> For the complete documentation index, see [llms.txt](https://docs.verge.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.verge.io/learn-the-platform/de/modul-4-netzwerke/04-firewall-nat-vlans.md).

# Firewall-Regeln, NAT & VLANs

## Überblick über Netzwerkrichtlinien

**Netzwerkregeln** sind der zentrale Steuerungsmechanismus für den gesamten Datenverkehr, der durch ein VergeOS-Netzwerk fließt. Sie ersetzen die Funktionalität, die traditionell von separaten Firewalls, Routern und Switches bereitgestellt wird — alles wird von einer einzigen Regelliste in jedem Netzwerk verwaltet.

Jedes externe, interne und VPN-Netzwerk in VergeOS hat seinen eigenen Regelsatz. Regeln definieren, welcher Datenverkehr erlaubt, blockiert, übersetzt oder geroutet wird. Da interne Netzwerke sind **standardmäßig sicher** (es fließt kein Datenverkehr, bis Regeln ihn zulassen), ist das Verständnis der Regeln wesentlich für den Aufbau funktionaler, sicherer Netzwerk-Topologien.

Sie werden über das Dashboard eines beliebigen Netzwerks aufgerufen, indem Sie **Regeln** im linken Menü klicken.

## Regeltypen

VergeOS unterstützt drei Regelaktionen, die jeweils einem eigenen Zweck dienen:

### Firewall-Regeln (Akzeptieren / Verwerfen / Ablehnen)

Firewall-Regeln steuern, welche Pakete das Netzwerk passieren dürfen:

| Aktion          | Verhalten                                                                                            |
| --------------- | ---------------------------------------------------------------------------------------------------- |
| **Akzeptieren** | Pakete, die den definierten Kriterien entsprechen, passieren lassen                                  |
| **Verwerfen**   | Passende Pakete lautlos verwerfen — der Absender erhält keine Antwort                                |
| **Ablehnen**    | Passende Pakete verwerfen und nach Möglichkeit ein ICMP-„Ziel nicht erreichbar“ an die Quelle senden |

Verwenden Sie **Akzeptieren** Regeln, um Datenverkehr ausdrücklich zu erlauben, der zugelassen werden soll. Verwenden Sie **Verwerfen** für die meisten Blockierszenarien (lautloses Verwerfen verhindert Aufklärung). Verwenden Sie **Ablehnen** wenn der Absender sofort wissen soll, dass die Verbindung abgelehnt wurde.

### NAT/PAT-Regeln (Übersetzen)

**Übersetzen** Regeln bieten Netzwerkadressübersetzung (NAT) und Portadressübersetzung (PAT). Häufige Anwendungsfälle sind:

* **SNAT (Quell-NAT)** — Interne VM-Adressen hinter einer einzigen externen IP für ausgehenden Internetzugang verbergen
* **DNAT (Ziel-NAT)** — Eine externe IP/einen Port auf die IP/den Port einer internen VM abbilden, um eingehende Dienste bereitzustellen (z. B. die Veröffentlichung eines Webservers)
* **1:1-NAT** — Eine vollständige externe IP auf eine vollständige interne IP abbilden (alle Ports)
* **Portweiterleitung** — Einen bestimmten externen Port auf einen anderen internen Port übersetzen

NAT-Regeln verwenden die **Übersetzen** Aktion mit der **eingehenden** Richtung für DNAT und **Ausgehend** ausgehenden Richtung für SNAT.

### Regeln für statische Routen (Route)

**Route** Regeln definieren, wie Datenverkehr ein Netzwerk verlässt. Der häufigste Anwendungsfall ist die **Standardgateway** Regel, die gesamten ausgehenden Datenverkehr über die DMZ zu einem externen Netzwerk sendet. Routenregeln können auch spezifische Pfade für die Kommunikation zwischen Netzwerken definieren.

## Reihenfolge der Regelverarbeitung

Regeln werden **von oben nach unten**. Die erste passende Regel gewinnt — sobald ein Paket zu einer Regel passt, werden für dieses Paket keine weiteren Regeln mehr ausgewertet.

**Die Reihenfolge ist wichtig.** Betrachten Sie dieses Beispiel:

1. **NAT-Regel** — Eingehenden Datenverkehr auf Port 443 auf die interne VM übersetzen `10.100.0.50:443`
2. **Firewall-Regel** — Eingehenden Datenverkehr auf Port 443 verwerfen

Wenn diese Regeln umgekehrt werden (zuerst Verwerfen, dann NAT), wird der Datenverkehr verworfen, bevor die NAT-Regel ihn überhaupt sieht. Platzieren Sie NAT-/Übersetzungsregeln immer **über** zugehörigen Firewall-Regeln, wenn sie den Datenverkehr zuerst verarbeiten müssen.

