VLAN

VLANs unterteilen ein physisches Netz in logisch getrennte Segmente auf Layer 2, etwa für Gäste, Telefonie oder Produktion. Der Artikel erklärt das Tagging nach IEEE 802.1Q, typische Einsatzfälle und die Grenzen der Technik, wenn es um echte Sicherheitszonen auf Workload-Ebene geht.

In fast jedem Unternehmensnetz arbeiten Geräte mit sehr unterschiedlichen Schutzanforderungen auf derselben physischen Infrastruktur: Arbeitsplätze, Telefone, Drucker, Kameras, Maschinensteuerungen. Virtuelle LANs, kurz VLANs, bringen Ordnung in dieses Nebeneinander. Sie unterteilen ein physisches Netz in logisch getrennte Segmente, ohne dass dafür separate Switches oder eigene Verkabelung nötig wären. VLANs gehören damit zum Grundwerkzeug jedes Netzwerkdesigns und sind in praktisch jeder Umgebung im Einsatz. Zugleich werden sie regelmäßig überschätzt, wenn es um Sicherheit geht. Dieser Artikel erklärt beides: was VLANs leisten und an welcher Stelle modernere Konzepte übernehmen müssen.

Was ist ein VLAN?

Ein VLAN (Virtual Local Area Network) ist ein logisches Teilnetz auf Layer 2, der Sicherungsschicht des Netzwerkmodells. Geräte im selben VLAN kommunizieren miteinander, als hingen sie an einem eigenen, exklusiven Switch. Geräte in unterschiedlichen VLANs erreichen sich dagegen erst über eine Routing-Instanz, typischerweise einen Layer-3-Switch oder eine Firewall. So entsteht Struktur: Jedes VLAN bildet eine eigene Broadcast-Domäne und erhält üblicherweise ein eigenes IP-Subnetz. Der maßgebliche Standard ist IEEE 802.1Q. Er definiert, wie Ethernet-Frames eine VLAN-Kennung erhalten, damit mehrere logische Netze dieselbe physische Leitung teilen können. Die Kennung ist zwölf Bit lang, damit lassen sich 4094 nutzbare VLANs unterscheiden. Eingeführt wurde das Verfahren, um wachsende Netze beherrschbar zu halten, heute gehört es zur Grundausstattung jeder Switch-Infrastruktur.

So funktioniert es

Tagging nach IEEE 802.1Q: Der Switch ergänzt jeden Ethernet-Frame um ein Tag mit der VLAN-ID. Anhand dieser Kennung halten alle beteiligten Switches die logischen Netze auseinander.
Access-Ports für Endgeräte: Ein Access-Port gehört zu genau einem VLAN. Das angeschlossene Endgerät bekommt vom Tagging nichts mit, die Zuordnung übernimmt der Switch.
Trunk-Ports zwischen Switches: Über einen Trunk laufen mehrere VLANs gleichzeitig, jeder Frame trägt dort sein Tag. So erstreckt sich ein VLAN über beliebig viele Switches, Etagen und Gebäude.
Getrennte Broadcast-Domänen: Broadcasts bleiben im eigenen VLAN. Das entlastet das Gesamtnetz und verhindert, dass Störungen eines Segments alle anderen erfassen.
Routing zwischen VLANs: Übergänge zwischen den Segmenten laufen über Layer 3. An dieser Stelle greifen Firewall-Regeln, die den Verkehr zwischen den Zonen kontrollieren.

Warum VLANs wichtig sind

Sie schaffen nachvollziehbare Struktur, weil sich Geräteklassen und Abteilungen sauber getrennten Segmenten zuordnen lassen.
Sie begrenzen Broadcast-Verkehr und verbessern damit die Stabilität größerer Netze.
Sie bilden die Grundlage für Priorisierung, etwa damit Sprachverkehr im Telefonie-VLAN bevorzugt behandelt wird.
Sie trennen unkritische von sensiblen Bereichen, zum Beispiel Gastzugänge vom internen Firmennetz.
Sie sind in praktisch jedem Switch enthalten und verursachen keine zusätzlichen Lizenzkosten.
Sie erleichtern Änderungen im Betrieb, weil die Zuordnung eines Ports per Konfiguration statt per Umverkabelung erfolgt.

Typische Szenarien

Das Gäste-WLAN landet in einem eigenen VLAN und erreicht ausschließlich das Internet, niemals interne Systeme.
IP-Telefone erhalten ein Sprach-VLAN mit Priorisierung, damit Telefonate auch bei hoher Netzlast stabil bleiben.
Produktionsanlagen und Gebäudetechnik werden vom Office-Netz getrennt, damit Wartungszugriffe kontrolliert über definierte Übergänge laufen.
Kameras und andere IoT-Geräte, die selten Sicherheitsupdates erhalten, kommen in ein abgeschottetes Segment mit engen Regeln.
In Gebäuden mit mehreren Mietparteien teilen sich die Nutzer die Infrastruktur, bleiben aber logisch voneinander getrennt.
Beim Aufbau neuer Abteilungen oder bei Umbauten entstehen zusätzliche Segmente per Konfiguration, ohne dass neue Hardware beschafft werden muss.

