In einem kleinen Netzwerk befinden sich oft alle Geräte im selben Bereich: Computer, Server, Drucker, Telefone und Gäste. Das ist zwar einfach einzurichten, kann aber schnell unübersichtlich und unsicher werden.
Mit VLANs kann man ein Netzwerk in mehrere Bereiche aufteilen. Die Geräte können dabei weiterhin dieselben Switches und Netzwerkkabel verwenden.
Was ist ein VLAN?
VLAN bedeutet „Virtual Local Area Network“. Ein VLAN ist ein eigener, virtueller Netzwerkbereich.
Eine mögliche Aufteilung sieht so aus:
| VLAN | Name | Netzwerk | Geräte |
|---|---|---|---|
| 10 | MITARBEITER | 192.168.10.0/24 | Computer |
| 20 | SERVER | 192.168.20.0/24 | Server |
| 30 | TELEFONIE | 192.168.30.0/24 | IP-Telefone |
| 40 | GAESTE | 192.168.40.0/24 | Gäste-WLAN |
| 99 | MANAGEMENT | 192.168.99.0/24 | Switch-Verwaltung |
Geräte in unterschiedlichen VLANs sind zunächst voneinander getrennt. Ein Gast kann dadurch nicht automatisch auf einen internen Server zugreifen.
Warum sind VLANs sinnvoll?
VLANs bieten mehrere Vorteile:
- Gäste können vom Firmennetz getrennt werden.
- Server und wichtige Geräte lassen sich besser schützen.
- Das Netzwerk wird übersichtlicher.
- Störungen betreffen nicht sofort alle Geräte.
- Zugriffe können gezielt erlaubt oder gesperrt werden.
Wichtig: Ein VLAN allein ist noch keine vollständige Sicherheitslösung. Sobald Daten zwischen den VLANs weitergeleitet werden, braucht man zusätzliche Regeln auf einem Router, Layer-3-Switch oder einer Firewall.
VLANs auf einem Cisco-Switch erstellen
Zuerst werden die VLANs auf dem Switch angelegt:
enable
configure terminal
vlan 10
name MITARBEITER
exit
vlan 20
name SERVER
exit
vlan 40
name GAESTE
exit
vlan 99
name MANAGEMENT
exit
end
write memoryDie VLANs sind jetzt vorhanden. Im nächsten Schritt werden ihnen die passenden Anschlüsse zugewiesen.
Computer einem VLAN zuweisen
Die Switch-Ports 1 bis 12 sollen für die Mitarbeiter verwendet werden:
configure terminal
interface range GigabitEthernet1/0/1-12
description Mitarbeiter-PCs
switchport mode access
switchport access vlan 10
spanning-tree portfast
exit
end
write memoryAlle Geräte an diesen Ports gehören nun zum VLAN 10.
Für die Server können zum Beispiel die Ports 13 bis 16 verwendet werden:
configure terminal
interface range GigabitEthernet1/0/13-16
description Server
switchport mode access
switchport access vlan 20
spanning-tree portfast
exit
end
write memory
Was ist ein Trunk-Port?
Ein normaler Access-Port überträgt nur ein VLAN. Ein Trunk-Port kann mehrere VLANs gleichzeitig übertragen.
Trunks werden häufig verwendet:
- zwischen zwei Switches,
- zwischen Switch und Router,
- zwischen Switch und Firewall,
- zwischen Switch und WLAN-Access-Point.
Ein Trunk zwischen zwei Cisco-Switches kann so eingerichtet werden:
configure terminal
interface GigabitEthernet1/0/48
description Verbindung-zu-Switch-2
switchport mode trunk
switchport trunk allowed vlan 10,20,40,99
exit
end
write memoryÜber diesen Anschluss dürfen nur die angegebenen VLANs übertragen werden.
Wie können VLANs miteinander kommunizieren?
Ohne Routing können Geräte aus verschiedenen VLANs nicht miteinander sprechen.
Damit beispielsweise ein Mitarbeiter-PC einen Server erreichen kann, wird ein Router oder Layer-3-Switch benötigt. Dieser stellt für jedes VLAN ein Standardgateway bereit.
