# 5.4 VLANs und Broadcast-Domänen VLANs gehören zu OSI-Schicht 2. VLAN steht für: Virtual Local Area Network Auf Deutsch sinngemäß: virtuelles lokales Netzwerk Mit VLANs kann man ein physisches Switch-Netz in mehrere logisch getrennte Netzbereiche aufteilen. Merksatz: VLAN = logische Netztrennung auf Schicht 2. --- **Grundidee eines VLANs** Ohne VLAN befinden sich viele Geräte im gleichen lokalen Netzwerkbereich. Das bedeutet: Sie befinden sich in derselben Broadcast-Domäne. Mit VLANs kann ein Switch mehrere getrennte logische Netze bereitstellen. Beispiel: ein Switch aber mehrere getrennte Netze Typische VLANs: - Mitarbeiter - Gäste - Server - VoIP - Drucker - Management - IoT Merksatz: Ein physischer Switch kann mehrere logische Netze enthalten. --- **Warum nutzt man VLANs?** VLANs helfen dabei, Netzwerke sauber zu strukturieren. Vorteile: - logische Trennung von Geräten - bessere Übersicht - weniger Broadcast-Verkehr pro Netz - mehr Sicherheit - einfachere Verwaltung - Trennung von Abteilungen oder Gerätetypen - bessere Netzplanung - Grundlage für Firewall-Regeln Beispiel: Gäste sollen ins Internet, aber nicht auf interne Server. Dafür kann man ein eigenes Gast-VLAN verwenden. Merksatz: VLANs trennen Geräte logisch, auch wenn sie am gleichen Switch hängen. --- **VLAN und physische Verkabelung** Ohne VLAN müsste man für getrennte Netze oft getrennte Switches verwenden. Beispiel ohne VLAN: Switch 1 für Mitarbeiter Switch 2 für Gäste Switch 3 für Server Mit VLANs kann ein einzelner Switch mehrere logische Netze bereitstellen. Beispiel mit VLAN: VLAN 10 = Mitarbeiter VLAN 20 = Gäste VLAN 30 = Server Alle VLANs können auf demselben physischen Switch existieren. Merksatz: VLANs sparen physische Trennung durch logische Trennung. --- **Begriff: Broadcast** Ein Broadcast ist eine Nachricht an alle Geräte im lokalen Netzwerkbereich. Die Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Broadcasts werden zum Beispiel verwendet bei: - ARP-Anfragen - DHCP-Anfragen - bestimmten lokalen Suchdiensten Merksatz: Broadcast = Nachricht an alle Geräte im lokalen Netz. --- **Begriff: Broadcast-Domäne** Eine Broadcast-Domäne ist ein Bereich, in dem Broadcasts verteilt werden. Alle Geräte innerhalb derselben Broadcast-Domäne erhalten Broadcasts. Ein VLAN bildet normalerweise eine eigene Broadcast-Domäne. Beispiel: VLAN 10 = eigene Broadcast-Domäne VLAN 20 = eigene Broadcast-Domäne VLAN 30 = eigene Broadcast-Domäne Broadcasts aus VLAN 10 werden nicht automatisch an VLAN 20 weitergegeben. Merksatz: Ein VLAN = eine Broadcast-Domäne. --- **Warum Broadcast-Domänen begrenzen?** Zu viele Broadcasts können ein Netzwerk belasten. Broadcasts werden an alle Geräte im gleichen lokalen Netz gesendet. Wenn sehr viele Geräte in einer Broadcast-Domäne sind, kann unnötiger Datenverkehr entstehen. VLANs helfen dabei, Broadcast-Verkehr zu begrenzen. Beispiel: ARP-Broadcast aus dem Gäste-Netz erreicht nicht automatisch das Server-Netz. Merksatz: VLANs begrenzen Broadcasts auf einen logischen Bereich. --- **VLAN-ID** Ein VLAN wird durch eine Nummer gekennzeichnet. Diese Nummer heißt: VLAN-ID Beispiele: | VLAN-ID | Zweck | |---:|---| | 10 | Mitarbeiter | | 20 | Gäste | | 30 | Server | | 40 | VoIP | | 99 | Management | Die VLAN-ID dient zur eindeutigen Zuordnung eines Frames zu einem