Laufen Produktion, Gäste, VoIP und Verwaltung über denselben Switch, brauchen Sie keine zweite Verkabelung, sondern VLANs: Ein VLAN (Virtual LAN) trennt ein physisches Netzwerk logisch auf Layer 2 in isolierte Netze. Diese Anleitung erklärt herstellerübergreifend 802.1Q, Port-Typen und die Konfiguration per CLI und Web-GUI.

Voraussetzungen

Voraussetzungen:

Ein Managed Switch (Smart/Web-Managed oder voll managebar) mit 802.1Q-Unterstützung; Unmanaged Switches können das nicht. Zur Konfiguration reicht ein PC mit Browser oder SSH-Client.
Zugang zur Switch-Verwaltung (Web-GUI oder CLI/SSH) mit Admin-Passwort.
Ein VLAN-Plan mit IDs und IP-Subnetzen, Grundlagen: Anleitung zu Subnetting und CIDR.
Ein 802.1Q-fähiger Router oder eine Firewall, falls VLANs untereinander oder mit dem Internet kommunizieren sollen.
Dokumentierte Portbelegung.

Wichtig: Die VLAN-IDs müssen auf Switch, Router/Firewall und Access Points exakt übereinstimmen. Tagged der Switch VLAN 20, erwartet die Firewall aber VLAN 200, geht der Traffic verloren.

Hardware für diese Anleitung

Enthält Werbelinks

Managed Switch	Für VLANs muss der Switch IEEE 802.1Q beherrschen. Für Access Points ist PoE praktisch.	Switches bei Amazon (Werbelink)
Firewall-Mini-PC	Für OPNsense oder pfSense: Mini-PC mit zwei bis vier Intel-Netzwerkports.	Bei Amazon ansehen (Werbelink)
WLAN-Access-Point	Für WPA3-Enterprise und dynamische VLANs einen Access Point mit RADIUS-Unterstützung wählen.	Bei Amazon ansehen (Werbelink)

Vorhandene Hardware reicht oft. Die Liste zeigt, worauf es bei einem Neukauf ankommt. * Werbelink

Schritt 1: VLAN-Grundlagen und 802.1Q-Tagging

Ein VLAN gruppiert Ports zu einer Broadcast-Domäne. Geräte im selben VLAN erreichen sich direkt, Geräte in verschiedenen VLANs nur über Layer-3-Routing. Damit ein Switch auf einer gemeinsamen Leitung die VLAN-Zugehörigkeit erkennt, fügt IEEE 802.1Q einen Tag in den Ethernet-Frame ein.

Der Tag ist 4 Byte (32 Bit) groß und sitzt zwischen Source-MAC-Adresse und EtherType. Seine Felder:

Feld	Größe	Bedeutung
TPID	16 Bit	Tag Protocol Identifier, fester Wert `0x8100`, markiert den Frame als 802.1Q-getaggt
PCP	3 Bit	Priority Code Point (Class of Service), Priorität 0–7 für QoS
DEI	1 Bit	Drop Eligible Indicator, markiert verwerfbare Frames bei Überlast
VID	12 Bit	VLAN Identifier, die eigentliche VLAN-ID

Die VLAN-ID hat 12 Bit (0–4095); gültig sind 1 bis 4094, 0 und 4095 sind reserviert. Meist ist VLAN 1 das Standard-VLAN, in dem ab Werk alle Ports liegen.

Verifizieren: Öffnen Sie in der Switch-Oberfläche die VLAN-Übersicht (bei Cisco show vlan brief). Ab Werk erscheint nur VLAN 1 (default), und alle Ports sind ihm zugeordnet. Genau diesen Ausgangszustand verändern Sie in den folgenden Schritten.

Schritt 2: Access-Port und Trunk-Port, Tagged und Untagged, PVID

Jeder Port arbeitet als Access- oder als Trunk-Port; davon hängt die Segmentierung ab.

Access-Port

Ein Access-Port gehört zu genau einem VLAN und überträgt Frames untagged. Hier hängen VLAN-unaware Endgeräte wie PCs, Drucker oder Kameras. Ungetaggte eingehende Frames ordnet der Switch über die PVID (Port VLAN ID) zu; bei einem Access-Port muss die PVID exakt der VLAN-ID entsprechen, sonst landen Frames im falschen VLAN.

Trunk-Port

Ein Trunk-Port transportiert mehrere VLANs über eine Leitung und taggt alle Frames mit ihrer VLAN-ID; eingesetzt zwischen Switches sowie zu Router/Firewall oder VLAN-fähigem Access Point. Ausnahme: Frames im Native VLAN laufen untagged.

