VLAN – Virtual Local Area Network

Ein Virtual Local Area Network (VLAN) ist ein logisches Teilnetz innerhalb eines physischen Netzwerks, das es ermöglicht, Geräte unabhängig von ihrem physischen Standort zu gruppieren. Dies verbessert die Netzwerksegmentierung, erhöht die Sicherheit und optimiert die Bandbreitennutzung.

VLANs bieten sich besonders dann an, wenn Unternehmensbereiche klar voneinander getrennt und übersichtlicher gestaltet werden sollen. Durch die Segmentierung können beispielsweise Abteilungen wie Vertrieb, Entwicklung oder Verwaltung jeweils ihr eigenes Netzwerk erhalten – unabhängig davon, wo sich die jeweiligen Endgeräte tatsächlich befinden. Das sorgt für mehr Ordnung im Netzwerk und erleichtert die Verwaltung, gerade auf großen Betriebsgeländen oder in weitverzweigten Organisationen. Datenverkehr bleibt so gezielt im jeweiligen Segment, was nicht nur die Performance steigert, sondern auch das Sicherheitsniveau erhöht.

Grundlagen von VLANs

VLANs operieren auf der Schicht 2 des OSI-Modells und nutzen VLAN-Tags, um den Datenverkehr innerhalb des Netzwerks zu leiten. Jedes Gerät in einem VLAN erhält einen speziellen Tag, der angibt, zu welchem VLAN es gehört. Diese Tags werden verwendet, um sicherzustellen, dass der Datenverkehr nur zu den Geräten gelangt, die im selben VLAN sind.

Ein VLAN-Tag ist eine Markierung, die im Datenframe eingefügt wird und wichtige Informationen für die Zuordnung des Datenverkehrs enthält. Im Gegensatz zu portbasierten VLANs, bei denen jedem Port ein festes VLAN zugeordnet wird, arbeiten sogenannte „Tagged VLANs“ framebasiert: Der VLAN-Tag ist Teil des Ethernet-Frames, der zwischen den Geräten übertragen wird. So kann ein einzelner physischer Port auch mehreren VLANs zugeordnet sein, was vor allem bei sogenannten VLAN-Trunks zum Einsatz kommt. Diese Trunks ermöglichen es, dass ein Switch mehrere VLANs über eine einzige Verbindung weiterleitet und so die Flexibilität und Skalierbarkeit des Netzwerks erhöht.

Ein VLAN-Tag nach dem IEEE 802.1Q-Standard besteht aus insgesamt 32 Bits und wird direkt hinter der Quell-MAC-Adresse im Ethernet-Frame eingefügt. Der Tag enthält eine Protokoll-ID (meist 0x8100 zur Kennzeichnung eines VLAN-Tags), eine Prioritätsinformation (zur Steuerung der Datenübertragung), ein Bit für den Canonical Format Identifier (zur Kompatibilität unterschiedlicher Technologien) und schließlich eine 12-Bit lange VLAN-ID. Letztere ermöglicht die eindeutige Unterscheidung von bis zu 4096 verschiedenen VLANs innerhalb eines Netzwerks.

Durch diese Mechanismen lassen sich Geräte unabhängig von ihrem tatsächlichen Standort im Netzwerk logisch gruppieren, ohne dass physische Umstellungen erforderlich sind. Ein Switch erkennt anhand des VLAN-Tags, zu welchem virtuellen Netzwerk ein Datenpaket gehört, und leitet dieses nur an die zugehörigen Ports weiter. Damit wird die Netzwerksegmentierung effizient und flexibel umgesetzt.

What is the difference between tagged and untagged VLANs?

