Was ist ein VLAN?

Ein virtuelles lokales Netzwerk (VLAN) ist eine logische Gruppierung von Switch-Ports und Geräten, die eine eigene Broadcast-Domäne bildet, unabhängig vom physischen Standort oder der Verkabelung. VLANs verhindern unnötige Broadcast- und Multicast-Flooding-Vorgänge, isolieren den Datenverkehr zwischen verschiedenen Gerätegruppen und ermöglichen es Administratoren, ein Netzwerk durch Konfigurationsänderungen neu zu organisieren, anstatt Kabel verlegen zu müssen.

Die wichtigsten Erkenntnisse

• VLANs gruppieren Geräte in isolierte Broadcast-Domänen – und zwar nicht anhand der Verkabelung.
• Durch die Segmentierung werden unnötige Broadcast- und Multicast-Flooding-Vorgänge reduziert.
• Trunk-Ports übertragen mehrere getaggte VLANs über eine physische Verbindung.
• Zugangsports ordnen nicht getaggten Datenverkehr einer einzigen expliziten VLAN-ID zu.
• Versa VOS ordnet VLAN-IDs den Bridge-Domänen und Subschnittstellen zu.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · VLANs & Versa · Häufig gestellte Fragen

Warum ist ein VLAN wichtig?

In flachen, unsegmentierten Switch-Netzwerken befinden sich alle angeschlossenen Geräte in einer einzigen Broadcast-Domäne: Ein Drucker, ein Laptop eines Gastes und ein Finanzserver sehen den Broadcast-Verkehr der anderen Geräte, und um sie voneinander zu trennen, müssen die Anschlüsse an andere Switches umverkabelt werden. VLANs machen diese Trennung zu einer Konfigurationsänderung – die VLAN-Zuweisung eines Anschlusses, nicht seine Verkabelung, entscheidet darüber, welcher Broadcast-Domäne ein Gerät angehört.

Dies hat direkte Vorteile für die Sicherheit und die Leistung. Durch die Beschränkung des Broadcast- und Multicast-Verkehrs auf ein VLAN wird unnötiges Flooding im restlichen Netzwerk verhindert, und die Trennung von Gast-, IoT-, Sprach- und Unternehmensverkehr in separate VLANs schränkt den Zugriff eines kompromittierten Geräts auf andere Bereiche ein. VLANs ermöglichen zudem eine identitätsbasierte Segmentierung: Ein 802.1X-authentifiziertes Gerät kann in ein vom RADIUS-Server ausgewähltes VLAN eingeteilt werden, wobei ein Gast-VLAN als Ausweichlösung für Geräte dient, die sich nie authentifizieren.

Was ist ein VLAN?

Jedes VLAN wird durch eine VLAN-ID identifiziert, eine ganze Zahl zwischen 1 und 4094 gemäß dem IEEE 802.1Q-Standard. Ein Switch-Port erreicht ein VLAN in einem von zwei Modi: Ein Access-Port überträgt Datenverkehr für genau ein VLAN, wobei nicht getaggte Frames so behandelt werden, als gehörten sie zur ID dieses VLANs; ein Trunk-Port überträgt mehrere VLANs über eine einzige Verbindung, wobei jeder Frame mit der ID des VLANs getaggt ist, zu dem er gehört.

Jedes VLAN bildet auf dem Switch eine eigene Lern- und Weiterleitungsdomäne – MAC-Adressen werden pro VLAN separat gelernt, und der Datenverkehr, der über die Ports eines VLANs eingeht, wird nur an andere Ports desselben VLANs weitergeleitet, niemals über die Grenze hinweg. Das Routing zwischen VLANs erfordert einen Layer-3-Hop, da ein VLAN an sich ein Layer-2-Konstrukt ist.

Arten von VLANs

Access-VLANs stellen den einfachsten Fall dar: Ein Port erhält eine explizite VLAN-ID, und jeder nicht getaggte Frame, der dort eintrifft, wird so behandelt, als gehöre er zu diesem VLAN – dies ist die übliche Konfiguration am Netzwerkrand. Trunk-VLANs (getaggte VLANs) übertragen mehrere VLANs über einen Uplink; bei der Trunk-Konfiguration wird in der Regel eine Liste von VLAN-IDs, einschließlich Bereichen, anstelle einer einzelnen ID akzeptiert. Das native VLAN ist das einzige VLAN an einem Trunk-Port, das ein Switch als ungetaggt behandelt, sodass ein Gerät, das den Datenverkehr nicht taggen kann, den Trunk dennoch erreichen kann. Dynamische VLANs werden bei der Authentifizierung geräteweise zugewiesen: Ein 802.1X-Austausch mit einem RADIUS-Server bestimmt, welchem VLAN ein Gerät beitritt, wobei ein Gast-VLAN als Ausweichlösung dient, falls die Authentifizierung fehlschlägt.

