VLAN

Entstehung und Beteiligte

Virtuelle LANs entwickelten sich aus herstellerspezifischen Switchfunktionen. IEEE 802.1Q standardisierte 1998 ein Tag im Ethernet-Frame, mit dem mehrere logische Netze über dieselbe physische Infrastruktur transportiert werden können.

Welches Problem sollte gelöst werden?

Ohne VLANs entsprach ein logisches Broadcastnetz weitgehend der physischen Verkabelung. Um Nutzergruppen zu trennen, mussten Kabel und Switchports umgesteckt oder getrennte Geräte aufgebaut werden. Betreiber benötigten flexible Segmentierung und gemeinsame Uplinks.

Technische Hürden und Lösungen

Switches mussten Tags einfügen, entfernen und über Trunks erhalten. Native VLANs, unterschiedliche Herstellerprotokolle, Schleifen und eine begrenzte VLAN-ID-Zahl verursachten Planungsfragen. VLANs trennen Layer 2, ersetzen aber weder Routingregeln noch eine Firewall.

Standardisierung und Einordnung

Netzwerktechnik entsteht selten als Einzelerfindung. Forschungseinrichtungen, Hersteller und Standardisierungsgremien erproben Verfahren, dokumentieren sie in RFCs oder IEEE-Normen und verbessern sie über viele Jahre. Entscheidend ist deshalb die Unterscheidung zwischen erster Idee, erster praktischer Implementierung und späterem Standard. Moderne Netze tragen häufig mehrere historische Schichten gleichzeitig: Ethernet auf der lokalen Verbindung, IP für die Adressierung und TCP oder UDP für den Transport.

Technik im praktischen Betrieb

Im praktischen Betrieb müssen Adressierung, Namensauflösung, Weiterleitung und lokale Übertragung als zusammenhängende Kette betrachtet werden. Ein Fehler zeigt sich häufig an einer anderen Stelle als seiner Ursache: Eine falsche Subnetzmaske wirkt wie ein Routingproblem, ein fehlender ARP-Eintrag wie eine unterbrochene Leitung und ein DNS-Fehler wie ein ausgefallener Server. Aussagekräftige Diagnose beginnt deshalb unten bei Link und Adresse, prüft anschließend Weg und Transport und erst danach die Anwendung. Paketmitschnitte, Tabellenstände und genaue Zeitpunkte sind verlässlicher als Vermutungen aus einer einzelnen Fehlermeldung.

Warum das Thema heute noch relevant ist

Die historischen Entscheidungen wirken bis heute, weil grundlegende Netzprotokolle extrem langlebig sind. Neue Verfahren müssen mit Milliarden vorhandener Geräte, Anwendungen und Konfigurationen zusammenarbeiten. Deshalb bleiben Felder, Begriffe und Grenzen erhalten, die aus einer Zeit mit wenigen Forschungsnetzen stammen. Wer die damalige Problemstellung kennt, versteht besser, warum manche Lösungen bewusst einfach, zustandslos oder fehlertolerant entworfen wurden und weshalb spätere Erweiterungen nicht jede Altlast beseitigen konnten.

Daten und Meilensteine

• IEEE 802.1Q wurde 1998 erstmals veröffentlicht.
• Das Tag enthält eine 12-Bit-VLAN-ID.
• Nutzbar sind üblicherweise die IDs 1 bis 4094 mit reservierten Ausnahmen.
• Inter-VLAN-Kommunikation benötigt Routing auf einem Router oder Layer-3-Switch.

Was ist ein VLAN?

Ein Virtual LAN (VLAN) ist eine logische Segmentierung eines physischen Netzwerks. Geräte in VLAN 10 können nicht direkt mit Geräten in VLAN 20 kommunizieren – obwohl sie am selben Switch hängen. Es ist so, als hätte man mehrere physisch getrennte Switches.

Standard IEEE 802.1Q definiert VLAN-Tagging: Ein 4-Byte-Tag im Ethernet-Frame trägt die VLAN-ID (0–4094). Switches mit 802.1Q lesen diesen Tag und wissen, welchem VLAN ein Frame gehört.

Access- vs. Trunk-Ports

Switch-Ports können als Access-Port oder Trunk-Port konfiguriert sein:

• Access-Port: Gehört einem einzigen VLAN. Das angeschlossene Gerät (PC, Drucker) bemerkt das VLAN nicht – der Switch fügt den Tag transparent ein und entfernt ihn wieder.
• Trunk-Port: Trägt mehrere VLANs gleichzeitig. Verbindet Switch mit Switch, Switch mit Router oder Switch mit Server. Frames tragen den 802.1Q-Tag.
• Native VLAN: Ungetaggte Frames auf einem Trunk-Port gehören dem Native VLAN (Default: VLAN 1). Aus Sicherheitsgründen sollte das Native VLAN geändert werden.

VLANs und Sicherheit

VLANs sind ein zentrales Sicherheitswerkzeug: Durch Segmentierung wird der Blast Radius eines Angriffs begrenzt. Ein kompromittierter PC im Gast-VLAN kann nicht auf Server im Management-VLAN zugreifen.

Inter-VLAN-Routing – Kommunikation zwischen VLANs – erfolgt über einen Router oder Layer-3-Switch und passiert Firewall-Regeln. Typische VLAN-Segmente in Unternehmen: Management-VLAN, Server-VLAN, User-VLAN, VoIP-VLAN, IoT-VLAN, DMZ.