March 29, 2026

24.3 Fragen zu ACLs und Segmentierung mit ausführlichen Lösungen

Access Control Lists und Netzwerksegmentierung gehören zu den wichtigsten Grundlagen moderner Netzwerksicherheit. Gerade in kleinen und mittleren Unternehmensnetzen entscheiden sie darüber, ob sich Benutzer, Server, Drucker, Management-Systeme und Gäste sauber voneinander trennen lassen oder ob ein flaches Netz mit unnötig großer Angriffsfläche entsteht. Für Lernende im CCNA- und Cybersecurity-Umfeld sind ACLs und Segmentierung deshalb zentrale Prüfungsthemen. Gleichzeitig gehören sie zu den Bereichen, in denen besonders viele Missverständnisse auftreten: VLANs werden mit Zugriffskontrolle verwechselt, ACLs falsch gelesen, Regeln in die falsche Richtung angewendet oder implizite Sperren übersehen. Fragen zu ACLs und Segmentierung mit ausführlichen Lösungen sind deshalb besonders wertvoll, weil sie nicht nur Fakten abprüfen, sondern die technische Logik hinter Kommunikationspfaden, Sicherheitszonen und Richtlinien sichtbar machen. Genau darum geht es in diesem Artikel: zentrale Fragen, klare Antworten und fachlich saubere Einordnung im praktischen Netzwerkbetrieb.

Table of Contents

Warum ACLs und Segmentierung zusammen gelernt werden sollten

Segmentierung und ACLs wirken im Netzwerk eng zusammen, erfüllen aber nicht dieselbe Aufgabe. Segmentierung trennt Netzbereiche logisch oder physisch voneinander. ACLs steuern anschließend, welche Kommunikation zwischen diesen Bereichen erlaubt oder blockiert wird. Wer nur VLANs konfiguriert, schafft zunächst getrennte Broadcast-Domänen. Wer Inter-VLAN-Routing aktiviert, verbindet diese Bereiche wieder auf Layer 3. Erst ACLs oder Firewalls begrenzen dann die Kommunikation gezielt.

Gerade in der Prüfung ist diese Abgrenzung entscheidend. Viele Aufgaben testen, ob verstanden wurde, dass Trennung allein noch keine vollständige Zugriffskontrolle bedeutet.

Wichtige Grundgedanken

VLANs trennen Layer-2-Bereiche
Routing verbindet unterschiedliche Netze
ACLs kontrollieren den Verkehr zwischen Netzen
Segmentierung reduziert Angriffsfläche
ACLs setzen Sicherheitsrichtlinien technisch um

Fragen zu VLANs und Segmentierung mit Lösungen

Frage 1

Welche Aussage beschreibt die Hauptfunktion eines VLANs am besten?

A) Ein VLAN verschlüsselt automatisch den Datenverkehr zwischen Hosts
B) Ein VLAN trennt ein physisches Netzwerk logisch in mehrere Broadcast-Domänen
C) Ein VLAN ersetzt Routing zwischen Netzsegmenten
D) Ein VLAN verhindert grundsätzlich jeden Verkehr zwischen Hosts

Lösung: B) Ein VLAN trennt ein physisches Netzwerk logisch in mehrere Broadcast-Domänen

Ausführliche Erklärung: Ein VLAN schafft eine logische Layer-2-Trennung. Hosts in unterschiedlichen VLANs befinden sich in getrennten Broadcast-Domänen und können ohne Routing nicht direkt miteinander kommunizieren. VLANs sind damit ein zentraler Baustein der Segmentierung. Sie verschlüsseln keinen Verkehr, ersetzen kein Routing und blockieren nicht grundsätzlich jede Kommunikation, da Inter-VLAN-Routing diese Verbindung später wieder ermöglichen kann.

Frage 2

Warum reicht VLAN-Segmentierung allein in sicherheitskritischen Netzwerken meist nicht aus?

