Ein Switch, mehrere getrennte Layer-2-Netze.
Im Büro stehen zwei Arbeitsplatzrechner und ein Drucker. Gäste verbinden ihre eigenen Geräte über einen anderen Zugang. Alle Anschlüsse landen am selben verwaltbaren Switch. Trotzdem sollen Gäste nicht einfach Teil des Büronetzes sein. Dafür lässt sich der Switch in Virtual Local Area Networks, kurz VLANs, aufteilen: Die Trennung entsteht durch die Konfiguration, nicht durch zwei vollständig getrennte Switch-Gehäuse.
Ein VLAN bildet eine eigene Broadcast-Domäne auf Layer 2. Ein Ethernet-Broadcast aus VLAN 10 wird innerhalb dieses VLANs verteilt, jedoch nicht allein durch Switching an VLAN 20 weitergegeben. Das gilt auch dann, wenn die Kabel unmittelbar nebeneinander stecken. Für diese Einführung betrachten wir gewöhnliche portbasierte VLANs in einem überschaubaren Ethernet-LAN; Sonderfunktionen wie Private VLANs bleiben außen vor.
Ein Layer-2-Switch entscheidet beim normalen Unicast-Forwarding anhand von MAC-Adressen und dem VLAN-Kontext, wohin ein Frame gehört. Ein Router entscheidet anhand von IP-Zieladressen und Routen, wie ein Paket ein anderes IP-Netz erreicht. Ein Layer-3-Switch kann beide Funktionen in einem Gerät übernehmen. Die Funktion ist entscheidend, nicht allein die Aufschrift auf dem Gehäuse.
Untagged braucht eine eindeutige Empfangsregel.
Ein Frame ohne VLAN-Tag trägt keine gewöhnliche VLAN-ID über die Leitung. Wenn der Anschluss solche Frames annimmt, braucht das Gerät eine Zuordnungsregel. Die Port VLAN ID, PVID, ist die VLAN-ID für empfangene ungetaggte beziehungsweise Priority-getaggte Frames. Davon zu unterscheiden sind die erlaubten VLANs eines Ports und die Frage, ob ein VLAN beim Senden getaggt oder ungetaggt ausgegeben wird. Diese Einstellungen hängen zusammen, sind aber nicht dieselbe Eigenschaft.
Der Begriff Native VLAN bezeichnet in vielen Herstellerkonfigurationen das VLAN für ungetaggten Verkehr auf einem Trunk. Konkretes Beispiel: Beim Cisco Catalyst 9400 mit IOS XE 17.15 wird ungetaggter Trunk-Verkehr standardmäßig dem konfigurierten Native VLAN zugeordnet; dieses ist dort zunächst VLAN 1. Frames dieses VLANs werden in der dokumentierten Grundeinstellung ungetaggt gesendet. Andere Cisco-Konfigurationen bieten ausdrücklich Native-VLAN-Tagging an.
Juniper dokumentiert für die beschriebenen EX-/Junos-Trunks dagegen, dass ungetaggte Datenframes ohne zusätzliche Native-VLAN-Konfiguration nicht angenommen werden; bestimmte ungetaggte Kontrollframes sind gesondert zu betrachten. ELS- und Nicht-ELS-Konfigurationsstile unterscheiden sich ebenfalls. Deshalb lässt sich weder ein Default von Cisco auf Juniper übertragen noch allein aus dem Wort „Trunk“ das vollständige Ein- und Ausgangsverhalten ableiten.
Praktisch prüfst du beide Enden der Verbindung: Welche VLANs sind zugelassen? Welche Tags werden erwartet? Was geschieht mit ungetaggten Datenframes? Wenn eine Seite ungetaggten Verkehr VLAN 10 zuordnet und die andere VLAN 20, entsteht eine falsche Zuordnung. Ein passender Kabel-Link und dieselbe Trunk-Bezeichnung verhindern diesen Fehler nicht.
VLAN und IP-Subnetz lösen unterschiedliche Aufgaben.
