VLAN – Grundlagen & Trunking

Was ist ein VLAN und warum brauchst du es?

Stell dir vor, du hast 50 Geräte an einem Switch. Alle sind im selben Netzwerksegment – also in derselben Broadcast-Domäne. Das bedeutet: Jedes ARP-Request, jeder DHCP-Discover, jeder Broadcast geht an alle 50 Geräte gleichzeitig. Das ist laut, langsam und ein Sicherheitsproblem.

Ein VLAN (Virtual Local Area Network) löst das, indem es das physische Netzwerk logisch in mehrere unabhängige Segmente aufteilt – ganz ohne neue Kabel verlegen zu müssen. Geräte im selben VLAN kommunizieren direkt miteinander. Geräte in verschiedenen VLANs sind strikt getrennt und können nur über einen Router oder Layer-3-Switch miteinander reden.

Die drei wichtigsten Gründe für VLANs im KMU-Alltag:

1. Sicherheit: Das Gäste-WLAN soll niemals Zugriff auf den Fileserver haben. Mit einem VLAN ist das auf Netzwerkebene erzwungen – egal was der Gast auf seinem Gerät macht.
2. Performance: Kleinere Broadcast-Domänen bedeuten weniger unnötiger Traffic. Besonders relevant bei grossen Netzwerken oder VoIP, das auf geringe Latenz angewiesen ist.
3. Struktur & Übersicht: Statt einem flachen Netzwerk mit 80 Geräten hast du saubere Segmente: Büro, Server, WLAN, Drucker, Telefonie.

Typische VLAN-Aufteilung im KMU

Eine bewährte Grundstruktur für ein KMU mit 20–150 Mitarbeitenden:

Die VLAN-ID ist eine Zahl zwischen 1 und 4094. Reserviere Luecken fuer zukuenftige Erweiterungen – z.B. Produktions-VLAN 70 oder IoT-VLAN 80 kannst du spaeter einfach einfuegen.

Access Port vs. Trunk Port

Das ist das Kernkonzept, das du verstehen musst, bevor du irgendetwas konfigurierst:

Access Port

Ein Access Port gehoert zu genau einem VLAN. Das angeschlossene Geraet (z.B. ein PC, Drucker oder IP-Telefon) weiss gar nichts von VLANs – es sendet normalen, ungetaggten Ethernet-Traffic. Der Switch ordnet den Traffic dem konfigurierten VLAN zu.

PC ──── [Access Port, VLAN 10] ──── Switch

Das Geraet denkt, es ist einfach im Netzwerk. Der Switch kuemmert sich darum, dass der Traffic nur im richtigen VLAN bleibt.

Trunk Port

Ein Trunk Port traegt den Traffic mehrerer VLANs gleichzeitig ueber ein einziges Kabel. Trunk-Verbindungen werden fuer:

• Switch-zu-Switch-Verbindungen
• Switch-zu-Router-Verbindungen
• Switch-zu-Access-Point (wenn der AP mehrere SSIDs/VLANs aussendet)

Switch-A ──── [Trunk Port] ──── [Trunk Port] ──── Switch-B
                  (VLANs 10,20,30,40,50,99 gleichzeitig)

Damit der Switch weiss, welches Paket zu welchem VLAN gehoert, wird es auf dem Trunk-Port getaggt.

IEEE 802.1Q – das VLAN-Tag erklaert

Der Standard IEEE 802.1Q (gesprochen: „dot one Q”) definiert, wie VLAN-Tags in Ethernet-Frames eingefuegt werden. Das ist der universelle Standard – egal ob Cisco, HPE, Unifi oder Mikrotik.

Beim Senden ueber einen Trunk-Port schreibt der Switch einen 4-Byte-Tag in den Ethernet-Frame, direkt nach der Quell-MAC-Adresse:

[Ziel-MAC 6B][Quell-MAC 6B][Tag 4B][EtherType 2B][Payload][FCS]
                              ^^^^
                    Eingeschobenes 802.1Q-Tag

Das Tag besteht aus:

Wenn das Frame am empfangenden Port ankommt, liest der Switch das Tag, leitet es ans richtige VLAN weiter und entfernt das Tag, bevor es an ein Endgeraet auf einem Access Port geht.