Tagged und Untagged

In der GUI vieler Hersteller (NETGEAR, TP-Link, D-Link) legen Sie pro VLAN fest, ob und wie ein Port Mitglied ist:

Kürzel	Bedeutung	Einsatz
U (Untagged)	Tag wird beim Verlassen des Ports entfernt	Endgeräte, Access-Ports
T (Tagged)	Frame verlässt den Port mit 802.1Q-Tag	Trunk/Uplink zu Switch, Router, AP
– / leer	Port ist kein Mitglied dieses VLANs	VLAN soll an diesem Port nicht anliegen

Merksatz: Tagged heißt „mit Etikett für die Weiterreise“ (Uplink), Untagged „Etikett ab, zum Endgerät“. Die PVID bestimmt, welchem VLAN ankommende ungetaggte Frames zugeordnet werden.

Verifizieren: Ordnen Sie jedem Port Ihrer Portdokumentation eine Rolle zu: Endgerät (Access, ein VLAN untagged, PVID = VLAN-ID) oder Uplink zu Switch, Firewall oder VLAN-fähigem Access Point (Trunk, tagged). Bleibt kein Port ohne Rolle, ist der Schritt abgeschlossen.

Schritt 3: Eine sinnvolle Segmentierung planen

Bewährte Aufteilung für den Mittelstand, je VLAN ein Subnetz:

VLAN-ID	Name	Zweck	IP-Subnetz	Gateway
10	Produktion	Arbeitsplätze, Server, Drucker	10.0.10.0/24	10.0.10.1
20	Gäste	Gast-WLAN, nur Internet	10.0.20.0/24	10.0.20.1
30	VoIP	IP-Telefone	10.0.30.0/24	10.0.30.1
99	Management	Switch-, AP- und Firewall-Verwaltung	10.0.99.0/24	10.0.99.1

„Ein VLAN = ein Subnetz“, weil Routing über IP-Subnetze läuft und genau dort später die Firewall ansetzt.

Verifizieren: Ihre Planungstabelle enthält für jedes VLAN ID, Name, Subnetz und Gateway, und kein Subnetz überschneidet sich mit einem anderen oder mit dem bestehenden LAN. VLAN 1 kommt darin nicht als Nutzer-VLAN vor.

Schritt 4: VLANs auf dem Switch per CLI anlegen (Cisco IOS als Beispiel)

Auf einem voll managebaren Switch legen Sie die VLANs zentral an und benennen sie. Beispiel Cisco IOS; die Logik (VLAN-Tabelle, Access, Trunk) gilt für jeden 802.1Q-Switch.

! VLANs anlegen und benennen
vlan 10
 name Produktion
vlan 20
 name Gaeste
vlan 30
 name VoIP
vlan 99
 name Management
vlan 999
 name NativeUnused

Endgeräte-Ports als Access-Ports konfigurieren; switchport nonegotiate schaltet DTP (Dynamic Trunking Protocol) ab, damit der Port nicht ungewollt zum Trunk verhandelt:

! Access-Port fuer einen Arbeitsplatz (VLAN 10)
interface Gi0/1
 switchport mode access
 switchport access vlan 10
 switchport nonegotiate

! Access-Port fuer ein IP-Telefon mit angehaengtem PC
! Daten ins VLAN 10, Sprache ins VLAN 30
interface Gi0/2
 switchport mode access
 switchport access vlan 10
 switchport voice vlan 30
 switchport nonegotiate

Den Uplink zu Switch oder Firewall als 802.1Q-Trunk einrichten, Native VLAN auf das ungenutzte VLAN 999 setzen und nur benötigte VLANs erlauben:

! 802.1Q-Trunk (Uplink/Switch-zu-Switch)
interface Gi0/24
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30,99
 switchport nonegotiate

! VLAN spaeter hinzufuegen oder entfernen
! switchport trunk allowed vlan add 40
! switchport trunk allowed vlan remove 20

Hinweis: switchport trunk encapsulation dot1q ist nur auf Switches nötig, die auch das alte ISL beherrschten; auf vielen modernen Switches fehlt der Befehl oder ist überflüssig. Pro Plattform prüfen.

Schaubefehle zur Kontrolle:

show vlan brief                       ! welcher Port liegt in welchem VLAN
show interfaces trunk                 ! welche Trunks, Native und Allowed VLANs
show interfaces Gi0/24 switchport     ! Mode, Native VLAN, Allowed VLANs eines Ports

Verifizieren: show vlan brief listet die VLANs 10, 20, 30, 99 und 999 mit ihren Namen, Gi0/1 und Gi0/2 stehen bei VLAN 10. show interfaces trunk zeigt Gi0/24 im Modus „on“ mit Native VLAN 999 und den erlaubten VLANs 10,20,30,99. Mit copy running-config startup-config speichern Sie die Konfiguration dauerhaft.

