Infra & Netzwerk

VLAN (Virtual Local Area Network)

Overview

Ein VLAN fasst Switch-Ports oder Geräte zu einem eigenen logischen Netz zusammen, unabhängig davon, an welchem Switch sie physisch hängen. Jedes VLAN bildet eine eigene Broadcast-Domäne und bekommt üblicherweise ein eigenes IP-Subnetz.

Typische Einsatzszenarien sind die Trennung von Clients, Servern, VoIP, WLAN-Gästen, Druckern, IoT und Produktionsanlagen sowie ein eigenes Management-VLAN für Netzwerkgeräte. VLANs sind das Grundwerkzeug für die Netzwerksegmentierung (eigener Eintrag).

Abgrenzung: Ein VLAN trennt auf Schicht 2, es filtert aber nichts. Erst eine Firewall oder ACLs auf dem Layer-3-Switch legen fest, welcher Verkehr zwischen den VLANs erlaubt ist. Ein VLAN ist auch kein VPN, es verschlüsselt keine Daten.

How it works

VLANs basieren auf dem Standard IEEE 802.1Q:

  1. Jedes VLAN erhält eine VLAN-ID zwischen 1 und 4094.
  2. Access-Ports gehören genau einem VLAN an, das Endgerät merkt davon nichts (untagged).
  3. Trunk-Ports zwischen Switches, zu Firewalls oder Hypervisoren transportieren mehrere VLANs. Dazu fügt der Switch jedem Ethernet-Frame ein 4 Byte großes 802.1Q-Tag mit der VLAN-ID ein.
  4. Das native VLAN eines Trunks läuft ohne Tag, deshalb sollte es ein ungenutztes VLAN sein.
  5. Für die Kommunikation zwischen VLANs routet ein Layer-3-Switch oder eine Firewall, dort greifen ACLs bzw. Firewall-Regeln.

Hypervisoren wie Hyper-V, VMware ESXi oder Proxmox VE weisen VMs über virtuelle Switches ebenfalls VLAN-IDs zu.

Benefits

  • Begrenzt Broadcasts auf das jeweilige Segment, was die Netzlast in großen Netzen senkt
  • Ermöglicht Sicherheitszonen ohne zusätzliche Verkabelung oder eigene Switches
  • Erleichtert Umzüge, weil ein Port per Konfiguration statt per Umpatchen einem anderen Netz zugeordnet wird
  • Schafft die Grundlage für QoS, da Sprach- oder Steuerungsverkehr eindeutig identifizierbar ist

Practical example

Ein Logistikdienstleister mit drei Hallen hat Scanner, Drucker, Büro-PCs und Kameras in einem einzigen /22-Netz. Die IT legt VLANs für Clients, Server, VoIP, Kameras, Scanner-WLAN und Gäste an, vergibt pro VLAN ein eigenes Subnetz und routet über die Firewall. Kameras dürfen danach nur noch mit dem Videorekorder kommunizieren. Störungen durch Broadcast-Stürme einzelner Geräte bleiben seitdem auf ihr Segment begrenzt.

Things to keep in mind

  • VLAN 1 nicht produktiv nutzen und als natives VLAN auf Trunks ein ungenutztes VLAN festlegen
  • Auf Trunks nur die tatsächlich benötigten VLANs erlauben, statt pauschal alle durchzureichen
  • Ungenutzte Access-Ports deaktivieren oder einem leeren Quarantäne-VLAN zuordnen
  • VLAN-IDs, Subnetze und Zweck zentral dokumentieren, z. B. in einer IPAM- oder Netzwerkdokumentation
  • Ohne Filter am Router bleibt ein VLAN eine organisatorische Trennung, die Sicherheit entsteht erst durch Regeln

Conclusion

VLANs sind der einfachste und günstigste Weg, ein gewachsenes flaches Netz zu strukturieren. Kombiniere sie immer mit Firewall-Regeln zwischen den Segmenten, sonst bleibt der Sicherheitsgewinn gering.

Further reading

Related articles