Um die Reihenfolge der Regeln zu ändern, wählen Sie eine Regel aus der Regelliste aus und verwenden Sie die **Verschieben** Option, um sie neu zu positionieren.

```mermaid
graph TD
    PKT["Eingehendes Paket"] --> R1["Regel 1: Übersetzen<br/>Port 443 → 10.100.0.50"]
    R1 -->|"Übereinstimmung"| XLATE["Paket übersetzt<br/>auf interne VM"]
    R1 -->|"Keine Übereinstimmung"| R2["Regel 2: Akzeptieren<br/>Port 22 von Admin"]
    R2 -->|"Übereinstimmung"| ACCEPT["Paket akzeptiert"]
    R2 -->|"Keine Übereinstimmung"| R3["Regel 3: Verwerfen<br/>Alle übrigen"]
    R3 --> DROP["Paket verworfen"]

    style PKT fill:#e3f2fd,stroke:#1565c0
    style XLATE fill:#e8f5e9,stroke:#2e7d32
    style ACCEPT fill:#e8f5e9,stroke:#2e7d32
    style DROP fill:#fce4ec,stroke:#c62828
```

## Regelparameter

Jede Regel wird mit einem konsistenten Satz von Parametern konfiguriert:

| Parameter         | Beschreibung                                                                                                   |
| ----------------- | -------------------------------------------------------------------------------------------------------------- |
| **Namen**         | Beschreibende Bezeichnung für die Verwaltung (z. B. `HTTPS zulassen`, `SNAT an WAN`)                           |
| **Aktion**        | Akzeptieren, Verwerfen, Ablehnen, Route oder Übersetzen                                                        |
| **Protokoll**     | TCP, UDP, ICMP oder Beliebig                                                                                   |
| **Richtung**      | Eingehend oder Ausgehend                                                                                       |
| **Schnittstelle** | Spezifische Schnittstelle oder Beliebig                                                                        |
| **Quelle**        | Woher der Datenverkehr stammt — siehe die Adressselektoren unten                                               |
| **Ziel**          | Wohin der Datenverkehr adressiert ist                                                                          |
| **Ziel**          | Wohin der Datenverkehr tatsächlich geleitet werden soll (wird bei den Aktionen Route und Übersetzen verwendet) |
| **Anheften**      | Optional die Regel oben oder unten in der Regelliste anheften                                                  |

### Portfilterung

Für die Protokolle TCP und UDP können Sie Folgendes angeben:

* Ein **einzelner Port** (z. B. `443`)
* Ein **Portbereich** (z. B. `8000-8999`)
* Mehrere Ports mit separaten Regeln

### Status der Verbindungsverfolgung

Erweiterte Regeln können auf den Verbindungsstatus (Neu, Etabliert, Zugehörig, Nicht verfolgt) filtern, um eine zustandsbehaftete Paketinspektion zu ermöglichen.

## Adressselektoren

Das **Quelle**, **Ziel**, und **Ziel** Felder verwenden Adressselektoren — flexible Optionen, um anzugeben, woher der Datenverkehr kommt oder wohin er geht:

| Selektor                              | Beschreibung                                                                                                |
| ------------------------------------- | ----------------------------------------------------------------------------------------------------------- |
| **Alias**                             | Wählen Sie einen benannten Alias aus (eine Gruppe von IPs/CIDRs), der in diesem Netzwerk definiert ist      |
| **Beliebig/Keine**                    | Mit beliebiger Adresse übereinstimmen — kein Filter angewendet                                              |
| **Benutzerdefiniert**                 | Geben Sie eine bestimmte IP, CIDR oder einen IP-Bereich ein (z. B. `192.168.1.50-192.168.1.100`)            |
| **Standard**                          | Hilfsselektor für Routenregeln — definiert die Standardroute (0.0.0.0/0)                                    |
| **Meine IP-Adressen**                 | Wählen Sie eine auf diesem Netzwerk definierte IP aus (virtuelle IPs, statische IPs, Aliase)                |
| **Meine Netzwerkadresse**             | Das gesamte Subnetz dieses Netzwerks                                                                        |
| **Meine Router-IP**                   | Die Router-IP dieses Netzwerks (eine einzelne Adresse)                                                      |
| **Andere IP-Adresse**                 | Wählen Sie eine bestimmte IP aus einem anderen Netzwerk                                                     |
| **Andere Netzwerkadresse**            | Wählen Sie das gesamte Subnetz eines anderen Netzwerks                                                      |
| **Router-IP eines anderen Netzwerks** | Wählen Sie die Router-IP eines anderen Netzwerks                                                            |
| **Andere Netzwerk-DMZ-IP**            | Wählen Sie die DMZ-seitige IP eines anderen Netzwerks aus (für das netzwerkübergreifende Routing verwendet) |

