1. Grundlagen
- Aufgabe: Geräte im LAN verbinden, Frames gezielt anhand der Ziel-MAC an den richtigen Port weiterleiten
- Hub vs. Switch: Hub (Layer 1) gibt alles an alle Ports weiter, Switch lernt MACs und leitet gezielt weiter
- Ebene: Layer 2 (Data Link)
- Wichtig für LANs: weniger unnötiger Traffic, mehr Performance, Full Duplex, skalierbar
- MAC + Port: Switch lernt die Quell-MAC am Eingangsport, schlägt die Ziel-MAC nach, unbekannt oder Broadcast > Flooding
- MAC-Adresse: 48 Bit, eindeutige Hardware-Adresse der Netzwerkkarte
- Port: Anschluss am Switch
- Frame: Datenpaket auf Layer 2
- Forwarding: Weiterleitung an den Zielport
- MAC-Address-Table: Zuordnung MAC > Port, Einträge altern ab
WichtigEin Switch führt nicht nur Kabel zusammen, er leitet gezielt anhand gelernter Informationen weiter.
2. VLANs: Grundidee
- VLAN = Virtual LAN, logisches Netz auf gemeinsamer physischer Hardware (IEEE 802.1Q, ID 1-4094)
- 1 VLAN = 1 Broadcast-Domain (meist 1 IP-Subnetz)
- Logische Trennung: gleiche Switches, aber Frames bleiben im eigenen VLAN
- Alles in einem L2-Bereich: viel Broadcast, keine Trennung, Fehler betreffen alle, unübersichtlich
- Struktur: Bereiche sauber getrennt
- Sicherheit: Geräte nicht im selben Netz
- Verwaltung: Umzug per Konfiguration statt Umverkabeln
ZielEin physisch gemeinsames Netz wird logisch in getrennte Bereiche aufgeteilt.
3. Access Port und Trunk Port
- Access Port: gehört zu genau 1 VLAN, Frames untagged, für Endgeräte (PC, Drucker, Server)
- Trunk Port: transportiert mehrere VLANs, Frames tagged, zwischen Switches oder zu Router/Firewall
- Trunk zwischen Switches nötig, damit ein VLAN über mehrere Switches durchgängig funktioniert
- Mehrere VLANs gleichzeitig möglich, weil der 802.1Q-Tag (4 Byte) die VLAN-ID mitgibt
- Untagged: ohne Tag, VLAN ergibt sich aus dem Port. Tagged: VLAN-ID im Frame
- Native VLAN: das eine untagged VLAN am Trunk, muss auf beiden Seiten passen
WichtigVLAN muss auf beiden Switches existieren und im Trunk erlaubt sein, sonst kommt es nicht durch.
4. VLANs in der Praxis
- Strukturierung: Netz in Bereiche gegliedert, Subnetze planbar
- Benutzer: getrennt von Servern und Verwaltung
- Server: strengere Zugriffsregeln
- Verwaltung: Zugriff auf Management nur für Admins
- Gäste: nur Internet, kein Zugriff aufs interne Netz
- VoIP: eigenes VLAN, Priorisierung (QoS) möglich
- Broadcast bleibt im eigenen VLAN, dadurch kleinere Broadcast-Domains
- Keine vollständige Sicherheit: trennt nur Layer 2, Regeln erst durch Firewall/ACL, Fehlkonfiguration möglich. Trotzdem ein wichtiger Baustein
ZielVLANs sind ein Struktur- und Planungsthema, nicht nur Konfiguration.
5. Kommunikation zwischen VLANs
- Direkt nicht möglich: eigene Broadcast-Domain und eigenes Subnetz
- Nötig: Layer-3-Instanz (Router, L3-Switch mit SVI, Router-on-a-Stick, Firewall)
- Jedes VLAN braucht ein Gateway, Endgeräte nutzen es als Standardgateway
- Am Übergang lassen sich Regeln setzen (ACL/Firewall)
WichtigVLANs trennen Layer-2-Bereiche, Kommunikation dazwischen funktioniert nicht automatisch.