VLAN. Merksatz: VLAN-ID = Nummer eines VLANs. --- **VLAN und Name** Neben der VLAN-ID kann ein VLAN auch einen Namen haben. Beispiel: | VLAN-ID | VLAN-Name | |---:|---| | 10 | Mitarbeiter | | 20 | Gast | | 30 | Server | | 40 | VoIP | | 99 | Management | Der Name dient der Übersicht. Technisch entscheidend ist aber die VLAN-ID. Merksatz: VLAN-Name hilft Menschen. VLAN-ID ist technisch entscheidend. --- **VLAN und IP-Subnetz** Ein VLAN ist nicht dasselbe wie ein IP-Subnetz. VLAN gehört zu: OSI-Schicht 2 IP-Subnetz gehört zu: OSI-Schicht 3 In der Praxis wird aber häufig jedem VLAN ein eigenes IP-Subnetz zugeordnet. Beispiel: | VLAN | Zweck | IP-Subnetz | |---:|---|---| | VLAN 10 | Mitarbeiter | 192.168.10.0/24 | | VLAN 20 | Gäste | 192.168.20.0/24 | | VLAN 30 | Server | 192.168.30.0/24 | Merksatz: VLAN = Schicht 2. IP-Subnetz = Schicht 3. --- **Warum VLAN und Subnetz oft zusammengehören** Wenn zwei VLANs getrennte Broadcast-Domänen sind, können Geräte darin nicht einfach direkt auf Schicht 2 miteinander kommunizieren. Damit Kommunikation zwischen VLANs möglich ist, braucht man Routing. Routing arbeitet auf Schicht 3. Deshalb plant man meistens: ein VLAN = ein eigenes IP-Subnetz Beispiel: VLAN 10 → 192.168.10.0/24 VLAN 20 → 192.168.20.0/24 Merksatz: Pro VLAN häufig ein eigenes IP-Subnetz. --- **Access-Port** Ein Access-Port ist ein Switch-Port, der normalerweise zu genau einem VLAN gehört. Typischer Einsatz: - PC - Drucker - IP-Kamera - einzelnes Endgerät - einfacher Access Point - VoIP-Telefon mit bestimmter Konfiguration Beispiel: Port 1 ist Access-Port in VLAN 10. Ein Gerät an Port 1 gehört dann logisch zu VLAN 10. Merksatz: Access-Port = ein VLAN für ein Endgerät. --- **Access-Port-Beispiel** Beispiel-Switch: | Port | Modus | VLAN | Gerät | |---:|---|---:|---| | 1 | Access | 10 | Mitarbeiter-PC | | 2 | Access | 10 | Mitarbeiter-PC | | 3 | Access | 20 | Gäste-PC | | 4 | Access | 30 | Server | Wichtig: Geräte an Access-Ports müssen normalerweise nichts von VLANs wissen. Der Switch ordnet den Port intern dem VLAN zu. Merksatz: Beim Access-Port übernimmt der Switch die VLAN-Zuordnung. --- **Trunk-Port** Ein Trunk-Port kann mehrere VLANs über eine einzige Verbindung transportieren. Typischer Einsatz: - Switch zu Switch - Switch zu Router - Switch zu Firewall - Switch zu Access Point mit mehreren SSIDs - Switch zu Virtualisierungshost Beispiel: VLAN 10 VLAN 20 VLAN 30 laufen gemeinsam über einen Trunk-Port. Merksatz: Trunk-Port = mehrere VLANs über eine Verbindung. --- **Warum braucht man Trunk-Ports?** Trunk-Ports werden benötigt, wenn mehrere VLANs über eine gemeinsame Verbindung transportiert werden sollen. Beispiel: Switch A hat VLAN 10, 20 und 30. Switch B soll diese VLANs ebenfalls nutzen. Dann braucht die Verbindung zwischen beiden Switches einen Trunk. Ohne Trunk müsste man für jedes VLAN eine eigene physische Verbindung verwenden. Merksatz: Trunk spart Kabel, indem mehrere VLANs über eine Verbindung laufen. --- **VLAN-Tagging** Damit ein Trunk mehrere VLANs unterscheiden kann, müssen Frames markiert werden. Diese Markierung nennt man: VLAN-Tag Der VLAN-Tag enthält die VLAN-ID. Dadurch weiß die Gegenstelle: Dieser Frame gehört zu VLAN 10. Dieser Frame gehört zu VLAN 20. Dieser Frame gehört zu VLAN 30. Merksatz: VLAN-Tag = Markierung eines Frames mit der VLAN-ID. --- **IEEE 802.1Q** IEEE 802.1Q ist der Standard für VLAN-Tagging bei Ethernet. 