VLANs & Trunks: Ordnung im Switch

KURZFASSUNG

>VLAN (Virtual LAN): Logische Trennung von Broadcast-Domänen auf Layer 2.
>Trunk Port: Eine Leitung, die Traffic für mehrere VLANs transportiert (z.B. zwischen Switches).
>802.1Q (Dot1Q): Das Standard-Protokoll für VLAN-Tagging auf Trunks.

Warum VLANs?

Ohne zusätzliche Segmentierung befinden sich Switchports standardmäßig in derselben Broadcast-Domäne. Broadcasts erreichen dann jeden Port dieses VLANs; größere Fehlerdomänen erschweren Kontrolle und Fehlersuche.

Sicherheit

HR-Daten bleiben im HR-VLAN. Gäste kommen nicht ins interne Netz.

Performance

Weniger Broadcasts bedeuten mehr Bandbreite für echte Daten.

Organisation

Gruppierung nach Abteilung statt nach Kabelanschluss.

Access Ports vs. Trunk Ports

Ein Switch-Port kann in einem von zwei Modi arbeiten:

Access Port

Verbindet Endgeräte (PC, Drucker). Gehört zu genau einem VLAN. Der PC weiß nichts vom VLAN, er sendet normale Ethernet-Frames.

interface Gi0/1
switchport mode access
switchport access vlan 10

Trunk Port

Verbindet Netzwerkgeräte und transportiert mehrere erlaubte VLANs. IEEE 802.1Q kennzeichnet Frames; das Native VLAN wird je nach Konfiguration ungetaggt übertragen.

interface Gi0/24
switchport mode trunk
switchport trunk allowed vlan 10,20

802.1Q Tagging

Wie weiß Switch B, dass ein Paket von Switch A zu VLAN 10 gehört? Switch A klebt ein "Tag" an den Frame.

Standard Ethernet Frame

Dest MAC

Src MAC

Type

Data...

802.1Q Tagged Frame

Dest MAC

Src MAC

TAG (4B)

Type

Data...

Das 4-Byte Tag wird in den Header eingefügt. Es enthält die VLAN-ID (1-4094).

VLANs trennen Broadcast-Domänen

Ein Access-Port ordnet ungetaggten Endgeräteverkehr einem VLAN zu. Ein 802.1Q-Trunk transportiert Frames mehrerer VLANs und markiert sie mit einer VLAN-ID; das Native VLAN wird je nach Konfiguration ungetaggt übertragen. Geräte in unterschiedlichen VLANs benötigen Layer-3-Routing, selbst wenn sie am selben physischen Switch angeschlossen sind.

Segmentierung verbessert Übersicht und begrenzt Broadcasts, ist aber erst mit Regeln zwischen den VLANs eine Sicherheitskontrolle. Ein Router oder Layer-3-Switch entscheidet über Inter-VLAN-Verkehr. Server-, Benutzer-, Management-, Voice- und Gastnetze sollten nach Kommunikationsbedarf statt nur nach Abteilung geplant werden.

Trunks brauchen einen identischen Vertrag

Beide Seiten müssen Trunking, Native VLAN und erlaubte VLAN-Liste konsistent konfigurieren. Fehlt ein VLAN auf einem Trunk, funktioniert es möglicherweise nur in Teilen des Netzes. Ein Native-VLAN-Mismatch kann Warnungen, unerwartete Zuordnung und Sicherheitsprobleme erzeugen. Nicht benötigte VLANs sollten nicht pauschal über jeden Trunk transportiert werden.

VLAN 1 und automatisch ausgehandelte Trunks werden in vielen Umgebungen bewusst eingeschränkt. Unbenutzte Access-Ports gehören deaktiviert und einem ungenutzten VLAN zugeordnet. Managementzugänge benötigen ein separates, kontrolliertes Netz.

Die MAC-Tabelle zeigt, wo Frames gelernt werden

Bei der Diagnose werden VLAN-Existenz, Portmodus, Access-VLAN, Trunk-Liste und Spanning-Tree-Zustand geprüft. Die MAC-Adress-Tabelle sollte die Endgeräte im erwarteten VLAN und Port zeigen. Fehlt ein Eintrag, kommt der Frame nicht an oder wird vorher verworfen.

Ein Ping allein ist kein vollständiger VLAN-Test, weil Routing, ACL und Host-Firewall beteiligt sind. Paketmitschnitt und gezielte Layer-2-Prüfung trennen Segmentierungsfehler von Problemen oberhalb der Sicherungsschicht.

Praxis-Checkliste

01
VLAN auf allen beteiligten Switches anlegen und benennen.
02
Access-Port, Voice-VLAN und Endgerätzuordnung kontrollieren.
03
Trunkmodus, Native VLAN und Allowed-Liste auf beiden Seiten vergleichen.
04
MAC-Tabelle und Spanning-Tree-Zustand im betroffenen VLAN prüfen.
05
Inter-VLAN-Routing, ACL und Default Gateway separat verifizieren.

Häufige Fragen

Ist ein VLAN automatisch eine Sicherheitszone?

Es trennt Layer-2-Broadcast-Domänen. Sicherheitswirkung entsteht erst durch kontrolliertes Routing, Firewallregeln, sichere Switch-Konfiguration und passende Endpunktkontrollen.

Was ist das Native VLAN?

Auf einem 802.1Q-Trunk wird Verkehr dieses VLANs üblicherweise ungetaggt übertragen. Beide Trunkseiten müssen dieselbe Zuordnung verwenden.