VLANs & Trunks: Ordnung im Switch
Wie man ein physisches Netzwerk in viele logische Netzwerke unterteilt, um Sicherheit und Performance zu verbessern.
- >VLAN (Virtual LAN): Logische Trennung von Broadcast-Domänen auf Layer 2.
- >Trunk Port: Eine Leitung, die Traffic für mehrere VLANs transportiert (z.B. zwischen Switches).
- >802.1Q (Dot1Q): Das Standard-Protokoll für VLAN-Tagging auf Trunks.
Warum VLANs?
Ohne zusätzliche Segmentierung befinden sich Switchports standardmäßig in derselben Broadcast-Domäne. Broadcasts erreichen dann jeden Port dieses VLANs; größere Fehlerdomänen erschweren Kontrolle und Fehlersuche.
Sicherheit
HR-Daten bleiben im HR-VLAN. Gäste kommen nicht ins interne Netz.
Performance
Weniger Broadcasts bedeuten mehr Bandbreite für echte Daten.
Organisation
Gruppierung nach Abteilung statt nach Kabelanschluss.
Access Ports vs. Trunk Ports
Ein Switch-Port kann in einem von zwei Modi arbeiten:
Access Port
Verbindet Endgeräte (PC, Drucker). Gehört zu genau einem VLAN. Der PC weiß nichts vom VLAN, er sendet normale Ethernet-Frames.
switchport mode access
switchport access vlan 10
Trunk Port
Verbindet Netzwerkgeräte und transportiert mehrere erlaubte VLANs. IEEE 802.1Q kennzeichnet Frames; das Native VLAN wird je nach Konfiguration ungetaggt übertragen.
switchport mode trunk
switchport trunk allowed vlan 10,20
802.1Q Tagging
Wie weiß Switch B, dass ein Paket von Switch A zu VLAN 10 gehört? Switch A klebt ein "Tag" an den Frame.
Das 4-Byte Tag wird in den Header eingefügt. Es enthält die VLAN-ID (1-4094).
- Access- und Trunk-Ports sowie 802.1Q-Tags korrekt erklären
- VLAN-Segmentierung mit Routing und Sicherheitsregeln verbinden
- Native-VLAN- und Allowed-VLAN-Fehler systematisch erkennen
VLANs trennen Broadcast-Domänen
Ein Access-Port ordnet ungetaggten Endgeräteverkehr einem VLAN zu. Ein 802.1Q-Trunk transportiert Frames mehrerer VLANs und markiert sie mit einer VLAN-ID; das Native VLAN wird je nach Konfiguration ungetaggt übertragen. Geräte in unterschiedlichen VLANs benötigen Layer-3-Routing, selbst wenn sie am selben physischen Switch angeschlossen sind.
Segmentierung verbessert Übersicht und begrenzt Broadcasts, ist aber erst mit Regeln zwischen den VLANs eine Sicherheitskontrolle. Ein Router oder Layer-3-Switch entscheidet über Inter-VLAN-Verkehr. Server-, Benutzer-, Management-, Voice- und Gastnetze sollten nach Kommunikationsbedarf statt nur nach Abteilung geplant werden.
Trunks brauchen einen identischen Vertrag
Beide Seiten müssen Trunking, Native VLAN und erlaubte VLAN-Liste konsistent konfigurieren. Fehlt ein VLAN auf einem Trunk, funktioniert es möglicherweise nur in Teilen des Netzes. Ein Native-VLAN-Mismatch kann Warnungen, unerwartete Zuordnung und Sicherheitsprobleme erzeugen. Nicht benötigte VLANs sollten nicht pauschal über jeden Trunk transportiert werden.
VLAN 1 und automatisch ausgehandelte Trunks werden in vielen Umgebungen bewusst eingeschränkt. Unbenutzte Access-Ports gehören deaktiviert und einem ungenutzten VLAN zugeordnet. Managementzugänge benötigen ein separates, kontrolliertes Netz.
Die MAC-Tabelle zeigt, wo Frames gelernt werden
Bei der Diagnose werden VLAN-Existenz, Portmodus, Access-VLAN, Trunk-Liste und Spanning-Tree-Zustand geprüft. Die MAC-Adress-Tabelle sollte die Endgeräte im erwarteten VLAN und Port zeigen. Fehlt ein Eintrag, kommt der Frame nicht an oder wird vorher verworfen.
Ein Ping allein ist kein vollständiger VLAN-Test, weil Routing, ACL und Host-Firewall beteiligt sind. Paketmitschnitt und gezielte Layer-2-Prüfung trennen Segmentierungsfehler von Problemen oberhalb der Sicherungsschicht.
- 01
VLAN auf allen beteiligten Switches anlegen und benennen.
- 02
Access-Port, Voice-VLAN und Endgerätzuordnung kontrollieren.
- 03
Trunkmodus, Native VLAN und Allowed-Liste auf beiden Seiten vergleichen.
- 04
MAC-Tabelle und Spanning-Tree-Zustand im betroffenen VLAN prüfen.
- 05
Inter-VLAN-Routing, ACL und Default Gateway separat verifizieren.
Ist ein VLAN automatisch eine Sicherheitszone?
Es trennt Layer-2-Broadcast-Domänen. Sicherheitswirkung entsteht erst durch kontrolliertes Routing, Firewallregeln, sichere Switch-Konfiguration und passende Endpunktkontrollen.
Was ist das Native VLAN?
Auf einem 802.1Q-Trunk wird Verkehr dieses VLANs üblicherweise ungetaggt übertragen. Beide Trunkseiten müssen dieselbe Zuordnung verwenden.