Praxisaufgabe: Netztrennung, Gastnetz und DMZ-ähnliche Zone mit FRITZ!Box

1. Ausgangssituation und Ziel

Szenario: In einem Heimnetz existiert eine FRITZ!Box als Internetrouter. Eine zweite FRITZ!Box ist als Mesh-Gerät eingebunden. Private Geräte wie Notebook, Smartphone, NAS und Drucker befinden sich im Heimnetz.

Auftrag: Plane, dokumentiere und teste eine Netztrennung. Richte zusätzlich einen Testserver so ein, dass er kontrolliert von außen erreichbar ist. Vergleiche dabei Portfreigabe, Gastnetz und eine DMZ-ähnliche Lösung.

Wichtige fachliche Einordnung:
Mesh bedeutet in der Regel Erweiterung desselben Heimnetzes. Eine zweite FRITZ!Box im Mesh erzeugt nicht automatisch ein eigenes Sicherheitsnetz. Für echte Netztrennung wären VLANs, Firewall-Regeln oder ein separates Router-/Firewall-System geeigneter.

Lernziele

Ich kann Heimnetz, Gastnetz und DMZ-ähnliche Zone unterscheiden. Ich kann ein Netzwerkdiagramm mit IP-Bereichen, Geräten und Schnittstellen erstellen. Ich kann eine Portfreigabe sicherheitsbewusst planen und testen. Ich kann erklären, warum Exposed Host keine echte DMZ ersetzt. Ich kann Testergebnisse nachvollziehbar dokumentieren.

2. Bestandsaufnahme

Trage zuerst die vorhandene Netzwerkinformation ein. Arbeite möglichst genau, damit deine spätere Dokumentation nachvollziehbar ist.

FRITZ!Box 1: Internetrouter

Modell / FRITZ!OS IP-Adresse DHCP-Bereich Internetzugang

FRITZ!Box 2: Mesh-Gerät

Modell / Rolle IP-Adresse Verbindung zur FRITZ!Box 1 Eigenes Netz vorhanden?

Internet-Erreichbarkeit

Öffentliche IPv4? IPv6 vorhanden? DynDNS / MyFRITZ? Bemerkungen

Geräteliste

Gerät	Zone	IP-Adresse	MAC / Schnittstelle	Bemerkung

3. Netzwerkdiagramme und Dokumentation

Erstelle mindestens zwei Diagramme: den Ist-Zustand vor der Änderung und den Soll-Zustand nach der geplanten Netztrennung. Nutze Symbole, IP-Bereiche, Pfeile und Beschriftungen.

Dokumentationshinweis: Ein gutes Netzwerkdiagramm zeigt nicht nur Geräte, sondern auch Rollen, IP-Netze, Sicherheitszonen, Schnittstellen, Freigaben und erlaubte Kommunikationswege.

3.1 Ist-Zustand: Mesh-Heimnetz

Klicke hier und ersetze die Vorlage durch dein eigenes ASCII-Diagramm oder deine Notizen.

Internet | [FRITZ!Box 1: Router / Mesh Master] | Heimnetz: __________________________ | +---- PC / Notebook: __________________ +---- NAS / Drucker: __________________ +---- Smartphone: _____________________ | [FRITZ!Box 2: Mesh-Repeater] | +---- weitere Geräte: _________________

3.2 Soll-Zustand: Heimnetz, Gastnetz und DMZ-ähnliche Zone

Klicke hier und dokumentiere den geplanten Zielaufbau.

Internet | [FRITZ!Box 1] | +---- Heimnetz / vertrauenswürdig: __________________ | Geräte: ____________________________________ | +---- Gastnetz / isoliert: __________________________ | Testgerät: _________________________________ | +---- Portfreigabe auf Testserver: extern TCP ____ -> intern TCP ____ Ziel-IP: __________________________

3.3 Freie Skizze

Du kannst hier mit Maus, Touchpad oder Stift skizzieren. Beim Drucken wird die Skizze mit ausgegeben.

3.4 Diagramm-Checkliste

Internetzugang und Hauptrouter sind eingezeichnet. FRITZ!Box 2 ist mit Rolle und Verbindung dokumentiert. Heimnetz und Gastnetz sind als getrennte Zonen beschriftet. IP-Bereiche und wichtige Geräte sind eingetragen. Portfreigabe oder Exposed-Host-Test ist mit Richtung und Port dokumentiert. Erlaubte und nicht erlaubte Kommunikationswege sind mit Pfeilen gekennzeichnet.

