VLAN: ein Netzwerk logisch aufteilen
Kurzantwort
Ein VLAN (Virtual LAN) teilt einen Switch logisch in mehrere getrennte Netze auf, ohne dass man zusätzliche Hardware braucht. Geräte in verschiedenen VLANs können nicht direkt miteinander kommunizieren, obwohl sie am selben Switch hängen – für die Verbindung braucht es einen Router. VLANs trennen zum Beispiel Gäste, Verwaltung und Produktion, erhöhen die Sicherheit und begrenzen Broadcast-Verkehr.
Teil des Lernpfads Netzwerk · Schritt 17 von 24
Ein Switch, aber mehrere voneinander abgeschottete Netze – ganz ohne zusätzliche Kabel oder Geräte? Genau das leisten VLANs. Sie sind eines der wichtigsten Werkzeuge, um Netze sicher und übersichtlich zu strukturieren.
Was ist ein VLAN?
Ein VLAN (Virtual Local Area Network) teilt einen Switch logisch in mehrere getrennte Netze auf. Die Ports werden VLANs zugeordnet; Geräte in unterschiedlichen VLANs sind voneinander isoliert, als hingen sie an verschiedenen Switches.
Wofür man VLANs nutzt
- Sicherheit/Isolation: Gäste-WLAN vom internen Netz trennen; Verwaltung von Produktion.
- Übersicht: Abteilungen (Buchhaltung, Technik) sauber getrennt.
- Weniger Broadcast: kleinere Broadcast-Domänen entlasten das Netz.
- Flexibilität: Die Zuordnung ist Konfiguration, kein Umstecken von Kabeln.
Tagging und Trunk
Wenn VLAN-Verkehr über eine Leitung zwischen zwei Switches laufen soll, muss erkennbar bleiben, zu welchem VLAN ein Paket gehört. Dafür wird ein VLAN-Tag in das Datenpaket eingefügt (Standard 802.1Q).
| Begriff | Bedeutung |
|---|---|
| Access-Port | gehört zu einem VLAN (z. B. ein PC) |
| Trunk-Port | überträgt mehrere VLANs (getaggt) zwischen Switches |
| Tag (802.1Q) | Kennzeichnung des VLANs im Paket |
Warum das die Sicherheit erhöht
Selbstkontrolle
Selbstkontrolle
Zwei Geräte hängen am selben Switch, aber in verschiedenen VLANs. Wie können sie miteinander kommunizieren?
Häufige Fragen
Was ist der Unterschied zwischen Access-Port und Trunk-Port?
Ein Access-Port gehört zu genau einem VLAN und verbindet ein Endgerät wie einen PC. Ein Trunk-Port überträgt mehrere VLANs gleichzeitig über eine einzige Leitung, meist zwischen zwei Switches, und kennzeichnet die Pakete dafür mit VLAN-Tags nach 802.1Q. So bleibt beim Empfänger klar, zu welchem VLAN ein Paket gehört.
Brauche ich für VLANs spezielle Hardware?
Du brauchst einen managebaren (managed) Switch, der VLANs unterstützt. Einfache, unmanaged Switches können das nicht. Für die Kommunikation zwischen VLANs kommt zusätzlich ein Router oder ein Layer-3-Switch ins Spiel. Die Endgeräte selbst müssen nichts können – die Trennung passiert im Switch.
Erhöht ein VLAN wirklich die Sicherheit?
Es ist ein Baustein. Durch die Trennung erreicht ein Gerät standardmäßig nur sein eigenes VLAN, was die Angriffsfläche verkleinert. Vollständige Sicherheit entsteht erst mit passenden Regeln an den Übergängen und weiteren Maßnahmen. VLANs ersetzen keine Firewall, sie ergänzen sie.
Was bedeutet 802.1Q?
Das ist der Standard, der das VLAN-Tagging festlegt. Er beschreibt, wie ein kleines Kennzeichen in ein Ethernet-Paket eingefügt wird, das die VLAN-Zugehörigkeit angibt. Dank dieses genormten Tags können Geräte verschiedener Hersteller VLANs gemeinsam nutzen.
Weiterlesen: Subnetting berechnen: Teilnetze, Hosts und Broadcast · DHCP erklärt: automatische IP-Vergabe · MAC-Adresse und ARP: Adressierung im lokalen Netz
Das Wichtigste in Kürze
- Ein VLAN trennt einen Switch logisch in mehrere Netze – ohne extra Hardware.
- Verschiedene VLANs sind eigene Broadcast-Domänen und isoliert.
- Kommunikation zwischen VLANs nur über Routing (Inter-VLAN).
- Access-Port = ein VLAN, Trunk-Port = mehrere VLANs (Tag nach 802.1Q).
- VLANs erhöhen Sicherheit und Übersicht und begrenzen Broadcasts.