Native VLAN

Auf einem Trunk-Port gibt es ein spezielles Konzept: das Native VLAN. Traffic im Native VLAN wird auf dem Trunk ohne Tag uebertragen. Auf Cisco-Geraeten ist das standardmaessig VLAN 1.

Konfigurationsbeispiel: Cisco IOS

Das ist die Standardkonfiguration fuer einen Cisco-Switch. Prinzip und Kommandosatz gelten aequivalent fuer viele andere Hersteller.

! === VLANs erstellen ===
vlan 10
 name User
vlan 20
 name Server
vlan 30
 name WLAN-Intern
vlan 40
 name WLAN-Gaeste
vlan 50
 name VoIP
vlan 99
 name Management
exit

! === Access Port fuer Arbeitsplatz (VLAN 10) ===
interface GigabitEthernet0/1
 description Arbeitsplatz Buero 1
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast
 no shutdown

! === Access Port fuer IP-Telefon + PC (Voice VLAN) ===
! Das Telefon traegt VLAN 50, der dahinterliegende PC laeuft auf VLAN 10
interface GigabitEthernet0/2
 description IP-Telefon mit PC
 switchport mode access
 switchport access vlan 10
 switchport voice vlan 50
 no shutdown

! === Trunk Port zum Core-Switch / Router ===
interface GigabitEthernet0/24
 description Uplink zu Core-Switch
 switchport mode trunk
 switchport trunk encapsulation dot1q
 switchport trunk allowed vlan 10,20,30,40,50,99
 switchport trunk native vlan 999
 no shutdown

! === Management-IP auf dem Switch setzen ===
interface Vlan99
 ip address 192.168.99.10 255.255.255.0
 no shutdown

Spanning Tree im Detail: STP, RSTP und MSTP

Sobald du Trunk-Ports fuer Redundanz doppelt verkabelst (z.B. zwei Uplinks zwischen Access- und Core-Switch), entsteht auf Layer 2 eine physische Schleife. Ethernet-Frames haben – anders als IP-Pakete – kein TTL-Feld. Ohne Gegenmassnahme kreist ein Broadcast-Frame endlos im Kreis, vervielfacht sich an jedem Switch und legt das Netz innerhalb von Sekunden lahm (Broadcast-Storm). Das Spanning Tree Protocol verhindert das, indem es redundante Pfade rechnerisch blockiert und nur einen aktiven Pfad pro Ziel zulaesst.

Root Bridge und Port-Rollen

Alle STP-Varianten laufen nach demselben Grundprinzip:

1. Die Switches waehlen per Wahl eine Root Bridge – den Switch mit der niedrigsten Bridge-ID (Prioritaet + MAC-Adresse, Standard-Prioritaet 32768). Der Root Bridge werden alle Ports zu Designated Ports (immer im Forwarding-Zustand).
2. Jeder andere Switch bestimmt seinen Root Port – den Port mit dem guenstigsten (niedrigsten) Pfadkosten-Wert zur Root Bridge.
3. Alle uebrigen Ports auf einem redundanten Pfad werden blockiert, um die Schleife zu verhindern.

RSTP ersetzt die fuenf klassischen STP-Zustaende (Disabled, Blocking, Listening, Learning, Forwarding) durch drei: Discarding, Learning, Forwarding. Ausserdem gibt es zwei zusaetzliche Port-Rollen fuer schnellere Ausfallsicherung: der Alternate Port uebernimmt sofort, wenn der Root Port ausfaellt – ohne auf eine netzweite Neuberechnung zu warten. Der Backup Port ist die Redundanz fuer einen Designated Port am selben Segment.

