VLAN-Tutorial

Ein Switch verbindet Geräte im lokalen Netz (LAN). Ohne weitere Einstellung sind alle Ports in einem gemeinsamen Netz. Das nennt man eine Broadcast-Domäne. Ein Broadcast ist eine Nachricht an alle, zum Beispiel eine ARP-Anfrage ("Wer hat die IP 10.20.0.1?"). Jeder Broadcast landet bei jedem Gerät.

In einem kleinen Büro ist das kein Problem. Hängen aber PCs, Telefone, Drucker, Server und Gäste-WLAN im selben Netz, wird es unübersichtlich und unsicher. Jedes Gerät kann jedes andere direkt erreichen.

Ein VLAN (Virtual LAN) teilt einen physischen Switch in mehrere logische Netze. Jedes VLAN bekommt eine Nummer, die VLAN-ID. Geräte in VLAN 10 sehen nur Geräte in VLAN 10. Broadcasts bleiben im eigenen VLAN.

Die Vorteile:

• Sicherheit: Ein Gast im Gäste-WLAN kommt nicht direkt an den Server. Verkehr zwischen VLANs muss über einen Router oder eine Firewall. Dort kannst du Regeln setzen.
• Weniger Broadcasts: Jedes VLAN ist eine eigene Broadcast-Domäne. Broadcasts erreichen nur die Geräte im selben VLAN.
• Ordnung: Geräte werden nach Aufgabe gruppiert, zum Beispiel Clients, VoIP, Drucker. Das macht Fehlersuche und Doku leichter.

Ein Access-Port gehört zu genau einem VLAN. Dort hängen Endgeräte wie PCs, Drucker oder Kameras. Die Frames (Datenpakete auf Schicht 2) gehen ohne VLAN-Markierung raus, also untagged. Das Endgerät weiß gar nicht, in welchem VLAN es ist.

Ein Trunk transportiert mehrere VLANs über ein einziges Kabel. Damit die Gegenseite weiß, zu welchem VLAN ein Frame gehört, bekommt jeder Frame eine Markierung, den Tag. Trunks nutzt man von Switch zu Switch, vom Switch zur Firewall oder zum Router und oft auch zu WLAN-Access-Points mit mehreren SSIDs.

Im Planer heißt ein Trunk "Uplink". Die SFP-Ports U1, U2 … sind typische Uplinks. Du kannst aber auch einen normalen Port zum Uplink machen.

IEEE 802.1Q ist der Standard für VLANs. Er legt fest, wie der Tag aussieht. Der Tag ist 4 Byte groß und wird in den Ethernet-Frame eingefügt, direkt hinter die Quell-MAC-Adresse.

• TPID (16 Bit): Kennung 0x8100. Daran erkennt der Switch, dass ein Tag folgt.
• PCP (3 Bit): Priorität, zum Beispiel für Sprache (QoS).
• DEI (1 Bit): Markiert Frames, die bei Überlast zuerst verworfen werden dürfen.
• VID (12 Bit): die VLAN-ID. 12 Bit ergeben 4096 Werte. 0 und 4095 sind reserviert, nutzbar sind 1 bis 4094.

Tagged heißt: Der Frame trägt diesen Tag. Untagged heißt: Der Frame ist ein ganz normaler Ethernet-Frame ohne Tag. Der Switch fügt den Tag beim Senden über den Trunk hinzu und entfernt ihn wieder, bevor er den Frame an einen Access-Port gibt.

Cisco und HP/Aruba beschreiben dasselbe mit anderen Worten. Cisco stellt am Port ein, ob er access oder trunk ist. Bei HP/Aruba (ProCurve) stellst du im VLAN ein, welche Ports untagged oder tagged dabei sind.

Auf einem Trunk sind fast alle Frames getaggt. Eine Ausnahme gibt es: das Native VLAN. Frames aus dem Native VLAN schickt der Switch ohne Tag über den Trunk. Kommt auf dem Trunk ein Frame ohne Tag an, steckt der Switch ihn ins Native VLAN.

Deshalb muss das Native VLAN auf beiden Seiten des Trunks gleich sein. Stellt Switch A VLAN 99 ein und Switch B VLAN 1, landen untagged Frames aus VLAN 99 drüben in VLAN 1. Zwei VLANs werden so ungewollt vermischt. Cisco-Switches melden das per CDP als "native VLAN mismatch".

Bei Cisco ist ab Werk VLAN 1 das Native VLAN. Man nimmt dafür aber besser nicht VLAN 1:

• VLAN 1 ist das Default-VLAN. Alle nicht konfigurierten Ports sind darin. Wer irgendwo ein Kabel einsteckt, wäre im Native VLAN.
• Beim sogenannten Double Tagging (VLAN Hopping) schickt ein Angreifer einen Frame mit zwei Tags. Das klappt, wenn sein Access-VLAN gleich dem Native VLAN des Trunks ist. Ein eigenes, sonst ungenutztes Native VLAN verhindert das.