Schritt 5: VLANs in der Web-GUI einrichten (Smart-Managed Switch)

Smart-Managed Switches (z. B. NETGEAR Easy Smart, TP-Link, D-Link) haben statt CLI eine Web-Oberfläche. Prinzip: VLAN anlegen, Mitgliedschaften (Tagged/Untagged) setzen, PVID pro Port vergeben. Beispiel NETGEAR Easy Smart:

Anmelden: Web-GUI öffnen (Standardpasswort ab Werk häufig password, sofort ändern).
802.1Q aktivieren: unter VLAN > 802.1Q > Advanced > VLAN Configuration den Modus Advanced 802.1Q VLAN einschalten, VLAN-IDs (10, 20, 30, 99, 999) eintragen und je mit Add bestätigen.
Mitgliedschaft setzen: unter VLAN Membership VLAN wählen, Endgeräte-Ports auf U (Untagged), Uplink/Trunk auf T (Tagged), Apply.
PVID vergeben: unter Port PVID Endgeräte-Ports markieren, passende PVID setzen (Port für VLAN 10 bekommt PVID 10), Apply.

Bei TP-Link und D-Link analog: Tagged- und Untagged-Mitglieder je VLAN in der 802.1Q-Tabelle, dann PVID je Port. Ein Port mit VLAN-unaware Gerät darf nicht tagged sein. Arbeiten Sie nicht über einen Port, dessen VLAN Sie gerade ändern, sonst sperren Sie sich aus.

Verifizieren: Die Übersicht VLAN Membership zeigt je VLAN die erwarteten U- und T-Markierungen, die Seite Port PVID für jeden Endgeräte-Port die passende PVID. Ein PC an einem Port mit PVID 10 erhält vom DHCP-Server eine Adresse aus 10.0.10.0/24, sobald das Routing aus Schritt 6 steht.

Schritt 6: Inter-VLAN-Routing einrichten

Sollen VLANs miteinander oder mit dem Internet kommunizieren, brauchen Sie Layer-3-Routing, klassisch auf zwei Wegen.

Variante A: Router-on-a-stick

Ein Router-Port hängt als 802.1Q-Trunk am Switch; pro VLAN gibt es ein Subinterface, dessen IP das Default-Gateway des VLANs ist. Günstig, aber aller Inter-VLAN-Verkehr teilt sich eine Leitung.

! Router-on-a-stick auf dem Router
interface Gi0/0.10
 encapsulation dot1Q 10
 ip address 10.0.10.1 255.255.255.0
interface Gi0/0.20
 encapsulation dot1Q 20
 ip address 10.0.20.1 255.255.255.0
interface Gi0/0.30
 encapsulation dot1Q 30
 ip address 10.0.30.1 255.255.255.0
! Native VLAN am passenden Subinterface markieren
interface Gi0/0.999
 encapsulation dot1Q 999 native

Variante B: Layer-3-Switch mit SVIs

Ein Layer-3-Switch routet in Hardware. Global ip routing aktivieren und pro VLAN ein SVI (Switch Virtual Interface, interface vlan <id>) mit der Gateway-IP anlegen. Das liefert Line-rate-Routing und skaliert besser als Router-on-a-stick.

! Layer-3-Switch: Routing aktivieren und SVIs anlegen
ip routing
interface vlan 10
 ip address 10.0.10.1 255.255.255.0
 no shutdown
interface vlan 20
 ip address 10.0.20.1 255.255.255.0
 no shutdown
interface vlan 30
 ip address 10.0.30.1 255.255.255.0
 no shutdown

Endgeräte tragen je VLAN das passende Gateway ein (z. B. 10.0.10.1 im Produktions-VLAN), siehe feste IP, Gateway und DNS unter Windows und Linux.

Verifizieren: show ip interface brief zeigt die Subinterfaces bzw. SVIs mit ihren Gateway-Adressen im Status „up/up“. Ein Client im VLAN 10 erreicht per ping 10.0.10.1 sein Gateway, traceroute (Windows: tracert) zu einem Host im VLAN 30 läuft über dieses Gateway.

