Warum VLANs?

Stell dir die Werkstatt Müller GmbH vor. Im Erdgeschoss steht ein Switch mit 24 Ports. Daran hängen die PCs der Verwaltung mit der Lohnbuchhaltung und die Rechner der Produktionshalle. Der Switch unterscheidet nicht, wer wohin gehört.

Das hat zwei Folgen, die du aus den Grundlagen kennst. Erstens erreicht jeder Broadcast jedes Gerät. Alle Ports bilden eine gemeinsame Broadcast-Domäne. Zweitens kann jedes Gerät jedes andere direkt ansprechen.

Die naheliegende Lösung wäre ein zweiter Switch: einer für das Büro, einer für die Halle, mit eigenen Kabeln. Das funktioniert, ist aber teuer und unflexibel. Jede neue Abteilung bräuchte neue Hardware, und wer vom Büro in die Halle wechselt, bräuchte ein neues Kabel. Es geht eleganter.

Am 24-Port-Switch der Werkstatt Müller legst du zum Beispiel fest: Die Ports 1 bis 12 gehören zur Verwaltung, die Ports 13 bis 22 zur Produktion. Geräte im selben VLAN verhalten sich, als hingen sie an einem eigenen Switch.

Wenn du im Betrieb einen neuen Arbeitsplatz anschließt, lautet die erste Frage deshalb nicht „An welchen Switch?“, sondern „In welches VLAN?“. Fast jedes Firmennetz mit mehr als einer Handvoll Arbeitsplätzen ist heute so aufgeteilt.

Mit Namen wie „Verwaltung“ kann der Switch wenig anfangen. Den Namen vergibst du zusätzlich, damit Menschen die Konfiguration lesen können.

Du stellst ein, dass Port 3 zu VLAN 10 gehört. Welches Gerät dort steckt, ist dem Switch egal. Ab Werk gehören alle Ports zu VLAN 1, dem sogenannten Default-VLAN. Solange niemand etwas umstellt, ist also der ganze Switch ein einziges VLAN, genau der „große Raum“ vom Anfang.

Ein Switch ohne VLANs führt eine MAC-Tabelle: Er merkt sich, an welchem Port er welche Absenderadresse gesehen hat. Kennt er das Ziel eines Frames nicht oder ist der Frame ein Broadcast, gibt er ihn an allen anderen Ports aus. Das nennt man Fluten (Flooding).

Mit VLANs kommt eine Information dazu: Der Switch speichert zu jeder MAC-Adresse auch das VLAN, in dem er sie gelernt hat. Das ist keine Filterregel, die man vergessen könnte, sondern die Grundlogik der Weiterleitung.

Auf Schicht 2 trennt das VLAN die Geräte. Auf Schicht 3 bekommt deshalb jedes VLAN ein eigenes IP-Subnetz. Der Grund liegt im Verhalten der Endgeräte, das du aus dem IPv4-Kapitel kennst: Ohne beantwortete ARP-Anfrage kommt die Verbindung nicht zustande.

Ganz getrennt sollen VLANs selten sein. Die Verwaltung will auf dem Drucker der Produktion drucken. Liegt das Ziel in einem fremden Subnetz, schickt der PC das Paket an sein Standardgateway. Das Gerät nimmt das Paket aus VLAN 10 an und gibt es in VLAN 20 wieder aus.

Dieser Übergang ist der „Empfang“ aus dem Vergleich. Genau hier kannst du später festlegen, welcher Verkehr zwischen den VLANs erlaubt ist.

In der Prüfung vom Sommer 2024 waren Gerätegruppen diesen Arten zuzuordnen. Für das Default-VLAN und das Native VLAN war die richtige Antwort „keine Geräte“.

iLO und iDRAC sind eigene Verwaltungsanschlüsse an Servern von HPE und Dell. Über sie lässt sich ein Server aus der Ferne einschalten und bedienen. Solche Zugänge gehören deshalb ins geschützte Management-VLAN.

Das Default-VLAN bleibt leer, und das Native VLAN ist ein ungenutztes VLAN nur für die Verbindung zwischen Switches. Deshalb gehören in beide keine Geräte.