{% hint style="success" %}
Verwenden Sie das **Hilfsselektoren** (Meine IP, DMZ-IP eines anderen Netzwerks usw.) anstelle fest codierter IP-Adressen. Hilfsselektoren aktualisieren sich automatisch, wenn sich Netzwerkadressen ändern, und sie ermöglichen es Regeln, korrekt zu funktionieren, wenn sie in Rezepte oder Mandantenvorlagen geklont werden.
{% endhint %}

## Netzwerk-Aliase

**Aliase** ermöglichen es Ihnen, mehrere IP-Adressen oder CIDR-Bereiche zu einer benannten Gruppe zusammenzufassen und dann in Regeln auf diese Gruppe zu verweisen. Dies vereinfacht die Verwaltung, wenn dieselbe Adressgruppe in mehreren Regeln vorkommt.

Um einen Alias zu erstellen:

1. Navigieren Sie zu **Netzwerke → Aliase → Neu**
2. Geben Sie einen **Namen** (z. B. `Web-Server`, `Vertrauenswürdige-Admins`)
3. Definieren Sie den **Adresssatz** — IPs/CIDRs als durch Pipe-Zeichen getrennte Liste eingeben (z. B. `10.10.10.10|10.200.10.0/24`) oder Einträge einzeln hinzufügen
4. Setzen Sie **Veröffentlichungsreichweite**: **Privat** (nur diese Cloud) oder **Global** (für Mandanten verfügbar)
5. Klicken Sie auf **Senden**

Wenn Sie Regeln erstellen, setzen Sie die Quelle oder das Ziel **Typ** in **Alias** und wählen Sie den gewünschten Alias aus dem Dropdown-Menü.

{% hint style="warning" %}
Nachdem Sie einen Alias geändert haben, müssen Sie auf **Regeln anwenden** in jedem Netzwerk klicken, das ihn verwendet, damit die Änderungen wirksam werden.
{% endhint %}

## Drosselung der Übertragungsrate (Traffic-Throttle)

Einzelne Regeln können **Drosselung** aktiviert haben, um die Datenrate zu begrenzen. Wenn Sie eine Regel erstellen oder bearbeiten, aktivieren Sie **Drosselung aktivieren** und konfigurieren Sie:

* **Rate** — Der numerische Ratenwert
* **Ratenart** — Einheiten wie Pakete/Sekunde, MB/Tag, Bytes/Stunde usw.
* **Burst** — Burst-Spielraum oberhalb des Grenzwerts

Drosselung kann auch auf **Netzwerkebene** (am Router des Netzwerks) angewendet werden, um den gesamten Datenverkehr zu drosseln, der durch das Netzwerk fließt, nicht nur bestimmte Regeln.

## Regeldiagnose

VergeOS bietet drei Ebenen von Regeldiagnosen:

### Regelstatistiken verfolgen

Aktivieren Sie den **Regelstatistiken verfolgen** Kontrollkästchen bei jeder Regel, um Pakete und Bytes zu zählen, die von dieser Regel verarbeitet werden. Statistiken sind in der Regelliste einsehbar, sodass Sie sehen können, welche Regeln den Datenverkehr aktiv verarbeiten und wie viel.

Für das netzwerkweite Tracking aktivieren Sie die `Statistik` Einstellung des Netzwerks, um automatisch jede Regel zu verfolgen (siehe die aktuelle Benutzeroberfläche für die genaue Bezeichnung).

### Regel nachverfolgen / debuggen

Aktivieren **Regel nachverfolgen / debuggen** für eine bestimmte Regel, um alle Pakete nachzuverfolgen, die mit ihr übereinstimmen. Das ist für die Fehlersuche von unschätzbarem Wert — Sie können genau sehen, welche Pakete eine Regel treffen und ob sie akzeptiert, verworfen oder übersetzt werden.

