VLAN Grundlagen - Netzwerke logisch segmentieren

04.08.2026 · 4 Min. Lesezeit

Einleitung

Mit zunehmender Größe eines Netzwerks steigen auch die Anforderungen an Sicherheit, Performance und Verwaltung. Würden sich alle Geräte in derselben Broadcast-Domäne befinden, könnten Broadcasts schnell zu unnötiger Last führen. Außerdem wäre eine saubere Trennung verschiedener Abteilungen oder Dienste kaum möglich.

Die Lösung hierfür sind Virtual Local Area Networks, kurz VLANs.

VLANs ermöglichen die logische Aufteilung eines physischen Netzwerks in mehrere unabhängige Broadcast-Domänen. Dadurch können Administratoren Netzwerke strukturierter, sicherer und effizienter gestalten.

In diesem Artikel lernen wir die Grundlagen von VLANs, deren Funktionsweise und typische Einsatzszenarien kennen.

Was ist ein VLAN?

Ein VLAN (Virtual Local Area Network) ist eine logische Unterteilung eines Layer-2-Netzwerks.

Geräte innerhalb desselben VLANs können direkt miteinander kommunizieren.

Geräte in unterschiedlichen VLANs können dies nicht ohne Routing.

Ein VLAN verhält sich daher wie ein eigenständiges Netzwerk, auch wenn alle Geräte an denselben physischen Switch angeschlossen sind.

Warum benötigen wir VLANs?

Betrachten wir ein Unternehmen mit drei Abteilungen:

• Verwaltung
• Entwicklung
• Gäste

Ohne VLANs würden sich alle Geräte in derselben Broadcast-Domäne befinden.

Switch
├── PC Verwaltung
├── PC Entwicklung
├── Notebook Gast
└── Drucker

Probleme:

• Viele Broadcasts
• Geringere Sicherheit
• Keine logische Trennung
• Erschwerte Administration

Mit VLANs lässt sich das Netzwerk logisch segmentieren:

VLAN 10 → Verwaltung
VLAN 20 → Entwicklung
VLAN 30 → Gäste

Jede Gruppe bildet nun ihre eigene Broadcast-Domäne.

VLAN-ID

Jedes VLAN besitzt eine eindeutige Nummer.

Der IEEE-802.1Q-Standard definiert VLAN-IDs von:

1 - 4094

Typische Beispiele:

Die eigentliche Nummer hat technisch keine besondere Bedeutung. Wichtig ist lediglich eine konsistente Struktur.

Broadcast-Domänen

Einer der größten Vorteile von VLANs ist die Aufteilung von Broadcast-Domänen.

Ohne VLAN:

Switch
└── Alle Geräte

Ein ARP-Broadcast erreicht jedes Gerät.

Mit VLANs:

VLAN 10
├── PC1
└── PC2

VLAN 20
├── PC3
└── PC4

Ein Broadcast aus VLAN 10 bleibt innerhalb von VLAN 10.

Dadurch sinkt die Broadcast-Last erheblich.

Access Ports

Ein Access Port gehört genau zu einem VLAN.

An Access Ports werden normalerweise Endgeräte angeschlossen:

• PCs
• Drucker
• Server
• Kameras
• Access Points

Beispiel:

Port ge-0/0/1
VLAN 10

Der angeschlossene Client weiß nichts von VLANs.

Der Switch ordnet eingehende Frames automatisch dem konfigurierten VLAN zu.

Tagged und Untagged Frames

Innerhalb eines Switches muss erkennbar sein, zu welchem VLAN ein Frame gehört.

Dafür wird ein VLAN-Tag verwendet.

Untagged

Normale Ethernet-Frames enthalten keine VLAN-Information.

PC → Switch

Der Switch weiß anhand des Access Ports, welchem VLAN der Frame zugeordnet werden muss.

Tagged

Zwischen Switches wird zusätzlich eine VLAN-Kennzeichnung übertragen.

Switch A → Switch B

Der Ethernet-Frame enthält dabei ein VLAN-Tag.

