Begriff
Switch (Layer 2)
Warum wichtig?
Dieser Begriff ist ein Knoten im SengakujiWorks-Wissensnetz. Nutze Level 0 für die erste Einordnung, Level 1 für Praxis, Level 2 für technische Struktur und Level 3 für Grenzen, Fallstricke und Expertenkontext.
Du hast 10 Computer im Büro. Du willst sie verbinden. Du steckst alle Kabel in einen Kasten. Dieser Kasten ist der Switch. Früher (Hub) hat der Kasten einfach geschrien: "Nachricht von A!!!". Alle mussten zuhören. Der Switch ist schlau. Er merkt sich: "Computer A steckt an Port 1. Computer B an Port 2." Wenn A etwas an B schicken will, schaltet der Switch eine direkte Verbindung von Port 1 zu Port 2. Niemand sonst hört zu. Das ist schneller und sicherer.
Merksatz: Ein Kopplungselement auf Layer 2 (Data Link Layer), das Datenframes basierend auf MAC-Adressen gezielt an den richtigen Empfänger-Port weiterleitet.
Unmanaged Switch (20€ bei Amazon): Kabel rein, fertig. Plug & Play. Er lernt alles automatisch. Managed Switch (Cisco/Ubiquiti): Erlaubt Konfiguration:
- VLAN: Trenne Datenverkehr (Port 1-5 ist Büro, Port 6-10 ist Gäste-WLAN).
- Mirroring: Kopiere allen Traffic von Port 1 auf Port 10 (für Wireshark Analyse).
- STP: Verhindere Loops.
1. MAC Address Table (CAM Table)
Das Gehirn des Switches.
Port 1 -> 00:11:22:33:44:55
Port 2 -> AA:BB:CC:DD:EE:FF
Wie lernt er das?
Wenn ein Frame reinkommt, schaut er auf die Source MAC und speichert sie.
Wenn er die Destination MAC nicht kennt (noch nie gesehen), macht er Flooding: Er schickt es an alle Ports (außer Eingang). Der Richtige wird schon antworten. Dann lernt er den Weg.
Angriff: MAC Flooding. Hacker generiert Millionen falsche MACs. Tabelle läuft voll. Switch wird zum Hub (sendet alles an alle -> Sniffing möglich). Abwehr: Port Security.
2. Spanning Tree Protocol (STP)
Was passiert, wenn du zwei Kabel zwischen zwei Switches steckst? (Redundanz). Ein Broadcast Storm. Ein Paket kreist endlos im Loop. Das Netzwerk stirbt in Sekunden (100% Last auf allen CPUs). STP (RSTP) erkennt Loops. Es blockiert automatisch einen Port (Blocking State), bis das andere Kabel ausfällt. Dann aktiviert es ihn (Forwarding). Lebensretter für Admins.
3. Layer 3 Switch
Moderne Switches sind Hybriden. Sie können auch IP-Adressen verstehen und Routen (Layer 3). Das ist viel schneller als ein Router ("Wire Speed Routing" per ASIC-Chip), kann aber meist kein NAT oder komplexe Firewall-Regeln. Ideal als Core-Switch im Rechenzentrum ("Inter-VLAN Routing").
1. Backplane Capacity & Non-Blocking Fabric
Ein billiger Switch hat vielleicht 24 Ports mit je 1 Gbit/s. Was passiert, wenn alle 24 Ports gleichzeitig mit vollem Speed senden wollen? Der Switch braucht intern eine Bandbreite von mindestens 24 Gbit/s (+ 24 für den Rückweg), um die Daten zu verarbeiten. Das nennt man Backplane Capacity. Ein Non-Blocking Switch hat eine so starke Hardware (ASICs), dass er die volle Summe aller Ports gleichzeitig schalten kann, ohne dass es zu einem internen Stau kommt. Billige Home-Switches sparen hier oft und "verstopfen" bei hoher Last.
2. Micro-Segmentation & Zero Trust
Früher war ein Switch eine "dumme" Zone: Wer im gleichen VLAN war, durfte alles. In modernen Netzwerken nutzt man den Switch für Micro-Segmentation. Mit Hilfe von Port-basierten Firewalls oder ACLs (Access Control Lists) auf dem Switch kann man erzwingen, dass PC A und PC B am selben Switch nicht miteinander reden dürfen, obwohl sie im selben Subnetz sind. Dies ist ein Grundpfeiler des Zero Trust Konzepts: "Vertraue niemandem, nur weil er im lokalen LAN eingesteckt ist."
3. Port Security & Sticky MACs
Um zu verhindern, dass ein Fremder seinen Laptop einfach in eine Netzwerkdose im Flur steckt, nutzt man Port Security.
Man kann den Switch so konfigurieren, dass er sich die erste MAC-Adresse merkt, die er sieht (Sticky MAC).
Sobald eine zweite, unbekannte MAC-Adresse an diesem Port auftaucht, schaltet der Switch den Port sofort hart ab (Shutdown State) und sendet einen Alarm an das Monitoring. Das ist der einfachste Schutz gegen physisches Eindringen in das Unternehmensnetzwerk.
Quick-Check
VLAN Tagging (802.1Q)?
Wie markiert man Pakete? Der Switch klebt ein "Tag" (VLAN ID 10) an den Frame. Der nächste Switch liest es ("Aha, gehört zu VLAN 10") und entfernt es vor der Auslieferung an den PC. PCs sehen keine Tags.PoE Switch?
Liefert Strom über das Ethernet-Kabel. Betreibt Telefone, Kameras und Access Points ohne Steckdose. Budget beachten (hat der Switch 300W Netzteil für 24 Ports?).Cut-Through vs Store-and-Forward?
Store-and-Forward: Switch liest das ganze Paket, prüft Prüfsumme (CRC), sendet dann. Sicher, aber Latenz. Cut-Through: Switch liest nur die ersten 6 Byte (Dst MAC) und leitet sofort weiter, während der Rest noch reinkommt. Extrem schnell (für High-Frequency Trading), leitet aber auch kaputte Pakete weiter.