VLAN Grundlagen
VLANs (Virtual Local Area Networks) unterteilen ein bestehendes einzelnes physisches Netzwerk in mehrere logische Netzwerke. Jedes VLAN bildet dabei eine eigene Broadcast-Domain. Eine Kommunikation zwischen zwei unterschiedlichen VLANs ist nur über einen Router möglich, der an beide VLANs angeschlossen ist. VLANs verhalten sich also so, als ob sie jeweils mit eigenen, voneinander unabhängigen Switchen aufgebaut wären.
VLAN Typen
Sie können VLANs grundsätzlich auf zwei Arten implementieren:
- als Portbasierte VLANs (untagged)
- als Tagged VLANs
Portbasierte VLANs
Mit portbasierten VLANs unterteilen Sie einen einzelnen physischen Switch einfach auf mehrere logische Switche. Im folgenden Beispiel teilen wir einen physischen 8-Port Switch (Switch A) auf zwei logische Switches auf:
Switch A | ||
---|---|---|
Switch-Port | VLAN ID | angeschlossenes Gerät |
1 | 1
(grün) |
PC A-1 |
2 | PC A-2 | |
3 | (nicht in Verwendung) | |
4 | (nicht in Verwendung) | |
5 | 2
(orange) |
PC A-5 |
6 | PC A-6 | |
7 | (nicht in Verwendung) | |
8 | (nicht in Verwendung) |
Obwohl alle PCs an einem physischen Switch angeschlossen sind, können aufgrund der VLAN Konfiguration nur folgende PCs jeweils miteinander kommunizieren:
- PC A-1 mit PC A-2
- PC A-5 mit PC A-6
Nehmen wir an, dass im Nachbarraum ebenfalls vier PCs stehen. Nun sollen PC B-1 und PC B-2 mit PC A-1 und PC A-2 im ersten Raum kommunizieren können. Ebenfalls soll die Kommunikation zwischen PC B-5 und PC B-6 aus Raum 2 mit PC A-5 und PC A-6 im Raum 1 möglich sein.
Im Raum 2 haben wir wieder einen Switch:
Switch B | ||
---|---|---|
Switch-Port | VLAN ID | angeschlossenes Gerät |
1 | 1
(grün) |
PC B-1 |
2 | PC B-2 | |
3 | (nicht in Verwendung) | |
4 | (nicht in Verwendung) | |
5 | 2
(orange) |
PC B-5 |
6 | PC B-6 | |
7 | (nicht in Verwendung) | |
8 | (nicht in Verwendung) |
Damit die beiden VLANs hier verbunden werden können, benötigen wir zwei Kabel:
- von Switch A Port 4 zu Switch B Port 4 (für das VLAN 1)
- von Switch A Port 8 zu Switch B Port 8 (für das VLAN 2)
Hinweis zu PVID: Bei manchen Switches ist es erforderlich an untagged Ports neben der VLAN ID des Ports zusätzlich die PVID (Port VLAN ID) zu setzen. Diese gibt an, in welches tagged VLAN Ethernet Frames gelangen sollen, wenn sie an diesem untagged Port empfangen werden. Die PVID sollte daher mit der konfigurierten VLAN ID des untagged Ports übereinstimmen.[1][2]
Tagged VLANs
Bei tagged VLANs können mehrere VLANs über einen einzelnen Switch-Port genutzt werden. Die einzelnen Ethernet Frames bekommen dabei Tags angehängt, in dem jeweils die VLAN-ID vermerkt ist zu dessen VLAN das Frame gehört. Wenn im gezeigten Beispiel beide Switches tagged VLANs beherrschen, kann damit die gegenseitige Verbindung mit einem einzelnen Kabel erfolgen:
Aufbau Ethernet Frame
Der VLAN Tag kommt in einem Ethernet Frame nach den MAC Adressen:
Weitere Informationen
- VLAN Konfiguration Intel Modular Server (Beispiel einer VLAN Konfiguration)
- VLAN Typen (de.wikipedia.org, Erkärung der Unterschiede zwischen Portbasierten VLANs und Tagged VLANs)
- Netze schützen mit VLANs (c't Magazin, 11.09.2006)
- Paket-Pipeline: Netzsegmentierung per VLAN (c't 24/2010)
Einzelnachweise
- ↑ IEEE 802.1Q VLAN Tutorial - Port configuration (www.microhowto.info)
- ↑ Warum gibt es PVID bei VLANs? (www.administrator.de)
Autor: Werner Fischer Werner Fischer arbeitet im Product Management Team von Thomas-Krenn. Er evaluiert dabei neueste Technologien und teilt sein Wissen in Fachartikeln, bei Konferenzen und im Thomas-Krenn Wiki. Bereits 2005 - ein Jahr nach seinem Abschluss des Studiums zu Computer- und Mediensicherheit an der FH Hagenberg - heuerte er beim bayerischen Server-Hersteller an. Als Öffi-Fan nutzt er gerne Bus & Bahn und genießt seinen morgendlichen Spaziergang ins Büro.
|