7.1 VLAN

Was ein VLAN leistet

Ein VLAN ist eine logische Broadcast-Domäne innerhalb eines VLAN-fähigen Bridged Networks. Ports desselben VLANs können auf unterschiedlichen Switches liegen und auf Layer 2 miteinander kommunizieren. Frames eines anderen VLANs werden ohne Routing nicht zugestellt.

Ein VLAN ersetzt keine IP-Planung. Üblicherweise wird jedem VLAN ein eigenes IPv4-Subnetz und ein eigenes IPv6-Präfix zugeordnet. Mehrere IP-Netze im selben VLAN oder dasselbe IP-Netz über mehrere getrennte VLANs sind technisch in Sonderfällen möglich, erschweren jedoch Betrieb und Fehlersuche.

Warum VLANs eingesetzt werden

VLANs ermöglichen eine Struktur nach Funktion, Vertrauensniveau oder Betriebsaufgabe, ohne für jede Gruppe eine eigene Switch-Hardware zu benötigen. Ein Arbeitsplatz kann dadurch auch nach einem Umzug im passenden logischen Netz bleiben, sofern der neue Port korrekt konfiguriert oder die Zuordnung automatisiert wird.

VLAN-Zuordnung: statisch und dynamisch

Bei der statischen portbasierten Zuordnung gehört ein Access-Port zu genau einem Daten-VLAN. Das angeschlossene Endgerät sendet und empfängt seinen gewöhnlichen Datenverkehr dort ungetaggt. Separate Voice-VLAN-Funktionen oder VLAN-fähige Endsysteme sind zusätzliche Hersteller- und Einsatzvarianten und müssen bewusst konfiguriert werden.

Dynamische VLAN-Zuordnung geschieht heute typischerweise im Rahmen von Network Access Control: Ein Switch oder Access Point authentifiziert Gerät oder Benutzer beispielsweise mit IEEE 802.1X und erhält die VLAN-Zuordnung von einem RADIUS-Server. MAC Authentication Bypass kann Geräte ohne 802.1X einbinden, besitzt aber eine schwächere Identität. Historische switchlokale MAC-Datenbanken und protokollbasierte VLANs für IPX, DECnet oder AppleTalk spielen in modernen Unternehmensnetzen kaum noch eine Rolle.

Access-Port und Trunk

Ein Trunk ist eine Punkt-zu-Punkt-Verbindung, auf der mehrere VLANs transportiert werden können. Er erweitert nicht automatisch alle vorhandenen VLANs: Eine Allowed-VLAN-Liste sollte nur die tatsächlich benötigten VLANs zulassen. Beide Enden müssen bei Tagging, zugelassenen VLANs und gegebenenfalls ungetaggtem beziehungsweise Native-VLAN zusammenpassen.

Das Native-VLAN-Konzept ist nicht auf jedem Hersteller gleich benannt. Bei klassischem Cisco-802.1Q-Verhalten werden Frames des Native VLAN auf dem Trunk standardmäßig ungetaggt übertragen. Eine Abweichung zwischen beiden Seiten kann Verkehr in das falsche VLAN einordnen. Moderne Designs vermeiden unnötigen ungetaggten Trunkverkehr und verwenden keine produktiven Endgeräteports für das Native VLAN.

Aufbau des IEEE-802.1Q-Tags

802.1Q fügt in einen Ethernet-Frame vier Byte zwischen Quell-MAC-Adresse und dem ursprünglichen EtherType-/Längenfeld ein. Das Tag Protocol Identifier-Feld besitzt bei einem gewöhnlichen Customer-VLAN-Tag den Wert 0x8100. Die Tag Control Information enthält Priorität, einen Drop-Eligible-Indikator und die VLAN-ID.

Was beim Tagging mit dem Frame geschieht

Ein Access-Port ordnet einen eingehenden ungetaggten Frame zunächst seinem konfigurierten VLAN zu. Soll der Frame über einen Trunk weitergeleitet werden, fügt der Switch den passenden 802.1Q-Tag ein. Der entfernte Switch liest die VLAN-ID, trifft seine Weiterleitungsentscheidung innerhalb dieses VLANs und entfernt den Tag wieder, wenn der Zielport ein gewöhnlicher Access-Port ist.

