VLAN (Virtual LAN)

Grundlagen der VLAN-Technologie

Ein Virtual Local Area Network (VLAN) ist eine logische Gruppierung von Netzwerkgeräten, die sich verhalten, als wären sie an denselben physischen Switch angeschlossen — unabhängig von ihrer tatsächlichen physischen Position im Netzwerk. Der zentrale Nutzen besteht in der Aufteilung einer einzigen physischen Broadcast-Domäne in mehrere isolierte Broadcast-Domänen. Ohne VLANs erreicht ein Broadcast-Paket (z.B. ARP-Request oder DHCP-Discover) jedes Gerät im selben Layer-2-Netzwerk, was bei wachsender Netzwerkgröße zu erheblichem unnötigem Datenverkehr, Performance-Einbußen und Sicherheitsrisiken führt. VLANs begrenzen diese Broadcast-Domänen und schaffen damit isolierte Netzwerksegmente.

Der IEEE-Standard 802.1Q definiert das Verfahren für VLAN-Tagging auf Ethernet-Frames. Dabei wird ein 4 Byte großes Tag-Feld in den Ethernet-Header eingefügt, das unter anderem die 12-Bit VLAN-ID (VID) enthält und damit einen Bereich von 1 bis 4094 adressierbaren VLANs ermöglicht (VLAN 0 ist reserviert, VLAN 4095 ungültig). Zusätzlich enthält das Tag ein 3-Bit Priority Code Point (PCP) Feld für Quality of Service (QoS) nach IEEE 802.1p und ein 1-Bit Drop Eligible Indicator (DEI). Die maximale Framegröße erhöht sich durch das Tag von 1518 auf 1522 Byte, was bei der MTU-Konfiguration berücksichtigt werden muss.

Bei Switch-Ports unterscheidet man zwischen Access Ports (ungetaggt) und Trunk Ports (getaggt). Ein Access Port gehört genau einem VLAN an und sendet/empfängt Frames ohne VLAN-Tag — er wird typischerweise für Endgeräte wie Workstations, Drucker oder IP-Telefone verwendet. Der Switch fügt intern das VLAN-Tag hinzu, wenn ein Frame den Access Port erreicht, und entfernt es wieder bei der Zustellung. VLANs lassen sich nach verschiedenen Kriterien zuweisen: portbasiert (der verbreitetste Ansatz, bei dem der Switch-Port statisch einem VLAN zugeordnet wird), MAC-basiert (Zuweisung anhand der MAC-Adresse des Endgeräts), protokollbasiert (Zuweisung nach Layer-3-Protokoll) oder richtlinienbasiert über 802.1X-Authentifizierung.

VLAN-Architektur und Trunk-Konfiguration

Trunk Links sind die Verbindungen zwischen Switches (oder zwischen Switch und Router), die Frames mehrerer VLANs gleichzeitig transportieren. Auf einem Trunk Port werden alle Frames mit ihrem 802.1Q-Tag übertragen, sodass der empfangende Switch die VLAN-Zugehörigkeit erkennen und das Frame an den richtigen Access Port weiterleiten kann. Eine Besonderheit ist das Native VLAN: Frames, die ohne Tag auf einem Trunk ankommen, werden automatisch dem Native VLAN zugeordnet. Standardmäßig ist dies VLAN 1, was aus Sicherheitsgründen geändert werden sollte, da Angreifer diese Standardkonfiguration für VLAN-Hopping-Angriffe ausnutzen können.

Für spezielle Anwendungsszenarien existieren dedizierte VLAN-Typen. Das Voice VLAN (auch Auxiliary VLAN) ermöglicht es, VoIP-Telefone und den angeschlossenen PC über denselben physischen Port in unterschiedliche VLANs zu trennen — das Telefon nutzt das Voice VLAN mit höherer QoS-Priorität, der PC das Daten-VLAN. Das Management VLAN isoliert den Verwaltungszugriff auf Netzwerkgeräte (SSH, SNMP, Web-Interface) vom Produktionsnetzwerk. Double Tagging (Q-in-Q, IEEE 802.1ad) kapselt ein 802.1Q-Frame in ein weiteres 802.1Q-Tag und wird von Service Providern genutzt, um Kunden-VLANs transparent über ihr Backbone-Netzwerk zu transportieren.