A) Weil VLANs nur in WLANs funktionieren
B) Weil VLANs keine IP-Adressen unterstützen
C) Weil nach aktiviertem Routing zusätzliche Regeln nötig sind, um Kommunikation gezielt zu steuern
D) Weil VLANs keine Trunks unterstützen

Lösung: C) Weil nach aktiviertem Routing zusätzliche Regeln nötig sind, um Kommunikation gezielt zu steuern

Ausführliche Erklärung: VLANs trennen Hosts zunächst auf Layer 2. Sobald jedoch Routing zwischen VLANs eingerichtet wird, können Hosts aus verschiedenen Segmenten grundsätzlich wieder miteinander kommunizieren. Damit aus bloßer Trennung echte Sicherheitskontrolle entsteht, werden ACLs oder Firewalls benötigt. Genau deshalb gehören Segmentierung und Zugriffskontrolle immer zusammen.

Frage 3

Welches Segment sollte in einem typischen Unternehmensnetz besonders restriktiv erreichbar sein?

A) Client-VLAN
B) Drucker-VLAN
C) Management-VLAN
D) Voice-VLAN

Lösung: C) Management-VLAN

Ausführliche Erklärung: Das Management-VLAN enthält typischerweise die Verwaltungsadressen von Routern, Switches, Firewalls oder Access Points. Ein unkontrollierter Zugriff auf diesen Bereich ist besonders kritisch, weil damit direkte Kontrolle über die Infrastruktur möglich wäre. In der Praxis sollte der Zugriff auf das Management-Netz auf wenige autorisierte Administrator-Systeme oder Bastion-Hosts begrenzt werden.

Frage 4

Welche Aussage zur Segmentierung ist fachlich korrekt?

A) Segmentierung ist nur in großen Rechenzentren sinnvoll
B) Segmentierung reduziert die Angriffsfläche und erschwert laterale Bewegung
C) Segmentierung ersetzt Monitoring vollständig
D) Segmentierung ist nur für Gäste-WLANs relevant

Lösung: B) Segmentierung reduziert die Angriffsfläche und erschwert laterale Bewegung

Ausführliche Erklärung: Einer der größten praktischen Vorteile von Segmentierung ist die Begrenzung der Ausbreitung eines Vorfalls. Ein kompromittierter Host kann sich in einem sauber segmentierten Netz nicht ohne Weiteres auf Server, Management-Bereiche oder andere Abteilungen ausbreiten. Segmentierung ersetzt aber weder Monitoring noch Logging oder sichere Administration.

Fragen zu ACL-Grundlagen mit Lösungen

Frage 5

Wie werden ACL-Regeln verarbeitet?

A) Von unten nach oben, letzte Regel zuerst
B) Zufällig je nach Interface-Auslastung
C) Von oben nach unten, erste passende Regel greift
D) Nur jede zweite Regel wird geprüft

Lösung: C) Von oben nach unten, erste passende Regel greift

Ausführliche Erklärung: ACLs werden sequentiell ausgewertet. Sobald ein Paket auf die erste passende Regel trifft, wird die Entscheidung getroffen. Genau deshalb ist die Reihenfolge entscheidend. Eine zu allgemein formulierte Regel am Anfang kann spätere, eigentlich gewünschte Regeln wirkungslos machen.

Frage 6

Was gilt standardmäßig am Ende einer ACL, wenn kein explizites Permit greift?

A) permit any any
B) implicit deny
C) NAT overload
D) automatic routing permit

Lösung: B) implicit deny

Ausführliche Erklärung: Jede ACL endet logisch mit einem impliziten Verbot für nicht explizit erlaubten Verkehr. Dieses „deny any“ muss nicht sichtbar in der Konfiguration stehen, wirkt aber dennoch. Genau das ist eine der häufigsten Fehlerquellen in Labs und Prüfungen.

Frage 7

Welche Aussage beschreibt den Unterschied zwischen Standard ACL und Extended ACL am besten?

A) Standard ACLs prüfen typischerweise nur die Quelladresse, Extended ACLs zusätzlich Ziel, Protokoll und Ports
B) Standard ACLs funktionieren nur in VLANs, Extended ACLs nur auf Routern
C) Extended ACLs können keine TCP- oder UDP-Ports filtern
D) Standard ACLs sind immer sicherer als Extended ACLs

Lösung: A) Standard ACLs prüfen typischerweise nur die Quelladresse, Extended ACLs zusätzlich Ziel, Protokoll und Ports

Ausführliche Erklärung: Standard ACLs sind grober und betrachten im Wesentlichen die Quelle. Extended ACLs sind deutlich präziser, weil sie Zielnetz, Protokoll und Port berücksichtigen können. Für segmentierte Netzwerke mit konkreten Sicherheitsregeln sind Extended ACLs fast immer die sinnvollere Wahl.

