Ein VLAN (Virtual Local Area Network) teilt ein einziges physisches Netzwerk in mehrere logisch getrennte Netze auf. Jedes VLAN ist eine eigene Broadcast-Domäne: Geräte darin sehen sich gegenseitig, erreichen andere VLANs aber nur über einen Router. So trennst du mit einem Managed Switch etwa Gastgeräte, Smart-Home und Arbeitsrechner sauber voneinander – ganz ohne ein zweites Kabelnetz zu verlegen.
Was ein VLAN eigentlich macht
Stell dir einen normalen Switch vor: Alle angeschlossenen Geräte hängen im selben Netz und in derselben Broadcast-Domäne. Ein Broadcast ist eine Nachricht, die an alle Geräte gleichzeitig geht – etwa wenn ein Rechner fragt: „Wem gehört die IP 192.168.0.10?“. Je größer das Netz, desto mehr dieser Rundrufe schwirren herum, und desto weniger sind die Geräte wirklich voneinander getrennt.
Ein VLAN zerlegt genau diesen einen Switch logisch in mehrere kleine Switches. Jedes VLAN bekommt eine Nummer (die VLAN-ID) und bildet eine eigene Broadcast-Domäne. Geräte im VLAN 10 hören nichts von Geräten im VLAN 20 – obwohl beide am gleichen physischen Gerät stecken. Das Ergebnis: weniger Broadcast-Lärm, mehr Übersicht und eine echte Trennung ohne zweite Verkabelung.
Wichtig zu verstehen: VLANs trennen zunächst komplett. Sollen zwei VLANs doch miteinander reden, muss ein Gerät mit Routing-Funktion (ein Router oder ein Layer-3-Switch) dazwischen. Man nennt das Inter-VLAN-Routing. Ohne dieses bewusste Zusammenschalten bleiben die Netze isoliert – und das ist meistens genau der Punkt.
Anzeige
Zwei Bauarten: portbasiert und getaggt
In der Praxis gibt es zwei Wege, ein VLAN umzusetzen. Sie lassen sich problemlos kombinieren.
Portbasiertes VLAN (untagged)
Hier ordnest du einzelne Switch-Ports fest einem VLAN zu. Port 1 bis 4 gehören zu VLAN 10, Port 5 bis 8 zu VLAN 20 – Schluss. Ein Gerät merkt davon nichts, es steckt einfach im Kabel und landet automatisch im richtigen Netz. Diese Variante ist am einfachsten zu verstehen, hat aber einen Haken: Willst du beide VLANs auf einen anderen Switch bringen, brauchst du für jedes VLAN ein eigenes Kabel.
Getaggtes VLAN nach IEEE 802.1Q
Der elegantere Weg: Der Switch schreibt jedem Datenpaket ein kleines Etikett mit der VLAN-ID hinein – das Tag. Dieses Tag ist ein 4 Byte großes Feld, das direkt hinter den Absender-Adressen im Ethernet-Frame eingefügt wird. Darin steckt unter anderem die 12 Bit lange VLAN-ID, weshalb theoretisch bis zu 4094 verschiedene VLANs möglich sind (die IDs 1 bis 4094). Zusätzlich transportiert das Tag ein 3-Bit-Feld für Priorisierung (Quality of Service), mit dem sich etwa Internet-Telefonie bevorzugt behandeln lässt.
Der Vorteil: Über ein einziges Kabel lassen sich beliebig viele VLANs gleichzeitig transportieren, weil jedes Paket sein eigenes Etikett mitträgt. Der empfangende Switch liest das Tag und sortiert das Paket ins richtige VLAN ein.
Access-Port und Trunk – wie ein Kabel mehrere Netze trägt
Aus den beiden Bauarten ergeben sich zwei Port-Rollen, die in jeder Fachinformatiker-Prüfung auftauchen:
- Access-Port: gehört zu genau einem VLAN und gibt die Pakete ohne Tag weiter. Hier steckst du Endgeräte an – PC, Drucker, Access Point, Kamera. Das Gerät braucht selbst keine VLAN-Kenntnis.
- Trunk-Port: transportiert mehrere VLANs gleichzeitig, jeweils mit Tag. Trunks verbindest du üblicherweise zwischen zwei Switches oder zwischen Switch und Router, damit alle VLANs über eine Leitung wandern.
Eine Besonderheit ist das Native VLAN: Auf einem Trunk gibt es genau ein VLAN, dessen Pakete ausnahmsweise ohne Tag laufen. Standardmäßig ist das VLAN 1. Aus Sicherheitsgründen empfiehlt es sich, das Native VLAN auf eine ungenutzte ID zu legen und VLAN 1 nicht für Nutzdaten zu verwenden – ungetaggte Pakete auf dem Trunk sind ein bekanntes Einfallstor für Angriffe.
VLANs im Heimnetz – konkrete Beispiele
VLANs gelten oft als reines Firmenthema, doch im modernen Zuhause lohnen sie sich genauso. Drei typische Fälle:
- Gäste-WLAN vom Hauptnetz trennen: Besucher bekommen Internet, sehen aber nicht deinen NAS, deine Fotos oder den Netzwerkdrucker. Das Gästenetz läuft in einem eigenen VLAN.
