Was ist ein Access-Port?

Ein Access-Port ist ein Layer-2-Schnittstellenmodus, der für Switch-Ports verwendet wird, die direkt mit Endgeräten wie PCs, Druckern und Telefonen verbunden sind. Er gehört zu einem einzigen VLAN – dem Access-VLAN –, behandelt eingehende Pakete ohne Tag so, als wären sie mit der VLAN-ID dieses VLANs getaggt, und verwirft alle getaggten Frames, deren VLAN-ID nicht übereinstimmt.

Die wichtigsten Erkenntnisse

• Ein Access-Port gehört genau zu einem VLAN, nämlich dem Access-VLAN.
• Eingehende Pakete ohne Tag werden so behandelt, als hätten sie die VLAN-ID des Zugangs-VLANs als Tag.
• Markierte Frames, die nicht zum Zugriffs-VLAN passen, werden verworfen.
• Trunk-Ports sind das Gegenstück dazu und übertragen mehrere VLANs zwischen Switches.
• Über die Anschlussports lassen sich PoE, ein Sprach-VLAN oder Multihoming zur Redundanz hinzufügen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Zugangsöffnungen & Versa · Häufig gestellte Fragen

Warum sind Zugangsanschlüsse wichtig?

Die meisten Endgeräte – PCs, Drucker, Kameras, Access Points – senden und erwarten einfache, nicht getaggte Ethernet-Frames; sie kennen VLAN-Tags überhaupt nicht. Über Access-Ports kann ein Switch diesen ungetaggten Datenverkehr ohne spezielle Konfiguration am Gerät selbst in das richtige VLAN einordnen. Das macht die VLAN-basierte Segmentierung in großem Maßstab so praktisch: Ein Administrator legt den Modus und das VLAN des Ports einmalig fest, und jedes daran angeschlossene Gerät wird automatisch der richtigen Broadcast-Domäne zugeordnet.

Zugangsports stellen ebenfalls eine Abgrenzungsgrenze dar. Da ein Port genau zu einem VLAN gehört und nicht korrekt getaggte Frames verwirft, kann ein daran angeschlossenes Gerät – oder ein Angreifer – seinen eigenen Datenverkehr nicht einfach mit einem Tag versehen, um in ein anderes VLAN zu gelangen. Diese Einschränkung gewährleistet, dass die Segmentierung in Abteilungs-, Gast- und Sicherheitszonen auf Ebene des physischen Ports durchgesetzt werden kann, anstatt davon abhängig zu sein, dass sich jedes angeschlossene Gerät korrekt verhält.

Was ist ein Zugangsanschluss?

Ein Access-Port ist im Access-Modus konfiguriert, einem von zwei Layer-2-Schnittstellenmodi, in denen ein Switch-Port betrieben werden kann (der andere ist der Trunk-Modus). Im Access-Modus akzeptiert die Schnittstelle nicht getaggte Pakete und gehört nur zu einem einzigen VLAN, dem Access-VLAN: Jedes eintreffende, nicht getaggte Paket wird so behandelt, als wäre es mit der VLAN-ID dieses VLANs getaggt, und jeder getaggte Frame, dessen VLAN-ID nicht übereinstimmt, wird verworfen. Zugangs-VLAN-IDs werden in der Regel im Bereich von 1 bis 4094 vergeben, wobei VLAN 0 für eine vollständig ungetaggte Schnittstelle reserviert ist.

Der Trunk-Modus ist das Gegenstück dazu: Eine Trunk-Schnittstelle akzeptiert getaggte Pakete und kann mehrere VLAN-IDs oder -Bereiche über eine Verbindung übertragen, typischerweise zwischen Switches, wobei optional eine native VLAN-ID definiert werden kann, sodass ein auf dem Trunk eintreffendes, nicht getaggtes Paket so behandelt wird, als gehöre es zu diesem nativen VLAN. Ein Access-Port hingegen ist der einfache Fall mit einem einzigen VLAN: ein Kabel, ein VLAN, kein Tagging-Verhalten, das das angeschlossene Gerät verstehen muss.