802.1Q fügt einem Ethernet-Frame eine VLAN-Information hinzu. Diese Information enthält unter anderem: - VLAN-ID - Prioritätsinformationen Für AP1/AP2 ist besonders wichtig: 802.1Q = VLAN-Tagging bei Ethernet Merksatz: IEEE 802.1Q = VLAN-Tagging-Standard. --- **Tagged und Untagged** Bei VLANs unterscheidet man häufig: tagged untagged Tagged bedeutet: Der Ethernet-Frame enthält einen VLAN-Tag. Untagged bedeutet: Der Ethernet-Frame enthält keinen VLAN-Tag. Typisch: Access-Port: meist untagged zum Endgerät Trunk-Port: mehrere VLANs tagged Merksatz: tagged = mit VLAN-Markierung. untagged = ohne VLAN-Markierung. --- **Access-Port und untagged Frames** Ein normales Endgerät an einem Access-Port sendet meist untagged Frames. Das bedeutet: Der PC sendet normale Ethernet-Frames ohne VLAN-Tag. Der Switch weiß aber: Dieser Port gehört zu VLAN 10. Also ordnet der Switch die Frames intern VLAN 10 zu. Merksatz: Access-Port: Endgerät sendet meist untagged, Switch ordnet VLAN zu. --- **Trunk-Port und tagged Frames** Auf einem Trunk-Port laufen mehrere VLANs. Damit die Gegenstelle die VLANs unterscheiden kann, werden Frames meistens tagged übertragen. Beispiel: Frame mit Tag VLAN 10 Frame mit Tag VLAN 20 Frame mit Tag VLAN 30 Die Gegenstelle liest den VLAN-Tag und ordnet den Frame dem richtigen VLAN zu. Merksatz: Trunk-Port: mehrere VLANs werden durch Tags unterschieden. --- **Native VLAN** Bei manchen Switch-Konzepten gibt es auf Trunk-Ports ein sogenanntes Native VLAN. Das Native VLAN ist das VLAN, dessen Frames auf einem Trunk untagged übertragen werden können. Wichtig: Falsch konfigurierte Native VLANs können Sicherheits- oder Verbindungsprobleme verursachen. Für die Prüfung reicht meistens: Native VLAN = untagged VLAN auf einem Trunk Merksatz: Native VLAN auf beiden Seiten eines Trunks korrekt konfigurieren. --- **Allowed VLANs** Auf einem Trunk kann festgelegt werden, welche VLANs erlaubt sind. Beispiel: erlaubt: VLAN 10 VLAN 20 VLAN 30 nicht erlaubt: VLAN 40 Wenn ein VLAN auf dem Trunk nicht erlaubt ist, wird es darüber nicht transportiert. Merksatz: Allowed VLANs bestimmen, welche VLANs über einen Trunk laufen dürfen. --- **VLANs und WLAN** Access Points können mehrere WLAN-Namen bereitstellen. Diese WLAN-Namen heißen: SSIDs Jede SSID kann einem eigenen VLAN zugeordnet werden. Beispiel: | SSID | VLAN | Zweck | |---|---:|---| | Firma-Mitarbeiter | VLAN 10 | internes Netzwerk | | Firma-Gast | VLAN 20 | Gastzugang | | Firma-IoT | VLAN 30 | Geräte-Netz | Der Switch-Port zum Access Point ist dann oft ein Trunk-Port. Merksatz: Mehrere SSIDs nutzen häufig VLANs über einen Trunk. --- **VLANs und VoIP** VoIP steht für: Voice over IP In Unternehmen gibt es häufig ein eigenes VLAN für Telefone. Beispiel: VLAN 10 = PCs VLAN 40 = VoIP-Telefone Warum? - Sprachverkehr kann getrennt behandelt werden - Priorisierung ist einfacher - Sicherheit und Übersicht werden besser - eigene DHCP-Optionen können genutzt werden Merksatz: VoIP wird oft in einem eigenen VLAN betrieben. --- **Management-VLAN** Ein Management-VLAN wird zur Verwaltung von Netzwerkgeräten verwendet. Darin befinden sich zum Beispiel: - Switch-Management - Access-Point-Management - Controller - Monitoring-Systeme - Administrationszugänge Ziel: Management-Zugriffe sollen vom normalen Benutzerverkehr getrennt werden. Merksatz: Management-VLAN = separates Netz für Verwaltung. --- **Gast-VLAN** Ein Gast-VLAN ist ein separates Netz für Besucher oder private Geräte. Ziel: Gäste sollen Internetzugang haben, aber keinen Zugriff auf interne Systeme. Typische Regeln: Gast-VLAN → Internet erlaubt Gast-VLAN → interne Server blockiert Gast-VLAN → andere Gäste eventuell blockiert Merksatz: Gast-VLAN vom internen Netzwerk trennen. --- **IoT-VLAN** IoT steht für: Internet of Things In einem IoT-VLAN können Geräte gesammelt werden wie: - Kameras - Sensoren - Smart-TVs - Drucker - Steuergeräte - andere eingebettete Geräte Warum? IoT-Geräte sind oft schlechter wartbar oder unsicherer als normale Clients. Ein eigenes VLAN erleichtert Kontrolle und Firewall-Regeln. Merksatz: IoT-Geräte sinnvoll vom normalen Client-Netz trennen. --- **Inter-VLAN-Routing** Geräte in unterschiedlichen VLANs können nicht direkt nur über Schicht 2 miteinander kommunizieren. Wenn VLAN 10 mit VLAN 20 kommunizieren soll, braucht man Routing. Das nennt man: Inter-VLAN-Routing Dafür nutzt man zum Beispiel: - Router - Layer-3-Switch - Firewall Merksatz: Kommunikation zwischen VLANs braucht Schicht-3-Routing. --- **Router-on-a-Stick** Router-on-a-Stick ist eine Methode für Inter-VLAN-Routing. Dabei verbindet ein einzelner physischer Router-Port mehrere VLANs über einen Trunk. Der Router besitzt dafür logische Unterinterfaces. Beispiel: Router-Port mit VLAN 10 VLAN 20 VLAN 30 über eine Trunk-Verbindung zum Switch. Merksatz: Router-on-a-Stick = Inter-VLAN-Routing über einen Trunk zum Router. --- **Layer-3-Switch** Ein Layer-3-Switch kann Switching und Routing kombinieren. Er kann: - auf Schicht 2 Frames switchen - auf Schicht 3 zwischen VLANs routen In größeren Netzwerken ist Inter-VLAN-Routing häufig auf einem Layer-3-Switch umgesetzt. Merksatz: Layer-3-Switch = Switch mit Routing-Funktion. --- **Firewall zwischen VLANs** In vielen Netzwerken wird die Kommunikation zwischen VLANs über eine Firewall geregelt. Beispiel: Mitarbeiter-VLAN darf auf Server-VLAN zugreifen. Gast-VLAN darf nur ins Internet. IoT-VLAN darf nur bestimmte Dienste erreichen. Vorteil: Zugriffe können kontrolliert und protokolliert werden. Merksatz: VLAN-Trennung wird durch Firewall-Regeln wirksam abgesichert. --- **VLANs und Sicherheit** VLANs erhöhen die Sicherheit, weil sie Netzbereiche logisch trennen. Aber: VLANs allein sind keine vollständige Sicherheitslösung. Zusätzlich braucht man je nach Umgebung: - Firewall-Regeln - Zugriffskontrolle - sichere Switch-Konfiguration - 802.1X - Port Security - Monitoring - saubere Dokumentation Merksatz: VLAN trennt logisch, Firewall regelt den Zugriff. --- **VLANs und DHCP** DHCP stellt IP-Adressen automatisch bereit. Da VLANs meist eigene IP-Subnetze haben, benötigt jedes VLAN eine passende DHCP-Konfiguration. Beispiel: | VLAN | Subnetz | DHCP-Bereich | |---:|---|---| | 10 | 192.168.10.0/24 | 192.168.10.100–192.168.10.200 | | 20 | 192.168.20.0/24 | 192.168.20.100–192.168.20.200 | | 30 | 192.168.30.0/24 | 192.168.30.100–192.168.30.200 | Wenn ein Client im falschen VLAN ist, bekommt er eventuell eine falsche oder keine IP-Adresse. Merksatz: VLAN und DHCP-Bereich müssen