Frage 8

Welche Aussage zu Extended ACLs ist aus Security-Sicht besonders wichtig?

A) Sie werden nur für Layer-1-Probleme genutzt
B) Sie erlauben eine gezielte Steuerung von Diensten zwischen Netzsegmenten
C) Sie ersetzen VLANs vollständig
D) Sie funktionieren nur ohne Routing

Lösung: B) Sie erlauben eine gezielte Steuerung von Diensten zwischen Netzsegmenten

Ausführliche Erklärung: Extended ACLs können etwa erlauben, dass Clients auf einen Webserver per TCP 443 zugreifen, während SSH, SMB oder ICMP blockiert bleiben. Diese Präzision macht sie zu einem Kernwerkzeug moderner Zugriffskontrolle.

Fragen zur Richtung und Platzierung von ACLs

Frage 9

Was bedeutet es, wenn eine ACL „inbound“ auf einem Interface angewendet wird?

A) Sie prüft Verkehr, nachdem er das Interface verlassen hat
B) Sie prüft Verkehr, wenn er am Interface ankommt
C) Sie wirkt nur auf Broadcasts
D) Sie wirkt nur auf Management-Verkehr

Lösung: B) Sie prüft Verkehr, wenn er am Interface ankommt

Ausführliche Erklärung: „Inbound“ bedeutet, dass die ACL Pakete bewertet, sobald sie in das Interface eintreten. Das ist in Router-on-a-Stick- oder SVI-Szenarien besonders wichtig, weil damit genau kontrolliert werden kann, welcher Verkehr aus einem Segment überhaupt weiterverarbeitet werden darf.

Frage 10

Warum ist die richtige Platzierung einer ACL sicherheitsrelevant?

A) Weil ACLs sonst keine Syntaxprüfung durchlaufen
B) Weil dieselbe Regel an falscher Stelle die gewünschte Kommunikation nicht oder zu breit beeinflussen kann
C) Weil ACLs nur auf Access-Ports funktionieren
D) Weil ACLs automatisch VLAN-Namen ändern

Lösung: B) Weil dieselbe Regel an falscher Stelle die gewünschte Kommunikation nicht oder zu breit beeinflussen kann

Ausführliche Erklärung: Eine ACL kann logisch korrekt formuliert sein und trotzdem unerwünschte Ergebnisse liefern, wenn sie am falschen Interface oder in der falschen Richtung eingesetzt wird. In Prüfungen wird genau dieser Unterschied häufig abgefragt. Sicherheit bedeutet nicht nur richtige Regeln, sondern auch richtige Einbindung in den Verkehrsfluss.

Frage 11

Welcher Denkfehler ist bei ACLs besonders häufig?

A) Zu glauben, dass VLANs unabhängig von Routing arbeiten
B) Zu vergessen, dass Regeln nach der ersten passenden Zeile nicht weiter geprüft werden
C) Zu glauben, dass ARP auf Layer 2 arbeitet
D) Zu denken, dass SSH verschlüsselt ist

Lösung: B) Zu vergessen, dass Regeln nach der ersten passenden Zeile nicht weiter geprüft werden

Ausführliche Erklärung: Dieser Fehler führt besonders oft dazu, dass später definierte Regeln nie wirksam werden. Wenn etwa eine allgemeine Permit-Regel vor einer spezifischen Deny-Regel steht, greift die Deny-Regel niemals. Genau deshalb ist ACL-Logik stark reihenfolgeabhängig.

Praxisfragen zu Segmentierungsszenarien mit Lösungen

Frage 12

Ein Unternehmen betreibt folgende VLANs: VLAN 10 Clients, VLAN 20 Server, VLAN 40 Management. Clients sollen auf einen Webserver in VLAN 20 zugreifen dürfen, aber niemals auf VLAN 40. Welche Maßnahme ist am sinnvollsten?

