VLAN richtig planen: Netzwerk in Firma und Homeoffice sinnvoll segmentieren
Wer in einem kleinen Firmennetz Gäste-WLAN, Telefonie, Server und Arbeitsplätze über dieselben Switches laufen lässt, handelt sich früher oder später Sicherheits- und Performanceprobleme ein. VLANs lösen das, ohne dass man für jedes Segment eigene Kabel und Switches braucht. Dieser Beitrag zeigt, wie man ein Netz sauber aufteilt, wo Trunk- und Access-Ports hingehören und welcher Fehler in der Praxis am häufigsten zu Verbindungsabbrüchen führt.
Was bringt eine VLAN-Trennung im kleinen Firmennetz?
Ein VLAN (Virtual LAN) teilt ein physisches Netzwerk in mehrere logisch getrennte Broadcast-Domänen auf, ohne dass zusätzliche Verkabelung nötig ist. Praktisch heißt das: Ein Gast im WLAN sieht weder den Server im Büro noch die Konfigurationsoberfläche des Druckers, weil sein Datenverkehr in einem eigenen VLAN läuft, das vom internen Netz isoliert ist. Genauso lassen sich VoIP-Telefone in ein eigenes Voice-VLAN legen, damit Sprachpakete nicht mit Datei-Uploads oder Backup-Traffic um Bandbreite konkurrieren. Für Server empfiehlt sich ebenfalls ein eigenes Segment, damit nur die Geräte und Nutzer Zugriff haben, die ihn wirklich brauchen. Der Aufwand lohnt sich schon ab wenigen Arbeitsplätzen, weil man Sicherheitsregeln pro Segment statt pro Einzelgerät pflegt.
Trunk-Port oder Access-Port: Was ist der Unterschied?
Ein Access-Port gehört fest zu genau einem VLAN und wird für Endgeräte verwendet, die selbst nichts von VLANs wissen müssen – etwa ein normaler PC, ein Drucker oder ein Access Point, der nur ein SSID-Netz bedient. Der Switch fügt das VLAN-Tag beim Empfang hinzu und entfernt es, bevor das Paket beim Gerät ankommt; das Endgerät sieht davon nichts. Ein Trunk-Port dagegen transportiert mehrere VLANs gleichzeitig über eine einzige Verbindung und wird mit 802.1Q-Tags markiert, damit der Empfänger die Pakete den richtigen Segmenten zuordnen kann. Trunks kommen typischerweise zwischen zwei Switches, zwischen Switch und Firewall/Router-on-a-Stick oder zu einem Access Point zum Einsatz, der mehrere SSIDs auf getrennte VLANs mappt. Wer beide Portarten verwechselt, bekommt entweder ungetaggten Verkehr, der im falschen Segment landet, oder Endgeräte, die mit getaggten Paketen nichts anfangen können und gar keine Verbindung aufbauen.
Wie teilt man ein Netz sinnvoll in Segmente ein?
In der Praxis reicht für die meisten kleinen Betriebe eine überschaubare Anzahl an VLANs: eines für interne Arbeitsplätze und Fileserver, eines für Gäste mit reinem Internetzugang ohne Zugriff auf interne Ressourcen, eines für VoIP-Telefone mit priorisiertem Verkehr und optional eines für Kameras, Drucker oder sonstige IoT-Geräte, die man nicht offen im Firmennetz haben möchte. Jedes Segment bekommt einen eigenen Adressbereich und eine VLAN-ID, die über alle Switches hinweg konsistent vergeben wird – nichts sorgt schneller für Chaos als dieselbe ID mit unterschiedlicher Bedeutung an verschiedenen Switches. Zwischen den Segmenten regelt man den Zugriff über Firewall- oder ACL-Regeln auf dem Router bzw. Layer-3-Switch: Gäste dürfen ins Internet, aber nicht ins Serversegment; Arbeitsplätze dürfen auf den Server, aber nicht zwingend auf die Telefonie-Steuerung.
Welche Switch-Funktionen sind für VLANs notwendig?
Voraussetzung ist ein managed Switch mit 802.1Q-Unterstützung – unmanaged Switches können VLAN-Tags weder auswerten noch selbst setzen und leiten getaggten Verkehr blind weiter, was zu genau den Problemen führt, die VLANs eigentlich vermeiden sollen. Sinnvoll ist außerdem, dass sich pro Port festlegen lässt, ob er als Access- oder Trunk-Port arbeitet und welches native (ungetaggte) VLAN er im Zweifelsfall nutzt. Sobald mehrere Switches über größere Distanzen oder zwischen Etagen verbunden werden, lohnt sich ein Glasfaser-Uplink statt Kupfer, weil er unempfindlich gegen elektromagnetische Störungen ist und auf längeren Strecken zuverlässiger läuft. Für solche Trunk-Verbindungen zwischen Switch-Standorten im selben Gebäude reichen einfache Singlemode-Patchkabel wie das LC-LC Patchkabel Duplex OS2 Singlemode 2m oder für etwas größere Distanzen das LWL Patchkabel LC-LC Duplex OS2 Singlemode 3m, jeweils zusammen mit passenden SFP-Modulen an beiden Enden.
Warum funktioniert die Verbindung nach der VLAN-Konfiguration plötzlich nicht mehr?
Der klassische Fehler ist eine falsch gesetzte native VLAN-ID auf einem Trunk-Port. Wenn zwei Switches an ihren Trunk-Enden unterschiedliche native VLANs konfiguriert haben, landet ungetaggter Verkehr auf der einen Seite im falschen Segment auf der anderen Seite – Geräte erhalten dann keine oder eine falsche IP-Adresse, obwohl das Kabel physisch funktioniert. Ein zweiter häufiger Fehler: Ein Access Point wird versehentlich an einen Access-Port statt an einen Trunk-Port angeschlossen, wodurch nur eine SSID statt aller konfigurierten Netze funktioniert. Am schnellsten findet man solche Fehler, indem man auf beiden Seiten einer Verbindung die VLAN-Konfiguration des Ports direkt vergleicht, statt zuerst Kabel oder Geräte zu tauschen. Wer sich bei der Planung oder Fehlersuche nicht sicher ist, kann sich mit den konkreten Gegebenheiten vor Ort auch an uns wenden – wir richten Switch- und VLAN-Konfigurationen regelmäßig selbst ein.