Für das kleine Unternehmen planen wir VLAN 10 mit 192.168.10.0/24 und VLAN 20 mit 192.168.20.0/24. Die IP-Adressen sind private Beispieladressen. Je ein eigenes IP-Subnetz pro VLAN ist hier die klare, übliche Planung. IPv4-Adressen und Subnetzmasken und CIDR erklären die Adressseite dieser Zuordnung.
| Bereich | VLAN / Subnetz | Geräte | Gateway |
|---|---|---|---|
| Verwaltung | 10 · 192.168.10.0/24 | PC .11, Drucker .50 | 192.168.10.1 |
| Gäste | 20 · 192.168.20.0/24 | Laptop .21, Tablet .22 | 192.168.20.1 |
Die VLAN-ID 10 erzeugt keine IP-Adresse und keine Maske. Auch ein Wechsel der IP-Adresse verschiebt einen Access-Port nicht automatisch in ein anderes VLAN. Mehrere IP-Subnetze können technisch in derselben Broadcast-Domäne liegen, wären dadurch aber auf Layer 2 nicht voneinander getrennt. Umgekehrt wird dasselbe IP-Subnetz in zwei getrennten VLANs ohne weitere Spezialtechnik nicht einfach zu einem gemeinsamen LAN: Die erwartete direkte Nachbarschaft fehlt.
DHCP kann passende Adressen, Masken, Gateways und DNS-Server verteilen. Dafür braucht jedes Beispiel-VLAN einen erreichbaren DHCP-Dienst oder einen passenden Relay-Weg zum zentralen Server. Ein DHCP-Broadcast springt nicht allein durch die Existenz des Trunks ins andere VLAN. DNS übersetzt anschließend Namen; es repariert keine falsche VLAN-Zuordnung.
Zwischen den VLANs entscheidet eine Layer-3-Funktion.
Damit der Büro-PC ein Ziel außerhalb seines /24 erreicht, sendet er das IP-Paket an sein Gateway. Für unser Beispiel bekommt eine Router- beziehungsweise Firewall-Funktion je eine Schnittstelle in VLAN 10 und VLAN 20. Das können zwei physische Anschlüsse, zwei 802.1Q-Subinterfaces über einen Trunk oder virtuelle VLAN-Schnittstellen eines Layer-3-Switches sein. Die folgende Darstellung zeigt die logischen Schnittstellen; ihre Leitungen stehen nicht zwingend für zwei physische Kabel.
Wir legen ausdrücklich fest: Gäste dürfen keine neuen Verbindungen zu Verwaltungsgeräten aufbauen. Freigegebene Infrastruktur, etwa ein DNS-Dienst am Gastgateway, muss separat erlaubt werden. Für Internetzugang braucht es außerdem einen tatsächlichen Uplink, eine Route und geeignete Regeln. Die bloße Existenz zweier Gateways bedeutet weder Internetzugang noch eine Zugriffssperre. Ein Layer-3-Switch mit aktivem Routing kann ohne zusätzliche Filter grundsätzlich zwischen seinen angeschlossenen Netzen weiterleiten.
Für eine Ausnahme, beispielsweise einen bestimmten Druckdienst, müssen Quelle, Ziel, Dienst und Richtung präzise festgelegt werden. Bei einer zustandsbehafteten Firewall wird auch der Rückverkehr zur erlaubten Verbindung berücksichtigt. Eine pauschale Freigabe „Gäste dürfen Verwaltung“ wäre für einen einzelnen Drucker unnötig weit. Wie die Weiterleitung zum nächsten Netz erfolgt, erklärt der Routing-Artikel.
Eine VLAN-Grenze ersetzt kein Sicherheitskonzept.
VLANs strukturieren Layer 2 und verkleinern Broadcast-Domänen. Sie verschlüsseln keine Daten und verhindern nicht jeden Angriff. Geräte innerhalb desselben Gäste-VLANs können je nach weiterer Konfiguration miteinander kommunizieren; Client-Isolation wäre eine zusätzliche Funktion. Fehlerhafte Trunks, ungeschützte Managementzugänge oder großzügige Routingregeln können die beabsichtigte Trennung unterlaufen.