A) Alle VLANs per Trunk zusammenführen und auf ACLs verzichten
B) Eine Extended ACL erstellen, die Management-Zugriffe blockiert und nur notwendige Serverdienste erlaubt
C) Das Management-VLAN in dasselbe Subnetz wie Clients verschieben
D) Nur DHCP Snooping aktivieren

Lösung: B) Eine Extended ACL erstellen, die Management-Zugriffe blockiert und nur notwendige Serverdienste erlaubt

Ausführliche Erklärung: Dieses Szenario ist klassisch für Segmentierung und Zugriffskontrolle. Die VLANs sorgen für die logische Trennung. Sobald Routing zwischen den VLANs aktiv ist, muss eine ACL definieren, dass Clients nur bestimmte Dienste zum Servernetz nutzen dürfen und das Management-Netz vollständig gesperrt bleibt. DHCP Snooping schützt dagegen nicht diese Kommunikationsbeziehung.

Frage 13

Welcher Ansatz ist für ein Gäste-VLAN fachlich am sinnvollsten?

A) Gäste erhalten freien Zugriff auf Server- und Management-Netze
B) Gäste werden in einem eigenen Segment betrieben und erhalten nur definierte Kommunikation, typischerweise Richtung Internet
C) Gäste werden im Drucker-VLAN mitgeführt
D) Gäste erhalten nur Zugriff, wenn kein ACL-Eintrag vorhanden ist

Lösung: B) Gäste werden in einem eigenen Segment betrieben und erhalten nur definierte Kommunikation, typischerweise Richtung Internet

Ausführliche Erklärung: Ein Gäste-VLAN sollte klar vom internen Netz getrennt sein. In der Praxis bedeutet das meist eigenes Subnetz, eigene DHCP-Zuweisung und restriktive ACLs oder Firewall-Regeln, die interne Ressourcen sperren. Genau dieses Modell reduziert das Risiko durch nicht verwaltete oder fremde Geräte.

Frage 14

Warum ist ein Drucker- oder IoT-VLAN aus Sicherheitsgründen sinnvoll?

A) Weil Drucker immer Routing übernehmen
B) Weil solche Geräte oft nur wenige definierte Kommunikationsbeziehungen benötigen und daher separat kontrolliert werden sollten
C) Weil IoT-Geräte grundsätzlich keine IP-Adressen nutzen
D) Weil Drucker keine MAC-Adressen haben

Lösung: B) Weil solche Geräte oft nur wenige definierte Kommunikationsbeziehungen benötigen und daher separat kontrolliert werden sollten

Ausführliche Erklärung: Drucker, Kameras, Scanner oder andere Spezialgeräte haben häufig einen geringeren Härtungsgrad als klassische Clients oder Server. Sie sollten deshalb in eigene Segmente ausgelagert werden, um unnötige Kommunikationspfade zu vermeiden und das Risiko lateraler Bewegung zu reduzieren.

Fragen zu ACL-Regeln mit Beispielkonfigurationen

Frage 15

Gegeben ist folgende ACL:

ip access-list extended CLIENT_FILTER
 deny ip 192.168.10.0 0.0.0.255 192.168.40.0 0.0.0.255
 permit tcp 192.168.10.0 0.0.0.255 host 192.168.20.10 eq 443
 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
 permit ip any any

Welche Aussage ist korrekt?

A) Clients aus 192.168.10.0/24 dürfen das gesamte Servernetz frei nutzen
B) Clients aus 192.168.10.0/24 dürfen das Management-Netz erreichen
C) Clients aus 192.168.10.0/24 dürfen nur HTTPS zu 192.168.20.10 im Servernetz aufbauen, übriger Verkehr zum Servernetz wird blockiert
D) Die ACL blockiert sämtlichen Verkehr von 192.168.10.0/24

Lösung: C) Clients aus 192.168.10.0/24 dürfen nur HTTPS zu 192.168.20.10 im Servernetz aufbauen, übriger Verkehr zum Servernetz wird blockiert

Ausführliche Erklärung: Die erste Regel blockiert jeden IP-Verkehr ins Management-Netz 192.168.40.0/24. Die zweite Regel erlaubt explizit HTTPS zu genau einem Server mit der IP 192.168.20.10. Die dritte Regel blockiert danach den restlichen Verkehr aus dem Client-Netz in das Servernetz 192.168.20.0/24. Die abschließende Permit-Regel erlaubt sonstige Ziele außerhalb dieser bereits behandelten Netze.