! Rapid PVST+ aktivieren (Cisco-Implementierung von RSTP, eine Instanz pro VLAN)
spanning-tree mode rapid-pvst

! Diesen Switch explizit als Root Bridge fuer bestimmte VLANs festlegen
spanning-tree vlan 10,20,99 root primary

! Alternativ: Prioritaet manuell setzen (niedriger = bevorzugt, Vielfaches von 4096)
spanning-tree vlan 10 priority 4096

BPDU Guard, Loop Guard und Root Guard

Drei Schutzmechanismen, die du in produktiven Netzen aktivieren solltest:

! BPDU Guard global fuer alle PortFast-Ports aktivieren
spanning-tree portfast bpduguard default

! Loop Guard global auf allen Nicht-Edge-Ports aktivieren (empfohlen als Standard)
spanning-tree loopguard default

! Root Guard gezielt auf einem Uplink zu einem fremden Switch
interface GigabitEthernet0/23
 description Uplink zu Kunden-/Fremdnetz, nicht vertrauenswuerdig
 spanning-tree guard root

LACP und Port-Channel kombiniert mit Trunk-Ports

Ein einzelner Trunk-Uplink zwischen zwei Switches ist ein Single Point of Failure und ein Bandbreiten-Flaschenhals. Mit LACP (Link Aggregation Control Protocol, IEEE 802.1AX, frueher 802.3ad) buendelst du mehrere physische Ports zu einem logischen Port-Channel (Cisco: EtherChannel). Fuer Spanning Tree sieht das Bundle wie eine einzige Verbindung aus – es gibt also keine STP-blockierten Ports, obwohl mehrere Kabel aktiv Traffic tragen.

LACP kennt drei Modi:

Wichtig: Mindestens eine Seite muss active sein (zwei passive-Seiten sprechen nie miteinander). Alle Mitglieder-Ports eines Bundles muessen identisch konfiguriert sein: gleiche Geschwindigkeit/Duplex, gleicher Switchport-Modus (Access oder Trunk), gleiche erlaubte VLANs und dasselbe Native VLAN.

! Auf Switch A: zwei physische Uplink-Ports zu einem LACP-Bundle zusammenfassen
interface range GigabitEthernet0/23-24
 channel-protocol lacp
 channel-group 1 mode active

! Das entstandene logische Interface als Trunk konfigurieren
interface Port-channel1
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,40,50,99
 switchport trunk native vlan 999

! Auf Switch B (Gegenstelle): identische Trunk-Konfiguration, Modus active oder passive
interface range GigabitEthernet0/23-24
 channel-protocol lacp
 channel-group 1 mode passive

Verifikation:

show etherchannel summary
show lacp neighbor
show interfaces trunk

Inter-VLAN-Routing: Wie VLANs miteinander kommunizieren

VLANs sind per Definition isoliert. Damit ein User in VLAN 10 auf den Fileserver in VLAN 20 zugreifen kann, muss geroutet werden. Zwei gaengige Varianten:

Option 1: Layer-3-Switch (empfohlen)

Ein Layer-3-Switch (auch Multilayer-Switch) kann sowohl switchen als auch routen. Er hat virtuelle Interfaces (SVIs – Switched Virtual Interfaces) fuer jedes VLAN und leitet Traffic zwischen VLANs intern weiter.

! Auf dem Layer-3-Switch
ip routing          ! IP-Routing global aktivieren

! SVI (virtuelle Interface) fuer jedes VLAN
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
 no shutdown

interface Vlan20
 ip address 192.168.20.1 255.255.255.0
 no shutdown

interface Vlan40
 ip address 192.168.40.1 255.255.255.0
 no shutdown

Vorteile: Sehr schnell (Hardware-Routing), keine separaten Router-Kosten, einfache Konfiguration. Das ist die bevorzugte Loesung fuer KMU.

Option 2: Router-on-a-Stick

Falls nur ein normaler Router zur Verfuegung steht: Ein einziges physisches Router-Interface wird mit Sub-Interfaces konfiguriert – eines pro VLAN. Der Switch verbindet sich ueber einen Trunk-Port mit dem Router.

! Auf dem Router
interface GigabitEthernet0/0
 no shutdown         ! Physical Interface muss aktiv sein, aber keine IP

interface GigabitEthernet0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0

interface GigabitEthernet0/0.20
 encapsulation dot1Q 20
 ip address 192.168.20.1 255.255.255.0

interface GigabitEthernet0/0.40
 encapsulation dot1Q 40
 ip address 192.168.40.1 255.255.255.0

Der Name „Router-on-a-Stick” kommt daher, dass das eine Kabel zwischen Switch und Router wie ein Stecken aussieht – der gesamte VLAN-Traffic laeuft darueber. Nachteil: Der Uplink ist ein Flaschenhals, und der Router muss alle Inter-VLAN-Pakete verarbeiten.

