Sky-R Group - Unternehmens-Netzwerkinfrastruktur

Über das Projekt

Sky-R Group ist ein Firmenkunde, für den wir eine komplette Netzwerkinfrastruktur von Grund auf geplant und aufgebaut haben. Das Projekt umfasst strukturierte Verkabelung mit rund 100 Netzwerkkabeln, die Installation eines MikroTik RB5009, die Konfiguration von 5 VLANs zur Segmentierung nach Abteilungen und die Migration vom alten Netz ohne Ausfallzeit. Es ist eines unserer Vorzeigeprojekte im Netzwerkbereich und zeigt einen Enterprise-Ansatz für ein mittelständisches Unternehmen.

Technologien

• Router MikroTik RB5009UPr+S+IN (RouterOS)
• Managed-Layer-2/3-Switches mit VLAN-Unterstützung
• Strukturierte Cat6-Verkabelung (~100 Kabel)
• MikroTik WinBox / CLI für die Konfiguration
• Werkzeuge zur Netzwerküberwachung

Architektur

• 5 VLANs zur Segmentierung nach Abteilung und Funktion (Verwaltung, Buchhaltung, Betrieb, Gäste, Server)
• Inter-VLAN-Routing mit Firewall-Regeln für kontrollierten Zugriff zwischen den Segmenten
• Firewall-Regeln für ein- und ausgehenden Verkehr sowie Inter-VLAN-Sicherheit
• QoS zur Priorisierung geschäftskritischen Verkehrs
• DHCP-Server je VLAN mit reservierten Adressen für kritische Geräte
• DNS-Caching für schnellere Auflösung

Warum MikroTik und kein Cisco-Stack

Für ein Unternehmen dieser Größe lautet der ehrliche Vergleich nicht „welche Marke ist besser", sondern „was kauft jeder Euro des Netzwerkbudgets". Ein RB5009 mit RouterOS deckt Inter-VLAN-Routing, Firewall, QoS, DHCP und VPN-Terminierung in einem Gerät ab - ohne Lizenz je Funktion und ohne Jahresabo, damit die Firewall-Regeln weiter greifen. Das Gesparte floss in den Teil, der wirklich schlecht altert: die Verkabelung.

Der Kompromiss ist real und gehört ausgesprochen: RouterOS belohnt einen Techniker, der es kennt, und bestraft einen, der es nicht kennt. Dieses Supportmodell hat der Kunde bewusst akzeptiert - mit Dokumentation und Konfigurationsexport als Teil der Übergabe.

Die Migration ohne Ausfallzeit

„Keine Ausfallzeit" ist ein Ergebnis der Planung, keine Eigenschaft der Hardware. Was es möglich gemacht hat:

1. Zuerst die vollständige Aufnahme. Jedes aktive Gerät, jede statische IP, jeder Drucker und jedes Kartenterminal mit fest eingetragener Adresse wurde erfasst, bevor irgendetwas angefasst wurde. Fest eingetragene Adressen in der Buchhaltungssoftware sind der Klassiker, der eine Netzumstellung zerlegt.
2. Das neue Netz entstand neben dem alten. Neue Verkabelung, neue Switches und der RB5009 wurden parallel installiert und konfiguriert, auf getrennten Uplinks, und validiert, bevor ein einziger Nutzer umgezogen wurde.
3. Umschaltung außerhalb der Geschäftszeiten, Abteilung für Abteilung, bei weiterhin verfügbarem altem Pfad.
4. Ein Rollback im Sekundenbereich bei jedem Schritt - verhielt sich ein VLAN auffällig, ging die Abteilung sofort zurück auf den alten Uplink.

Wie die VLAN-Segmentierung gezogen wurde

Die Segmentierung folgt dem Schadensradius, nicht dem Organigramm. Die Buchhaltung steht allein, weil eine Kompromittierung dort ein finanzielles Ereignis ist. Gästeverkehr geht direkt nach außen, ohne Pfad in irgendein internes Segment. Das Server-VLAN nimmt Verbindungen nur auf den Ports an, die das Unternehmen tatsächlich nutzt, und die Verwaltung ist ausschließlich aus einem definierten Admin-Bereich erreichbar - nicht aus dem allgemeinen Büronetz.

Die Inter-VLAN-Regeln sind als ausdrückliche Allow-List geschrieben. Was nicht benannt ist, ist verboten - das Hinzufügen eines Dienstes wird damit zu einer bewussten Handlung statt zu etwas, das stillschweigend funktioniert, weil das Netz flach war.

Ergebnis

• Keine Ausfallzeit bei der Migration vom alten Netz - außerhalb der Geschäftszeiten geplant und durchgeführt
• Vollständige Segmentierung des Verkehrs - jede Abteilung im eigenen VLAN
• Zentrale Verwaltung über MikroTik RouterOS
• Dokumentierte Netzwerktopologie mit IP-Plan und VLAN-Zuordnung
• Skalierbare Architektur für künftige Erweiterungen

Ein Jahr später läuft das Netz weiterhin in der dokumentierten Topologie. IP-Plan und VLAN-Karte wurden als schriftliche Artefakte übergeben, sodass ein künftiger Techniker - unserer oder der des Kunden - den Entwurf lesen kann, statt ihn aus einem laufenden Router zurückzuentwickeln.

Was das Projekt besonders macht

Das Projekt zeigt eine Enterprise-Netzwerklösung, umgesetzt mit kosteneffizienter MikroTik-Hardware. Die 5 VLANs liefern Sicherheit und Leistung auf dem Niveau von Cisco- oder HP-Lösungen, zu deutlich geringeren Kosten. Die Migration ohne Ausfallzeit belegt sorgfältige Planung und Umsetzung.