VLAN (Virtual LAN)

In einem normalen Netzwerk (LAN) hören alle alles (Broadcasts). Wenn du in einer Firma 500 Computer hast, ist das Chaos. Und unsicher: Die Buchhaltung soll nicht sehen, was die Entwickler machen. Früher musste man für jede Abteilung eigene Kabel und eigene Switches kaufen. (Teuer!). Mit VLAN nimmst du einen Switch und zerscheidest ihn virtuell. Port 1-10: Buchhaltung (VLAN 10). Port 11-20: Entwickler (VLAN 20). Obwohl sie im selben Gerät stecken, sind sie getrennt, als wären es zwei verschiedene Gebäude.

Merksatz: Eine logische Unterteilung eines physischen Netzwerks in mehrere virtuelle Netzwerke, um Traffic zu trennen, Sicherheit zu erhöhen und Broadcast-Domänen zu verkleinern.

Am Switch konfigurieren:

"Port 5 gehört zu VLAN 10." (Access Port). Wenn du deinen PC an Port 5 steckst, bist du automatisch im "Buchhaltungs-Netz".

Verbindung zwischen Switches:

Du hast zwei Switches. Wie kommen Daten von VLAN 10 (Switch A) zu VLAN 10 (Switch B)?
Musterantwort: Beginne mit dem konkreten Fall, prüfe die Fakten und erkläre den Begriff daran. Für diesen Abschnitt gilt: Am Switch konfigurieren: "Port 5 gehört zu VLAN 10." (Access Port). Wenn du deinen PC an Port 5 steckst, bist du automatisch im "Buchhaltungs-Netz".
Du brauchst ein Kabel, das alle VLANs überträgt.
Das nennt man Trunk Port.

1. 802.1Q Tagging

Wie weiß der Trunk-Port, welches Paket wohin gehört? Er klebt ein Etikett (Tag) an das Ethernet-Paket. Das 802.1Q Tag (4 Bytes) wird in den Header eingefügt. Darin steht die VLAN-ID (1-4094). Wenn das Paket beim anderen Switch ankommt, liest er das Tag ("Aha, für VLAN 10"), entfernt es wieder, und leitet das nackte Paket an den PC weiter.

2. Router on a Stick

VLANs sind isoliert. VLAN 10 kann VLAN 20 nicht pingen. (Das ist ja der Sinn). Was, wenn sie doch reden müssen? Man braucht einen Router (Layer 3). Der Switch schickt alles an den Router. Der Router prüft ("Darf Buchhaltung mit IT reden?"), und routet es zurück ins andere VLAN. Das nennt man Inter-VLAN-Routing.

3. VLAN Hopping (Hacking)

Ein Angriff. Wenn ein Switch-Port falsch konfiguriert ist (Dynamic Trunking Protocol - DTP), kann ein Hacker so tun, als wäre er ein Switch. Er sendet Pakete mit gefälschten Tags ("Ich bin VLAN 10!"). So bricht er aus seinem VLAN aus. Gegenmaßnahme: DTP ausschalten, ungenutzte Ports deaktivieren ("Shutdown").

Das VXLAN (Virtual Extensible LAN) Overlay

Klassische 802.1Q VLANs scheitern an zwei Dingen: 4.094 IDs (Die Limitierung an sich) und Layer-2 Broadcast Grenzen (Man kann ein VLAN nicht ohne Router nach Übersee schicken). Für moderne Cloud-Rechenzentren (AWS VPC, VMware NSX) wurde VXLAN geboren. VXLAN kapselt alte Layer-2 MAC-Frames transparent tief in ein modernes UDP (Layer 4) / IP (Layer 3) Paket ein (MAC-in-UDP). Plötzlich kann der physische Backbone unendliche "L3-Router" passieren. Das alte 12-Bit-Tag wird zur 24-Bit VNI (VXLAN Network Identifier), was schlagartig 16.7 Millionen Zonen öffnet. Mandanten (Tenants) in der Cloud spannen so ihre isolierte L2-Subnetz-Brücke quer über 50 geografisch verstreute Rechenzentren, vollkommen verborgen vor dem physischen "Underlay" Netzwerk-Routing.

Q-in-Q (Double Tagging 802.1ad)

Szenario: Ein Internet Service Provider (ISP) mietet eine Backbone-Glasfaserlinie an dich. Du willst darin 100 deiner eigenen VLANs (IT, Marketing, usw.) über die Stadt fahren. Der Provider nutzt in seiner eigenen Hardware aber logischerweise auch eigene VLAN-IDs. Wenn beide ID 10 nutzen, implodiert das Routing des Providers. Lösung: 802.1ad / Q-in-Q (Double Tagging). Der Edge-Switch des Providers klebt unbarmherzig ein ZWEITES (äusseres) VLAN-Tag ("S-Tag", z. B. Kunde Meyer = 500) direkt über das deiner Frames ("C-Tag" = 10). Die Switches des ISPs routen im Provider-Core absolut ignorant nur nach dem obersten Tag (500). Erst der Ausgangs-Switch des Providers strippt das S-Tag ab und übergibt die originalen 802.1Q Frames sauber an deinen Zielstandort.

Spanning-Tree Protocol Spaltung (PVST+)

Der Tod jedes Layer-2 Netzwerks ist ein Switching-Loop (Kabel-Kreislauf, der Milliarden Broadcast-Stürme vervielfacht). Das Spanning Tree Protocol (STP) identifiziert Kreisläufe und blockiert redundante Ports präventiv logisch. In Netzwerken mit 50 VLANs wäre ein einziger globaler STP-Tree massiv ineffizient (Wenn Port 5 blockiert ist, schläft er komplett für alle VLANs, obwohl andere Leitungen oft frei wären). Die Lösung war Cisco’s Per-VLAN Spanning Tree Plus (PVST+). Jeder Switch kalkuliert intern isolierte STP-Graphen für jedes einzelne VLAN abseits der anderen. So kann für das VLAN 10 der Traffic-Pfad nach links gehen, und für das VLAN 20 der Traffic-Pfad nach rechts (Load Balancing).