VLAN

Lernfokus

Trainiere logische Netztrennung, Access/Trunk und typische VLAN-Fehler.

• VLAN-Zweck erklären.
• Access- und Trunk-Port unterscheiden.
• Routing und Fehleranalyse einordnen.

Was ist ein VLAN?

Ein VLAN (Virtual Local Area Network) teilt ein physisches Netzwerk logisch in mehrere getrennte Teilnetze auf. Mehrere VLANs können dieselbe Hardware - also denselben Switch und dieselbe Verkabelung - nutzen und verhalten sich trotzdem so, als wären sie vollständig voneinander getrennte Netze. Eine eigene physische Verkabelung pro Netz ist dadurch nicht mehr nötig.

Entscheidend ist: Jedes VLAN bildet eine eigene Broadcast-Domäne. Ein Broadcast (z. B. eine ARP-Anfrage) eines Geräts erreicht nur Geräte im selben VLAN und wird nicht in andere VLANs weitergeleitet. So bleiben Broadcast-Bereiche klein und der Verkehr wird sauber getrennt.

• Logische statt physische Trennung: getrennte Netze auf gemeinsamer Infrastruktur.
• Eigene Broadcast-Domäne: Broadcasts bleiben innerhalb des VLANs.
• VLAN-ID (1-4094): kennzeichnet eindeutig, zu welchem VLAN ein Port oder Frame gehört.

Merksatz: Ein VLAN ist eine logische, kein physisches Netz - ein Switch, mehrere getrennte Broadcast-Domänen.

802.1Q-Tagging

Damit ein Switch beim Weiterleiten weiß, zu welchem VLAN ein Frame gehört, wird nach dem Standard IEEE 802.1Q ein 4-Byte-Tag in den Ethernet-Frame eingefügt. Dieses Tag enthält unter anderem die VLAN-ID. Wichtig: Es handelt sich nur um eine Markierung zur Zuordnung - der Inhalt wird dabei nicht verschlüsselt.

• Tagged: Frame mit 802.1Q-Tag, typisch auf Trunk-Leitungen zwischen Switches.
• Untagged: Frame ohne Tag, typisch am Endgerät; das VLAN ergibt sich aus der Portkonfiguration.

Access-Port vs. Trunk-Port

Die Unterscheidung dieser beiden Porttypen wird in der AP1 gern abgefragt - sie dürfen nicht verwechselt werden.

• Access-Port: gehört zu genau einem VLAN und gibt Frames untagged an das Endgerät (PC, Drucker, IP-Telefon) weiter.
• Trunk-Port: transportiert mehrere VLANs gebündelt über eine Leitung und nutzt dafür 802.1Q-Tags; verbindet meist Switches untereinander oder Switch und Router.
• Native VLAN: das VLAN, dessen Verkehr auf dem Trunk untagged läuft; aus Sicherheitsgründen (VLAN-Hopping) sollte es geändert werden und nicht VLAN 1 sein.

Beispiel: Ein PC hängt an einem Access-Port in VLAN 10. Der Switch ist über einen Trunk mit einem zweiten Switch verbunden, über den VLAN 10, 20 und 30 getaggt laufen. Fehlt der Trunk, funktioniert VLAN 10 lokal, erreicht aber keine Geräte auf dem zweiten Switch.

VLANs, Subnetze und Routing

In der Praxis wird jedem VLAN üblicherweise ein eigenes IP-Subnetz zugeordnet (z. B. VLAN 10 = 192.168.10.0/24, VLAN 20 = 192.168.20.0/24). Layer-2-Trennung (VLAN) und Layer-3-Adressierung (Subnetz) sind damit deckungsgleich. Da VLANs voneinander isoliert sind, benötigt die Kommunikation zwischen ihnen eine Layer-3-Funktion - einen Router oder einen Layer-3-Switch (Inter-VLAN-Routing, z. B. Router-on-a-Stick).

• Vorteile: mehr Sicherheit (isolierte Bereiche, z. B. Gastnetz), bessere Performance (kleinere Broadcast-Domänen), höhere Flexibilität (Umzug per Konfiguration statt Verkabelung).
• Grenzen: VLANs trennen, ersetzen aber keine Firewall-Regeln für den Verkehr dazwischen.
• DHCP: jedes VLAN braucht einen erreichbaren DHCP-Dienst, oft über ein DHCP-Relay (IP-Helper).

Merksatz: Ein VLAN trennt auf Layer 2, das Routing zwischen VLANs passiert auf Layer 3.

Prüfungsmodus

Dieser ProtocolCheck führt dich durch die wichtigsten AP1-Aspekte dieses Themas. Du kannst Antworten prüfen, Fragen überspringen und bekommst am Ende eine Auswertung nach Kategorie.