VLAN-Typen

Es gibt verschiedene Arten von VLANs, die je nach Anwendungsfall eingesetzt werden können:

• Portbasierte VLANs: Hierbei wird jedem Port eines Switches ein spezifisches VLAN zugewiesen. Dies ermöglicht eine einfache Segmentierung des Netzwerks, da der Datenverkehr nur zwischen den Ports desselben VLANs fließt. In der Praxis bedeutet das: Jeder Teilnehmer, der einen bestimmten Port nutzt, ist automatisch einem festgelegten virtuellen Netzwerk zugeordnet. Vor allem in kleineren Netzwerken kommt diese Methode zum Einsatz, da sie unkompliziert zu konfigurieren ist und sich ideal für übersichtliche Strukturen eignet. Allerdings lassen sich portbasierte VLANs nicht nur auf einzelne Switches beschränken. Bei Bedarf können Ports mehrerer Switches so konfiguriert werden, dass sie demselben VLAN angehören – etwa wenn Port 1 bis 3 des ersten Switches und Port 1 eines zweiten Switches gemeinsam ein virtuelles Netz bilden sollen. Wichtig dabei: Jede Verbindung zwischen VLANs auf unterschiedlichen Switches benötigt ein separates Kabel, sodass für jedes virtuelle Netzwerk eine eigene physische Verbindung hergestellt werden muss.
• Protokollbasierte VLANs: Diese VLANs segmentieren den Datenverkehr basierend auf dem verwendeten Netzwerkprotokoll. Dies ist nützlich, um beispielsweise IP- und IPX-Verkehr zu trennen.
• MAC-Adressbasierte VLANs: Hierbei wird der Datenverkehr basierend auf der MAC-Adresse des Geräts segmentiert, unabhängig davon, an welchem Port es angeschlossen ist.

Dynamische VLAN-Zuweisung

Bei dynamischen VLANs erfolgt die Zuordnung der Datenframes zu einem bestimmten VLAN nicht statisch über den Switch-Port, sondern flexibel anhand von Merkmalen des Datenverkehrs selbst. Typischerweise prüfen Netzwerkgeräte dabei Attribute wie MAC-Adresse, IP-Adresse oder sogar das verwendete Protokoll eines Geräts.

Dadurch kann beispielsweise ein Notebook, das an unterschiedlichen Stellen im Unternehmen angeschlossen wird, immer demselben VLAN zugeordnet werden—unabhängig vom verwendeten Anschlussport. Die Zuweisung erfolgt automatisiert durch eine zentrale Datenbank oder ein Management-System (wie z. B. ein RADIUS-Server). Das macht dynamische VLANs besonders attraktiv für größere, flexible Netzwerkumgebungen, in denen sich Nutzer oder Geräte häufig bewegen.

Unterschiede zwischen statischen und dynamischen VLANs

Bei der Zuweisung von Geräten zu einem VLAN gibt es grundsätzlich zwei Ansätze: statisch und dynamisch.

• Statische VLANs: Hier erfolgt die Zuordnung eines Ports zu einem bestimmten VLAN manuell durch den Administrator. Einmal festgelegt, bleibt der Port dauerhaft Teil des zugewiesenen VLANs – unabhängig davon, welches Gerät daran angeschlossen ist. Diese Methode ist besonders übersichtlich und eignet sich gut bei kleineren oder weniger häufig wechselnden Netzwerkinfrastrukturen.
• Dynamische VLANs: Bei dynamischen VLANs bestimmt der Switch das passende VLAN nicht über den Port, sondern anhand von Geräteeigenschaften wie MAC-Adresse, IP-Adresse oder sogar Benutzerkonto. Sobald ein Gerät sich im Netzwerk anmeldet, wird es automatisch dem entsprechenden VLAN zugewiesen. Das sorgt für mehr Flexibilität, insbesondere in Umgebungen mit häufig wechselnden Endgeräten oder dynamischen Arbeitsplätzen.

Beide Verfahren haben ihre eigenen Vor- und Nachteile und werden je nach Anwendungsfall im Unternehmensnetzwerk eingesetzt.

Anpassung von VLANs an verschiedene Infrastrukturen und Betriebssysteme

VLANs bieten ein hohes Maß an Flexibilität, wenn es darum geht, sie auf unterschiedliche Unternehmensstrukturen und technische Umgebungen abzustimmen. Je nach Anforderungen können die verschiedenen VLAN-Methoden ausgewählt werden – etwa portbasiert für eine klare Zuweisung an einzelne Geräte oder protokollbasiert, um unterschiedliche Netzwerkprotokolle effizient zu trennen.

