VLAN: Netzwerke logisch trennen mit 802.1Q

Ein VLAN (Virtual Local Area Network) ermöglicht es, ein physisches Netz in mehrere logisch getrennte Netze aufzuteilen. Statt für jede Abteilung eigene Kabel und Switche zu ziehen, konfiguriert man auf demselben Switch mehrere virtuelle Netze – etwa „Büro", „Gäste", „Server" und „Telefone".

Warum überhaupt trennen?

  • Sicherheit: Ein Gast im WLAN darf nicht auf Server oder Buchhaltung zugreifen.
  • Übersicht: Kleinere Einheiten sind leichter zu regeln und zu überwachen.
  • Broadcast-Begrenzung: Broadcasts – etwa ARP-Anfragen – bleiben im eigenen VLAN und belasten die anderen nicht.
  • Ortsunabhängigkeit: Ein VLAN folgt der Konfiguration, nicht der Verkabelung. Ein Arbeitsplatz kann abteilungsübergreifend umziehen.

Wie das Tagging funktioniert

Der Standard dafür ist IEEE 802.1Q. Er erweitert jedes Ethernet-Frame um ein 4-Byte-Feld mit einer VLAN-ID. Die ID ist 12 Bit lang, also 1 bis 4094 nutzbar; 0 und 4095 sind reserviert.

Zwei Portarten sind zu unterscheiden:

  • Access-Port: gehört zu genau einem VLAN. Das angeschlossene Gerät – etwa ein PC – merkt nichts von VLANs; der Switch entfernt den Tag beim Senden.
  • Trunk-Port: transportiert mehrere VLANs gleichzeitig mit Tags. Typisch für die Verbindung zwischen zwei Switches oder zum Router.
# Beispiel (Cisco-artige Syntax)
interface GigabitEthernet0/1
 switchport mode access
 switchport access vlan 20

interface GigabitEthernet0/24
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30

Verbindung zwischen VLANs

VLANs sind getrennte Netze – ohne Weiteres erreicht kein Gerät das andere. Wer Kommunikation zwischen ihnen will, braucht Routing: entweder einen Router mit einem Trunk-Anschluss („Router-on-a-Stick") oder einen Layer-3-Switch mit virtuellen Schnittstellen. Jedes VLAN erhält dabei sein eigenes Subnetz – siehe Subnetting verstehen.

Typische Stolperfallen

  • Falsches natives VLAN auf Trunks: Ungetaggter Verkehr landet sonst im falschen Netz.
  • VLAN 1 nicht nutzen: Es ist Standard und oft ungeschützt – für Nutzdaten besser ein anderes wählen.
  • Gastnetz ohne eigene Firewall-Regeln: VLAN-Trennung allein ist kein vollständiger Schutz; die Übergänge brauchen Regeln.
  • Doppelte VLAN-IDs an einem Standort: Führt zu schwer auffindbaren Fehlern.
  • Dokumentation: Ohne aktuelle Zuordnung von Ports zu VLANs wird die Fehlersuche zur Detektivarbeit.

Siehe auch