Arten von Zugangsanschlüssen

Der Standard-Zugangsport ist der Standardfall: ein physischer Port, ein Zugangs-VLAN für einen PC, einen Drucker oder einen WLAN-Zugangspunkt, der ungetaggten Datenverkehr sendet. Ein Multihomed-Zugangsport erweitert dieses Verhalten auf zwei Switches gleichzeitig – unter Verwendung von Multi-Chassis-Link-Aggregation (MC-LAG), sodass der Port mit mehr als einem Netzwerkgerät verbunden ist, was die Zuverlässigkeit verbessert, falls ein vorgelagerter Switch ausfällt. Ein PoE- und Voice-VLAN-fähiger Zugangsport kombiniert die Konfiguration im Zugangsmodus mit einem physischen Portprofil, das Power over Ethernet bereitstellt, sowie einem separaten Voice-VLAN – das über LLDP erkannt wird – für IP-Telefone, die sich eine Kabelverbindung mit einem PC teilen. Ein Zugangsport kann zudem eine 802.1X-Authentifizierung erfordern, sodass sich ein Gerät authentifizieren muss, bevor der Port dessen Datenverkehr weiterleitet.

Zugangsanschlüsse & Versa

Versa konfiguriert Schnittstellen im Zugriffsmodus an zwei Stellen und deckt damit sowohl den SD-WAN-Edge als auch dedizierte LAN-Switches ab. Im Workflow „ Secure SD-WAN “ für Netzwerkschnittstellen in Concerto kann eine Layer-2-Schnittstelle auf den Schnittstellenmodus „Access“ eingestellt werden, wodurch sie auf eine VLAN-ID beschränkt wird und nicht getaggte Pakete als Mitglieder dieses VLANs behandelt werden – siehe „Konfigurieren von Zugriffs- und Trunk-Schnittstellen in Concerto“. Auf VOS-basierten Switches (einschließlich der Serien CSX4300, CSX4500 und CSX8300) konfiguriert der SD-LAN-Assistent von Director physische Ports auf dieselbe Weise – im Access- oder Trunk-Modus mit einer VLAN-ID für Access-Ports – und ermöglicht es einem Administrator, ein physisches Portprofil für PoE, LLDP und Voice-VLAN oder ein 802.1X-Profil für die portbasierte Authentifizierung hinzuzufügen, wie unter „SD-LAN mithilfe von Workflow-Vorlagen konfigurieren“ beschrieben.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Access-Port und einem Trunk-Port?

Ein Access-Port gehört zu einem einzelnen VLAN und behandelt nicht getaggte Pakete als Teil dieses VLANs. Ein Trunk-Port überträgt mehrere VLAN-IDs über eine Verbindung, indem er getaggte Pakete erfordert, sodass die Switches an beiden Enden die VLANs voneinander unterscheiden können.

Kann ein Zugangsport zu mehr als einem VLAN gehören?

Nein. Ein Access-Port gehört nur zu einem einzigen VLAN, dem Access-VLAN. Um mehr als ein VLAN über dieselbe Verbindung zu übertragen, ist stattdessen der Trunk-Modus erforderlich, der getaggte Pakete aus einer festgelegten Liste oder einem festgelegten Bereich von VLAN-IDs akzeptiert.

Was passiert, wenn ein getaggter Frame an einem Zugangsport eintrifft?

Der Switch verwirft den Frame, wenn die VLAN-ID des Frames nicht mit dem Zugangs-VLAN des Ports übereinstimmt. Zugangsports verarbeiten ungetaggten Datenverkehr für ein VLAN; ein nicht passender getaggter Frame wird verworfen und nicht weitergeleitet.

Kann ein Anschluss auch Power over Ethernet bereitstellen?

Ja. Der Layer-2-Modus eines Access-Ports ist unabhängig von PoE – ein physikalisches Portprofil kann einem Gerät am selben Port, das auf den Access-Modus eingestellt ist, PoE mit einer konfigurierbaren Priorität bereitstellen.

Was ist ein Multihomed-Zugangsport?

Es nutzt Multi-Chassis-Link-Aggregation (MC-LAG), um gleichzeitig eine Verbindung zu mehr als einem Upstream-Netzwerkgerät herzustellen, anstatt nur zu einem einzigen Switch, wodurch die Zuverlässigkeit verbessert wird, falls eine Upstream-Verbindung ausfällt.

Mehr zum Access Port

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über Anschlussöffnungen informieren, sollten Sie sich diese als Nächstes einmal ansehen.