Access-Ports und Trunk-Verbindungen

Sobald Sie VLANs verwenden, gibt es bei Switch-Ports zwei Haupttypen: Access-Ports und Trunk-Ports. Ein Access-Port transportiert Datenverkehr für ein einzelnes VLAN und wird mit Endgeräten verbunden. Ein Trunk-Port transportiert gleichzeitig Datenverkehr für viele VLANs und verbindet Switches miteinander. Der Unterschied ist entscheidend für den Aufbau eines VLAN-Netzwerks mit mehreren Switches und ein beliebtes Prüfungsthema.

Ein Access-Port gehört genau einem VLAN an. Sie schließen ein Endgerät wie einen PC, Drucker oder ein Telefon daran an, und das Gerät befindet sich anschließend im zugewiesenen VLAN. Das Gerät weiß nicht, dass VLANs existieren, sondern sendet und empfängt einfach normale Frames. Der Switch ordnet alles, was über diesen Port läuft, stillschweigend seinem einzigen VLAN zu. Die meisten Ports in einem Gebäude sind Access-Ports.

Ein Trunk-Port transportiert den Datenverkehr mehrerer VLANs über eine Verbindung. Trunks verbinden normalerweise einen Switch mit einem anderen Switch oder einen Switch mit einem Router. Da sich viele VLANs den Trunk teilen, muss der Switch jeden Frame mit seiner VLAN ID kennzeichnen, damit das andere Ende weiß, wohin er gehört. Ohne Trunks wäre zwischen Switches ein separates Kabel pro VLAN erforderlich, was unpraktisch wäre.

Wie hält ein Trunk die VLANs auseinander? Durch 802.1Q-Tagging, den Standard für VLAN-Tagging. Sobald ein Frame in den Trunk gelangt, fügt der Switch ein kleines Tag mit der VLAN ID ein. Der empfangende Switch liest das Tag, erkennt das VLAN des Frames und entfernt das Tag, bevor er den Frame an einen Access-Port weiterleitet. Tagging ermöglicht es, viele VLANs sicher über ein einziges Kabel zu transportieren.

Ein Trunk besitzt ein Native VLAN, dessen Datenverkehr den Trunk ohne Tag durchquert. Standardmäßig ist dies VLAN 1. Jeder Frame, der ohne Tag am Trunk eintrifft, wird dem Native VLAN zugeordnet. Aus Sicherheitsgründen ändern Administratoren das Native VLAN häufig von VLAN 1 auf einen anderen Wert und stellen sicher, dass beide Trunk-Enden übereinstimmen, da eine Abweichung dazu führen kann, dass Datenverkehr zwischen VLANs durchsickert.

Das Einrichten eines Access-Ports ist einfach: Legen Sie den Port als Access-Port fest und weisen Sie ihm sein VLAN zu. Das folgende Beispiel zeigt einen Port, der für einen Benutzer-PC in VLAN 20 eingeordnet wurde. Alles, was dort angeschlossen wird, tritt VLAN 20 bei. Access-Ports bilden die Endpunkte des VLAN-Systems, an denen normale Geräte angeschlossen werden, ohne dass sie Tagging verstehen müssen.

Ein Trunk wird so konfiguriert, dass er die VLANs transportiert, die zwischen Switches übertragen werden müssen. Im Beispiel wird ein Port als Trunk festgelegt und auf zwei VLANs beschränkt. Die zulässigen VLANs eines Trunks einzuschränken, ist eine gute Praxis: Dadurch wird die Ausbreitung von Broadcasts reduziert und die Angriffsfläche begrenzt, falls ein VLAN einen bestimmten Switch nicht erreichen soll.

Stellen Sie sich drei Switches vor, auf denen jeweils die VLANs 10, 20 und 30 eingerichtet sind. Mit Trunks transportiert ein einziges Kabel zwischen den Switches alle drei VLANs, die durch Tags getrennt bleiben. Ohne Trunks wären drei Kabel pro Switch-Paar erforderlich. Trunks ermöglichen es, VLANs über ein gesamtes Gebäude oder einen Campus zu skalieren und dabei die Verkabelung einfach zu halten.

Ein Sonderfall verbindet beide Konzepte: ein IP-Telefon mit einem dahinter angeschlossenen PC. Der Port verhält sich für das PC-Daten-VLAN größtenteils wie ein Access-Port, taggt aber zusätzlich den Sprachverkehr für ein separates Voice-VLAN. So können ungetaggte PC-Daten und getaggte Telefondaten über ein Kabel übertragen werden – eine häufige Konfiguration, die Access- und Trunk-ähnliches Verhalten an einem einzigen Port kombiniert.

Zwei häufige Fehler fallen besonders auf. Erstens wird vergessen, ein VLAN auf einem Trunk zuzulassen, sodass Geräte in diesem VLAN keinen anderen Switch erreichen können. Zweitens gibt es einen Mismatch beim Native VLAN, bei dem sich die beiden Enden über das ungetaggte VLAN nicht einig sind, was zu ungewöhnlichen Verbindungsproblemen oder Sicherheitsrisiken führt. Wenn VLAN-Datenverkehr zwischen Switches scheinbar grundlos ausfällt, prüfen Sie zuerst die Liste der auf dem Trunk zugelassenen VLANs und das Native VLAN.

Merken Sie sich die Rollen: Access-Ports verbinden Endgeräte und transportieren ein VLAN; Trunk-Ports verbinden Switches und transportieren mithilfe von 802.1Q-Tags viele VLANs, darunter ein ungetaggtes Native VLAN. Access-Ports sind die Türen, durch die Geräte das Netzwerk betreten; Trunks sind die Autobahnen zwischen Switches. Zusammen ermöglichen sie es, VLANs sauber und sicher über Netzwerke jeder Größe zu erstrecken.

Testen Sie Ihr Wissen über Ports.

Switch-Ports sind Access-Ports oder Trunk-Ports. Ein Access-Port verbindet ein Endgerät und führt ein VLAN. Ein Trunk-Port verbindet Switches und führt mehrere VLANs. Dabei werden die Frames mithilfe von 802.1Q-Tags mit ihrer VLAN-ID gekennzeichnet. Ein Trunk hat ein native VLAN, das ohne Tag übertragen wird (standardmäßig VLAN 1). Trunks ermöglichen es, VLANs mit einer einfachen Verkabelung über mehrere Switches hinweg zu führen. Achten Sie bei Problemen mit Trunks auf nicht erlaubte VLANs und unterschiedliche native VLANs.