Frage 16

Was würde passieren, wenn in der obigen ACL die Zeile permit ip any any ganz oben stehen würde?

A) Nichts, weil ACLs die Reihenfolge ignorieren
B) Die ACL würde effizienter werden, aber unverändert wirken
C) Fast der gesamte Verkehr würde sofort erlaubt und die nachfolgenden Regeln würden praktisch bedeutungslos
D) Nur HTTPS würde weiterhin erlaubt bleiben

Lösung: C) Fast der gesamte Verkehr würde sofort erlaubt und die nachfolgenden Regeln würden praktisch bedeutungslos

Ausführliche Erklärung: Da ACLs von oben nach unten arbeiten und die erste passende Regel greift, würde ein allgemeines permit ip any any am Anfang nahezu allen Verkehr sofort erlauben. Nachfolgende Sperrregeln kämen nicht mehr zur Anwendung. Genau dieses Muster ist eine klassische Fehlkonfiguration.

Frage 17

Welche Aussage zu Wildcard-Masken ist im ACL-Kontext richtig?

A) Eine Wildcard-Maske von 0.0.0.255 passt typischerweise zu einem /24-Netz
B) Wildcard-Masken werden nur für DHCP verwendet
C) Eine Wildcard-Maske ersetzt das Default Gateway
D) Wildcard-Masken gibt es nur in Standard ACLs

Lösung: A) Eine Wildcard-Maske von 0.0.0.255 passt typischerweise zu einem /24-Netz

Ausführliche Erklärung: In Cisco-nahen ACLs wird oft mit Wildcard-Masken gearbeitet. Für ein /24-Netz wie 192.168.10.0/24 wird typischerweise 0.0.0.255 verwendet. Fehler bei Wildcard-Masken führen häufig dazu, dass ACLs zu breit oder zu eng greifen.

Fragen zu Troubleshooting bei ACLs und Segmentierung

Frage 18

Ein Client kann seinen Server nicht mehr erreichen, nachdem eine neue ACL aktiviert wurde. Welcher erste Prüfschritt ist fachlich sinnvoll?

A) Sofort alle VLANs löschen
B) Mit show access-lists und show ip interface prüfen, welche ACL aktiv ist und ob Trefferzähler oder Interface-Richtung zur Erwartung passen
C) Das Gateway des Servers deaktivieren
D) Die MAC-Adresse des Clients manuell ändern

Lösung: B) Mit show access-lists und show ip interface prüfen, welche ACL aktiv ist und ob Trefferzähler oder Interface-Richtung zur Erwartung passen

Ausführliche Erklärung: Bei ACL-Problemen ist nicht nur die Konfiguration selbst relevant, sondern auch ihre tatsächliche Bindung an das Interface und die Richtung. Trefferzähler helfen dabei zu erkennen, ob eine Regel überhaupt greift. Diese strukturierte Fehlersuche ist deutlich sinnvoller als blinde Konfigurationsänderungen.

Frage 19

Welcher Befehl ist besonders nützlich, um VLAN-Zuordnungen und Port-Mitgliedschaften schnell zu prüfen?

A) show vlan brief
B) show crypto key mypubkey rsa
C) show ip ssh
D) show ip dhcp snooping binding

Lösung: A) show vlan brief

Ausführliche Erklärung: Wenn Segmentierung nicht wie erwartet funktioniert, ist eine der ersten Fragen, ob die Ports überhaupt dem richtigen VLAN zugeordnet sind. show vlan brief liefert genau diese Übersicht und gehört deshalb zu den wichtigsten Prüfkommandos im VLAN-Troubleshooting.

Frage 20

Ein Trunk zwischen Switch und Router transportiert VLAN 40 nicht. Welche Auswirkung ist wahrscheinlich?