4. Schritt-für-Schritt-Anleitung zur Konfiguration

Die folgende Anleitung führt dich durch eine sichere Labor-Konfiguration. Arbeite langsam, dokumentiere jeden Schritt und ändere immer nur eine Sache auf einmal. Nach jeder Änderung wird getestet.

Sicherheitsregel: Nutze für alle öffentlichen Tests nur ein Testgerät, zum Beispiel einen Raspberry Pi, eine virtuelle Maschine oder einen alten Laptop. NAS, Kameras, Drucker, Smart-Home-Zentralen und private Windows-PCs dürfen nicht als öffentlich erreichbare Ziele verwendet werden.

4.1 Vorbereitung: Laborgrenzen festlegen

Lehrer-/Betreuerfreigabe

Ich teste ausschließlich im eigenen Heimnetz oder im freigegebenen Labornetz. Ich verwende nur eigene Geräte. Ich scanne keine fremden öffentlichen IP-Adressen. Exposed Host wird nur kurzzeitig und nur auf einem Testgerät aktiviert. Nach dem Test werden riskante Freigaben wieder entfernt.

Benötigte Daten

Zugang zur FRITZ!Box-Oberfläche Testserver-Gerät Testserver-IP Geplanter Testdienst

4.2 FRITZ!Box öffnen und Sicherung erstellen

Verbinde dich mit dem Heimnetz der Haupt-FRITZ!Box.
Öffne im Browser http://fritz.box oder die IP-Adresse der FRITZ!Box.
Melde dich mit dem FRITZ!Box-Kennwort an.
Prüfe unter System > Sicherung, ob du vor Änderungen eine Sicherung der Einstellungen erstellen kannst.
Notiere FRITZ!OS-Version, Modell und aktuelle IP-Konfiguration in der Bestandsaufnahme.

Notizen zur Sicherung / Ausgangskonfiguration

4.3 Gast-WLAN einrichten

Ziel: Ein Gerät soll Internetzugang erhalten, aber nicht ohne Weiteres auf private Heimnetzgeräte zugreifen können. Das ist die einfachste FRITZ!Box-nahe Übung zur Netztrennung.

Öffne die FRITZ!Box-Oberfläche.
Gehe zu WLAN > Gastzugang.
Aktiviere den privaten Gastzugang.
Vergib eine eindeutige SSID, zum Beispiel LAB-Gastnetz.
Vergib ein starkes Kennwort.
Prüfe zusätzliche Optionen wie Beschränkung des Gastzugangs, Internetfilter oder Kommunikation der Gäste untereinander.
Speichere die Einstellung.
Verbinde ein Testgerät mit dem Gast-WLAN und dokumentiere IP-Adresse, Gateway und DNS.

Einstellung	Wert	Begründung
Gastnetz-SSID
Verschlüsselung
Gastgerät-IP
Gateway / DNS

4.4 Optional: LAN-4-Gastzugang einrichten

Falls ein kabelgebundenes Testgerät verwendet wird, kann bei vielen FRITZ!Box-Modellen der LAN-4-Anschluss als Gastzugang genutzt werden. Dadurch eignet sich LAN 4 als einfache isolierte Laborbuchse.

Gehe zu Heimnetz > Netzwerk > Netzwerkeinstellungen.
Suche den Bereich für Gastzugang oder LAN-Einstellungen.
Aktiviere Gastzugang für LAN 4 aktiv, falls diese Option am Gerät vorhanden ist.
Verbinde das Testgerät ausschließlich mit LAN 4.
Prüfe IP-Adresse, Internetzugang und Erreichbarkeit des Heimnetzes.

Achtung: Sobald LAN 4 als Gastzugang arbeitet, ist dieser Anschluss nicht mehr wie ein normaler Heimnetz-LAN-Port zu verwenden. Prüfe deshalb vorab, ob dort wichtige Geräte angeschlossen sind.

Ergebnis LAN-4-Test

4.5 Testserver vorbereiten

Auf dem Testserver wird ein einfacher Webdienst gestartet. Dieser Dienst dient nur zum Nachweis der Erreichbarkeit.

Linux / macOS:
python3 -m http.server 8080

Windows:
python -m http.server 8080

Testserver-Dokumentation

Betriebssystem IP-Adresse Lokaler Test im Browser Ergebnis

4.6 Statische IP oder feste Gerätezuordnung setzen

Damit die Portfreigabe später nicht auf das falsche Gerät zeigt, sollte der Testserver eine feste IP-Adresse oder eine feste Zuordnung über die FRITZ!Box erhalten.