VLAN vs. Mikrosegmentierung

Ein VLAN strukturiert das Netz, es sichert aber keine einzelnen Workloads. Innerhalb eines VLANs kommunizieren alle Geräte ungehindert miteinander. Kompromittiert ein Angreifer ein System, kann er sich im selben Segment frei bewegen, die VLAN-Grenze registriert davon nichts. Auch zwischen VLANs bleiben die Regeln grob, weil Firewalls dort ganze Subnetze statt einzelner Anwendungen betrachten. Mikrosegmentierung setzt deshalb eine Ebene tiefer an: Richtlinien gelten pro Workload oder Anwendung und folgen dem System unabhängig davon, in welchem Segment es steht. Laterale Bewegung wird damit auch innerhalb eines Segments unterbunden, dem zentralen Muster moderner Angriffe. VLANs bleiben trotzdem sinnvoll, als Grundstruktur, auf der feinere Kontrollen aufsetzen. Wie dieser Ansatz in der Praxis aussieht, beschreibt unsere Leistungsseite Zero Trust Mikrosegmentierung .

VLANs bei KAEMI

KAEMI plant und betreibt Unternehmensnetze, in denen Segmentierung von Anfang an Teil des Designs ist. Mit SD-LAN heben wir klassische VLAN-Konzepte auf ein softwaregesteuertes Fundament: Segmente und Portzuordnungen werden zentral definiert und automatisch auf alle Switches ausgerollt. Das reduziert Handarbeit an einzelnen Geräten und sorgt für konsistente Konfigurationen an allen Standorten, vom Campus bis zur kleinen Niederlassung. Wo der Schutzbedarf über die Segmentstruktur hinausgeht, kombinieren wir das LAN-Design mit Mikrosegmentierung auf Workload-Ebene. So entsteht ein Netz, das im Alltag beherrschbar bleibt und Angreifern trotzdem wenig Raum lässt. Ergänzend übernehmen wir Betrieb und Überwachung der Umgebung, damit Änderungen dokumentiert bleiben und die Segmentierung dauerhaft der Realität im Netz entspricht.

Häufige Fragen zu VLAN

Wie viele VLANs sind möglich?

Der Standard IEEE 802.1Q reserviert für die VLAN-ID zwölf Bit im Ethernet-Frame. Damit stehen 4094 nutzbare Kennungen zur Verfügung, zwei Werte sind reserviert. Für die meisten Unternehmensnetze ist das mehr als ausreichend. In sehr großen Umgebungen wie Rechenzentren kommen zusätzliche Verfahren wie VXLAN zum Einsatz, die den Adressraum deutlich erweitern.

Ist ein VLAN eine Sicherheitsgrenze?

Nur eingeschränkt. VLANs trennen Verkehr auf Netzebene und verhindern direkte Kommunikation zwischen Segmenten, sofern kein Routing dazwischen erlaubt ist. Innerhalb eines VLANs gibt es jedoch keine Kontrolle, und Fehlkonfigurationen können Grenzen aushebeln. Für belastbare Sicherheit braucht es zusätzliche Kontrollen wie Firewalls zwischen den Zonen und Mikrosegmentierung auf Workload-Ebene.

Was unterscheidet Access- und Trunk-Ports?

Ein Access-Port gehört zu genau einem VLAN und verbindet Endgeräte wie Rechner oder Drucker, die vom Tagging nichts mitbekommen. Ein Trunk-Port transportiert mehrere VLANs gleichzeitig, jeder Frame trägt dazu sein 802.1Q-Tag. Trunks verbinden Switches untereinander oder mit Routern und Firewalls, damit sich VLANs über die gesamte Infrastruktur erstrecken.

Was ist der Unterschied zwischen VLAN und Subnetz?

Ein VLAN trennt Netze auf Layer 2, ein Subnetz gliedert den IP-Adressraum auf Layer 3. In der Praxis gehören beide zusammen: Jedes VLAN erhält üblicherweise ein eigenes Subnetz, damit der Übergang zwischen Segmenten über eine Routing-Instanz läuft und dort kontrolliert werden kann. Das VLAN ist die Leitungsebene, das Subnetz die Adressebene derselben Zone.

Wann reicht ein VLAN nicht mehr aus?

Sobald es um den Schutz einzelner Anwendungen und Server geht. VLANs bilden grobe Zonen, innerhalb derer sich Angreifer nach einer Kompromittierung frei bewegen können. Mikrosegmentierung setzt Richtlinien pro Workload durch und unterbindet laterale Bewegung auch im selben Segment. Sinnvoll ist die Kombination: VLANs für die Grundstruktur, Mikrosegmentierung für kritische Systeme.