Ein VLAN teilt einen physischen Switch in mehrere logische Netze auf — als gäbe es unsichtbare Wände zwischen den Geräten. Scroll dich durch und probier es selbst aus.
VLAN steht für Virtual Local Area Network. Normalerweise bilden alle Geräte, die am selben Switch hängen, ein gemeinsames Netz — jeder kann mit jedem reden. Ein VLAN durchbricht das: Es definiert logische Gruppen, sodass nur Geräte derselben Gruppe miteinander kommunizieren — auch wenn sie am gleichen Switch stecken.
Statt für jede Abteilung einen eigenen Switch zu kaufen und eigene Kabel zu verlegen, zieht man die Trennung einfach in der Software des Switches.
Stell dir ein Großraumbüro vor. Ein VLAN ist wie eine schalldichte Trennwand: Buchhaltung und Gäste sitzen im selben Raum, hören sich aber nicht — und kommen nicht zu den Unterlagen der jeweils anderen.
Sicherheit (Gäste-WLAN sieht keine Firmenserver), weniger Broadcast-Lärm, einfachere Verwaltung und Flexibilität — Umzüge ohne neue Verkabelung.
Wähle oben ein VLAN und klicke dann auf die Geräte unten. Beobachte, wie sich logische Gruppen bilden — obwohl alle physisch am selben Switch hängen.
Damit ein Switch weiß, zu welchem VLAN ein Datenpaket gehört, hängt er ein kleines Etikett — ein VLAN-Tag nach dem Standard IEEE 802.1Q — in den Ethernet-Frame. Darin steht eine Nummer, die VLAN-ID (z. B. 10, 20, 30).
Verbindungen zwischen Geräten und Switch sind meist untagged (Access-Port — das Endgerät weiß nichts von VLANs). Verbindungen zwischen Switches sind tagged (Trunk-Port), damit mehrere VLANs über ein Kabel laufen können, ohne sich zu vermischen.
Hier sieht man den Kern. Ein einfacher (unmanaged) Switch kennt keine VLANs — bei unbekanntem Ziel schickt er das Paket an alle Ports (Flooding). Ein Managed Switch mit VLANs liefert nur an Ports im selben VLAN aus. Wähle Sender & Ziel und drücke Paket senden.
| Eigenschaft | Unmanaged Switch | Managed Switch |
|---|---|---|
| VLAN-Unterstützung | ✕ keine | ✓ ja (802.1Q) |
| Netz-Trennung | ✕ alle in einem Netz | ✓ logisch getrennt |
| Unbekanntes Ziel | Flooding an alle Ports | Flooding nur im selben VLAN |
| Konfiguration | Plug & Play, keine | Web/CLI, konfigurierbar |
| Sicherheit | gering | hoch (Isolation) |
| Preis | günstig | teurer |
Hinweis: Kommunikation zwischen VLANs ist nicht unmöglich — sie muss aber bewusst über einen Router bzw. Layer-3-Switch („Inter-VLAN-Routing") erlaubt werden. Genau das macht VLANs sicher: Trennung ist die Voreinstellung.