### Inspektion auf niedriger Ebene

Für erweiterte Diagnosen verbinden Sie sich mit der Konsole des Netzwerks und führen Sie Folgendes aus:

```bash
nft list ruleset
```

Dies zeigt den vollständigen **nftables** Regelsatz an, wie er von VergeOS konfiguriert wurde, und zeigt die tatsächlich auf Kernel-Ebene wirksamen Regeln. Das ist für Support-Ingenieure nützlich, die komplexe Probleme bei der Regelinteraktion diagnostizieren.

## Regeln erstellen: Anleitung

Dieses Beispiel erstellt einen gängigen Regelsatz für ein internes Netzwerk, das Internetzugang und einen eingehenden Webserver benötigt:

**Schritt 1: Standardroute (ausgehender Internetzugang)**

1. Navigieren Sie zum internen Netzwerk → **Regeln → Neu**
2. **Name:** `Standardgateway`, **Aktion:** Route, **Richtung:** Ausgehend
3. **Ziel:** Standard, **Ziel:** DMZ-IP eines anderen Netzwerks → externes Netzwerk auswählen
4. Absenden und Regeln anwenden

**Schritt 2: SNAT (interne IPs hinter externer IP verbergen)**

1. **Name:** `SNAT ausgehend`, **Aktion:** Übersetzen, **Richtung:** Ausgehend
2. **Quelle:** Meine Netzwerkadresse, **Ziel:** DMZ-IP eines anderen Netzwerks → externes Netzwerk auswählen
3. Anheften an **Oben** (SNAT muss vor den Firewall-Regeln verarbeitet werden)
4. Absenden und Regeln anwenden

**Schritt 3: DNAT (Webserver veröffentlichen)**

1. **Name:** `DNAT HTTPS`, **Aktion:** Übersetzen, **Protokoll:** TCP, **Richtung:** eingehenden
2. **Ziel:** Meine IP-Adressen → externe IP auswählen, **Port:** 443
3. **Ziel:** Benutzerdefiniert → `10.100.0.50` (interner Webserver), **Port:** 443
4. Absenden und Regeln anwenden

**Schritt 4: Eingehendes HTTPS akzeptieren**

1. **Name:** `HTTPS zulassen`, **Aktion:** Akzeptieren, **Protokoll:** TCP, **Richtung:** eingehenden
2. **Zielport:** 443
3. Absenden und Regeln anwenden

{% hint style="warning" %}
Klicken Sie immer auf **Regeln anwenden** nachdem Sie Regeln erstellt oder geändert haben. Regeln werden zunächst zwischengespeichert, bis sie angewendet werden — sie werden nicht wirksam, bis Sie sie ausdrücklich anwenden.
{% endhint %}

## VLAN-Trunking

VLANs in VergeOS werden auf der **externen Netzwerk** Ebene mithilfe von 802.1Q-Tagging konfiguriert. Jedes externe Netzwerk kann einer bestimmten VLAN-ID auf einem physischen Netzwerk zugeordnet werden, wodurch eine Segmentierung des Datenverkehrs ohne zusätzliche physische Verkabelung ermöglicht wird.

### Ein VLAN-getaggtes externes Netzwerk erstellen

1. Navigieren Sie zu **Netzwerke → Neu extern**
2. Setzen Sie **Layer-2-Typ** in `VLAN`
3. Geben Sie die **Layer-2-ID** (die 802.1Q-VLAN-ID, z. B. `100`)
4. Wählen Sie den **Schnittstellennetzwerk** (das physische Netzwerk, auf dem dieses VLAN läuft)
5. IP-Adressierung konfigurieren und absenden

Mehrere externe Netzwerke können unterschiedliche VLAN-IDs auf demselben physischen Netzwerk verwenden und so eine logische Trennung für Management-, Produktions-, DMZ- und Mandantendatenverkehr ermöglichen.

### Q-in-Q (Doppel-Tagging)

Für Service-Provider-Umgebungen, die doppelte VLAN-Kennzeichnung erfordern, wählen Sie ein **externen Netzwerk** (kein physisches Netzwerk) als Schnittstellennetzwerk. Dadurch wird ein zweites VLAN-Tag auf das vorhandene gestapelt.

## VPN-Überblick

VergeOS umfasst integrierte VPN-Konnektivität mit zwei Protokollen:

### WireGuard

Modernes VPN-Protokoll mit hoher Leistung, hochmoderner Kryptografie und minimalem Konfigurationsaufwand. Für die meisten VPN-Anwendungsfälle empfohlen.