• Trunk Links (802.1Q): Punkt-zu-Punkt-Verbindungen zwischen Switches, die getaggte Frames mehrerer VLANs transportieren. Trunks sollten explizit konfiguriert werden (kein Dynamic Trunking Protocol/DTP) und die erlaubten VLANs per „allowed VLAN list“ auf das notwendige Minimum beschränkt werden.
• Native VLAN: Das VLAN, dem ungetaggte Frames auf einem Trunk zugeordnet werden. Sicherheits-Best-Practice: Ein ungenutztes VLAN (z.B. VLAN 999) als Native VLAN konfigurieren und VLAN 1 nicht für Produktionsdaten verwenden, um Double-Tagging-Angriffe zu verhindern.
• Voice VLAN: Separates VLAN für VoIP-Datenverkehr mit erhöhter QoS-Priorität (802.1p PCP-Wert 5). Ermöglicht die Koexistenz von IP-Telefon und PC an einem Switch-Port mittels CDP/LLDP-MED für die automatische VLAN-Zuweisung des Telefons.
• Management VLAN: Dediziertes VLAN für die Out-of-Band-Verwaltung von Netzwerkinfrastruktur. Enthält die Management-Interfaces (SVI) der Switches und Router und wird durch ACLs auf autorisierte Administratoren-Workstations beschränkt.
• PVID (Port VLAN Identifier): Die Standard-VLAN-ID, die einem Switch-Port zugewiesen ist. Bei Access Ports entspricht die PVID dem konfigurierten Access VLAN, bei Trunk Ports dem Native VLAN. Die PVID bestimmt, welchem VLAN ein ungetaggtes eingehendes Frame zugeordnet wird.
• Double Tagging (Q-in-Q / 802.1ad): Verschachtelung von 802.1Q-Tags, bei der ein äußeres Service-Tag (S-Tag) und ein inneres Customer-Tag (C-Tag) verwendet werden. Ermöglicht Service Providern den transparenten Transport von Kunden-VLANs über ihr Backbone mit bis zu 4094 × 4094 adressierbaren VLAN-Kombinationen.

Best Practices für VLAN-Design und -Sicherheit

Ein durchdachtes VLAN-Design orientiert sich an den funktionalen Anforderungen der Organisation und folgt dem Prinzip der geringsten Berechtigung. Typische Segmentierung umfasst separate VLANs für Benutzer-Workstations (nach Abteilung oder Funktion), Server-Infrastruktur, VoIP-Telefonie, Gäste-WLAN, IoT-Geräte, Drucker und Netzwerkmanagement. Jedes VLAN erhält ein eigenes IP-Subnetz, und Inter-VLAN-Routing wird über einen Layer-3-Switch oder einen Router (Router-on-a-Stick für kleinere Umgebungen) mit Access Control Lists (ACLs) realisiert, die den Datenverkehr zwischen den Segmenten präzise steuern.

Die Absicherung der VLAN-Infrastruktur gegen Angriffe erfordert mehrere Schutzmechanismen. VLAN-Hopping — bei dem ein Angreifer durch manipulierte Frames Zugriff auf fremde VLANs erlangt — wird durch die Deaktivierung von DTP (Dynamic Trunking Protocol) auf allen Access Ports, die explizite Trunk-Konfiguration und die Änderung des Native VLAN verhindert. DHCP-Snooping schützt vor Rogue-DHCP-Servern, indem nur als „trusted“ markierte Ports DHCP-Antworten senden dürfen. Dynamic ARP Inspection (DAI) validiert ARP-Pakete gegen die DHCP-Snooping-Datenbank und verhindert ARP-Spoofing-Angriffe. IP Source Guard filtert zusätzlich IP-Pakete anhand der DHCP-Snooping-Binding-Tabelle.

• VLAN-Design nach Funktion: Segmentierung nach Nutzungsgruppen (Mitarbeiter, Server, Gäste, IoT, Management) mit jeweils eigenem Subnetz. Maximale VLAN-Größe auf 250–500 Hosts begrenzen, um Broadcast-Overhead zu minimieren. Dokumentation aller VLAN-IDs, Subnetze und Zwecke in einer VLAN-Matrix pflegen.
• Inter-VLAN-Routing mit ACLs: Layer-3-Switches für Hardware-beschleunigtes Routing zwischen VLANs einsetzen. ACLs restriktiv konfigurieren: Standard ist „deny all“, nur explizit benötigte Kommunikationspfade freigeben. Gäste-VLAN darf nur ins Internet, nicht in interne VLANs. Server-VLAN nur über definierte Ports erreichbar.
• VLAN-Hopping-Prävention: DTP auf allen Access Ports deaktivieren (switchport nonegotiate), ungenutzte Ports in ein isoliertes „Parking“-VLAN verschieben und administrativ herunterfahren. Native VLAN auf ein ungenutztes VLAN ändern und die VLAN-Allowed-List auf Trunks auf das notwendige Minimum beschränken.
• DHCP-Snooping: Schutz vor Rogue-DHCP-Servern durch Klassifizierung von Ports als trusted (Uplinks zu legitimen DHCP-Servern) und untrusted (alle Access Ports). Untrusted Ports dürfen nur DHCP-Requests senden, keine DHCP-Offers oder DHCP-Acks. Die Binding-Tabelle (MAC, IP, VLAN, Port) dient als Grundlage für DAI und IP Source Guard.
• Dynamic ARP Inspection (DAI): Validierung aller ARP-Pakete auf untrusted Ports gegen die DHCP-Snooping-Binding-Tabelle. Ungültige ARP-Antworten (mit gefälschter Absender-MAC oder Absender-IP) werden verworfen und protokolliert. Rate-Limiting pro Port verhindert ARP-Flooding-Angriffe und schützt die Switch-CPU.
• Port Security und 802.1X: Begrenzung der erlaubten MAC-Adressen pro Port (Port Security) verhindert MAC-Flooding-Angriffe. IEEE 802.1X Network Access Control authentifiziert Endgeräte über RADIUS, bevor der Switch-Port aktiviert wird, und kann das Gerät dynamisch dem korrekten VLAN zuweisen.