Netzwerk & IP Referenz

VLAN-Planungsreferenz

Schnelle Referenz für VLAN-ID-Bereiche, häufige VLAN-Zuweisungen, 802.1Q-Trunk-Regeln, Inter-VLAN-Routing und zu vermeidende Planungsfehler. Für schnelle Orientierung — für einen strukturierten Export den VLAN-Planer verwenden.

VLAN-Planer öffnen Zurück zu Referenzen

Abkürzungen

VLANVirtual Local Area Network: Eine Methode, ein einziges physisches Netzwerk in mehrere getrennte, isolierte virtuelle Netzwerke aufzuteilen — über dieselben Kabel und Switches. Vergleichbar mit mehreren getrennten Spuren auf einer Straße statt separater Straßen.

VLAN-ID-Bereiche

IEEE 802.1Q definiert VLAN-IDs von 1 bis 4.094. Die Bereichsbehandlung variiert je nach Hersteller und VTP-Modus.

VLAN-ID-Bereich	Bezeichnung	Hinweise
1	Standard-VLAN	Alle Ports starten hier. Geräte nur dann auf VLAN 1 lassen, wenn dies ausdrücklich beabsichtigt ist. VLAN 1 überträgt ungetaggten Control-Traffic auf den meisten Switches.
2 – 1.001	Normaler Bereich	Standard-VLANs für die meisten Deployments. Gespeichert in der VLAN-Datenbank (vlan.dat bei Cisco). Von allen 802.1Q-Switches unterstützt.
1.002 – 1.005	Cisco Legacy	Für ältere FDDI und Token Ring reserviert. Auf Cisco IOS nicht löschbar oder neu zuweisbar. Wird in modernen Designs nicht verwendet.
1.006 – 4.094	Erweiterter Bereich	Erfordert VTP Transparent Mode oder VTP v3 bei Cisco. Von den meisten modernen Switches unterstützt. Für große oder Mandanten-Designs.
4.095	Reserviert	Vom IEEE 802.1Q reserviert. Nicht nutzbar.

Häufige VLAN-Zuweisungen

Diese Empfehlungen dienen als Ausgangspunkt. VLAN-IDs und Subnetze an das standortspezifische Nummerierungsschema anpassen. Ein einheitliches Muster (VLAN-ID = drittes Oktet des Subnetzes) macht den Plan auf den ersten Blick lesbar.

VLAN-ID	Name	Zweck	Beispiel-Subnetz	Planungshinweis
1	Standard	Ungetaggt / nicht zugewiesen	`Variiert`	Infrastruktur hier vermeiden. Management-Traffic trennen.
10	Management	Switch-, AP- und Router-Management-Interfaces	`10.x.10.0/24`	Zugriff nur von autorisierten Management-Stationen.
20	Daten / Benutzer	Workstations, Laptops, kabelgebundene Benutzer	`10.x.20.0/24`	Größtes VLAN nach Gerätezahl in den meisten Deployments.
30	Sprache	VoIP-Telefone, Softphones	`10.x.30.0/24`	QoS-Markierung kritisch. Von Daten trennen für Gesprächsqualität.
40	Server	Interne Anwendungs- und Dateiserver	`10.x.40.0/24`	Inter-VLAN-Zugriff mit ACLs oder Firewall-Regeln einschränken.
50	IoT / OT	IP-Kameras, Drucker, Sensoren, BMS	`10.x.50.0/24`	Von Daten und Servern isolieren. Laterale Bewegung blockieren.
60	Gast-WLAN	Nicht verwaltete Besuchergeräte	`10.x.60.0/24`	Nur Internet. Zugriff auf alle internen VLANs blockieren.
99	Native / Trunk	Ungetaggter Trunk-Traffic	`Keine`	Unbenutztes VLAN als Native VLAN verwenden. Nie User-Traffic darüber leiten.
100+	Storage / Backup	iSCSI-, NFS-, Backup-Ziel-Traffic	`10.x.100.0/24`	Hohe Bandbreite. Dedizierte Ports oder Link Aggregation empfohlen.

Mustertipp:VLAN-ID am dritten Oktet des Subnetzes ausrichten (VLAN 10 → 10.x.10.0/24, VLAN 20 → 10.x.20.0/24) macht den Plan selbstdokumentierend und reduziert das Fehlkonfigurationsrisiko beim manuellen Eingeben von ACL-Regeln.