### IPsec

Branchenspezifisches Standard-VPN-Protokoll für Umgebungen, die mit IPsec-Geräten von Drittanbietern (Cisco, pfSense usw.) zusammenarbeiten müssen.

### WireGuard-Anwendungsfälle

* **Standort-zu-Standort zwischen VergeOS-Systemen** — Verbinden Sie zwei VergeOS-Installationen über einen verschlüsselten Tunnel. Jede Seite erstellt eine WireGuard-Schnittstelle und konfiguriert die andere mittels öffentlichem Schlüsselaustausch als Peer.
* **Standort-zu-Standort mit Peers von Drittanbietern** — Verbinden Sie ein VergeOS-System mit einem beliebigen WireGuard-kompatiblen Endpunkt.
* **Remote-Benutzerzugriff** — Bereitstellung sicherer VPN-Zugänge für einzelne Benutzer. VergeOS kann Peer-Konfigurationsdateien automatisch zum Download für unterstützte WireGuard-Clientsoftware generieren.

WireGuard ist an ein VergeOS-Netzwerk angebunden (typischerweise ein internes Netzwerk, das Zugriff auf alle Ressourcen hat, die das VPN erreichen soll). Nachdem Sie die Schnittstelle und die Peer-Definitionen erstellt haben, klicken Sie **Regeln anwenden** um die automatisch generierten Firewall- und Routenregeln zu aktivieren.

### IPsec-Anwendungsfälle

* **Konnektivität zu Geräten von Drittanbietern** — Verbinden Sie sich mit Cisco-, pfSense-, FortiGate- oder anderen IPsec-fähigen Geräten an entfernten Standorten.
* **Mandanten-VPN** — Konfigurieren Sie einen IPsec-Tunnel innerhalb eines Mandanten für Standort-zu-Standort-Konnektivität zur entfernten Infrastruktur des Mandanten.

Die IPsec-Konfiguration umfasst das Erstellen eines **VPN-Netzwerks**, das Konfigurieren von **Phase 1** (IKE-Aushandlung) und **Phase 2** (Verschlüsselungs-/Tunnelparameter) und anschließend das Anwenden der automatisch generierten Firewall-Regeln.

{% hint style="success" %}
Wann immer möglich wird WireGuard gegenüber IPsec empfohlen. Es bietet bessere Leistung, einfachere Konfiguration und ist weniger anfällig für Sicherheitsfehlkonfigurationen.
{% endhint %}

## Mikrosegmentierung

Mikrosegmentierung ist eine Sicherheitsstrategie, die das Netzwerk in isolierte Segmente unterteilt, von denen jedes über eigene Sicherheitskontrollen verfügt. VergeOS ist speziell für diesen Ansatz entwickelt:

### Wie VergeOS Mikrosegmentierung ermöglicht

1. **Interne Netzwerke als Segmente** — Jedes interne Netzwerk ist standardmäßig eine isolierte Sicherheitsgrenze. Erstellen Sie separate Netzwerke für die Ebenen Web, App, Datenbank, Verwaltung und Entwicklung.
2. **Granulare Firewall-Regeln** — Definieren Sie Richtlinien pro Regel für Datenverkehr mit Angabe von Protokoll, Port, Quelle, Ziel und Richtung. Erlauben Sie nur genau den Datenverkehr, den jede Ebene benötigt.
3. **Netzwerk-Aliase für Richtliniengruppen** — Gruppieren Sie verwandte IPs in Aliase (z. B. `Web-Server`, `DB-Clients`) und verweisen Sie in Regeln darauf, um eine konsistente Durchsetzung von Richtlinien zu gewährleisten.
4. **Mandantentrennung** — Jeder Mandant (VDC) arbeitet mit seinem eigenen DMZ- und internen Netzwerk und bietet so eine vollständige Netzwerkisolation zwischen Mandanten.
5. **Portspiegelung zur Sichtbarkeit** — Überwachen Sie den Datenverkehr in jedem Netzwerksegment für Sicherheitsanalysen, ohne den Betrieb zu stören.
6. **VPN für verschlüsselte Pfade** — Verwenden Sie WireGuard oder IPsec zwischen sensiblen Netzwerksegmenten für mehrschichtige Verteidigung.