Durch die zusätzlichen vier Byte wächst der getaggte Ethernet-Frame. Die Frame Check Sequence wird beim Verändern des Frames neu berechnet. Endgeräte an gewöhnlichen Access-Ports müssen den Tag deshalb weder erzeugen noch auswerten. VLAN-fähige Server, Hypervisor oder Access Points können dagegen selbst getaggte Frames verwenden.

• VLAN-ID und Ziel-MAC erfüllen unterschiedliche Aufgaben: Die VLAN-ID wählt die logische Forwarding-Domäne, die Ziel-MAC das Ziel innerhalb dieser Domäne.
• Ein Tag ist keine Verschlüsselung und authentisiert weder Absender noch Inhalt.
• QinQ beziehungsweise Provider Bridging kann mehrere Tags verschachteln; das ist eine Erweiterung für Provider- und Campus-Szenarien, kein gewöhnlicher Access-Port-Fall.

Inter-VLAN-Routing

Switches leiten Frames nur innerhalb der zugehörigen VLAN-Forwarding-Domäne weiter. Für Kommunikation zwischen VLAN 10 und VLAN 20 sendet ein Client das IP-Paket an sein Standardgateway. Dieses routet über ein Router-Subinterface, eine Firewall-Schnittstelle oder ein Switch Virtual Interface auf einem Layer-3-Switch in das Zielnetz.

Lokale VLANs statt unnötig großer Layer-2-Domänen

Ein VLAN kann technisch über viele Switches und Gebäude ausgedehnt werden. Das ist jedoch nicht automatisch ein gutes Design. Lokale VLANs begrenzen Fehlerdomänen, Broadcast-Ausbreitung und die Reichweite von Spanning-Tree-Ereignissen. Routing findet dann näher an den Zugangsbereichen oder im Distribution-/Core-Bereich statt.

Die historische 80/20-Regel ist keine belastbare Planungsgrundlage für heutige Netze. Anwendungen, Cloud-Dienste, Rechenzentren, WLAN, Echtzeitkommunikation und lokale Dienste erzeugen je nach Umgebung sehr unterschiedliche Verkehrsflüsse. VLAN-Grenzen werden anhand von Anforderungen, Fehlerdomänen, Sicherheitszonen, Mobilität und Betriebsaufwand geplant.

Cisco-IOS-artige Grundkonfiguration

Die Befehle sind ein herstellerspezifisches Beispiel. Aktuelle Cisco-IOS-artige Systeme legen VLANs im globalen Konfigurationsmodus an. Der frühere Modus `vlan database` ist historisch und gehört nicht in eine neue Standardkonfiguration. Portnamen und unterstützte Funktionen hängen vom Gerät ab.

VLAN 1, Management und sichere Portpraxis

VLAN 1 existiert auf vielen Switch-Plattformen als Standard-VLAN, doch genaue Defaultwerte, löschbare VLANs, Managementzugang und Steuerprotokolle sind hersteller- und modellabhängig. Eine alte Aussage wie „die Switch-IP gehört immer zu VLAN 1“ ist daher nicht allgemein gültig. Das Managementnetz wird ausdrücklich geplant und auf einem Layer-3-Interface beziehungsweise Management-Interface konfiguriert.

• Unbenutzte Ports administrativ deaktivieren und einem ungenutzten VLAN zuweisen.
• Endgeräteports ausdrücklich als Access konfigurieren; Trunks ebenfalls statisch festlegen.
• Auf Trunks nur benötigte VLANs zulassen und beide Seiten konsistent dokumentieren.
• Managementzugriff in ein eigenes, kontrolliertes Netz legen und durch ACL oder Firewall begrenzen.
• Native-VLAN-Abweichungen, unerwartete Trunks und neue VLANs überwachen.
• VLANs sind Segmentierung, aber keine alleinige Sicherheitsgrenze; Inter-VLAN-Regeln und Endgeräteschutz bleiben erforderlich.

Prüfung und Fehlersuche