Wie funktioniert ein VLAN?

Nach dem Standard IEEE 802.1Q definiert, teilt ein VLAN Netzwerkressourcen unabhängig vom Standort innerhalb einer Broadcast-Domäne auf. In großen Gebäuden, in denen separate Switches für separate Ressourcen nicht möglich sind, ermöglichen VLANs, dass diese Ressourcen getrennt bleiben. Durch Hinzufügen eines kleinen Bezeichners zum Frame-Header ermöglicht 802.1Q eine beispiellose Steuerung auf Switch-Ebene.

Schicht 2 vs. Schicht 3

Das Open System Interconnect-Modell besteht aus sieben Schichten, in denen die Kommunikation der Computer definiert wird. Diese OSI-Schichten beziehen sich auf einen bestimmten Teil des Kommunikationsprozesses: Schicht 1 ist die "physikalische" Schicht und bezieht sich nur auf die Signalisierungsstandards, die zum Übertragen eines elektrischen Signals zwischen zwei Adaptern erforderlich sind. Schicht 2 befasst sich mit Switches und koordiniert die Kommunikation zwischen Netzwerkadaptern, die direkt in derselben Broadcast-Domäne angeschlossen sind. Normalerweise befinden sich alle Computer, die mit demselben physischen Switch verbunden sind, in derselben Broadcast-Domäne. Wenn diese Computer vollständig mit einem anderen Netzwerk kommunizieren möchten, wechseln sie zur Schicht 3, wo IP-Adressen zum Suchen eines Hosts mithilfe eines Routers verwendet werden. VLANs arbeiten auf Layer 2, ihr Nutzen kommt jedoch bei der Integration in eine Layer 3-Lösung zum Tragen.

Normalschalterfunktion

Ohne 802.1Q können nur Router unterschiedliche Layer-2-Netzwerke trennen. Wenn ein Computer einen Broadcast sendet - ein Frame, der für jeden Computer in der Broadcast-Domäne bestimmt ist -, empfängt jedes Gerät, das mit demselben Switch verbunden ist, diesen Broadcast. Broadcasts werden normalerweise für nützliche Dienste verwendet, z. B. zum Anfordern einer IP-Adresse von einem verfügbaren DHCP-Server. Direkt angeschlossene Geräte sind jedoch auch anfällig für ein Eindringen.

802.1Q-Tagging

Wenn VLANs auf einem Switch aktiviert sind, wird jeder Port einem VLAN zugewiesen, und Daten, die von einem an diesen Port angeschlossenen Gerät gesendet werden, erhalten alle Daten, die mit der VLAN-ID "gekennzeichnet" werden. Das Standard- oder „native“ VLAN ist „1“. Beim Ändern eines Ports auf VLAN „2“ werden Broadcasts und Frames mit einem diesem Switch unbekannten Ziel nur an andere VLAN-„2“ -Ports und VLAN-Trunks weitergeleitet. VLAN-Amtsleitungen sind Ports, die zum Weiterleiten von Informationen von allen VLANs konfiguriert sind, die für den Anschluss anderer Switches oder Router erforderlich sind. Daten, die von VLAN 1 an VLAN 2 und umgekehrt gesendet werden, müssen über einen Router geleitet werden. Der Router ist dann so konfiguriert, dass er die Kommunikation auf Basis der Schicht 3 der sendenden Station oder der IP-Informationen blockiert oder zulässt. Inzwischen tauschen die Switches selbst Daten aus, um sicherzustellen, dass alle verfügbaren VLANs erkannt werden.

Beispiel

VLANs verändern die Flexibilität und Kontrolle eines Netzwerks vollständig. Stellen Sie sich ein großes, mehrstöckiges Gebäude vor, das Ihnen gehört. Jede Etage verfügt über mehrere Büros, und Sie als Gebäudeeigentümer haben jede Etage für die Datennutzung wieder mit einem zentralen Datenschrank verbunden, aber jedes Büro wird von einer anderen Firma gemietet. Sie möchten allen Mietern einen gemeinsamen Internetplan zur Verfügung stellen. Ohne 802.1Q-Tagging müssten Sie für jedes Büro einen separaten Switch bereitstellen, und jeder Switch muss einzeln mit dem ISP verbunden sein. Mit dem 802.1Q-Tagging können Sie jedoch jedem Büro die Kommunikation untereinander und mit der Internetverbindung ermöglichen, während die Daten von den anderen Büros getrennt bleiben, indem Sie einen einzigen Switch und einen einzigen Router verwenden. Wenn ein Büro später das Büro nebenan anmietet, müssen Sie lediglich die VLAN-IDs dieser Ports ändern.