- Smart Home und IoT einsperren: Günstige WLAN-Steckdosen, Kameras und Sprachassistenten sind ein Sicherheitsrisiko. In einem eigenen VLAN kommen sie zwar ins Internet, aber nicht an deine Rechner – falls ein Gerät gekapert wird, bleibt der Schaden begrenzt.
- Homeoffice sauber abgrenzen: Der Arbeitslaptop läuft in einem eigenen Segment, getrennt von Spielekonsole und Familien-Tablets. Das reduziert Ärger und hält Privates von Dienstlichem fern.
Praktisch: Viele bessere Heim-Router und Mesh-Systeme unterstützen inzwischen ein separates IoT- oder Gastnetz, das technisch nichts anderes als ein vorkonfiguriertes VLAN ist.
VLANs im Büro
Im Firmennetz sind VLANs Standard. Typisch ist die Trennung nach Abteilungen oder Funktionen: Buchhaltung, Vertrieb, Gäste-WLAN, IP-Telefone und Überwachungskameras bekommen jeweils ein eigenes VLAN. Das bringt drei Dinge auf einmal – kleinere Broadcast-Domänen (mehr Performance), klare Sicherheitsgrenzen zwischen sensiblen und offenen Bereichen und eine Struktur, die sich unabhängig vom physischen Standort der Geräte planen lässt. Ein Mitarbeiter kann den Arbeitsplatz wechseln und bleibt trotzdem im richtigen VLAN, ohne dass jemand ein Kabel umsteckt.
Was du dafür brauchst
Ein Punkt vorweg, der viele überrascht: Ein normaler, unmanaged Switch aus dem Elektronikmarkt kann keine VLANs. Du brauchst dafür einen Managed Switch (oder zumindest einen „Smart“- bzw. „Web-Managed“-Switch), der sich über eine Weboberfläche konfigurieren lässt.
- Managed Switch: weist Ports den VLANs zu und setzt die 802.1Q-Tags.
- VLAN-fähiger Router: nötig, sobald die VLANs kontrolliert miteinander oder mit dem Internet reden sollen (Inter-VLAN-Routing).
- Access Point mit VLAN-Unterstützung: wenn du auch WLAN-Netze auf VLANs abbilden willst (etwa getrenntes Gast-WLAN).
Für den Einstieg reicht ein einzelner Managed Switch völlig aus, um erste portbasierte VLANs anzulegen und das Prinzip auszuprobieren.
Typische Stolperfallen
Wer das erste Mal VLANs einrichtet, tappt gern in die gleichen Fallen:
- Trunk vergessen: Zwei Switches sind verbunden, aber der Verbindungsport ist kein Trunk – dann kommt nur das Native VLAN durch, der Rest verschwindet scheinbar spurlos.
- PVID nicht gesetzt: Bei untagged Ports erwarten viele Switches, dass du zusätzlich die Port-VLAN-ID (PVID) einträgst. Fehlt sie, landen die Pakete im falschen Netz.
- Kein Routing eingeplant: Alles ist getrennt, aber der Drucker im VLAN 20 soll vom PC im VLAN 10 erreichbar sein – ohne bewusste Routing-Regel klappt das nicht.
- VLAN 1 als Nutznetz: Das Standard-VLAN 1 für echten Datenverkehr zu verwenden, gilt als schlechte Praxis und schwächt die Sicherheit.
Der ruhigste Weg: erst auf dem Papier festlegen, welche VLAN-IDs es gibt und welcher Port welche Rolle spielt, und die Konfiguration dann Port für Port durchgehen. Änderungen an einem produktiven Switch besser außerhalb der Arbeitszeit machen – ein falsch gesetzter Trunk trennt schnell den halben Standort vom Netz.
Häufige Fragen
Was ist der Unterschied zwischen VLAN und LAN?
Ein LAN ist das physische Netzwerk aus Kabeln und Switches. Ein VLAN teilt dieses eine physische Netz logisch in mehrere getrennte Netze auf – jedes mit eigener Broadcast-Domäne, ohne zusätzliche Hardware.
Brauche ich für VLANs einen speziellen Router?
Für einfache, getrennte VLANs reicht ein Managed Switch. Ein VLAN-fähiger Router (oder Layer-3-Switch) wird erst nötig, wenn die VLANs kontrolliert miteinander oder mit dem Internet kommunizieren sollen – das nennt man Inter-VLAN-Routing.
Wie viele VLANs sind maximal möglich?
Der Standard IEEE 802.1Q nutzt eine 12 Bit lange VLAN-ID. Damit sind die IDs 1 bis 4094 nutzbar, also bis zu 4094 verschiedene VLANs pro Netz. Für Heim- und Büroumgebungen reicht das mehr als aus.
Was ist der Unterschied zwischen Access-Port und Trunk-Port?
Ein Access-Port gehört zu genau einem VLAN und gibt Pakete ohne Tag weiter – hier steckst du Endgeräte an. Ein Trunk-Port transportiert mehrere VLANs gleichzeitig mit Tag und verbindet meist Switches untereinander oder mit dem Router.
Erhöhen VLANs die Sicherheit im Heimnetz?
Ja. Indem du etwa Smart-Home-Geräte oder das Gäste-WLAN in ein eigenes VLAN legst, erreichen sie deine PCs und den NAS nicht mehr. Wird ein unsicheres IoT-Gerät gekapert, bleibt der Schaden auf sein VLAN begrenzt.