Schritt 7: Firewall-Regeln – die eigentliche Sicherheitsgrenze

Achtung, wichtigster Abschnitt: VLANs sind nur eine Layer-2-Trennung. Mit aktivem Inter-VLAN-Routing erreichen sich die Netze, solange nichts blockiert. Die echte Sicherheitsgrenze ziehen erst Firewall-Regeln oder ACLs nach dem Prinzip Default-Deny.

Vendor-neutral (OPNsense, pfSense, UniFi, Firewalla):

Default-Deny zwischen VLANs: Jede erlaubte VLAN-zu-VLAN-Verbindung wird dokumentiert und einzeln freigegeben.
Gast-VLAN (20): nur ausgehend ins Internet (typisch TCP 80 und 443), explizit DENY zu allen internen RFC1918-Subnetzen; am Gast-WLAN zusätzlich Client-/AP-Isolation.
Management-VLAN (99): Zugriff nur von definierten Admin-Geräten/-Netzen, nie aus dem Gast-VLAN.

Firewall-Details mit VLAN-Interfaces: Anleitung zur pfSense-/OPNsense-Erstkonfiguration.

Verifizieren: Ein Gerät im Gast-VLAN öffnet Webseiten im Internet, erreicht aber per Ping oder Portscan (z. B. nmap -sn 10.0.10.0/24) keinen Host in 10.0.10.0/24 und keine Verwaltungsoberfläche in 10.0.99.0/24. Im Firewall-Log erscheinen die geblockten Versuche.

Typische Fehler

Häufigste Stolperfallen:

Native-VLAN-Mismatch: Unterschiedliche Native VLANs an den Trunk-Enden ermöglichen VLAN-Hopping durch Double-Tagging. Beidseitig gleich und auf ein ungenutztes VLAN setzen.
DTP aktiv gelassen: Ports können ungewollt zum Trunk verhandeln (Switch-Spoofing). An Access-Ports immer switchport mode access und switchport nonegotiate.
Trunk als Access-Port konfiguriert: Der Uplink fällt auf ein VLAN zusammen, die Segmentierung verschwindet unbemerkt.
PVID-/Untagged-Fehler: PVID ≠ VLAN-ID am Access-Port, oder VLAN-unaware-Gerät an tagged Port.
VLAN-ID-Inkonsistenz: IDs auf Switch, Router/Firewall und AP exakt abgleichen.
VLAN 1 oder Native VLAN für Nutzer-/Management-Traffic: Dort laufen STP, CDP, VTP und DTP; Störungs- und Angriffsrisiko.
Keine Firewall hinter dem Routing: Ohne Default-Deny keine Sicherheitsgrenze. Immer per Scan vom Gastgerät verifizieren.

Häufige Fragen

Brauche ich für VLANs zwingend einen teuren Switch?

Nein. Auch einfache Smart-/Web-Managed-Modelle mit 802.1Q können VLANs; nur Unmanaged Switches nicht.

Wie viele VLANs sind möglich?

IDs 1 bis 4094; praktisch begrenzt eher die Hardware (Tabelle aktiver VLANs).

Was ist der Unterschied zwischen PVID und VLAN-ID?

VLAN-ID = Kennung im Tag, PVID = Zuordnung ungetaggter Eingangsframes eines Ports; bei Access-Ports identisch.

Können sich Geräte in verschiedenen VLANs erreichen?

Nur über Inter-VLAN-Routing, soweit die Firewall es erlaubt.

Reichen VLANs als Sicherheitsmaßnahme aus?

Nein: Default-Deny per Firewall/ACL (Schritt 7) plus Härtung gegen VLAN-Hopping (Native VLAN, DTP aus).

Warum soll ich VLAN 1 nicht verwenden?

Dort laufen STP, CDP, VTP und DTP; Nutzer- oder Management-Daten mischen Steuer- und Nutzverkehr und öffnen Angriffsflächen. Stilllegen, dedizierte VLANs nutzen.

Fazit

Entscheidend sind saubere Access- und Trunk-Ports, korrekte PVIDs, ein Subnetz pro VLAN und Firewall-Regeln mit Default-Deny. Planen Sie die Struktur vorab, halten Sie VLAN-IDs konsistent und prüfen Sie die Isolation vom Gastgerät aus.

Weiterführende Anleitungen und Quellen

Quellen: Cisco Meraki – Fundamentals of 802.1Q VLAN Tagging; Cisco Catalyst 9300 VLAN Configuration Guide (IOS XE 17.13), Configuring VLAN Trunks; NETGEAR Knowledge Base – 802.1Q VLAN auf Easy Smart Managed Switch; NetworkLessons – How to configure Router on a Stick (Inter-VLAN Routing).