VLAN-Tagging nach IEEE 802.1Q
In dieser interaktiven Lerneinheit verstehst du die technischen Grundlagen des VLAN-Taggings nach IEEE 802.1Q und lernst den genauen Aufbau des VLAN-Tags im Ethernet-Frame kennen. Du erfährst, wie VLAN-Informationen in Netzwerkpakete eingebettet werden - ein essentielles Konzept, das du für die Konfiguration und Fehlersuche in modernen Netzwerken benötigst.
Einführung
In modernen Unternehmensnetzwerken arbeiten oft verschiedene Abteilungen, externe Partner und Gäste parallel auf derselben physischen Infrastruktur. Um sensible Daten zuverlässig zu trennen und Störungen durch Broadcasts oder Fehlkonfigurationen zu vermeiden, braucht es mehr als nur physische Kabel.
Mit dem VLAN-Tagging nach IEEE 802.1Q lässt sich ein einziges Netzwerk flexibel und sicher in mehrere logische Bereiche aufteilen. Im folgenden Abschnitt erfährst du, wie dieses Tagging genau funktioniert und warum es für die Netzwerksicherheit und -verwaltung heute unverzichtbar ist.
Lernziele
Nach dieser Lerneinheit kannst du:
- Den Aufbau und die Funktion des 802.1Q-VLAN-Tags im Ethernet-Frame erklären und die Bedeutung der Felder TPID, PCP, DEI und VID benennen.
- Den Unterschied zwischen getaggtem und ungetaggtem Datenverkehr beschreiben und erklären, wie Native VLANs und Access-Ports in einer VLAN-Umgebung eingesetzt werden.
- Die sicherheitsrelevanten Aspekte von VLAN-Konfigurationen (insbesondere die Rolle von Native VLANs und Parking VLANs) erläutern und Best Practices für eine sichere Netzwerksegmentierung ableiten.
- Die maximale Anzahl nutzbarer VLANs im 802.1Q-Standard angeben und die Funktion reservierter VLAN-IDs begründen.
Überleitung
Sobald du in einem größeren Netzwerk mehrere VLANs einrichtest, stellt sich die Frage, wie Netzwerkgeräte überhaupt erkennen, zu welchem VLAN ein einzelner Frame gehört. Genau dafür gibt es das sogenannte VLAN-Tagging nach IEEE 802.1Q. In diesem Abschnitt lernst du, wie das 802.1Q-Tag im Ethernet-Frame aufgebaut ist, wie es funktioniert und warum es für die tägliche Netzwerkarbeit unverzichtbar ist.
Was ist ein 802.1Q-VLAN-Tag?
Das 802.1Q-VLAN-Tag ist ein Zusatzfeld im Ethernet-Frame, mit dem du einzelne Datenpakete (Frames) einem bestimmten VLAN zuordnen kannst. Es sorgt dafür, dass Netzwerkgeräte wie Switches wissen, zu welchem virtuellen Netzwerk jedes Paket gehört – auch wenn alle Geräte physisch am gleichen Netz hängen. Ohne dieses Tagging wären VLANs in modernen Netzen praktisch nicht umsetzbar.
Struktur des Ethernet-Frames mit VLAN-Tag
Das VLAN-Tag besteht aus 4 Byte und wird im Ethernet-Frame direkt hinter den MAC-Adressen eingefügt. Damit ist ein VLAN-getaggtes Frame etwas größer als ein Standard-Ethernet-Frame.
Übersicht der Frame-Struktur
| Feld | Größe | Beschreibung |
|---|---|---|
| Destination MAC Address | 6 Bytes | Ziel-MAC-Adresse |
| Source MAC Address | 6 Bytes | Quell-MAC-Adresse |
| 802.1Q Tag | 4 Bytes | VLAN-Informationen |
| Ethertype/Length | 2 Bytes | Protokolltyp |
| Data | 46–1500 Bytes | Nutzdaten (Payload) |
| Frame Check Sequence (FCS) | 4 Bytes | Prüfsumme |
Aufbau des 802.1Q-Tags im Detail
Das VLAN-Tag selbst ist unterteilt in zwei Hauptfelder:
| Feld | Größe | Funktion |
|---|---|---|
| TPID | 2 Bytes | Tag Protocol Identifier: Wert immer 0x8100 |
| TCI | 2 Bytes | Tag Control Information: Enthält PCP, DEI und VID |
Aufbau der Tag Control Information (TCI) im Detail
Tag Control Information (TCI) im Detail
Das TCI-Feld (16 Bit) setzt sich aus drei Teilfeldern zusammen:
| Name | Größe | Bedeutung |
|---|---|---|
| Priority Code Point (PCP) | 3 Bit | Prioritätsstufe (Layer-2 Quality of Service, Werte 0–7) |
| Drop Eligible Indicator (DEI, früher CFI) | 1 Bit | Gibt an, ob das Frame bei Überlast bevorzugt verworfen werden darf (0 = Nein, 1 = Ja) |
| VLAN Identifier (VID) | 12 Bit | Identifiziert das VLAN (1–4094 nutzbar, 0 und 4095 reserviert) |
Praxisbezug:
- PCP: Nutzt du zum Beispiel für Voice-over-IP, damit Sprachdaten im Zweifel Vorrang erhalten.
