Netzwerk & WAN
VLAN (IEEE 802.1Q)
Ein VLAN (IEEE 802.1Q) unterteilt einen physischen Switch in mehrere logisch getrennte Layer-2-Netze, indem jeder Ethernet-Frame ein 4 Byte langes VLAN-Tag erhält.
- Layer-2-Segmentierung
- Bis 4094 VLANs je Switch
- IEEE 802.1Q-2022
- Broadcast-Domänen trennen
- Trunk und Access
Ein VLAN (Virtual LAN nach IEEE 802.1Q) trennt einen physischen Switch in mehrere voneinander unabhängige Layer-2-Netze. Statt für jede Abteilung, jede Geräteklasse oder jede Zone eigene Switches zu stellen, markiert der Switch jeden Ethernet-Frame mit einer VLAN-Kennung und behandelt Frames verschiedener VLANs so, als lägen sie auf getrennter Hardware.
Dieser Artikel erklärt den Aufbau des 802.1Q-Tags, den Unterschied zwischen Access- und Trunk-Ports, die Rolle und die Tücken des Native VLAN, die typischen Angriffe per VLAN-Hopping samt Gegenmaßnahmen, den oft übersehenen MTU-Effekt sowie die Skalierungsgrenze, an der VXLAN übernimmt.
1. Was ein VLAN leistet und warum man segmentiert
Ohne VLANs bildet jeder Switch genau eine Broadcast-Domäne: Jeder Broadcast, jede ARP-Anfrage und jeder unbekannte Unicast erreichen alle Ports. Das skaliert schlecht und vermischt Geräte, die nichts miteinander zu tun haben. Ein VLAN zieht innerhalb derselben Hardware logische Grenzen, sodass etwa Server, Arbeitsplätze, IP-Telefonie und Management jeweils in ihrer eigenen Broadcast-Domäne liegen.
Der Verkehr zwischen zwei VLANs läuft nicht direkt, sondern erst über eine Layer-3-Instanz (Router, Layer-3-Switch mit SVI oder Firewall). Genau das macht VLANs zum Ansatzpunkt für Segmentierung: Zwischen den Segmenten lässt sich kontrollieren, filtern und protokollieren, statt alles flach laufen zu lassen.
2. Das 802.1Q-Tag
Die VLAN-Zugehörigkeit reist im Frame mit. IEEE 802.1Q schiebt dafür ein 4 Byte langes Tag zwischen Quell-MAC und das EtherType-Feld. Es besteht aus vier Feldern:
| Feld | Bits | Funktion |
|---|---|---|
| TPID | 16 | fester Wert 0x8100, kennzeichnet einen getaggten Frame |
| PCP | 3 | Prioritätsklasse 0 bis 7 (Class of Service, IEEE 802.1p) |
| DEI | 1 | Drop Eligible Indicator (früher CFI), im reinen Ethernet 0 |
| VID | 12 | VLAN-Kennung, gültig 1 bis 4094 |
Reservierte VLAN-IDs
VID 0 trägt nur die PCP-Priorität ohne VLAN-Zuordnung, VID 4095 ist reserviert. Nutzbar sind 1 bis 4094. Daraus folgt direkt die harte Obergrenze von 4094 VLANs je Layer-2-Domäne.
3. Access, Trunk und das Native VLAN
Ein Port arbeitet je nach Aufgabe unterschiedlich mit dem Tag:
- Access-Port trägt genau ein VLAN. Eingehende ungetaggte Frames landen im konfigurierten VLAN, ausgehende werden ohne Tag gesendet. Typisch für Endgeräte.
- Trunk-Port trägt mehrere VLANs gleichzeitig und sendet sie getaggt, damit die Zugehörigkeit über die Leitung erhalten bleibt. Typisch zwischen Switches oder zum Router.
- Native VLAN das eine VLAN, dessen Frames auf einem Trunk ungetaggt laufen. In der IEEE-Norm heißt es schlicht „untagged VLAN“, der Begriff Native VLAN stammt aus der Cisco-Welt, Junos nutzt
native-vlan-id.