zusammenpassen. --- **DHCP-Relay** Ein DHCP-Server steht nicht immer direkt in jedem VLAN. Wenn Clients in mehreren VLANs IP-Adressen erhalten sollen, kann ein DHCP-Relay eingesetzt werden. Aufgabe: DHCP-Anfragen aus einem VLAN an einen zentralen DHCP-Server weiterleiten. DHCP-Relay arbeitet im Zusammenspiel mit Schicht 3. Merksatz: DHCP-Relay hilft, DHCP über VLAN-Grenzen hinweg zu nutzen. --- **VLANs und Fehlersuche** Typische VLAN-Fehler: - Port im falschen VLAN - Access-Port statt Trunk - Trunk statt Access-Port - VLAN auf Trunk nicht erlaubt - falsches Native VLAN - VLAN auf Switch nicht angelegt - falsche SSID-VLAN-Zuordnung - falscher DHCP-Bereich - fehlendes Inter-VLAN-Routing - Firewall blockiert Kommunikation Merksatz: VLAN-Fehler wirken oft wie IP- oder DHCP-Probleme. --- **Fehlerbild: Client bekommt falsche IP-Adresse** Mögliche Ursache: Der Switch-Port ist im falschen VLAN. Beispiel: Client soll in VLAN 10 sein. Port ist aber in VLAN 20. Folge: Client erhält eine IP-Adresse aus dem falschen Subnetz oder erreicht nicht die erwarteten Dienste. Merksatz: Falsches VLAN kann falsche IP-Adresse verursachen. --- **Fehlerbild: Access Point mit mehreren SSIDs funktioniert nicht richtig** Mögliche Ursachen: - Switch-Port ist kein Trunk - VLANs sind auf dem Trunk nicht erlaubt - SSID ist falschem VLAN zugeordnet - Native VLAN falsch - DHCP fehlt für ein VLAN - Firewall blockiert Gastnetz - Access Point unterstützt Konfiguration nicht Merksatz: Mehrere SSIDs brauchen meist korrektes VLAN-Tagging. --- **Fehlerbild: Zwei VLANs erreichen sich nicht** Mögliche Ursachen: - kein Inter-VLAN-Routing - falsches Gateway - Firewall blockiert - falsche Subnetzmaske - VLAN nicht korrekt angelegt - Trunk transportiert VLAN nicht - Routing-Schnittstelle fehlt Wichtig: Wenn zwei VLANs kommunizieren sollen, braucht man eine Schicht-3-Komponente. Merksatz: VLAN zu VLAN braucht Routing. --- **Einordnung in das OSI-Modell** | Thema | Schicht | |---|---:| | VLAN | Schicht 2 | | VLAN-Tag | Schicht 2 | | Access-Port | Schicht 2 | | Trunk-Port | Schicht 2 | | MAC-Adresse | Schicht 2 | | Broadcast-Domäne | Schicht 2 | | IP-Subnetz | Schicht 3 | | Inter-VLAN-Routing | Schicht 3 | | DHCP | Anwendungsschicht mit Netzwerkbezug | | Firewall-Regeln nach IP/Port | Schicht 3 / 4 | Merksatz: VLAN ist Schicht 2. Routing zwischen VLANs ist Schicht 3. --- **VLAN und Subnetz nicht verwechseln** | Begriff | Schicht | Aufgabe | |---|---:|---| | VLAN | 2 | logische Trennung im LAN | | Subnetz | 3 | logischer IP-Adressbereich | | Router / Layer-3-Switch | 3 | Verbindung zwischen Netzen | | Firewall | 3 / 4 / 7 | Zugriff kontrollieren | Wichtig: In der Praxis werden VLAN und Subnetz oft gemeinsam geplant, bleiben aber unterschiedliche Konzepte. Merksatz: VLAN trennt Frames. Subnetz trennt IP-Bereiche. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein VLAN? - Auf welcher OSI-Schicht arbeitet ein VLAN? - Was ist eine Broadcast-Domäne? - Warum nutzt man VLANs? - Was ist eine VLAN-ID? - Was ist der Unterschied zwischen Access-Port und Trunk-Port? - Was bedeutet VLAN-Tagging? - Was ist IEEE 802.1Q? - Was bedeutet tagged und untagged? - Warum braucht man Inter-VLAN-Routing? - Was ist Router-on-a-Stick? - Warum ist ein VLAN nicht dasselbe wie ein IP-Subnetz? - Warum kann ein falsches VLAN