6. STP: Grundidee
- Redundante Wege sind sinnvoll, erzeugen aber Schleifen
- Layer-2-Loop: Frames kreisen im Kreis, Ethernet hat kein TTL, sie laufen nie von selbst aus
- Besonders problematisch: Broadcasts und unbekannte Ziele werden immer weiter geflutet
- Broadcast Storm: Frames vervielfachen sich, Links und CPU laufen voll, Netz steht
- MAC-Table Instability: dieselbe MAC wechselt ständig zwischen Ports
- Ohne Schutzmechanismus wird aus Redundanz ein Ausfall
ZielSTP blockiert nicht unnötig, sondern hält ein redundantes L2-Netz betriebsfähig und stabil.
7. STP: Funktionsprinzip
- Bei mehreren Wegen wählt STP einen aktiven Weg und blockiert die übrigen
- Nicht jeder Pfad aktiv, sonst Loop
- Root Bridge: Switch mit der niedrigsten Bridge-ID (Priorität + MAC), Ausgangspunkt des Baums
- Pfadwahl: jeder Switch nimmt den günstigsten Pfad zur Root (Kosten nach Bandbreite)
- Loopfreier logischer Baum: von der Root verzweigt, keine Schleifen
- Blocking: Port leitet keine Nutzdaten weiter. Forwarding: Port leitet normal weiter
- Ausfall: Topologie wird neu berechnet, geblockter Port geht in Forwarding (RSTP deutlich schneller)
MerkeGeblockte Links sind Reserve für den Ausfall.
8. LAG: Link Aggregation
- LAG: mehrere physische Links werden zu einem logischen Bündel-Link zusammengefasst (Port-Channel)
- Bandbreite: Kapazität summiert sich
- Redundanz: fällt ein Link aus, läuft das Bündel mit den übrigen weiter
- Lastverteilung: Verteilung über Hash (z. B. MAC/IP/Port)
- STP sieht 1 Link, daher kein Loop und kein Blocking
- Nicht einfach mehr Kabel = schneller: ein einzelner Datenstrom bleibt auf einem Link, Verteilung hängt vom Hash ab, Einstellungen (Speed, Duplex, VLANs) müssen passen
9. Statisches LAG und LACP
- Statisch möglich: fest konfiguriert, keine Aushandlung, keine Prüfung
- LACP (IEEE 802.3ad): Bündel wird ausgehandelt und überwacht, Fehlkonfiguration fällt auf
- Beide Seiten müssen zusammenpassen (Modus, Ports, Speed, VLANs)
- Bei falscher Einrichtung: Paketverlust, Ports fallen raus, MAC-Flapping, im schlimmsten Fall Loop
WichtigLink-Bündelung muss koordiniert werden.
10. MLAG
- MLAG = Multi-Chassis Link Aggregation: LAG, das auf zwei getrennten Switches endet
- Normales LAG endet auf einem Gerät, MLAG auf zwei, die für die Gegenseite wie ein Gerät wirken
- Interessant in redundanten Designs: Ausfall eines ganzen Switches bleibt ohne Unterbrechung
- Alle Verbindungen aktiv, kein STP-Blocking
- Verfügbarkeit: Switch-Ausfall oder Wartung wird abgefangen
- Die zwei Switches stimmen sich über einen Peer-Link ab (herstellerspezifisch, z. B. vPC)
ZielRedundanz erreichen, ohne einen klassischen Layer-2-Loop zu erzeugen.