Gehe zu Heimnetz > Netzwerk.
Wähle den Testserver in der Geräteliste aus.
Öffne die Gerätedetails.
Aktiviere sinngemäß Diesem Netzwerkgerät immer die gleiche IPv4-Adresse zuweisen, falls verfügbar.
Speichere die Änderung und starte die Netzwerkverbindung des Testservers neu.
Prüfe erneut die IP-Adresse.

Feste IP / Zuordnung dokumentieren

4.7 Portfreigabe für den Testserver einrichten

Ziel: Nur ein gezielt ausgewählter Dienst wird von außen erreichbar gemacht. Für den Laborfall eignet sich TCP 8080 besser als Standardport 80, weil er als Testfreigabe gut erkennbar ist.

Gehe zu Internet > Freigaben > Portfreigaben.
Wähle Gerät für Freigaben hinzufügen.
Wähle den Testserver aus.
Erstelle eine neue Freigabe für eine Anwendung oder einen Port.
Wähle Protokoll TCP.
Trage als externen Port 8080 ein.
Trage als internen Port 8080 ein.
Speichere die Freigabe.
Teste von außen mit einem Smartphone über Mobilfunk, nicht über dasselbe WLAN.

Freigabeparameter	Wert	Kontrolle
Zielgerät
Protokoll
Externer Port
Interner Port
Externe Adresse

Fehlersuche: Wenn der Zugriff von außen nicht funktioniert, prüfe öffentliche IPv4, DS-Lite, IPv6, Mobilfunk-Test statt WLAN-Test, Windows-/Linux-Firewall auf dem Testserver und ob der Dienst lokal wirklich auf Port 8080 läuft.

4.8 Exposed Host nur als Vergleich testen

Exposed Host darf in dieser Aufgabe nur kurzzeitig aktiviert werden, um den Unterschied zur gezielten Portfreigabe zu verstehen.

Notiere die Startzeit des Tests.
Gehe zu Internet > Freigaben > Portfreigaben.
Wähle den Testserver aus.
Aktiviere Exposed Host nur für das Testgerät, falls diese Option verwendet werden soll.
Prüfe, welche Dienste erreichbar sind.
Deaktiviere Exposed Host direkt nach dem Test wieder.
Notiere die Endzeit und das Ergebnis.

Merksatz: Portfreigabe veröffentlicht gezielt einzelne Ports. Exposed Host leitet deutlich mehr eingehenden Verkehr auf ein Gerät weiter und ist deshalb nur als kontrollierter Vergleichstest geeignet. Eine echte DMZ ersetzt das nicht.

Kontrollpunkt	Eintrag
Exposed Host aktiviert um
Exposed Host deaktiviert um
Betroffenes Gerät
Beobachtung

4.9 Optional: Zweite FRITZ!Box als separates Labornetz statt Mesh

Diese Erweiterung eignet sich, wenn der Schüler echte IP-Netzgrenzen sehen soll. Dafür wird die zweite FRITZ!Box bewusst nicht als Mesh-Erweiterung genutzt, sondern als eigener Router hinter der ersten FRITZ!Box betrieben.

Internet
   |
FRITZ!Box 1: 192.168.178.1/24
   |
WAN/LAN1 der FRITZ!Box 2
   |
FRITZ!Box 2: 192.168.188.1/24
   |
Labornetz / Testgeräte

Dokumentiere den aktuellen Mesh-Zustand, bevor du etwas änderst.
Entferne die zweite FRITZ!Box nur dann aus dem Mesh, wenn dies ausdrücklich erlaubt ist.
Konfiguriere die zweite FRITZ!Box mit einem anderen IP-Bereich, zum Beispiel 192.168.188.0/24.
Aktiviere DHCP auf der zweiten FRITZ!Box für das Labornetz.
Verbinde ein Testgerät mit der zweiten FRITZ!Box.
Teste Internetzugang, Zugriff vom Labornetz ins Heimnetz und Zugriff vom Heimnetz ins Labornetz.
Dokumentiere NAT-Effekte und Grenzen dieser Lösung.

Skizze / Notizen zur Router-Kaskade

4.10 Abschluss der Konfiguration

Gastnetz funktioniert und ist dokumentiert. Testserver ist lokal erreichbar. Portfreigabe ist eingerichtet oder fachlich begründet nicht möglich. Exposed Host ist nach dem Test deaktiviert. Alle Testergebnisse wurden in Abschnitt 7 eingetragen. Soll-Diagramm wurde nach der echten Konfiguration aktualisiert.