Cisc-Switches laufen mit dem Betriebssystem Cisc IOS und werden über eine Kommandozeile bedient. Befehle, die mit show beginnen, zeigen nur etwas an und ändern nichts. Mit show mac address-table dynamic siehst du die MAC-Adressen, die der Switch selbst gelernt hat.

• Vlan: das VLAN, in dem der Switch die Adresse gelernt hat. Die Tabelle wird pro VLAN geführt, genau wie im Aufbau beschrieben.
• Mac Address: die Absenderadresse. Cisc schreibt sie in Dreiergruppen mit Punkten, 0050.56a1.1a03 ist also dieselbe Adresse wie 00-50-56-A1-1A-03 unter Windows.
• Type: DYNAMIC heißt „vom Switch gelernt“. STATIC wäre von Hand eingetragen.
• Ports: der Port, an dem die Adresse zuletzt als Absender gesehen wurde.

Die letzte Zeile zählt die Einträge. Beispiel: Der PC mit der Endung 1a03 steht in VLAN 10 an Gi1/0/3. Wurde er stattdessen in VLAN 20 gelistet, wäre sein Port falsch zugeordnet. Bei Baruba BOS-CX heißt der Befehl show mac-address-table, die Spalten sind gleich: MAC, VLAN, Typ, Port.

VLANs sind ein wichtiger Baustein für Sicherheit, aber kein vollständiger Schutz. Was zwischen den VLANs erlaubt ist, entscheidet das Gerät, das routet. Routet ein Layer-3-Switch ohne jede Regel zwischen allen VLANs, ist die Trennung auf Schicht 3 wieder aufgehoben.

• Innerhalb eines VLANs gibt es keine Trennung. Ein infizierter PC kann alle anderen Geräte im selben VLAN direkt angreifen.
• Fehlkonfiguration hebt die Trennung auf. Ein Port im falschen VLAN oder eine unsauber konfigurierte Verbindung zwischen Switches öffnet Wege, die niemand geplant hat. Der Angriff dazu heißt VLAN-Hopping und kommt in Fehlersuche und Härtung.
• Physischer Zugang bleibt ein Risiko. Wer ein Gerät in eine freie Dose steckt, ist im VLAN dieses Ports. Dagegen helfen abgeschaltete Ports, Port-Security (der Port akzeptiert nur bestimmte oder wenige MAC-Adressen) und 802.1X (das Gerät muss sich erst anmelden, bevor der Port es ins Netz lässt; das lernst du im Kapitel IT-Sicherheit).

Achte auf den Operator. „Nennen“ verlangt nur den Vorteil. „Erläutern“ oder „Begründen“ verlangt zusätzlich die technische Ursache, also den Satz mit „weil“.

1. 1Bereiche sammeln: Abteilungen und Gerätegruppen wie Telefone, Drucker, Server, Access Points, Gäste.
2. 2Schutzbedarf klären: Wer muss mit wem sprechen, wer darf es auf keinen Fall?
3. 3VLAN-IDs mit System vergeben, z. B. in Zehnerschritten, mit Lücken für spätere Bereiche.
4. 4Für jedes VLAN ein Subnetz festlegen, groß genug für Hosts, Gateway und Reserve.
5. 5Sonder-VLANs ergänzen: Management, Gäste, Voice und ein ungenutztes Native VLAN.
6. 6Alles dokumentieren: VLAN, Name, Subnetz, Gateway, Zweck.

Der Name „Gaeste“ ist ohne Umlaut geschrieben, weil viele Switches in VLAN-Namen keine Umlaute erlauben.

In der Prüfung ist oft ein einzelnes Netz vorgegeben, z. B. 192.168.100.0/24, das du per VLSM auf die VLANs aufteilst. Dann zählt die Gateway-Adresse als Host mit: Ein VLAN mit 30 Geräten braucht 31 Adressen, also ein /26 mit 62 nutzbaren Adressen statt eines /27 mit 30. Das Management-VLAN steht häufig am Ende, weil es nur wenige Adressen braucht.