11. STP, LAG und MLAG im Vergleich
- STP löst: Schleifen bei redundanten Wegen
- LAG löst: mehr Kapazität und Ausfallschutz auf Linkebene zwischen zwei Geräten
- MLAG löst: Ausfallschutz auch bei Ausfall eines Switches, mit allen Links aktiv
- Ergänzung: MLAG im Design, STP bleibt als Sicherheitsnetz gegen Fehlverkabelung
- Nicht austauschbar: unterschiedliche Probleme, obwohl alle mit Redundanz zu tun haben
MerkeSTP schützt vor Schleifen, LAG bündelt Verbindungen, MLAG erweitert diese Idee auf mehrere Geräte.
12. Typische Fehlerbilder
Falsche VLAN-Zuordnung / Gerät im falschen VLANFalsche IP-Adresse, Netz nicht erreichbar, Gerät landet im falschen Bereich.
Trunk transportiert nicht die erwarteten VLANsVLAN nicht erlaubt oder nicht angelegt, Native VLAN unterschiedlich.
Kommunikation zwischen VLANs geht nichtKein Gateway/Routing, falsches Standardgateway, Firewall-Regel.
Loop im Layer-2-NetzBroadcast Storm, MAC-Flapping, Netz extrem langsam oder down.
Falsche oder unvollständige LAG-KonfigurationNur eine Seite gebündelt, Parameter passen nicht, Ports suspended, Paketverlust.
Unklare Redundanz / Fehlverhalten bei mehrfachem PfadUnklar, welcher Pfad aktiv ist, STP-Root ungeplant, Umschaltung dauert.
13. Switching in der Praxis
- Nur verbinden reicht nicht: Segmentierung, Loop-Schutz, Ausfallsicherheit und Bandbreite müssen geplant sein
- VLANs: Struktur und Segmentierung
- Redundanz ohne Schleifenschutz führt zu Loops
- LAG und MLAG: Leistung und Hochverfügbarkeit
- Viele Fehler in Firmennetzen sind VLAN-, Trunk-, STP- oder LAG-Fehler
ZielSwitching ist deutlich mehr als das Weiterleiten von Frames.
Glossar
| Begriff | Kurz erklärt |
|---|---|
| MAC-Address-Table | Zuordnung MAC > Port, vom Switch gelernt |
| Frame | Datenpaket auf Layer 2 |
| VLAN | Logisches Netz auf gemeinsamer Hardware, eigene Broadcast-Domain |
| Access Port | 1 VLAN, untagged, für Endgeräte |
| Trunk | Mehrere VLANs, tagged (802.1Q) |
| Native VLAN | Untagged VLAN am Trunk |
| SVI / Router-on-a-Stick | Gateway für ein VLAN auf L3-Switch bzw. Router |
| Loop / Broadcast Storm | Frames kreisen, Netz läuft voll |
| Root Bridge | Wurzel des STP-Baums, niedrigste Bridge-ID |
| Blocking / Forwarding | Port leitet nicht / normal weiter |
| LAG / Port-Channel | Mehrere Links als 1 logischer Link |
| LACP | Protokoll zum Aushandeln eines LAG (802.3ad) |
| MLAG | LAG über zwei Switches, Gegenseite sieht ein Gerät |
| Peer-Link | Verbindung zwischen den MLAG-Switches zum Abgleich |
Wenn's hakt
Hilfe bei Bearbeitungsstillstand- Bei VLAN-Problemen: Weg des Frames Port für Port verfolgen (Access, Trunk, Access) und je Station das VLAN prüfen
- Bei fehlender Verbindung zwischen VLANs: erst prüfen, ob Layer 2 im VLAN funktioniert, dann Gateway und Routing
- Bei Loop-Verdacht: Symptome prüfen (Storm, MAC-Flapping), Verkabelung kontrollieren, Root Bridge feststellen
- Bei LAG: beide Seiten vergleichen (Modus, Ports, Speed, VLANs)
- Bei Begriffschaos: Merksatz nutzen. STP schützt vor Schleifen, LAG bündelt Links, MLAG erweitert das auf mehrere Geräte
14. Eigene Einschätzung
Keine Treffer. Versuch's mit einem anderen Begriff.