Stimmt das Native VLAN auf beiden Seiten eines Trunks nicht überein, ordnet der eine Switch ungetaggten Verkehr dem falschen VLAN des anderen zu. Ein Native-VLAN-Mismatch ist deshalb ein klassischer, schwer zu findender Fehler.
4. QinQ und Provider Bridging (802.1ad)
Ein einzelnes Tag reicht nicht, wenn ein Provider Kunden-VLANs transparent über sein eigenes Netz tragen will, ohne dass sich die Adressräume vermischen. IEEE 802.1ad (Provider Bridging, umgangssprachlich QinQ) legt dafür ein zweites, äußeres Tag um den Kunden-Frame: das S-Tag (Service Tag) mit dem eigenen TPID 0x88A8, das innere C-Tag (Customer Tag) behält 0x8100.
Aus der Kombination von S-VID und C-VID ergeben sich rechnerisch rund 16 Millionen Segmente. Geht es noch weiter, kapselt IEEE 802.1ah (Provider Backbone Bridging, MAC-in-MAC) den gesamten Kunden-Frame inklusive seiner MAC-Adressen und blendet diese im Core aus, ein eigenes Thema des Carrier-Umfelds.
5. VLAN-Hopping und Trunk-Härtung
VLANs trennen zuverlässig, solange die Ports korrekt konfiguriert sind. Zwei bekannte Angriffe nutzen Fehlkonfiguration aus:
- Double-Tagging Der Angreifer setzt zwei Tags. Das äußere entspricht dem Native VLAN und wird vom ersten Switch entfernt, das innere lenkt den Frame in ein fremdes VLAN. Der Angriff funktioniert nur in eine Richtung und nur, wenn der Angreifer-Port im Native VLAN liegt.
- Switch-Spoofing per DTP Ciscos Dynamic Trunking Protocol handelt Trunks automatisch aus. Steht ein Port auf
dynamic, kann ein Angreifer ihn per DTP zum Trunk machen und erreicht alle VLANs. DTP-Frames sind nicht authentifiziert.
Trunk-Härtung (Cisco IOS-Stil)
! Access-Ports fest auf Access, keine Trunk-Aushandlung
interface range GigabitEthernet0/1 - 24
switchport mode access
switchport access vlan 20
switchport nonegotiate
!
! Trunk statisch, Native VLAN explizit taggen, VLAN 1 meiden
interface GigabitEthernet0/48
switchport mode trunk
switchport trunk native vlan 999
switchport trunk allowed vlan 10,20,30
switchport nonegotiate
!
vlan dot1q tag nativeNative VLAN nie als Nutz-VLAN
Das Native VLAN sollte ein eigenes, leeres VLAN sein (nicht VLAN 1) und keinem Endgerät zugewiesen werden. VLAN 1 trägt per Voreinstellung Steuerprotokolle wie CDP, STP und DTP und gehört nicht als produktives oder Management-VLAN benutzt.
6. Das Tag kostet Bytes: MTU und Baby-Giant
Jedes 802.1Q-Tag verlängert den Frame um 4 Byte. Ein Standard-Ethernet-Frame von 1518 Byte wächst dadurch auf 1522 Byte, ein in IEEE 802.3ac vorgesehener „Baby-Giant“. QinQ mit zwei Tags landet bei rund 1526 Byte.
Geräte, die diese leicht vergrößerten Frames nicht erwarten, verwerfen sie unter Umständen still. Auf Trunks, Storage- und Overlay-Strecken sollte die Port-MTU deshalb bewusst auf den Tag-Overhead ausgelegt und durchgängig konsistent sein, sonst entstehen schwer zu findende Paketverluste ohne Fehlermeldung.
7. Registrierung und Spezial-VLANs
Über die Basisfunktion hinaus gibt es einige Ergänzungen, die in der Praxis auftauchen:
- MVRP (IEEE 802.1ak) verteilt VLAN-Registrierungen dynamisch zwischen Switches und löst das ältere GVRP/GARP ab. In produktiven Netzen überwiegt trotzdem die statische Konfiguration.
- Private VLANs unterteilen ein VLAN weiter in promiscuous, isolated und community Ports, sodass Geräte im selben Subnetz sich nicht gegenseitig erreichen, aber alle das gemeinsame Gateway nutzen (beschrieben in RFC 5517, Informational).