Im Planer stellst du das Native VLAN im Details-Modus am Uplink ein. Bei Cisco schreibt der Planer das Native VLAN auch in die allowed-Liste, damit es über den Trunk darf. Bei ProCurve wird es am Uplink zu untagged.

Jedes VLAN ist ein eigenes Netz mit eigenem IP-Subnetz. Ein Switch, der nur auf Schicht 2 arbeitet, leitet nichts von VLAN 10 nach VLAN 20 weiter. Dafür braucht es ein Gerät auf Schicht 3, also einen Router.

Typische Lösungen:

• Layer-3-Switch mit SVI: Eine SVI (Switch Virtual Interface) ist eine virtuelle Schnittstelle pro VLAN, bei Cisco interface Vlan10 mit einer IP-Adresse. Damit der Switch zwischen den SVIs routet, muss Routing eingeschaltet sein (bei Cisco ip routing).
• Firewall oder Router: Er hängt per Trunk am Switch und hat für jedes VLAN eine eigene Schnittstelle. Vorteil: Zwischen den VLANs greifen Firewall-Regeln.

Jedes Gerät im VLAN braucht die Adresse dieser Schnittstelle als Gateway. Das Gateway ist das "Tor" aus dem eigenen Subnetz hinaus. Im Planer ist das Gateway immer die erste nutzbare Adresse im Netz, zum Beispiel 10.20.0.1 für 10.20.0.0/25.

Jede Gateway-Adresse darf es im Netz nur einmal geben. Im Planer gibt es deshalb höchstens einen Gateway-Switch (L3). Nur er bekommt in der Konfig ip routing und die SVIs mit den Gateway-Adressen. Alle anderen sind Access-Switches (L2) und verteilen nur die VLANs. Liegen die Gateways beim Kunden auf der Firewall, stellst du alle Switches auf Access-Switch. Dann erzeugt der Planer keine SVIs.

Merksatz: Ein VLAN ist ein Subnetz. Jedes VLAN bekommt seinen eigenen Adressbereich. Das Präfix, zum Beispiel /25, sagt, wie viele Bits zum Netzanteil gehören. Der Rest sind Host-Bits.

Ein Netz mit dem Präfix /n hat 2^(32 − n) Adressen. Zwei davon sind nicht für Geräte nutzbar: die Netzadresse (erste) und die Broadcast-Adresse (letzte).

VLSM (Variable Length Subnet Mask) bedeutet: Jedes Subnetz bekommt nur so viel Platz, wie es braucht. Ein Druckernetz braucht kein /24.

Rechenbeispiel aus den Beispieldaten, Clients mit 60 Geräten und 25 % Reserve:

60 × 1,25 = 75 Geräte
75 + 1 (Gateway) = 76 Adressen nötig
/26 → 62 nutzbar → zu klein
/25 → 126 nutzbar → passt

Der Planer vergibt die Blöcke der Größe nach, die größten zuerst. Jeder Block beginnt an einer Adresse, die durch seine Größe teilbar ist. So entstehen keine Lücken und keine Überschneidungen. Aus 10.20.0.0/23 werden: Clients und Gäste je /25, VoIP /26, Server /27, Drucker und Management je /28. Das sind 384 von 512 Adressen.

• Native VLAN Mismatch: Beide Seiten eines Trunks haben ein anderes Native VLAN. Folge: Verkehr landet im falschen VLAN. Prüfen mit show interfaces trunk auf beiden Switches.
• VLAN fehlt in der allowed-Liste: Das VLAN existiert, darf aber nicht über den Trunk. Geräte am anderen Switch erreichen ihr Gateway nicht. Der Planer warnt, wenn ein Access-Switch Ports in einem VLAN hat, das in keinem seiner Uplinks erlaubt ist. Beheben: Details-Modus, Uplink anklicken, Häkchen bei "Erlaubte VLANs" setzen.
• Gerät im falschen VLAN: Der Port ist dem falschen VLAN zugewiesen. Das Gerät bekommt eine IP aus dem falschen DHCP-Bereich oder gar keine. Prüfen mit show vlan brief (Cisco) oder show vlans (HP/Aruba).
• Default VLAN 1 benutzt: Alle unkonfigurierten Ports sind in VLAN 1. Wer dort produktiv arbeitet, hängt jedes neu eingesteckte Gerät direkt ins Firmennetz. Besser eigene VLAN-IDs nehmen und freie Ports abschalten. Der Planer setzt freie Ports auf shutdown bzw. disable.
• Überlappende Subnetze: Zwei VLANs bekommen Adressbereiche, die sich überschneiden, zum Beispiel 10.20.0.0/24 und 10.20.0.128/25. Dann ist nicht mehr eindeutig, wohin ein Paket gehört. Cisco lehnt so eine zweite SVI-Adresse ab. Der Planer verhindert das, weil er die Blöcke selbst lückenlos vergibt.