A) Hosts im VLAN 40 können ihre Gateway-Schnittstelle oder andere Netze möglicherweise nicht erreichen
B) Die ACL-Reihenfolge ändert sich automatisch
C) Das Management-VLAN wird dadurch verschlüsselt
D) DHCP Snooping wird global deaktiviert

Lösung: A) Hosts im VLAN 40 können ihre Gateway-Schnittstelle oder andere Netze möglicherweise nicht erreichen

Ausführliche Erklärung: Wenn ein VLAN über den Trunk nicht mitgeführt wird, fehlt der Layer-2-Transport für dieses Segment. Das hat direkte Auswirkungen auf Routing und Erreichbarkeit. In Prüfungen wird oft genau dieser Zusammenhang zwischen Trunking und Segmentierungsfunktion abgefragt.

Fragen zu Sicherheitsprinzipien hinter ACLs und Segmentierung

Frage 21

Welches Sicherheitsprinzip steckt hinter dem Ansatz, nur notwendige Kommunikation zwischen Segmenten zu erlauben?

A) Broadcast Amplification
B) Least Privilege
C) Open Access Design
D) Passive Switching

Lösung: B) Least Privilege

Ausführliche Erklärung: Least Privilege bedeutet, dass Benutzer, Systeme oder Netzsegmente nur genau die Berechtigungen und Kommunikationspfade erhalten, die fachlich erforderlich sind. In Netzwerken ist das ein zentrales Prinzip für ACL-Design und Segmentierungsstrategie.

Frage 22

Warum ist Segmentierung auch aus Incident-Response-Sicht wichtig?

A) Weil segmentierte Netze keine Logs mehr erzeugen
B) Weil sie die Ausbreitung eines Vorfalls begrenzen und die betroffenen Bereiche klarer abgrenzbar machen kann
C) Weil sie Routing grundsätzlich unnötig macht
D) Weil sie alle Angriffe automatisch verhindert

Lösung: B) Weil sie die Ausbreitung eines Vorfalls begrenzen und die betroffenen Bereiche klarer abgrenzbar machen kann

Ausführliche Erklärung: Segmentierung ist nicht nur Prävention, sondern auch Schadensbegrenzung. Wenn ein Client kompromittiert wird, ist es ein großer Unterschied, ob er nur sein eigenes Segment oder das gesamte Unternehmensnetz frei erreichen kann. Incident Response profitiert davon, wenn betroffene Zonen klar definiert und notfalls gezielt isolierbar sind.

Frage 23

Welche Aussage zu Gäste- und BYOD-Segmenten ist fachlich am treffendsten?

A) Sie sollten möglichst direkt im Management-Netz laufen
B) Sie sollten typischerweise eigenständig segmentiert und restriktiv vom internen Kernnetz getrennt werden
C) Sie benötigen grundsätzlich dieselben Freigaben wie Server
D) Sie machen ACLs unnötig

Lösung: B) Sie sollten typischerweise eigenständig segmentiert und restriktiv vom internen Kernnetz getrennt werden

Ausführliche Erklärung: Gäste- oder private Geräte unterliegen oft nicht demselben Patch- und Sicherheitsniveau wie verwaltete Unternehmenssysteme. Deshalb ist eine saubere Trennung mit restriktiver Zugriffskontrolle eine bewährte Best Practice.

Komplexere Szenariofragen mit ausführlichen Lösungen

Frage 24

Ein Unternehmen betreibt folgende Anforderungen:

Clients in VLAN 10 sollen auf einen Anwendungsserver in VLAN 20 per TCP 443 zugreifen dürfen
Das Management-Netz in VLAN 40 darf nur aus VLAN 40 selbst administriert werden
Gäste in VLAN 50 dürfen nur ins Internet, nicht in interne VLANs

Welche Aussage beschreibt das sinnvollste Gesamtdesign?