Private VLANs (PVLAN): Isolation innerhalb eines VLANs

Manchmal reicht ein normales VLAN nicht aus. Beispiel: Ein Hosting- oder Rechenzentrums-Segment mit 30 Servern verschiedener Kunden im selben Subnetz – jeder Server soll mit dem Gateway sprechen duerfen, aber niemals mit dem Server des Nachbarn. Eine Loesung waere 30 einzelne VLANs mit 30 kleinen Subnetzen, was IP-Adressen verschwendet und die Verwaltung aufblaeht. Private VLANs (PVLAN) loesen das eleganter: Sie erlauben Isolation auf Port-Ebene innerhalb eines gemeinsamen VLANs und Subnetzes.

Ein PVLAN besteht aus einem Primary VLAN und ein oder mehreren Secondary VLANs, denen jeweils ein Port-Typ zugeordnet ist:

! VTP muss auf transparent stehen, damit PVLAN-Konfiguration lokal bleibt
vtp mode transparent

! Primary VLAN und Secondary VLANs anlegen
vlan 100
 private-vlan primary
vlan 101
 private-vlan isolated
vlan 102
 private-vlan community

! Secondary VLANs mit dem Primary VLAN verknuepfen
vlan 100
 private-vlan association 101,102

! Host-Port im isolierten Bereich (z.B. Kundenserver)
interface GigabitEthernet0/1
 switchport mode private-vlan host
 switchport private-vlan host-association 100 101

! Promiscuous-Port zum Gateway/Firewall
interface GigabitEthernet0/24
 switchport mode private-vlan promiscuous
 switchport private-vlan mapping 100 101,102

Praxisbeispiel: Gaeste-VLAN einrichten

Szenario: Besucher sollen WLAN bekommen, aber keinen Zugriff auf interne Server, Drucker oder Netzlaufwerke.

Schritte:

1. VLAN 40 (WLAN-Gaeste) am Switch erstellen und dem Trunk-Port zum Access Point erlauben
2. Am Access Point eine zweite SSID „Gaeste-WLAN” anlegen und auf VLAN 40 mappen
3. Im DHCP-Server (z.B. Firewall oder Router) einen DHCP-Pool fuer 192.168.40.0/24 einrichten, gebunden an VLAN 40
4. An der Firewall eine Regel erstellen: Traffic von VLAN 40 darf nur ins Internet, nicht in VLANs 10, 20, 30, 50, 99
5. Optional: DNS-Resolver fuer Gaeste auf externen Server (z.B. 1.1.1.1) setzen, nicht auf interne DNS-Server

Gaeste-Laptop → WLAN (SSID: Gaeste) → AP → VLAN 40 → Firewall → Internet
                                                    ↓
                                     Firewall blockiert: 192.168.10.0/24
                                                         192.168.20.0/24
                                                         192.168.50.0/24

Troubleshooting – haeufige VLAN-Probleme

Geraet bekommt keine IP-Adresse

• DHCP-Server kennt das VLAN nicht: Ist ein DHCP-Scope fuer das Subnetz vorhanden? Ist der DHCP-Relay-Agent (IP-Helper auf dem SVI oder Router-Interface) konfiguriert?
• Access-Port hat falsches VLAN: show interfaces GigX switchport zeigt das konfigurierte VLAN
• Trunk-Port erlaubt das VLAN nicht: show interfaces trunk zeigt, welche VLANs erlaubt und aktiv sind

Zwei Geraete im selben VLAN koennen sich nicht pingen

• Ist STP (Spanning Tree) schuld? Pruefe ob der Port im forwarding-Zustand ist: show spanning-tree
• Firewall- oder ACL-Regeln koennen auch Intra-VLAN-Traffic blockieren
• Subnetmasken passen nicht zusammen (z.B. /24 vs. /25)

Inter-VLAN-Routing funktioniert nicht

! Aktuelle VLAN-Datenbank anzeigen
show vlan brief

! Trunk-Port-Status pruefen
show interfaces trunk

! SVI-Status pruefen (Layer-3-Switch)
show ip interface brief

! Routing-Tabelle anzeigen
show ip route

! IP-Routing aktiviert?
show running-config | include ip routing

Haeufige Ursachen:

• ip routing vergessen zu aktivieren
• SVI ist shutdown oder down/down
• Das VLAN ist dem Trunk-Port nicht erlaubt
• Falsche Standardroute fuer abgehenden Traffic

Netzwerk-Schleife durch Fehlkonfiguration

Wenn ein Trunk-Port versehentlich mit einem Access-Port verbunden wird, kann STP (Spanning Tree Protocol) das zwar abfangen, aber es fuehrt zu Verzoegerungen. Pruefe immer show spanning-tree wenn Ports unerklaerlich blockieren.