zu DHCP-Problemen führen? - Warum reichen VLANs allein nicht als vollständige Sicherheitslösung? --- **Typische Prüfungsfallen** VLANs gehören zu Schicht 2. IP-Subnetze gehören zu Schicht 3. VLAN und Subnetz sind nicht dasselbe. Ein VLAN bildet normalerweise eine Broadcast-Domäne. Access-Port = normalerweise ein VLAN. Trunk-Port = mehrere VLANs. Tagged = mit VLAN-Tag. Untagged = ohne VLAN-Tag. IEEE 802.1Q = VLAN-Tagging. Kommunikation zwischen VLANs braucht Routing. VLANs allein ersetzen keine Firewall-Regeln. Falsches VLAN kann wie ein IP- oder DHCP-Problem aussehen. Mehrere SSIDs auf einem Access Point nutzen häufig VLANs. Native VLAN muss auf Trunk-Verbindungen korrekt passen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | VLAN | Virtual Local Area Network, logisches LAN | | VLAN-ID | Nummer eines VLANs | | VLAN-Name | lesbarer Name eines VLANs | | Broadcast | Nachricht an alle im lokalen Netz | | Broadcast-Domäne | Bereich, in dem Broadcasts verteilt werden | | Access-Port | Switch-Port für ein einzelnes VLAN | | Trunk-Port | Switch-Port für mehrere VLANs | | VLAN-Tag | Markierung eines Frames mit VLAN-ID | | IEEE 802.1Q | Standard für VLAN-Tagging | | tagged | Frame mit VLAN-Tag | | untagged | Frame ohne VLAN-Tag | | Native VLAN | untagged VLAN auf einem Trunk | | Allowed VLANs | VLANs, die über einen Trunk erlaubt sind | | Inter-VLAN-Routing | Routing zwischen VLANs | | Router-on-a-Stick | Inter-VLAN-Routing über Router-Trunk | | Layer-3-Switch | Switch mit Routing-Funktion | | Management-VLAN | VLAN zur Verwaltung von Netzwerkgeräten | | Gast-VLAN | separates VLAN für Gäste | | IoT-VLAN | separates VLAN für IoT-Geräte | | DHCP-Relay | Weiterleitung von DHCP-Anfragen zu zentralem DHCP-Server | --- **IHK-sichere Kurzformulierung** Ein VLAN ist ein virtuelles lokales Netzwerk auf OSI-Schicht 2. Mit VLANs können Geräte logisch getrennt werden, auch wenn sie an derselben physischen Switch-Infrastruktur angeschlossen sind. Ein VLAN bildet normalerweise eine eigene Broadcast-Domäne. Access-Ports gehören meist zu genau einem VLAN und werden für Endgeräte verwendet. Trunk-Ports können mehrere VLANs transportieren und nutzen dafür VLAN-Tagging nach IEEE 802.1Q. VLANs sind nicht dasselbe wie IP-Subnetze, werden in der Praxis aber häufig gemeinsam geplant. Kommunikation zwischen VLANs benötigt Routing, zum Beispiel über einen Router, eine Firewall oder einen Layer-3-Switch. --- **Merksätze** VLAN = Virtual Local Area Network. VLAN = logische Netztrennung auf Schicht 2. Ein VLAN bildet eine Broadcast-Domäne. VLAN-ID = Nummer des VLANs. VLAN-Name = lesbare Bezeichnung. VLAN ist nicht IP-Subnetz. VLAN = Schicht 2. IP-Subnetz = Schicht 3. Pro VLAN häufig ein eigenes Subnetz. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. Tagged = mit VLAN-Tag. Untagged = ohne VLAN-Tag. IEEE 802.1Q = VLAN-Tagging. Native VLAN = untagged VLAN auf einem Trunk. Allowed VLANs bestimmen, welche VLANs über einen Trunk laufen. Mehrere SSIDs nutzen häufig VLANs. Gast-VLAN vom internen Netz trennen. IoT-VLAN für unsichere Geräte sinnvoll. VLAN zu VLAN braucht Routing. Router-on-a-Stick = Inter-VLAN-Routing über Trunk. Layer-3-Switch kann zwischen VLANs routen. VLAN trennt logisch, Firewall regelt den Zugriff. Falsches VLAN kann DHCP- und IP-Probleme verursachen.