• 802.1X-RADIUS-Server (MAC-Authentifizierung)
• Lizenzen: DNS-Level-Webprotection und IP-Blacklist-Filter

Netzzonen

Netzwerksegmentierung: Brandabschnitte für Ihr Netz

In vielen Betrieben ist das Netzwerk historisch gewachsen: ein flaches Netz, in dem jedes Gerät jedes andere erreicht – der Rechner in der Buchhaltung genauso wie die Maschinensteuerung, der Drucker, die Kamera im Lager und das Gäste-WLAN. Wird ein einziges Gerät übernommen, ist der Rest nur einen Schritt entfernt. Segmentierung zieht Wände ein: Jeder Bereich wird zu einem eigenen Abschnitt, und die Firewall entscheidet, was dazwischen erlaubt ist.

Segmentierte Zonen statt eines flachen Netzes

Wir teilen das Netz nach Aufgaben auf – typisch sind Büro, Server, Produktion, Gäste, Gebäudetechnik und Drucker. Innerhalb einer Zone dürfen die Geräte miteinander reden, zwischen den Zonen nur das, was ausdrücklich freigegeben ist.

Produktion und Büro trennen (OT/IT)

Steuerungen, Bedienpanels und Messtechnik laufen oft mit Software, die der Hersteller nicht mehr aktualisiert und die keine Schutzsoftware verträgt. Diese Geräte gehören in eine eigene Zone mit sehr engen Regeln: Sie erreichen genau die Systeme, die sie brauchen, und sonst nichts. Die laufende Überwachung dieser Geräte kostet 2,50 € je Gerät und Monat.

Gäste, Fremdgeräte und Fernwartung

Das Gäste-WLAN führt ins Internet, nicht ins Firmennetz. Fernwartungszugänge von Maschinen- und Softwareherstellern begrenzen wir auf ihr Ziel und öffnen sie nur bei Bedarf. Mit 802.1X prüft jede Netzwerkdose, wer sich dort anstecken will; unbekannte Geräte landen automatisch in einer Zone ohne Rechte.

Wie die Umstellung abläuft

Zuerst die Bestandsaufnahme: Welche Geräte gibt es, wer muss mit wem sprechen? Daraus entsteht ein Zonenplan, der Zone für Zone umgesetzt wird – mit Beobachtungsphase, ohne Stillstand am Umstellungstag. Der laufende Betrieb der Zonen steckt in der Firewall-Miete; der Umbau selbst ist eine Systemänderung nach Aufwand, vorab abgestimmt.

802.1X-Zugang

802.1X: Das Netzwerk konfiguriert sich selbst

Jedes angesteckte Gerät wird am Switch erkannt und automatisch dem richtigen Netz zugewiesen – Unbekanntes bleibt draußen. Der 802.1X-RADIUS-Server ist in der Firewall-Pauschale bereits enthalten.

Bekannte Geräte landen automatisch im richtigen Netz – an jeder Dose im Betrieb.

1. Etikettendrucker angesteckt – Dose 7, Lager
2. Switch: neues Gerät an Port 12 – MAC 00:1B:44:…:42
3. Anfrage an den RADIUS-Server auf der Firewall
4. RADIUS: Gerät bekannt → Access-Accept
5. Port 12 → VLAN Produktion – Gerät online

✕ Unbekannte Geräte bleiben draußen – und das NOC erfährt sofort davon.

1. Unbekanntes Notebook angesteckt – Dose 3, Besprechungsraum
2. Switch: neues Gerät an Port 3 – MAC 8C:F5:2B:…:A1
3. Anfrage an den RADIUS-Server auf der Firewall
4. RADIUS: Gerät unbekannt → Access-Reject
5. Port bleibt blockiert – kein Zugriff aufs Firmennetz
6. NOC informiert – Ticket #4711 erstellt

Was dabei passiert

1. Ein Gerät wird an eine Netzwerkdose gesteckt. Der Switch meldet es mit seiner Kennung an den RADIUS-Server auf der Firewall.
2. Ist das Gerät im Inventar bekannt, schaltet der Switch den Port in die passende Netzzone – Büro, Produktion, Drucker, Haustechnik. Nichts muss im Patchfeld umgesteckt werden.
3. Ist es unbekannt, bleibt der Port blockiert oder landet in einer Zone ohne Rechte. Das Monitoring erzeugt ein Ticket, und wir sehen nach, was da angesteckt wurde.

Was es im Alltag bringt

• Monteure, Besucher und private Notebooks kommen über eine freie Dose nicht ins Firmennetz – auch nicht im Besprechungsraum oder in der Halle.
• Ein Gerät zieht um, ohne dass jemand im Serverraum umstecken muss: Die Zone folgt dem Gerät, nicht der Dose.
• Jedes neue Gerät wird sichtbar, bevor es Schaden anrichten kann – das „vergessene Gerät“ aus dem Risiko-Minensucher gibt es so nicht mehr.

Voraussetzung sind verwaltete Switches und ein gepflegtes Inventar; beides ist Teil der Bestandsaufnahme.

Spielregeln

Die Spielregeln – ohne Kleingedrucktes

Inklusive: Anpassungen der Firewall-Regeln nach Softwareupdates sowie geringfügige Änderungen auf Ihren Wunsch (bis 15 Minuten) – etwa eine Portfreigabe für ein neues Gerät oder ein zusätzlicher VPN-Zugang.

Nach Aufwand: Änderungen und Erweiterungen der Infrastruktur – neue Zonen, neue Standorte, Umbauten – verrechnen wir transparent und vorab abgestimmt, mit einem Mindestsatz von 15 Minuten.

Fair bleibt fair: Keine Mindestvertragslaufzeit – gekündigt werden kann immer zum Ende der Verrechnungsperiode. Schäden durch äußere Einflüsse (Blitz, Wasser, mutwillige Beschädigung) sind vom Service nicht finanziell abgedeckt. Bei einem Technologiesprung behalten wir uns eine Preisanpassung vor – immer angekündigt, nie stillschweigend.

Unser Fernzugriff auf Ihre Firewall: nur bei Bedarf freigeschaltet, zeitlich begrenzt, einer Person zugeordnet und protokolliert.