### Zero-Trust-Designmuster

```mermaid
graph TB
    subgraph "Zero-Trust-Mehrstufig"
        WEB["Web-Tier<br/>10.100.0.0/24<br/>Akzeptieren: 443 eingehend"]
        APP["App-Tier<br/>10.100.1.0/24<br/>Akzeptieren: 8080 nur vom Web-Tier"]
        DB["DB-Tier<br/>10.100.2.0/24<br/>Akzeptieren: 3306 nur vom App-Tier"]
    end

    WEB -->|"Nur Port 8080"| APP
    APP -->|"Nur Port 3306"| DB

    INET["Internet"] -->|"Nur Port 443"| WEB

    style WEB fill:#e3f2fd,stroke:#1565c0
    style APP fill:#fff3e0,stroke:#e65100
    style DB fill:#fce4ec,stroke:#c62828
    style INET fill:#f5f5f5,stroke:#616161
```

Jede Ebene ist ein separates internes Netzwerk mit expliziten Regeln. Die Web-Ebene akzeptiert nur HTTPS aus dem Internet. Die App-Ebene akzeptiert nur Port 8080 von der Web-Ebene. Die Datenbank-Ebene akzeptiert nur Port 3306 von der App-Ebene. Anderer Datenverkehr ist nicht zulässig — alle Pfade sind ausdrücklich definiert.

{% hint style="info" %}
**VMware Bridge**

VMware trennt Firewall und NAT über NSX-T DFW (Mikrosegmentierung an der vNIC), NSX-T Edge (NAT und statisches Routing auf Tier-0/Tier-1) und vDS-Portgruppen (VLAN). VergeOS vereint dies in netzwerkbezogenen Regellisten: Firewall-Regeln ersetzen DFW, Übersetzungsregeln ersetzen NSX-Edge-NAT, Routenregeln ersetzen statische Tier-0/Tier-1-Routen, die Regelreihenfolge ersetzt NSX-Richtlinienkategorien, und WireGuard-VPN ist direkt in die Plattform integriert.
{% endhint %}

{% hint style="info" %}
**Nutanix Bridge**

Nutanix benötigt das Flow-Add-on für Mikrosegmentierung, OVS-Bridge-Konfiguration für VLANs und externe Infrastruktur für NAT/Routing/VPN. VergeOS umfasst Firewall-Regeln, NAT/PAT-Regeln, Routenregeln, WireGuard/IPsec-VPN, Adressaliase sowie pro Regel Drosselung und Statistiken, die in jedes Netzwerk integriert sind.
{% endhint %}

## Wichtige Erkenntnisse

| Konzept                             | Zusammenfassung                                                                                                     |
| ----------------------------------- | ------------------------------------------------------------------------------------------------------------------- |
| **Regeltypen**                      | Akzeptieren/Verwerfen/Ablehnen (Firewall), Übersetzen (NAT/PAT), Route (statische Routen)                           |
| **Verarbeitungsreihenfolge**        | Von oben nach unten — die erste Übereinstimmung gewinnt; NAT vor zugehörigen Firewall-Regeln                        |
| **Adressselektoren**                | Verwenden Sie Hilfen (Meine IP, DMZ-IP eines anderen Netzwerks) statt fest codierter IPs für mehr Portabilität      |
| **Aliase**                          | Benannte Gruppen von IPs/CIDRs für eine konsistente Richtlinienverwaltung über mehrere Regeln hinweg                |
| **Drosselung der Übertragungsrate** | Drosselung pro Regel oder netzwerkweite Ratenbegrenzung am Router                                                   |
| **Diagnose**                        | Statistiken pro Regel verfolgen, Trace/Debug für Paketinspektion, `nft list ruleset` für die Low-Level-Ansicht      |
| **VLANs**                           | 802.1Q-Tagging pro externem Netzwerk festgelegt; Q-in-Q über extern als Schnittstelle                               |
| **VPN**                             | WireGuard (empfohlen) für Standort-zu-Standort und Fernzugriff; IPsec für Kompatibilität mit Drittanbietern         |
| **Mikrosegmentierung**              | Getrennte interne Netzwerke pro Ebene + Regeln nach dem Prinzip der geringsten Privilegien = Zero-Trust-Architektur |

## Nächste Schritte

Wenn Firewall-Regeln, NAT, VLANs und VPN konfiguriert sind, erkunden Sie das praktische Labor, um diese Konzepte in die Praxis umzusetzen: [**Labor: Netzwerkkonfiguration →**](/learn-the-platform/de/modul-4-netzwerke/lab.md)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.verge.io/learn-the-platform/de/modul-4-netzwerke/04-firewall-nat-vlans.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.