VLANs verstehen

Ein Switch, mehrere Netze

Ohne VLANs ist ein Switch ein einziges großes Netz: Jedes Gerät kann jedes andere direkt erreichen, und jeder Broadcast landet an jedem Port. In einer Firma will man das selten. Die Verwaltung soll getrennt von der Produktion sein, Gäste sollen nicht ins Firmennetz, und Telefone bekommen gern ein eigenes Netz.

Ein VLAN (Virtual LAN) teilt einen Switch in mehrere logische Switches. Welcher Port zu welchem VLAN gehört, stellt man am Managed Switch ein. Geräte in VLAN 10 sehen dann nur Geräte in VLAN 10, egal an welchem Port sie stecken. In der Praxis bekommt jedes VLAN auch ein eigenes IP-Netz, etwa VLAN 10 das Netz 192.168.10.0/24 und VLAN 20 das Netz 192.168.20.0/24.

Broadcast-Domänen

Jedes VLAN ist eine eigene Broadcast-Domäne. Eine ARP-Anfrage oder ein DHCP-Discover aus VLAN 10 erreicht nur die Ports von VLAN 10. Das macht Netze ruhiger und sicherer: Wer in VLAN 20 steckt, bekommt vom Verkehr in VLAN 10 nichts mit und kann dort auch nicht mithören.

Access-Port und Trunk

An einem Switch-Port hängt entweder ein einzelnes Gerät oder eine Leitung, über die mehrere VLANs laufen sollen. Daraus ergeben sich zwei Port-Arten:

Access-Port und Trunk im Vergleich
	Access-Port	Trunk-Port
VLANs	genau eins	mehrere
Frames	ohne Tag, das Endgerät merkt nichts vom VLAN	mit 802.1Q-Tag, damit die Gegenseite das VLAN erkennt
Typisch für	PCs, Drucker, Server	Switch zu Switch, Switch zu Router, Access Points mit mehreren WLANs

Das 802.1Q-Tag

Damit ein Frame auf dem Trunk sein VLAN nicht verliert, fügt der Switch nach IEEE 802.1Q ein 4 Byte langes Tag in den Ethernet-Frame ein, direkt hinter die Quell-MAC-Adresse. Darin stehen eine Priorität (3 Bit) und die VLAN-ID (12 Bit). Nutzbar sind die IDs 1 bis 4094. Am Access-Port des Ziels nimmt der Switch das Tag wieder heraus.

Ziel-MAC | Quell-MAC | 802.1Q-Tag (VLAN 10) | Typ | Daten | Prüfsumme
                       └ 4 Byte, nur auf dem Trunk

Router-on-a-stick: zwischen VLANs routen

Weil jedes VLAN ein eigenes IP-Netz ist, gilt dasselbe wie bei zwei getrennten Netzen: Für den Weg von einem VLAN ins andere braucht es einen Router. Statt für jedes VLAN ein eigenes Kabel zum Router zu legen, reicht eine einzige Leitung, die am Switch als Trunk eingestellt ist. Am Router teilt man diesen Anschluss in Subinterfaces, je VLAN eins mit eigener Adresse. Diese Adresse ist das Gateway der Geräte im VLAN.

Ein Paket von PC-A (VLAN 10) an PC-B (VLAN 20) läuft also zum Switch, mit Tag 10 über den Trunk zum Router, wird dort ins Netz von VLAN 20 geroutet und kommt mit Tag 20 über dieselbe Leitung zurück. Wegen dieser einen Leitung heißt der Aufbau Router-on-a-stick. In größeren Netzen übernimmt oft ein Layer-3-Switch das Routen zwischen den VLANs.

Ein VLAN ist eine Broadcast-Domäne und meist ein IP-Netz. Access-Port: ein VLAN, ohne Tag. Trunk: viele VLANs, mit 802.1Q-Tag. Zwischen VLANs wird geroutet.

Selbst ausprobieren

Im Beispiel „Router-on-a-stick“ hängen PC-A (192.168.10.10) und PC-B (192.168.20.10) am Managed Switch SW. Der dritte Port des Switches führt als Trunk zum Router. Der Router hat an diesem einen Anschluss zwei Subinterfaces: 192.168.10.1 für VLAN 10 und 192.168.20.1 für VLAN 20.

Öffne das Beispiel mit dem Knopf „Im Simulator öffnen“. Ein Konto brauchst du nicht.
Klick den Switch SW an und öffne den Reiter „VLANs“. Dort siehst du je Port den Modus und die VLAN-ID: port1 gehört zu VLAN 10, port2 zu VLAN 20, port3 ist der Trunk.
Klick den Router an und öffne den Reiter „Adapter“. Der Anschluss zum Switch steht auf „Trunk (802.1Q)“ und trägt die beiden Subinterfaces für VLAN 10 und VLAN 20.
Öffne bei PC-A den Reiter „Terminal“ und gib ping 192.168.20.10 ein. Der Ping klappt. Auf dem Plan siehst du, wie das Paket zum Router hin und über dasselbe Kabel wieder zurück läuft.
Stell am Switch port2 auf VLAN 10 und pinge erneut. Jetzt steckt PC-B im falschen VLAN: Der Router sucht ihn in VLAN 20, findet ihn dort nicht, und der Ping scheitert.
Gib PC-B nun im Reiter „Adapter“ die Adresse 192.168.10.11 mit dem Gateway 192.168.10.1. Jetzt sind beide im selben VLAN und im selben Netz, und PC-A erreicht 192.168.10.11 direkt über den Switch, ganz ohne Router.

Im Erklärmodus (Werkzeug-Menü) gehst du den Ping Schritt für Schritt durch und siehst an jedem Gerät, was mit dem Paket passiert.

Im Simulator öffnen

Wofür du das brauchst

VLANs, Trunks und das Routing zwischen VLANs gehören zu Lernfeld 9 („Netzwerke und Dienste bereitstellen“) und kommen besonders für Fachinformatikerinnen und Fachinformatiker für Systemintegration in der AP2 vor. Typische Aufgaben: ein Firmennetz in VLANs aufteilen, Ports als Access oder Trunk festlegen und die Gateways der VLANs planen.

Häufige Fragen

Fragen zu VLANs

Können zwei Geräte in verschiedenen VLANs miteinander sprechen?

Nicht direkt. Jedes VLAN ist eine eigene Broadcast-Domäne und in der Regel ein eigenes IP-Netz. Verkehr zwischen VLANs muss geroutet werden, zum Beispiel über einen Router mit Subinterfaces (Router-on-a-stick) oder einen Layer-3-Switch. Dort lässt er sich dann auch per Firewall-Regel filtern.

Was ist das native VLAN?

Auf einem Trunk tragen alle Frames ein 802.1Q-Tag, außer denen des nativen VLANs. Sie laufen ungetaggt über die Leitung. Ab Werk ist das meist VLAN 1. Beide Seiten eines Trunks müssen dasselbe native VLAN haben, sonst landen Frames im falschen VLAN.

Wie viele VLANs gibt es?

Die VLAN-ID im 802.1Q-Tag ist 12 Bit lang. Das ergibt 4096 Werte, von denen 0 und 4095 reserviert sind. Nutzbar sind also die VLAN-IDs 1 bis 4094.

Weiterlernen