A) Alle VLANs per Routing frei verbinden und nur auf Monitoring setzen
B) VLAN-Segmentierung mit gezielten Extended ACLs oder Firewall-Regeln pro Kommunikationsbedarf einsetzen
C) Nur Port Security konfigurieren, da dies alle Kommunikationsprobleme löst
D) Management, Gäste und Clients in dasselbe Netz legen, damit weniger Konfiguration nötig ist

Lösung: B) VLAN-Segmentierung mit gezielten Extended ACLs oder Firewall-Regeln pro Kommunikationsbedarf einsetzen

Ausführliche Erklärung: Dieses Szenario ist ein klassisches Beispiel für modernes Netzwerkdesign: logische Trennung über VLANs und gezielte Zugriffskontrolle je nach Rolle. Die Anforderungen sind unterschiedlich und müssen deshalb regelbasiert abgebildet werden. Monitoring ist wichtig, ersetzt aber keine Zugriffskontrolle. Port Security schützt Access-Ports, nicht den Verkehr zwischen VLANs.

Frage 25

Welche der folgenden ACLs erfüllt am ehesten die Anforderung, Gäste aus 192.168.50.0/24 von internen Netzen fernzuhalten, aber übrigen Internet-Verkehr nicht generell zu blockieren?

ip access-list extended GUEST_FILTER
 permit ip any any
 deny ip 192.168.50.0 0.0.0.255 192.168.10.0 0.0.0.255
 deny ip 192.168.50.0 0.0.0.255 192.168.20.0 0.0.0.255

ip access-list extended GUEST_FILTER
 deny ip 192.168.50.0 0.0.0.255 192.168.10.0 0.0.0.255
 deny ip 192.168.50.0 0.0.0.255 192.168.20.0 0.0.0.255
 deny ip 192.168.50.0 0.0.0.255 192.168.40.0 0.0.0.255
 permit ip any any

ip access-list extended GUEST_FILTER
 deny ip any any

ip access-list extended GUEST_FILTER
 permit tcp 192.168.50.0 0.0.0.255 192.168.40.0 0.0.0.255 eq 22

Lösung: B)

Ausführliche Erklärung: Variante B setzt genau das gewünschte Prinzip um: interne Netze wie Client-, Server- und Management-Netz werden explizit gesperrt, anderer Verkehr bleibt durch das abschließende Permit grundsätzlich erlaubt. Variante A wäre falsch, weil die erste Regel bereits alles erlaubt und die folgenden Sperren wirkungslos macht. Variante C wäre zu restriktiv und würde auch gewünschten Internet-Verkehr blockieren. Variante D ist fachlich das Gegenteil der Anforderung, weil es SSH-Zugriff auf das Management-Netz erlaubt.

Wichtige CLI-Befehle zur Vertiefung von ACLs und Segmentierung

Fragen und Lösungen werden besonders wertvoll, wenn sie mit praktischer Verifikation kombiniert werden. Gerade ACLs und Segmentierung lassen sich hervorragend über Show-Befehle, Topologieprüfung und Interface-Analyse nachvollziehen.

Typische Prüfkommandos auf Netzwerkgeräten

show ip interface brief
show vlan brief
show interfaces trunk
show access-lists
show ip interface
show running-config
show logging

Typische Endgeräte-Tests im Lab

ping 192.168.20.10
ping 192.168.40.1
traceroute 192.168.20.10
ipconfig /all
ip route

Mit diesen Befehlen lassen sich Segmentierungsgrenzen, ACL-Wirkung, Routingzustände und Erreichbarkeitsprobleme gezielt untersuchen. Genau dadurch wird aus der theoretischen Wiederholung ein echtes technisches Verständnis. Wer ACLs und Segmentierung nicht nur begrifflich, sondern auch operativ versteht, kann Netzwerke deutlich sicherer planen, sauberer absichern und präziser troubleshootten.

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3

Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.

Meine Leistungen umfassen:

Professionelle Konfiguration von Routern und Switches
Einrichtung von VLANs, Trunks, Routing, DHCP, NAT, ACLs und weiteren Netzwerkfunktionen
Erstellung von Topologien und Simulationen in Cisco Packet Tracer
Aufbau, Analyse und Fehlerbehebung von Netzwerk-Labs in GNS3 und EVE-NG
Automatisierung von Netzwerkkonfigurationen mit Python, Netmiko, Paramiko, NAPALM und Ansible
Erstellung von Skripten für wiederkehrende Netzwerkaufgaben
Dokumentation der Konfigurationen und Bereitstellung nachvollziehbarer Lösungswege
Konfigurations-Backups, Optimierung bestehender Setups und technisches Troubleshooting

Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.