Dieses Tag enthält unter anderem:

• VLAN-ID
• Prioritätsinformationen

Dadurch können mehrere VLANs gleichzeitig über dieselbe Verbindung transportiert werden.

IEEE 802.1Q

Der Standard für VLAN-Tagging heißt IEEE 802.1Q.

Dabei wird ein zusätzlicher Header in den Ethernet-Frame eingefügt.

Vereinfacht:

+ Dest MAC +
+ Src MAC +
+ VLAN Tag +
+ EtherType +
+ Payload +

Der VLAN-Tag enthält die VLAN-ID.

Ohne diesen Standard könnten VLANs nicht über mehrere Switches hinweg transportiert werden.

Trunk Ports

Ein Trunk Port transportiert mehrere VLANs gleichzeitig.

Typischer Einsatz:

Switch A
    │
  Trunk
    │
Switch B

Beispiel:

VLAN 10
VLAN 20
VLAN 30

Alle drei VLANs können dieselbe physische Verbindung nutzen.

Dadurch werden keine separaten Kabel pro VLAN benötigt.

Native VLAN

Bei 802.1Q existiert das Konzept eines Native VLANs.

Frames dieses VLANs werden untagged übertragen.

Beispiel:

Native VLAN = 99

Wird ein untagged Frame auf einem Trunk empfangen, ordnet der Switch ihn dem Native VLAN zu.

In modernen Netzwerken sollte das Native VLAN bewusst gewählt und dokumentiert werden.

Praktisches Beispiel

Ein Unternehmen besitzt folgende Struktur:

Alle Geräte der jeweiligen Abteilung befinden sich im zugehörigen VLAN.

Vorteile:

• Bessere Übersicht
• Höhere Sicherheit
• Einfachere Fehlersuche
• Weniger Broadcasts

Vorteile von VLANs

Sicherheit

Abteilungen können voneinander getrennt werden.

Ein Gastgerät kann beispielsweise nicht direkt auf interne Server zugreifen.

Performance

Broadcast-Verkehr wird reduziert.

Flexibilität

Benutzer können unabhängig vom Standort logisch gruppiert werden.

Einfachere Verwaltung

Netzwerke lassen sich übersichtlicher strukturieren.

Einschränkungen von VLANs

VLANs trennen lediglich Layer-2-Netzwerke.

Soll ein Gerät aus VLAN 10 mit einem Gerät aus VLAN 20 kommunizieren, wird Routing benötigt.

Beispiel:

VLAN 10 → Router → VLAN 20

Dieses sogenannte Inter-VLAN-Routing behandeln wir in einem späteren Artikel.

Best Practices

Für Enterprise-Netzwerke haben sich einige Empfehlungen etabliert:

• VLAN 1 möglichst nicht produktiv nutzen
• Management-Netzwerk in eigenes VLAN legen
• VLAN-Struktur dokumentieren
• Trunks auf benötigte VLANs beschränken
• VLAN-Namen konsistent vergeben

Beispiel:

VLAN 10 VL0010_MGMT
VLAN 20 VL0020_USERS
VLAN 30 VL0030_SERVERS
VLAN 40 VL0040_GUEST
VLAN 50 VL0050_VOICE

Zusammenfassung

VLANs gehören zu den wichtigsten Funktionen moderner Switches. Sie ermöglichen die logische Segmentierung eines Netzwerks und schaffen getrennte Broadcast-Domänen auf derselben physischen Infrastruktur.

Die wichtigsten Konzepte dieses Artikels:

• VLANs segmentieren Layer-2-Netzwerke
• Jedes VLAN bildet eine eigene Broadcast-Domäne
• Access Ports gehören zu einem VLAN
• Trunk Ports transportieren mehrere VLANs
• IEEE 802.1Q definiert VLAN-Tagging
• Kommunikation zwischen VLANs erfordert Routing

Im nächsten Artikel betrachten wir Trunking im Detail und sehen uns an, wie mehrere VLANs sicher und effizient zwischen Switches transportiert werden.