- Voice VLAN trennt Telefonie vom Datenverkehr auf demselben Port; der Switch teilt dem IP-Telefon das Sprach-VLAN per LLDP-MED oder CDP mit.
8. Trennung ist keine Verschlüsselung
Ein VLAN trennt Broadcast-Domänen, es schützt den Inhalt aber nicht. Wer physischen Zugang zu einem Trunk hat oder per VLAN-Hopping in ein Segment gelangt, kann Frames mitlesen. Für tatsächliche Vertraulichkeit auf der Leitung kommt MACsec (IEEE 802.1AE) hinzu, für Mandantentrennung im Routing eine VRF, für höhere Schichten TLS oder IPsec.
VLAN-Segmentierung ist eine Strukturierungs- und Eindämmungsmaßnahme, kein Vertraulichkeitsschutz. Sicherheitskonzepte sollten das nie gleichsetzen.
9. Skalierungsgrenze und was danach kommt
Die 12 Bit der VLAN-ID begrenzen ein Layer-2-Netz auf 4094 Segmente. Für klassische Unternehmensnetze reicht das bequem. In mandantenfähigen Rechenzentren mit vielen Tenants und Spine-Leaf-Fabrics ist es zu wenig: Dort übernimmt VXLAN mit einer 24 Bit langen VNI (rund 16 Millionen Segmente), meist mit EVPN als Steuerebene. VLANs verschwinden dadurch nicht, sie leben am Zugang weiter und werden ins Overlay übersetzt.
10. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Logische Trennung ohne eigene Hardware je Netz | Harte Obergrenze von 4094 VLANs je Layer-2-Domäne |
| Herstellerneutral standardisiert (IEEE 802.1Q), überall verfügbar | Trennt nur, routet nicht: Inter-VLAN-Verkehr braucht eine L3-Instanz |
| QoS-Priorität über PCP-Bits ohne Zusatzprotokoll | Keine Verschlüsselung; bei physischem Zugang lesbar |
| Trunks transportieren viele Segmente über eine Leitung | Fehlkonfiguration (Native-VLAN, DTP) öffnet VLAN-Hopping |
| Erweiterbar um Private VLANs, Voice VLAN, QinQ | Broadcast-Last bleibt je VLAN bestehen; Schleifenschutz per STP nötig |
11. Typische Fehler in der Praxis
- VLAN 1 produktiv nutzen es trägt Steuerprotokolle und ist das bevorzugte Ziel; Management gehört in ein eigenes, abgesichertes VLAN.
- Native VLAN ungleich konfigurieren Mismatch verschiebt ungetaggten Verkehr ins falsche Segment.
- DTP aktiv lassen automatische Trunk-Aushandlung erlaubt Switch-Spoofing; Access-Ports fest und mit
nonegotiatesetzen. - MTU vergessen Tag-Overhead nicht eingeplant, Folge sind stille Drops auf Trunks und Overlays.
- VLAN mit Sicherheit verwechseln Segmentierung ist kein Vertraulichkeitsschutz.
Häufige Fragen zu VLAN (IEEE 802.1Q)
Das 802.1Q-Tag hat eine 12-Bit-VLAN-ID, nutzbar sind die Werte 1 bis 4094 (0 und 4095 sind reserviert). Diese 4094 Segmente sind die harte Obergrenze einer Layer-2-Domäne. Für mehr Segmente in mandantenfähigen Rechenzentren kommt VXLAN mit einer 24-Bit-VNI zum Einsatz.
Ein Access-Port trägt genau ein VLAN und sendet ungetaggt, typisch für Endgeräte. Ein Trunk-Port trägt mehrere VLANs gleichzeitig und sendet sie mit 802.1Q-Tag, damit die VLAN-Zugehörigkeit über die Verbindung zwischen Switches oder zum Router erhalten bleibt.
Nein. Ein VLAN trennt Broadcast-Domänen auf Layer 2, filtert aber keinen Verkehr und verschlüsselt nichts. Der Übergang zwischen VLANs läuft über eine Layer-3-Instanz; erst dort, etwa an einer Firewall oder mit Mikrosegmentierung, entsteht Zugriffskontrolle.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
VLAN (IEEE 802.1Q) im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.