Beispiel mit einem Layer-3-Switch
Auf einem Layer-3-Switch können virtuelle Schnittstellen für die VLANs erstellt werden:
configure terminal
ip routing
interface Vlan10
description Gateway-Mitarbeiter
ip address 192.168.10.1 255.255.255.0
no shutdown
exit
interface Vlan20
description Gateway-Server
ip address 192.168.20.1 255.255.255.0
no shutdown
exit
interface Vlan40
description Gateway-Gaeste
ip address 192.168.40.1 255.255.255.0
no shutdown
exit
end
write memoryDie Geräte verwenden anschließend die passende IP-Adresse als Gateway:
- Mitarbeiter:
192.168.10.1 - Server:
192.168.20.1 - Gäste:
192.168.40.1
Da ip routing aktiviert ist, kann der Switch Daten zwischen den VLANs weiterleiten.
Gastnetz vom Firmennetz trennen
Das Gastnetz soll normalerweise nur das Internet erreichen. Interne Geräte und Server sollen gesperrt sein.
Eine einfache Cisco-ACL kann den Zugriff auf private Netzwerke blockieren:
configure terminal
ip access-list extended GAST-SPERRE
deny ip 192.168.40.0 0.0.0.255 10.0.0.0 0.255.255.255
deny ip 192.168.40.0 0.0.0.255 172.16.0.0 0.15.255.255
deny ip 192.168.40.0 0.0.0.255 192.168.0.0 0.0.255.255
permit ip 192.168.40.0 0.0.0.255 any
exit
interface Vlan40
ip access-group GAST-SPERRE in
exit
end
write memoryDie Regeln bedeuten vereinfacht:
- Gäste dürfen keine privaten Netzwerke erreichen.
- Alle anderen Ziele sind erlaubt.
- Dadurch kann der Internetzugriff weiterhin funktionieren.
Falls im Firmennetz interne DNS- oder DHCP-Server verwendet werden, müssen dafür zusätzliche Ausnahmen eingerichtet werden.
IP-Telefon und Computer am selben Anschluss
Bei einem Cisco-IP-Telefon kann ein Computer häufig direkt am Telefon angeschlossen werden. Trotzdem lassen sich Sprache und normale Daten trennen:
configure terminal
interface GigabitEthernet1/0/20
description Telefon-und-PC
switchport mode access
switchport access vlan 10
switchport voice vlan 30
spanning-tree portfast
exit
end
write memoryDer Computer verwendet VLAN 10. Das Telefon verwendet VLAN 30.
Konfiguration prüfen
Mit diesen Befehlen lässt sich die Einrichtung kontrollieren:
show vlan brief
show interfaces trunk
show ip interface brief
show ip route
show access-listsshow vlan brief zeigt die vorhandenen VLANs und die zugeordneten Ports.
show interfaces trunk zeigt, welche Anschlüsse als Trunk arbeiten.
show ip interface brief zeigt die IP-Adressen und den Zustand der VLAN-Schnittstellen.
Häufige Fehler
Bei der VLAN-Einrichtung treten häufig diese Probleme auf:
- Der Port wurde dem falschen VLAN zugewiesen.
- Das VLAN wurde nicht auf allen Switches angelegt.
- Ein benötigtes VLAN fehlt auf dem Trunk.
- Der Uplink wurde als Access-Port statt als Trunk eingerichtet.
- Das Gerät verwendet ein falsches Standardgateway.
- Eine Zugriffsregel blockiert mehr Datenverkehr als geplant.
Nach jeder Änderung sollte deshalb geprüft werden, welche Verbindungen funktionieren und welche bewusst gesperrt sein sollen.
Fazit
Mit VLANs kann ein Netzwerk einfach in verschiedene Bereiche aufgeteilt werden. Mitarbeiter, Server, Telefone und Gäste müssen dann nicht mehr im selben Netzwerk arbeiten.
Für eine sichere Lösung benötigt man zusätzlich passende Routing- und Firewall-Regeln. Besonders das Gastnetz und das Netzwerk zur Verwaltung der Switches sollten klar vom normalen Firmennetz getrennt werden.
Die gezeigten Befehle sind Beispiele für Cisco IOS beziehungsweise IOS XE. Portnamen und verfügbare Funktionen können sich je nach Switch-Modell unterscheiden.
Sie möchten Ihr Netzwerk sicher aufteilen?
Wir unterstützen Sie bei der Planung und Einrichtung Ihrer VLANs – von der ersten Analyse bis zur fertigen Cisco-Konfiguration. So erhalten Mitarbeiter, Server, Telefone und Gäste genau die Zugriffe, die sie wirklich benötigen.
Lassen Sie Ihr Netzwerk jetzt kostenlos prüfen und fordern Sie ein unverbindliches Erstgespräch an.