VLANs & Versa

Versa VOS-Geräte (VOS = Virtual Operating System) weisen VLAN-IDs auf Schnittstellenebene zu: Eine Ethernet-, aggregierte Ethernet- oder IRB-Subschnittstelle wird entweder im Access-Modus mit einer VLAN-ID oder im Trunk-Modus mit einer Liste von VLAN-IDs sowie einer optionalen nativen VLAN-ID konfiguriert. VOS gruppiert Layer-2-Schnittstellen zu virtuellen Switch-Instanzen (VSIs); innerhalb einer VSI ist jede Bridge-Domäne mit einer eindeutigen VLAN-ID und einer eigenen MAC-Weiterleitungstabelle verknüpft, und Schnittstellen werden durch Übereinstimmung der VLAN-IDs einer Bridge-Domäne zugeordnet. Durch die VLAN-Übersetzung kann eine Schnittstelle eine andere VLAN-ID als ihre Bridge-Domäne verwenden – siehe „Layer-2-Weiterleitung konfigurieren“.

Auf Geräten der „ Titan “-Reihe werden VLANs über das „ Titan “-Portal als „Routed“ (Layer 3) oder „Switched“ (Layer 2) konfiguriert, mit einem VLAN-Namen, einer VLAN-ID und – bei „Switched“-VLANs – einer IRB-Schnittstelle; das „ Titan “-Portal unterstützt zudem die dynamische VLAN-Zuweisung über 802.1X und RADIUS mit Gast- und Standard-Fallback-Optionen – siehe „LAN-Verbindungen konfigurieren“. Gerätevorlagen wenden dasselbe Zugriffs-/Trunk-Modell an, ergänzt um VLAN-Listen für virtuelle EVPN-Switches, wie unter „Grundlegende Funktionen konfigurieren“ beschrieben.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem VLAN und einem Subnetz?

Ein VLAN ist eine Layer-2-Broadcast-Domäne, die durch die Switch-Konfiguration und 802.1Q-Tags definiert wird. Ein Subnetz ist ein Layer-3-IP-Adressblock. In der Praxis wird häufig ein Subnetz einem VLAN zugeordnet, doch konzeptionell sind beide voneinander getrennt – ein VLAN kann auch ohne ein darauf geroutetes IP-Subnetz existieren.

Was ist der Unterschied zwischen einem Access-VLAN und einem Trunk-VLAN?

Ein Access-Port überträgt genau ein VLAN und behandelt nicht getaggte Frames so, als gehörten sie zu diesem VLAN – dies ist typisch für Endgeräte-Ports. Ein Trunk-Port überträgt mehrere VLANs über eine Verbindung und versieht jeden Frame mit einem Tag, damit der empfangende Switch den Datenverkehr in die richtige Domäne sortieren kann.

Was ist ein natives VLAN, und warum ist es wichtig?

Das Native-VLAN ist das einzige VLAN an einem Trunk-Port, das ein Switch nicht mit einem Tag versieht; nicht getaggte Frames auf dem Trunk werden diesem zugewiesen. Wenn das Native-VLAN zwischen zwei verbundenen Switches nicht übereinstimmt, kann es zu einem Datenleck zwischen VLANs kommen, die eigentlich voneinander getrennt bleiben sollten.

Wie viele VLANs kann ein Netzwerk unterstützen?

Das IEEE 802.1Q-Tag-Feld erlaubt VLAN-IDs von 1 bis 4094 – denselben Bereich, den auch die VOS-Schnittstellen v Versa en. Die Anzahl der in einer bestimmten Bereitstellung nutzbaren IDs wird durch die Skalierungsgrenzen des Switches und der Plattform begrenzt, bevor diese Obergrenze überhaupt eine Rolle spielt.

Wie funktioniert das Routing zwischen VLANs auf dem VOS-System „ Versa “?

Eine IRB-Schnittstelle (Integrated Routing and Bridging) verknüpft eine Layer-3-Schnittstelle mit einer Layer-2-Bridge-Domäne, sodass Pakete zu und von dem mit dieser Domäne verbundenen VLAN weitergeleitet werden. Standardmäßige Layer-3-Einstellungen wie DHCP und VRRP werden auf der IRB-Schnittstelle konfiguriert.

Mehr zum Thema VLAN

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit VLANs beschäftigen, sollten Sie sich als Nächstes diese Themen ansehen.