5. Teilaufgabe: Gastnetz als einfache Netztrennung

Richte auf der FRITZ!Box ein Gastnetz ein. Nutze entweder das WLAN-Gastnetz oder, falls verfügbar, den LAN-4-Gastzugang.

Konfiguration

Gastnetz-Name Zugangsart Testgerät IP-Adresse im Gastnetz

Sicherheitsoptionen

Starkes Kennwort gesetzt. Gäste dürfen nicht auf Heimnetzgeräte zugreifen. Gäste dürfen untereinander nicht kommunizieren, falls diese Option vorhanden ist. Keine privaten Geräte dauerhaft ins Gastnetz verschoben.

Testprotokoll Gastnetz

Test	Befehl / Methode	Erwartung	Ergebnis	Bewertung
Internet erreichbar		Ja
Heimnetz-PC erreichbar?		Nein
NAS / Drucker erreichbar?		Nein
FRITZ!Box-Oberfläche erreichbar?		abhängig von Einstellung

Kurze Auswertung: Was ist durch das Gastnetz getrennt?

6. Teilaufgabe: DMZ-ähnliche Zone und öffentlich erreichbarer Testdienst

Sicherheitsregel: Verwende nur einen Testserver. Keine NAS-Systeme, Kameras, Drucker, produktiven Windows-PCs oder privaten Geräte als Exposed Host oder öffentlich erreichbaren Server einsetzen.

5.1 Testserver vorbereiten

Testserver-Gerät IP-Adresse des Testservers Dienst Interner Port

Beispiel für einen einfachen lokalen Webserver:

python3 -m http.server 8080

Windows, falls Python installiert ist:

python -m http.server 8080

5.2 Portfreigabe planen

Regel	Protokoll	Externer Port	Interne IP	Interner Port	Zweck

5.3 Optionaler Vergleich: Exposed Host

Aktiviere Exposed Host höchstens kurzzeitig für den Testserver und deaktiviere es danach wieder. Dokumentiere den Unterschied zur gezielten Portfreigabe.

Wurde Exposed Host getestet? Startzeit Endzeit

Beobachtungen

5.4 Fachliche Reflexion

Begriff	Eigene Erklärung	Risiko / Vorteil
Gastnetz
Portfreigabe
Exposed Host
Echte DMZ

7. Test- und Nachweisprotokoll

Dokumentiere jeden Test so, dass eine andere Person deine Ergebnisse nachvollziehen kann. Nutze Screenshots, Befehle und kurze Erklärungen.

6.1 Befehle und Werkzeuge

ipconfig / ip a ping tracert / traceroute Browser-Test nmap nur im eigenen Netz FRITZ!Box-Ereignisse

Nr.	Quelle	Ziel	Methode / Befehl	Erwartetes Ergebnis	Tatsächliches Ergebnis
1			ping 1.1.1.1
2			ping 192.168.178.___
3			http://IP:8080
4			Browser-Test
5

6.2 Kommunikationsmatrix

Markiere, welche Kommunikation erlaubt, blockiert oder unklar ist.

Von \ Nach	Internet	Heimnetz	Gastnetz	Testserver	FRITZ!Box-Oberfläche
Heimnetz
Gastnetz
Internet

6.3 Screenshots und Nachweise

Welche Screenshots oder Nachweise wurden erstellt?

8. Sicherheitsbewertung und Abschluss

7.1 Risikoanalyse

Risiko	Beschreibung	Gegenmaßnahme	Priorität
Öffentlicher Dienst
Exposed Host
Unsichere Passwörter
Fehlende Updates

7.2 Abschlussfragen

Warum ist Mesh allein keine Netztrennung? Warum ist eine gezielte Portfreigabe meist sicherer als Exposed Host? Was wäre für eine echte DMZ zusätzlich notwendig? Welche Empfehlung würdest du einer Privatperson für ein sicheres Heimnetz geben?

7.3 Abgabe-Checkliste

Bestandsaufnahme vollständig ausgefüllt. Ist- und Soll-Diagramm erstellt. Gastnetz eingerichtet und getestet. Testserver dokumentiert. Portfreigabe getestet oder fachlich begründet nicht möglich. Sicherheitsbewertung ausgefüllt. Exposed Host nach einem Test wieder deaktiviert. Aufgabe als PDF gespeichert oder gedruckt.

7.4 Bewertungsvorschlag

Kriterium

Punkte

Erreicht

Bestandsaufnahme und Geräteliste

Netzwerkdiagramme und Dokumentation

Gastnetz / Netztrennung praktisch geprüft

Portfreigabe / Testserver korrekt geplant

Testprotokoll nachvollziehbar

Sicherheitsbewertung und Reflexion