VLAN

Ein Switch, drei Netze, null zusätzliche Geräte. Ein VLAN ist der Trick, mit dem sich deine smarten Glühbirnen und dein Dateiserver ein Kabel teilen, ohne sich ein Netz zu teilen.

Kurz gesagt

Ein VLAN (Virtual LAN) teilt ein physisches Netz in getrennte logische Netze. Jedes VLAN ist eine eigene Broadcast-Domäne und ein eigenes IP-Subnetz und wird auf der Leitung durch ein Tag nach IEEE 802.1Q gekennzeichnet [1][2][5]. Geräte in verschiedenen VLANs erreichen sich nur über einen Router oder Layer-3-Switch [5]. Unsere Einschätzung: VLANs lohnen sich, sobald du Gäste und billige IoT-Geräte von deinen Servern fernhalten willst. Ein VLAN allein ist aber keine Sicherheitswand; die Firewall-Regeln zwischen den VLANs sind es.

So funktioniert’s

1. Das Tag. 802.1Q fügt zwischen Quelladresse und Typfeld eines Ethernet-Rahmens ein 4 Byte langes Tag ein, und der Switch berechnet die Prüfsumme des Rahmens neu [2]. Das Tag beginnt mit der Kennung 0x8100, es folgen 3 Bit Priorität, ein weiteres Bit und 12 Bit VLAN-ID [2][3][4]. Die IDs 0 und 4095 sind reserviert, für echte VLANs bleiben 1 bis 4094 [4]. Ein getaggter Rahmen kann bis zu 1522 Byte groß sein [2].
2. Access- und Trunk-Ports. Ein Access-Port gehört zu einem VLAN und sendet ungetaggte Rahmen an ein Gerät wie PC oder Kamera. Ein Trunk-Port führt mehrere VLANs und sendet getaggte Rahmen, typischerweise zwischen Switches oder zu einem Router [4]. Cisco weist darauf hin, dass 802.1Q das Native VLAN auf einem Trunk ungetaggt lässt und beide Enden des Trunks dasselbe Native VLAN verwenden müssen [2].
3. Getrennte Subnetze. VLANs trennen Geräte in verschiedene Broadcast-Domänen und Layer-3-Subnetze. Geräte in getrennten VLANs brauchen ein Layer-3-Gerät, um sich zu erreichen, also einen Router oder einen Switch mit Routingfunktion [5].
4. Regeln gehören an den Router. Da jeder Verkehr zwischen VLANs das Layer-3-Gerät passiert, kannst du ihn dort steuern. Meraki beschreibt Zugriffslisten (ACLs) auf einem Layer-3-Switch für den Verkehr zwischen VLANs [5]. Unsere Einschätzung: Ohne Regeln dort ist ein VLAN-Aufbau nur aufgeräumt.
5. Was die Hardware können muss. Ein Gerät, das 802.1Q nicht versteht, verwirft getaggte Rahmen [4]. Ein einfacher unmanaged Switch mitten in einem Trunk kann deshalb Probleme machen. Du brauchst Switches, die ein VLAN pro Port setzen, einen Router, der zwischen den VLANs routet, und für WLAN Access Points, die eine SSID einem VLAN zuordnen, wie im Gastnetz-Beispiel von Meraki [5].
6. VLANs auf einem Linux-Host. ip link add link DEVICE name NAME type vlan id VLANID legt eine VLAN-Schnittstelle auf einer physischen an [6]. Hypervisoren nutzen denselben Mechanismus für virtuelle Maschinen.

Ein Homelab-Beispiel

Unser Inventar (Stand 14. bis 16. Okt. 2026) führt einen UniFi-Router mit Firewall und benennt VLAN- und DHCP-Einrichtung als Lücke. Zu unseren eigenen VLANs sagen wir deshalb hier nichts. Als allgemeines Beispiel für deinen Linux-Server legst du einen Dienst auf VLAN 20:

sudo ip link add link eth0 name eth0.20 type vlan id 20
sudo ip addr add 192.168.20.5/24 dev eth0.20
sudo ip link set eth0.20 up

Der Switch-Port, an dem eth0 steckt, muss ein Trunk sein, der VLAN 20 getaggt führt [4]. Die VLAN-Nummer 20 und die Adressen sind Beispiele.

Prüfliste

• Zeichne zuerst die Gruppen auf: vertraut, Server, IoT, Gäste.
• Gib jedem VLAN ein eigenes Subnetz und eine Gateway-Adresse am Router [5].
• Prüfe, ob jeder Switch zwischen den Geräten 802.1Q unterstützt [4].
• Setze auf beiden Enden jedes Trunks dasselbe Native VLAN [2].
• Schreibe Firewall-Regeln für den Verkehr zwischen VLANs; verlass dich nicht allein auf das Tag [5].
• Teste von einem Gerät in jedem VLAN: Es soll erreichen, was du erlaubst, und sonst nichts.
• Halte VLAN-IDs und ihren Zweck in deinen Netzwerknotizen fest.