- DEI: Gibt an, ob dieses Frame im Zweifel verworfen werden kann, falls die Leitung überlastet ist.
- VID: Entscheidet, zu welchem VLAN das Frame gehört. So können bis zu 4094 VLANs auf einer Infrastruktur betrieben werden.
Einfluss auf die Frame-Größe und MTU
Hinweis
Durch das Hinzufügen des VLAN-Tags wächst das Ethernet-Frame um 4 Byte. Die maximale Frame-Größe steigt dadurch von 1518 auf 1522 Byte. Netzwerkgeräte und Endgeräte müssen diese sogenannten „Baby-Giant-Frames“ unterstützen, sonst können Übertragungsfehler auftreten.
Anwendungsnutzen im Alltag
Warum ist VLAN-Tagging für dich wichtig?
- Netzwerksegmentierung ohne neue Kabel: Du kannst unterschiedliche Netzbereiche (z. B. Verwaltung, Entwicklung, Produktion) logisch trennen, ohne neue Leitungen zu verlegen.
- Erhöhte Sicherheit: Durch die VLAN-Zuordnung sind Geräte aus verschiedenen VLANs logisch voneinander isoliert.
- Flexibilität und Effizienz: Änderungen an der Netzwerkstruktur erledigst du per Software, nicht durch Umbau der Verkabelung.
- Quality of Service: Mit dem PCP-Wert lassen sich kritische Datenströme gezielt priorisieren.
Überleitung
Nachdem du nun den grundsätzlichen Aufbau des 802.1Q-VLAN-Tags kennst und weißt, wie VLANs technisch im Frame gekennzeichnet werden, geht es im nächsten Schritt darum, wie Netzwerkswitches mit ungetaggtem Datenverkehr umgehen. Dazu gehören die speziellen Rollen von Native VLANs und Access-Ports, die für den sicheren und reibungslosen Betrieb von VLAN-Umgebungen entscheidend sind.
Was ist ein Native VLAN?
Ein native VLAN bezeichnet auf einem IEEE 802.1Q-fähigen Netzwerkport (meist einem Trunk-Port) das VLAN, dem ungetaggter (nicht mit einem VLAN-Tag versehener) Datenverkehr automatisch zugeordnet wird.
Das bedeutet:
Kommt ein Frame ohne VLAN-Tag auf einem Trunk-Port an, wird er dem konfigurierten native VLAN zugeordnet. Ebenso verlässt Traffic aus dem native VLAN einen Trunk-Port in der Regel ohne VLAN-Tag.
Access-Ports (untagged Ports)
Access-Ports, auch untagged Ports genannt, sind Switch-Ports, die genau einem VLAN zugeordnet sind. Sie verarbeiten alle ein- und ausgehenden Frames ohne VLAN-Tag. Jeder Traffic über einen Access-Port gilt automatisch als Teil des zugewiesenen VLANs (Port VLAN ID, PVID).
Bedeutung und Anwendung von Native VLANs
- Kompatibilität: Native VLANs erlauben die Integration von Geräten, die kein VLAN-Tagging unterstützen, z. B. ältere Netzwerkhardware.
- Migration: Geräte ohne VLAN-Funktionalität können über das native VLAN in eine moderne VLAN-Infrastruktur eingebunden werden.
- Trunk-Links: Trunk-Ports transportieren mehrere VLANs gleichzeitig. Ungetaggter Traffic wird immer dem native VLAN zugeordnet.
Praxis-Tipp:
Das native VLAN sollte sich von produktiv genutzten VLANs unterscheiden (z. B. VLAN 999 als Parking VLAN), um versehentliche Zugriffe zu verhindern.
Sicherheitshinweise
- Angriffsvektor VLAN-Hopping: Wird das native VLAN auf Trunk-Ports nicht konsequent konfiguriert oder entspricht es dem Standard-VLAN (meist VLAN 1), kann ein Angreifer gezielt ungetaggten Traffic einspeisen, um Zugriff auf andere VLANs zu bekommen.
- Best Practice: Setze das native VLAN auf einen unbenutzten Wert und nutze es nicht für produktive Zwecke. Management- und produktive VLANs sollten niemals als native VLAN konfiguriert werden.
- Access-Ports in Parking VLAN: Ungenutzte Ports sollten immer in ein separates, nicht erreichbares VLAN verschoben werden.
Maximale Anzahl von VLANs und reservierte VIDs
Beim Einsatz von IEEE 802.1Q werden VLANs über die VLAN-ID (VID) im Tag des Ethernet-Frames identifiziert. Das VLAN-Tag verwendet ein 12-Bit-Feld für die VID, was folgende Werte ermöglicht:
- 0–4095: 4096 mögliche Werte, aber nicht alle sind nutzbar.
Reservierte VLAN-IDs
- VID 0: Wird für Priority-Tagged Frames genutzt. Diese Frames dienen nur der Priorisierung (PCP), sind keinem VLAN zugeordnet und werden ungetaggt weitergeleitet.
- VID 4095: Reserviert für interne Zwecke; darf nicht für die Zuweisung zu einem VLAN verwendet werden.
Effektiv nutzbare VLANs
- VLAN-IDs 1 bis 4094 stehen für die Praxis zur Verfügung (4094 VLANs).
Hinweis:
Die Anzahl der tatsächlich konfigurierbaren VLANs kann durch die Hardware begrenzt sein. Günstigere oder ältere Geräte unterstützen oft weniger VLANs.
Zusammenfassung und Ausblick
Zusammenfassung:
Das VLAN-Tagging nach IEEE 802.1Q ist die Grundlage dafür, mehrere logisch getrennte Netzwerke (VLANs) auf derselben physischen Infrastruktur zu betreiben. Ein VLAN-Tag ist ein 4-Byte-Feld, das direkt nach den MAC-Adressen in den Ethernet-Frame eingefügt wird. Es enthält einen festen Kennzeichner (TPID, immer 0x8100) und die Tag Control Information (TCI). Das TCI-Feld teilt sich auf in:
- PCP (Priority Code Point): 3 Bit für die Priorisierung (Quality of Service), etwa um VoIP-Traffic zu bevorzugen.
- DEI (Drop Eligible Indicator, früher CFI): 1 Bit, das angibt, ob ein Frame bei Überlast verworfen werden darf.
- VID (VLAN Identifier): 12 Bit für die eindeutige Zuordnung zu einem VLAN. IDs 1–4094 sind nutzbar, 0 und 4095 sind reserviert.
Durch diese Kennzeichnung können Switches Frames gezielt bestimmten VLANs zuordnen, auch wenn alle Geräte an denselben physischen Switch angeschlossen sind. Das Tagging ist Voraussetzung für die Isolation von Netzwerkbereichen, gezielte Priorisierung von Datenströmen und eine flexible, softwarebasierte Verwaltung von Netzwerken – ohne aufwändige Umbauten der Verkabelung.
Ein weiterer wichtiger Mechanismus im 802.1Q-Kontext sind Native VLANs. Sie definieren auf einem Trunk-Port (einem Switch-Port, der mehrere VLANs transportiert) das VLAN, dem ungetaggte Frames zugeordnet werden. Das ist besonders relevant für die Integration älterer Geräte oder einfacher Netzwerkhardware, die kein VLAN-Tagging unterstützt. Ungetaggter Traffic auf Trunk-Ports landet immer im Native VLAN – ebenso werden Frames aus dem Native VLAN typischerweise ungetaggt verschickt.
Access-Ports sind dagegen für den Endgerätezugang gedacht. Sie sind immer genau einem VLAN fest zugeordnet und transportieren sämtlichen Datenverkehr ungetaggt. Switches erkennen anhand der Port-Konfiguration, zu welchem VLAN ein empfangenes ungetaggtes Frame gehört (Port VLAN ID, PVID).
Das VLAN-Tagging hat Auswirkungen auf die maximale Frame-Größe im Netzwerk: Durch das zusätzliche 4-Byte-Feld steigt die maximale Framegröße (MTU) von 1518 auf 1522 Byte („Baby Giant Frames“). Geräte im Netzwerk müssen diese größere Framegröße unterstützen, damit keine Verbindungsprobleme entstehen.
Die Anzahl der tatsächlich nutzbaren VLANs liegt bei 4094 (IDs 1–4094). VLAN 0 dient der Priorisierung, VLAN 4095 ist reserviert. Viele günstigere oder ältere Switche unterstützen jedoch deutlich weniger VLANs.
Ausblick:
Im nächsten Abschnitt lernst du, welche verschiedenen VLAN-Typen es gibt und für welche Einsatzzwecke sie verwendet werden.