802.1Q-Trunk-Regeln

Ein Trunk-Port überträgt mehrere VLANs mit 802.1Q-Tags.
Jeder Trunk hat ein Native VLAN — Traffic auf diesem VLAN wird ungetaggt übertragen.
Native VLAN immer auf ein unbenutztes VLAN (z. B. 99) setzen auf Trunk-Ports zwischen Switches.
Access-Ports tragen ein einzelnes VLAN und entfernen den Tag vor der Zustellung an den Host.
Voice-Ports nutzen einen Hybridmodus: ein VLAN getaggt für Sprache, eines ungetaggt für Daten.
Unbenutzte Ports deaktivieren und einem unbenutzten VLAN zuweisen, um unautorisierten Zugriff zu verhindern.

Trunk = mehrere getaggte VLANs · Access = ein ungetaggtes VLAN · Native = ungetaggt auf Trunk

VLAN-Planungsablauf

Zuerst Sicherheitsgrenzen definieren — welche Gerätegruppen dürfen nie direkt kommunizieren.
VLAN-IDs nach einheitlichem Nummerierungsschema vergeben (an drittes Oktet des Subnetzes anpassen).
Ein Subnetz pro VLAN planen — kleiner halten als für heutigen Bedarf nötig.
Inter-VLAN-Routing-Regeln definieren: welche VLANs miteinander sprechen dürfen und was gesperrt ist.
Trunk-Ports zwischen Switches mit expliziten erlaubten VLAN-Listen konfigurieren.
Native VLAN auf allen Trunks auf eine unbenutzte ID setzen.
Unbenutzte Switch-Ports deaktivieren und unter Quarantäne stellen.
VLAN-ID, Name, Subnetz, Gateway, Zweck und erlaubte Kommunikation für jedes VLAN dokumentieren.

Häufige Fehler

Alle Geräte auf VLAN 1 belassen — setzt Management-Traffic allen Benutzern aus.
VLAN-Zuweisungen nicht dokumentieren — führt zu Konflikten bei Netzerweiterungen.
Dasselbe VLAN über verschiedene Sicherheitszonen verwenden (z. B. IoT und Server im selben VLAN).
Standardmäßig alle VLANs auf Trunks erlauben statt eine explizite Erlaubnisliste anzugeben.
Native VLAN auf VLAN 1 belassen auf Trunk-Ports — schafft VLAN-Hopping-Angriffsfläche.
Überlappende Subnetze verschiedenen VLANs zuweisen, was Routing-Tabellen-Konflikte verursacht.

FAQ

Ersetzen VLANs Firewall-Regeln?

Nein. VLANs bieten Layer-2-Segmentierung. Inter-VLAN-Routing erfolgt auf Layer 3 (Router oder Layer-3-Switch). Ohne explizite ACLs oder Firewall-Regeln routet ein Layer-3-Switch frei zwischen allen VLANs. Inter-VLAN-Policy immer auf der Routing-Ebene durchsetzen.

Was ist VLAN Hopping und wie wird es verhindert?

VLAN Hopping nutzt das Native VLAN oder DTP-Auto-Aushandlung aus, um Zugang zu anderen VLANs zu erlangen. Prävention: Native VLAN auf eine unbenutzte ID setzen, DTP auf allen Nicht-Trunk-Ports deaktivieren und erlaubte VLANs auf jedem Trunk explizit angeben.

Kann VoIP und Daten im selben VLAN betrieben werden?

Technisch ja, aber nicht empfohlen. Separate Voice-VLANs ermöglichen QoS-Markierung zur Priorisierung von Sprach-Traffic ohne auf korrekte Markierung durch den Host-Endpunkt angewiesen zu sein. Die meisten IP-Telefone unterstützen ein Voice VLAN (getaggt) neben einem Daten-VLAN (ungetaggt) am selben Port.

Wie viele VLANs sollte ein Standort haben?

Mit dem Minimum beginnen, das die Sicherheitsgrenzen abbildet — typischerweise 4 bis 8 VLANs für ein mittelgroßes Büro (Management, Daten, Sprache, IoT, Gast, Server). Mehr VLANs erhöhen die Betriebskomplexität. Neue VLANs nur hinzufügen, wenn eine Sicherheitsgrenze es wirklich erfordert — nicht aus Ordnungsgründen.

Nächster Schritt

Einen strukturierten VLAN-Plan erstellen?

Den VLAN-Planer verwenden, um alle VLANs mit IDs, Namen, Subnetzen, Gateway, DHCP-Bereich und Zweck zu definieren — anschließend den vollständigen Plan als Excel-Arbeitsmappe exportieren.

VLAN-Planer öffnen →

Haftungsausschluss

Diese Referenztabelle dient ausschließlich der Planungsorientierung. VLAN-Verhalten, ID-Bereiche und Trunk-Regeln variieren je nach Switch-Hersteller, Firmware-Version und VTP-Modus. VLAN-Konfiguration immer gegen die Dokumentation des Switch-Herstellers prüfen und in einer Nicht-Produktionsumgebung testen, bevor sie in kritischer Infrastruktur eingesetzt wird.