Bei einer Störung beginnst du deshalb bei der tatsächlichen Zuordnung: Ist der Anschluss im richtigen VLAN? Existiert dieses VLAN auf allen beteiligten Switches? Ist es auf jedem benötigten Trunk erlaubt? Stimmen Tagging und Behandlung ungetaggter Frames an beiden Enden? Erst dann prüfst du IP-Adresse, Maske, Gateway und Firewall. Ein korrektes 192.168.20.21/24 auf einem versehentlich VLAN 10 zugeordneten Port macht die Layer-2-Konfiguration nicht richtig.
Gelingt der Zugriff innerhalb des eigenen VLANs, aber nicht auf ein fremdes Netz, sind Gateway, Routing und Filter die nächsten Kandidaten. Funktioniert die Verbindung per IP-Adresse, aber nicht per Namen, lohnt sich die DNS-Prüfung. Dieselbe Layer-2-Trennung kann auch IPv6 tragen; IPv6 verwendet allerdings keinen Broadcast. Gastregeln müssen für beide eingesetzten IP-Versionen konsistent geplant werden.
Prüfe Zuordnung und Erreichbarkeit getrennt.
Aufgabe 1: Der Gastlaptop hängt an einem Access-Port für VLAN 20. Du gibst ihm manuell 192.168.10.99/24. Der Verwaltungs-PC hat 192.168.10.11/24 in VLAN 10. Kann der Laptop ihn jetzt ohne Router direkt erreichen?
Lösung: Gleiche IP-Netzangabe überwindet keine VLAN-Grenze.
Nein, in unserer beschriebenen Topologie nicht. Der Laptop hält .11 wegen seiner /24-Konfiguration für lokal und sucht dessen MAC-Adresse per ARP im eigenen VLAN 20. Der Switch reicht diese Anfrage nicht in VLAN 10 weiter. Die manuelle Adresse hat weder den Switch-Port umkonfiguriert noch eine Layer-3-Verbindung geschaffen. Korrigiere die Port- beziehungsweise IP-Zuordnung statt die Maske als Behelf zu verändern.
Aufgabe 2: Auf zwei Switches existieren VLAN 10 und VLAN 20. Der Trunk lässt nur VLAN 10 zu. Verwaltungs-PCs auf beiden Switches erreichen sich, Gastgeräte über die Switch-Grenze nicht. Brauchen die Gäste dafür Inter-VLAN-Routing?
Lösung: Zuerst den Transport desselben VLANs prüfen.
Nein. Für Kommunikation innerhalb von VLAN 20 muss dieses VLAN über die Verbindung transportiert werden. Die erlaubte VLAN-Liste muss es an beiden Enden zulassen; die übrige Konfiguration muss ebenfalls stimmen. Ein Router wäre für ein anderes IP-Netz zuständig. Das Problem liegt hier bereits auf Layer 2. Aus einer erlaubten VLAN-Liste folgt weiterhin keine Berechtigung, zwischen VLAN 10 und 20 zu kommunizieren.
Quellen und fachlicher Stand.
Geprüft am . Grafiken, Topologie und Aufgaben sind eigene didaktische Beispiele. Herstellerangaben beziehen sich auf die ausdrücklich genannte Plattform beziehungsweise den dokumentierten Junos-Kontext.
- IEEE 802.1: VLAN-Bridges und 802.1Q – Standardfamilie für VLAN-fähige Bridges.
- RFC 5517, Abschnitt 1 – Broadcast-Domänen und zwölf Bit breite VLAN-ID.
- RFC 4363: Bridge Management Objects – PVID, Frame-Annahme und VLAN-Ausgangszuordnung als getrennte Eigenschaften.
- Cisco Catalyst 9400, IOS XE 17.15: VLAN Trunks – erlaubte VLANs und Native-VLAN-Grundeinstellung.
- Cisco Catalyst 9200, IOS XE 17.15: Layer-2/3-Befehle – Option für Native-VLAN-Tagging.
- Juniper: Bridging and VLANs – Access, Trunk, Native VLAN und Unterschiede der Konfigurationsstile.
Die Grundlagen im Serverbetrieb anwenden.
Diese Lernschritte verbinden das Thema mit einer konkreten Infrastruktur: