Ein Netz in VLANs aufteilen, ohne dich vom Switch auszusperren

Was im 802.1Q-Tag steht und warum es 4094 VLANs gibt

Ein VLAN ist auf dem Draht nur eine Zahl. IEEE 802.1Q fügt in den Ethernet-Frame hinter der Quell-MAC-Adresse ein Feld von vier Byte ein. Die ersten zwei Byte sind der Tag Protocol Identifier mit dem Wert 0x8100, an dem jede Netzwerkkarte erkennt, dass ein Tag folgt. Die übrigen zwei Byte teilen sich in Priorität, eine Markierung und die eigentliche VLAN-ID.

Die VLAN-ID hat 12 Bit, also 4096 mögliche Werte. Der Wert 0 bedeutet, dass der Frame nur eine Priorität trägt und keinem VLAN zugeordnet ist, der Wert 4095 ist reserviert. Daraus ergeben sich die nutzbaren IDs 1 bis 4094. Cisco unterteilt sie in den normalen Bereich 1 bis 1005 und den erweiterten Bereich 1006 bis 4094. Die IDs 1002 bis 1005 sind für Token Ring und FDDI reserviert und lassen sich ebenso wenig löschen wie VLAN 1.

Weil das Tag vier Byte hinzufügt, wächst der größte Standard-Frame von 1518 auf 1522 Byte. Moderne Switches kommen damit klar. Probleme machen gelegentlich ältere Medienkonverter oder Geräte, die Frames über 1518 Byte als zu groß verwerfen. Symptom ist dann ein Trunk, über den kleine Pakete wie Ping funktionieren und große Übertragungen hängen.

Ein VLAN-Plan mit Rechenweg für die Subnetze

Der Plan beginnt mit der Frage, welche Gerätegruppen unterschiedlich behandelt werden müssen. Typisch sind Clients, Telefonie, Drucker, Server, Management, Gäste, Kameras und Gebäudetechnik. Jede Gruppe, für die eine eigene Firewall-Regel gelten soll, braucht ein eigenes VLAN. Gruppen, die nur organisatorisch getrennt sind, etwa zwei Abteilungen mit denselben Rechten, brauchen meist keines.

Für die Größe der Subnetze rechnest du mit 2 hoch Hostbits minus 2, weil Netz- und Broadcast-Adresse wegfallen. Ein /24 hat 8 Hostbits und damit 254 nutzbare Adressen, ein /23 hat 510, ein /25 hat 126. Plane mit Reserve, denn ein Telefon-VLAN wächst mit jedem neuen Arbeitsplatz und ein Kamera-VLAN mit jedem Umbau. Ziehe vom Ergebnis das Gateway und gegebenenfalls Adressen für eine Gateway-Redundanz ab: Bei HSRP oder VRRP mit zwei Switches belegst du drei Adressen.

Die Tabelle zeigt einen Plan für einen Standort mit rund 200 Arbeitsplätzen. VLAN-ID und drittes Oktett sind gleich, damit jeder im Störfall aus der IP-Adresse das VLAN ablesen kann.

Access Ports und ungenutzte Ports konfigurieren

Ein Access Port gehört genau einem VLAN, und das Endgerät sendet und empfängt ungetaggte Frames. Der Switch ordnet sie intern dem VLAN des Ports zu. Für IP-Telefone mit angeschlossenem PC gibt es eine Ausnahme. Der Port trägt zusätzlich ein Voice-VLAN, das das Telefon über CDP oder LLDP-MED erfährt und getaggt nutzt. Der PC bleibt ungetaggt im Daten-VLAN.

Ungenutzte Ports sind ein unterschätztes Risiko. Wer im Besprechungsraum ein Kabel in eine freie Dose steckt, landet ab Werk in VLAN 1 und damit oft im Management-Netz. Der BSI-Baustein NET.3.1 Router und Switches verlangt in der Basis-Anforderung A1, unbenutzte Netzports nach Möglichkeit zu deaktivieren oder zumindest einem eigens eingerichteten Unassigned-VLAN zuzuordnen. Beides zusammen ist die robusteste Lösung.

vlan 10
 name MGMT
vlan 30
 name CLIENTS
vlan 40
 name VOICE
vlan 998
 name PARKPLATZ
vlan 999
 name NATIVE
!
interface range GigabitEthernet1/0/1 - 36
 description Arbeitsplatz
 switchport mode access
 switchport access vlan 30
 switchport voice vlan 40
 switchport nonegotiate
 spanning-tree portfast
!
interface range GigabitEthernet1/0/37 - 46
 description frei
 switchport mode access
 switchport access vlan 998
 switchport nonegotiate
 shutdown

Trunks und das native VLAN: warum VLAN 1 dort nichts verloren hat

Ein Trunk transportiert mehrere VLANs über eine Leitung, jedes mit seinem Tag. Eine Ausnahme bildet das native VLAN: Seine Frames gehen ungetaggt über den Trunk, und ungetaggte Frames, die ankommen, ordnet der Switch ihm zu. Ab Werk ist das VLAN 1, und VLAN 1 ist zugleich das VLAN, in dem CDP, VTP und DTP laufen und in dem jeder unkonfigurierte Port steht.

Daraus entsteht ein bekannter Angriff. Ein Gerät in VLAN 1 schickt einen Frame mit zwei Tags, außen 1 und innen 30. Der erste Switch entfernt das äußere Tag, weil VLAN 1 nativ ist, und schickt den Frame mit dem inneren Tag über den Trunk. Der nächste Switch liest das Tag 30 und liefert den Frame in ein Netz, das der Angreifer gar nicht erreichen dürfte. Der Weg funktioniert nur in eine Richtung, reicht aber für Angriffe ohne Antwort.

Die Gegenmaßnahme ist dreiteilig. Setze das native VLAN aller Trunks auf ein VLAN, in dem kein Endgerät steht, hier 999. Nimm VLAN 1 aus der erlaubten Liste, wo es nicht gebraucht wird. Oder lass mit dem globalen Befehl vlan dot1q tag native auch das native VLAN taggen; dann muss die Gegenseite das ebenfalls können. Die Details jeder Zeile der Trunk-Konfiguration erklärt die Seite zum Trunk-Port.

interface TenGigabitEthernet1/1/1
 description Uplink zu SW-ETG2
 switchport mode trunk
 switchport nonegotiate
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,30,40,50,999
!
! später ein VLAN ergänzen, nie ohne add:
interface TenGigabitEthernet1/1/1
 switchport trunk allowed vlan add 60

Routing zwischen den VLANs: SVI oder Router-on-a-Stick

Damit ein Client in VLAN 30 einen Server in VLAN 20 erreicht, braucht jedes VLAN ein Gateway, und irgendein Gerät muss zwischen den Gateways routen. Auf einem Layer-3-Switch ist das ein Switch Virtual Interface je VLAN. Das Routing passiert in der Hardware des Switches mit voller Portgeschwindigkeit. Eine SVI geht nur in den Zustand up, wenn das VLAN existiert und mindestens ein Port in diesem VLAN aktiv ist und weiterleitet, ein Access Port oder ein Trunk, der das VLAN trägt. Fehlt beides, bleibt sie down, obwohl die Konfiguration stimmt.

Router-on-a-Stick verbindet einen Router oder eine Firewall über einen einzigen Trunk mit dem Switch und legt dort ein Subinterface je VLAN an. Der gesamte Verkehr zwischen den VLANs läuft zweimal über diese Leitung, einmal hin und einmal zurück. Das begrenzt den Durchsatz auf die Bandbreite eines Ports, hat aber einen Vorteil: Jedes Paket zwischen den Netzen passiert die Firewall, an der Regeln greifen.

In der Praxis findest du beide Wege kombiniert. Interne Netze mit hohem Verkehr, etwa Clients und Server, routet der Kernswitch. Netze, die streng abgeschottet sein sollen, wie Gäste, Kameras oder Gebäudetechnik, enden ohne SVI auf dem Switch und werden als Trunk zur Firewall geführt, die dort das Gateway stellt.

! Variante 1: SVI auf dem Layer-3-Switch
ip routing
!
interface Vlan30
 description Gateway CLIENTS
 ip address 10.20.30.1 255.255.254.0
 ip helper-address 10.20.20.5
 no shutdown
!
! Variante 2: Router-on-a-Stick
interface GigabitEthernet0/0/1
 no ip address
 no shutdown
!
interface GigabitEthernet0/0/1.60
 description Gateway GAST
 encapsulation dot1Q 60
 ip address 10.20.60.1 255.255.255.0
 ip helper-address 10.20.20.5
!
interface GigabitEthernet0/0/1.999
 encapsulation dot1Q 999 native

DHCP-Relay: wie die Adresse über die VLAN-Grenze kommt

Ein Client ohne Adresse sendet seine DHCP-Anfrage als Broadcast, und Broadcasts enden an der VLAN-Grenze. Steht der DHCP-Server in VLAN 20, hört er die Anfrage aus VLAN 30 nie. Der Befehl ip helper-address auf dem Gateway von VLAN 30 fängt den Broadcast ab und schickt ihn als Unicast an den Server. Dabei trägt der Relay die eigene Interface-Adresse 10.20.30.1 in das Feld giaddr ein, das RFC 2131 für genau diesen Zweck vorsieht.

Der Server wählt anhand von giaddr den passenden Bereich. Fehlt auf dem Server ein Bereich für 10.20.30.0/23, verwirft er die Anfrage, und der Client vergibt sich nach einiger Zeit eine Adresse aus 169.254.0.0/16. Das ist das häufigste Symptom nach einer VLAN-Einführung. Prüfe deshalb zuerst den Bereich auf dem Server und dann, ob der Server das Gateway von VLAN 30 überhaupt erreicht, denn seine Antwort geht an giaddr zurück.

Wer zwei DHCP-Server betreibt, trägt beide als ip helper-address ein. Der Switch leitet die Anfrage dann an beide weiter, und die Server regeln über ihre Failover-Beziehung, wer antwortet. Der Befehl ip helper-address leitet ab Werk neben DHCP auch einige andere UDP-Broadcasts weiter, etwa für TFTP, DNS und NetBIOS. Mit no ip forward-protocol udp und der Portnummer schränkst du das ein, wenn du es nicht brauchst.

Prüfbefehle und was ihre Ausgabe bedeutet

Vier Befehle beantworten fast jede Frage nach einer VLAN-Einführung. show vlan brief zeigt, welche VLANs existieren und welche Access Ports in welchem VLAN stehen; Trunk-Ports tauchen dort bewusst nicht auf. show interfaces trunk zeigt jeden Trunk mit Modus, nativem VLAN und drei Listen: erlaubte VLANs, erlaubte und aktive VLANs sowie VLANs im Spanning-Tree-Zustand Forwarding. Fehlt ein VLAN in der dritten Liste, blockiert Spanning Tree es auf diesem Trunk oder es existiert auf dem Switch nicht.

show ip interface brief zeigt die SVIs mit Status und Protokoll. Ein up/down bei einer SVI heißt fast immer, dass kein aktiver Port im VLAN steht. Mit show interfaces status siehst du je Port, ob er verbunden ist, in welchem VLAN er steht und mit welcher Geschwindigkeit er läuft. Ein trunk in der Spalte Vlan an einem Endgeräte-Port ist ein Fehler, den du sofort korrigierst.

show vtp status
show vlan brief
show interfaces trunk
show interfaces status
show ip interface brief | include Vlan
show mac address-table vlan 30
ping 10.20.20.5 source vlan 30
show ip dhcp snooping binding

Die zwei Fallen, die ganze Standorte lahmlegen

Die erste Falle ist der eigene Management-Zugang. Angenommen, du greifst per SSH über VLAN 1 auf einen Switch zu und ziehst das Management auf VLAN 10 um. Dann müssen vorher drei Dinge stehen: die SVI Vlan10 mit Adresse, ein Default-Gateway im neuen Netz und VLAN 10 auf jedem Trunk zwischen Admin-PC und Switch. Fehlt eines davon, bricht die Sitzung beim Abschalten der alten SVI ab. Der Zeitzünder aus Schritt zwei holt dich zurück. Unter IOS XE gibt es zusätzlich configure terminal revert timer, das mit einem konfigurierten archive die alte Konfiguration ohne Neustart zurückspielt, wenn du die Änderung nicht mit configure confirm bestätigst.

Die zweite Falle ist VTP. Ein Switch, der aus einem Lager, einem anderen Standort oder einem Labor kommt, bringt seine VLAN-Datenbank und seine Configuration Revision mit. Steht er im Modus Server oder Client, in derselben VTP-Domäne und mit höherer Revision, übernehmen alle anderen Switches seine Datenbank. VLANs, die er nicht kennt, verschwinden, und alle Ports in diesen VLANs gehen in den Zustand inactive. Dagegen hilft, VTP auf transparent oder off zu stellen oder Version 3 mit einem einzigen Primary Server zu nutzen. Ein neuer Switch wird vor dem Anschluss mit delete flash:vlan.dat und einem Neustart zurückgesetzt.