So würde ich aus Sicherheitgründen die IP-Telefonie (also bei IP-Telefonen im internen Netz) immer in einem eigenen VLAN laufen lassen.
Kalle2006 schrieb:
Sicherheit ist für mich nicht verhandelbar ...
Das ist sicherlich sehr löblich ... und solange der TO mit kabelgebundenen IP-Telefonen arbeiten will, spielt die VLAN-Fähigkeit (auch wenn ich den QoS-Gesichtspunkt "Dadurch wird auch die Gesprächsqualität der IP-Telefonie abgesichert." nicht so richtig nachvollziehen kann in einem "normalen" LAN (2-Mann-Büro), wo nicht die Transfers von zig Computern den Switch beschäftigen bzw. wo irgendwann (in so einem kleinen Büro jedenfalls nach meiner Erfahrung) ohnehin mal eine "gemeinsame Kabelstrecke" für verschiedene VLANs verwendet wird) vielleicht tatsächlich eine Rolle.
Was man dann aber eben bei so einer "Beratung" auch nicht außer acht lassen darf, ist die Feststellung, daß solche VLAN-Szenarien, die
gleichzeitig Sicherheit und Gesprächsqualität sicherstellen sollen, dann eben nicht mehr über ein gemeinsames LAN-Kabel gehen können, solange das nicht die aggregierte Link-Kapazität der anderen Anschlüsse aufweisen kann.
Das heißt dann also - wenn man beide Aspekte gleichzeitig behandeln will - zwei Ethernet-Kabel, eines für das Telefon und eines für den Rest der Technik am Arbeitsplatz. Mit einem zusätzlichen VLAN-fähigen Switch am Arbeitsplatz, der seinerseits wieder eine Priorisierung von Ports zuläßt, könnte man das zwar auch wieder (in Grenzen, denn über das gemeinsame Kabel ginge eben auch maximal nur der Traffic, der dem verwendeten Stand der Technik entspricht) entschärfen, aber damit holt man sich dann zusätzliche Kosten (und TCO ist nicht nur Anschaffung) für einen solchen Switch pro Arbeits-/Telefonplatz an Bord.
Bei einem Szenario, wo der Traffic ohne Priorisierung seitens eines Switches sich ein Ethernetkabel mit anderem Traffic "teilen" muß,
kann die Verwendung von VLANs auch keine Gesprächsqualität sicherstellen.
Die Frage, welche "Sicherheitsgründe" die IP-Telefonie in einem 2-Mann-Büro (in einer ohnehin als Switch-Umgebung anzunehmenden Topologie) in ein eigenes VLAN
zwingen (externe Angreifer, interne Lauscher?) treibt mich auch noch um ... aber Sicherheit ist ohnehin nicht verhandelbar.
Solange das keine Installation mit 802.1x-Absicherung der Identität von Komponenten ist (was dann noch viel mehr Technik (und KnowHow) erfordert), ist jedenfalls gegen "hardware-basierte" interne Lauscher (die einfach noch einen Switch mit Monitor-Port dazwischenschalten) genauso wenig zu machen, wie gegen rein softwareseitige Angriffe auf den Switch (L2) oder das IP-Protokoll (L3), die erst einmal die Voraussetzung wären, daß die internen IP-Telefonate "unsicher" sind (und gegen die man sich mit VLANs dann auch schützen kann).
Insofern ist mit einem getrennten VLAN für IP-Telefonie sicherlich eine
Erhöhung der Sicherheit möglich, von "nicht verhandelbar" würde ich etwas anderes erwarten - das klingt mir zu sehr nach einem "Heilsversprechen", was nur mit aufeinander abgestimmten Maßnahmen am Ende umsetzbar ist und noch lange nicht nur durch die Verwendung eines getrennten VLANs für IP-Telefonie erreicht ist. Von der reinen (durch keinerlei Randbedingungen verklärten) Aussage bzgl. der Gesprächsqualität immer noch abgesehen ... ohne passende Erläuterungen (auch der Auswirkungen auf die andere Technik inkl. Verkabelung), was dazu noch alles notwendig ist, sind das reine Werbe-Slogans.