Auch die Integration in verschiedene Betriebssysteme gestaltet sich in der Regel unkompliziert. Moderne Switches und Netzwerkgeräte unterstützen Standards wie IEEE 802.1Q, wodurch die Konfiguration betriebssystemübergreifend – z.B. unter Windows, Linux oder macOS – möglich wird. Wichtig ist hierbei lediglich, bei Windows-Systemen auf die Kompatibilität der Netzwerkkartentreiber zu achten, da nicht jeder Hersteller VLAN-Tagging gleich gut umsetzt.

Dank dieser Anpassungsfähigkeit lassen sich VLANs sowohl in kleinen Büroumgebungen als auch in komplexen Rechenzentren optimal einsetzen, ohne an Flexibilität oder Kompatibilität zu verlieren.

Vorteile von VLANs

Der Einsatz von VLANs bietet zahlreiche Vorteile:

• Verbesserte Netzwerksegmentierung: Durch die Aufteilung des Netzwerks in kleinere, logisch getrennte Segmente wird die Effizienz des Datenverkehrs erhöht.
• Erhöhte Sicherheit: VLANs ermöglichen die Trennung sensibler Datenströme, sodass unbefugte Benutzer keinen Zugriff auf bestimmte Netzwerksegmente haben.
• Reduzierung von Broadcast-Domänen: Durch die Begrenzung der Broadcast-Domänen wird unnötiger Datenverkehr minimiert, was die Netzwerkleistung steigert.
• Flexibilität und einfache Verwaltung: Geräte können ohne physische Umverkabelung verschiedenen VLANs zugewiesen werden, was die Netzwerkadministration erleichtert.

VLANs als kosteneffiziente Lösung

Im Vergleich zur Einrichtung mehrerer separater physischer Netzwerke, bei denen zusätzliche Hardware wie Switches und Router erforderlich wäre, bieten VLANs eine deutlich günstigere Möglichkeit zur Netzwerksegmentierung. Statt umfangreicher Investitionen in neue Geräte und Verkabelung können Sie mit VLANs bestehende Netzwerkressourcen effizienter nutzen.

Mit VLANs lassen sich verschiedene Benutzergruppen oder Abteilungen logisch trennen, ohne den Aufwand und die Kosten mehrerer paralleler Netzwerkinfrastrukturen aufbringen zu müssen. Dies spart sowohl Anschaffungs- als auch Wartungskosten und reduziert den administrativen Aufwand erheblich. Der Wechsel eines Geräts in ein anderes VLAN erfordert lediglich eine Konfigurationsänderung – kein Umstecken von Kabeln oder Hardwareanschaffungen sind nötig.

Konfiguration von VLANs

Die Implementierung von VLANs erfordert eine sorgfältige Planung und Konfiguration:

• Planung der VLAN-Struktur: Definieren Sie, welche Geräte oder Benutzergruppen in welchen VLANs sein sollen, basierend auf organisatorischen Anforderungen.
• Zuweisung von VLAN-IDs: Jedes VLAN erhält eine eindeutige Identifikationsnummer (VLAN-ID), typischerweise im Bereich von 1 bis 4094.
• Konfiguration der Switches: Weisen Sie den Ports der Switches die entsprechenden VLAN-IDs zu. Bei portbasierten VLANs wird jedem Port ein spezifisches VLAN zugewiesen.
• Einrichtung von Trunk-Ports: Wenn VLANs über mehrere Switches hinweg kommunizieren sollen, richten Sie Trunk-Ports ein, die den Datenverkehr mehrerer VLANs transportieren können. Hierbei wird häufig das IEEE 802.1Q-Protokoll verwendet, das VLAN-Tags in die Ethernet-Frames einfügt.

Ein VLAN-Tag besteht aus 32 Bits und wird direkt hinter der MAC-Adresse des Absenders im Ethernet-Frame platziert. Der Tag beginnt mit einer zwei Byte langen Protokoll-ID (meist 0x8100), die signalisiert, dass ein VLAN-Tag vorhanden ist. Anschließend folgen drei Bits, die die Priorität des Frames festlegen, sowie ein Bit für den Canonical Format Identifier (CFI), der die Kompatibilität zwischen Ethernet und Token Ring sicherstellt. Die letzten zwölf Bits sind für die VLAN-ID (VID) reserviert. Dadurch lassen sich bis zu 4.096 verschiedene VLANs unterscheiden, wobei jedes virtuelle Netzwerk eine eigene Nummer erhält.

