VLAN Basics
Ein VLAN (Virtual Local Area Network) teilt einen physischen Switch in mehrere logische Broadcast-Domänen. Geräte in unterschiedlichen VLANs können nicht einfach direkt auf Layer 2 miteinander sprechen.
Access und Trunk
Abschnitt betitelt „Access und Trunk“- Ein Access-Port gehört normalerweise zu genau einem VLAN und verbindet Endgeräte.
- Ein Trunk-Port transportiert mehrere VLANs zwischen Switches oder zu einem Router. VLANs werden dabei typischerweise mit 802.1Q markiert.
Für die Kommunikation zwischen VLANs brauchst du Inter-VLAN-Routing, zum Beispiel über einen Layer-3-Switch oder Router-on-a-stick. Jedes VLAN benötigt dafür normalerweise ein eigenes IP-Subnetz und ein passendes Gateway.
Beispiel
Abschnitt betitelt „Beispiel“Clients könnten VLAN 10 mit 192.168.10.0/24 verwenden, während Server in VLAN 20 mit 192.168.20.0/24 liegen. Ein Switch hält die Layer-2-Broadcasts getrennt. Erst ein Router oder Layer-3-Switch kann Daten zwischen beiden Netzen weiterleiten und dabei Zugriffsregeln anwenden.
Häufige Fehler
Abschnitt betitelt „Häufige Fehler“- Access-Port und Endgerät sind unterschiedlichen VLANs zugeordnet.
- Das benötigte VLAN ist auf einem Trunk nicht erlaubt.
- Gateway oder Subnetzmaske eines Clients passen nicht zum VLAN.
- VLANs werden als vollständiger Sicherheitsersatz betrachtet. Sie segmentieren Netze, benötigen aber weiterhin geeignete Firewall- oder Zugriffskontrollregeln.
Praxisidee: Trenne Clients, Server und Management-Geräte in eigene VLANs und erlaube nur die tatsächlich benötigten Verbindungen.