Der genaue Aufbau dieser Tags wird durch den IEEE 802.1Q-Standard definiert, der als gängigste Methode für die VLAN-Kennzeichnung gilt.

Inter-Switch Link Protocol (ISL)

Neben dem IEEE 802.1Q-Standard existiert ein weiteres Verfahren zur Übertragung von VLAN-Informationen zwischen Switches: das Inter-Switch Link Protocol (ISL). Bei ISL wird der gesamte Ethernet-Frame von einem zusätzlichen Header umschlossen. Dadurch können mehrere VLANs über eine Verbindung transportiert werden, da die Zugehörigkeit des Datenverkehrs zu einem bestimmten VLAN eindeutig markiert ist. Auch wenn ISL primär von Cisco entwickelt wurde und inzwischen meist durch 802.1Q ersetzt wird, begegnet man diesem Protokoll in älteren Netzwerkinfrastrukturen immer noch.

ISL sorgt somit – ähnlich wie 802.1Q – dafür, dass VLAN-Tags nicht verloren gehen, wenn Netzwerkpakete zwischen Switches übertragen werden.

• Konfiguration von Routing zwischen VLANs: Um die Kommunikation zwischen verschiedenen VLANs zu ermöglichen, ist ein Layer-3-Gerät (wie ein Router oder ein Layer-3-Switch) erforderlich, das das Routing zwischen den VLANs übernimmt.

How can VLANs be configured and used on Linux operating systems?

How do VLAN support and functionality differ between various network cards on Windows?

How is VLAN tagging supported and managed in VMware environments?

Best Practices für die Verwendung von VLANs

• Sorgfältige Planung: Analysieren Sie die Netzwerkbedürfnisse Ihres Unternehmens, um eine effiziente VLAN-Struktur zu erstellen.
• Sicherheit berücksichtigen: Implementieren Sie Zugriffskontrolllisten (ACLs) und andere Sicherheitsmaßnahmen, um unautorisierten Zugriff zwischen VLANs zu verhindern. Darüber hinaus empfiehlt es sich, das virtuelle Netzwerk durch weitere Maßnahmen wie die Verschlüsselung der Datenübertragung zusätzlich abzusichern. Weisen Sie ungenutzte Switch-Ports stets in spezielle, nicht verwendete VLANs zu und deaktivieren Sie diese Ports, um potenzielle Angriffsflächen zu minimieren.

Achten Sie darauf, dass aktive Switch-Ports, an denen Endgeräte angeschlossen sind, immer nur einem Untagged VLAN oder nur den tatsächlich notwendigen Tagged VLANs zugeordnet werden. Endgeräte sollten niemals an Switch-Ports angeschlossen werden, die als Trunk konfiguriert sind, um zu verhindern, dass ein Angreifer mit mehreren VLANs gleichzeitig kommunizieren kann.

Zusätzlich bieten viele Switches weitere Sicherheitsoptionen, wie etwa Ingress Filtering. Diese Funktion sorgt dafür, dass nur solche Tagged Frames akzeptiert werden, deren VLAN-IDs explizit am jeweiligen Port erlaubt sind – alle anderen werden konsequent verworfen. So erhöhen Sie die Netzwerksicherheit auf mehreren Ebenen.

• Regelmäßige Überprüfung: Überwachen und aktualisieren Sie die VLAN-Konfiguration regelmäßig, um sicherzustellen, dass sie den aktuellen Anforderungen entspricht.
• Schulung des IT-Personals: Stellen Sie sicher, dass Ihr IT-Team mit den neuesten Best Practices und Technologien im Bereich VLANs vertraut ist.

Fazit

VLANs sind ein leistungsfähiges Werkzeug zur Verbesserung der Netzwerksegmentierung, Sicherheit und Effizienz. Durch die logische Trennung von Netzwerken können Unternehmen flexibler agieren und ihre IT-Ressourcen optimal nutzen. Eine sorgfältige Planung und regelmäßige Überprüfung der VLAN-Struktur sind entscheidend, um die maximalen Vorteile zu erzielen.

Häufig gestellte Fragen