Multi-Vendor-Interoperabilitaet: ISL vs. 802.1Q und Default-VLAN

In gemischten Umgebungen (Cisco-Core, Unifi- oder HP-Access-Switches, Mikrotik-Router) triffst du gelegentlich auf historische oder herstellerspezifische Eigenheiten beim Trunking.

ISL – ein Auslaufmodell

Vor 802.1Q gab es ISL (Inter-Switch Link), ein proprietaeres Cisco-Verfahren. ISL kapselt den kompletten Ethernet-Frame in einen zusaetzlichen 26-Byte-Header plus 4-Byte-CRC-Trailer ein, statt nur ein 4-Byte-Tag einzufuegen – das erzeugt mehr Overhead als 802.1Q. Ausserdem kennt ISL kein Native VLAN: Es taggt ausnahmslos jeden Frame. ISL ist zu 802.1Q nicht kompatibel und auf aktuellen Catalyst-9000-Switches gar nicht mehr verfuegbar.

Fuer jede Neuinstallation gilt: ausschliesslich 802.1Q verwenden. Auf aelteren Cisco-Switches mit beiden Optionen wird das explizit konfiguriert:

interface GigabitEthernet0/24
 switchport trunk encapsulation dot1q
 switchport mode trunk

Default-VLAN je nach Hersteller

Jeder Hersteller behandelt das „VLAN, in dem ein frisch ausgepackter Switch startet” etwas anders – ein haeufiger Stolperstein bei Multi-Vendor-Trunks:

VLAN-Konfiguration auf anderen Plattformen

Unifi (Ubiquiti)

Im Unifi-Controller unter Networks > Create New Network: VLAN-ID eintragen, VLAN-only aktivieren. Am Switch-Port unter Port Profile das passende VLAN-Profil waehlen. Trunk-Ports (Uplinks zwischen Switches) werden automatisch konfiguriert.

HP Procurve / Aruba

# VLAN erstellen
vlan 10
  name "User"
  untagged 1-8         ! Access Ports: untagged = Access
  tagged 24            ! Uplink: tagged = Trunk
  ip address 192.168.10.1/24

# Trunk-Port zu anderem Switch
vlan 10
  tagged 24
vlan 20
  tagged 24

Mikrotik RouterOS

# Auf einem CRS-Switch: VLAN-Bridge konfigurieren
/interface bridge vlan
add bridge=bridge1 tagged=sfp-sfpplus1 untagged=ether1 vlan-ids=10
add bridge=bridge1 tagged=sfp-sfpplus1 untagged=ether2 vlan-ids=20

VXLAN als VLAN-Erweiterung: kurzer Ausblick

VLANs sind auf 4094 IDs begrenzt (12 Bit im 802.1Q-Tag) und bleiben immer an eine zusammenhaengende Layer-2-/STP-Domaene gebunden. In grossen Rechenzentren, bei Multi-Site-Virtualisierung oder in der Cloud reicht das nicht mehr aus – dort kommt VXLAN (Virtual Extensible LAN, RFC 7348) ins Spiel.

VXLAN kapselt Ethernet-Frames in UDP/IP-Pakete (Ziel-Port 4789) ein und traegt damit ein Layer-2-Overlay-Netzwerk ueber eine geroutete Layer-3-Infrastruktur. Statt der 12-Bit-VLAN-ID nutzt VXLAN eine 24-Bit-VNI (VXLAN Network Identifier) – das erlaubt bis zu rund 16,7 Millionen logische Segmente statt 4094. Ein- und Auspacken der Frames erledigen sogenannte VTEPs (VXLAN Tunnel Endpoints), meist virtuelle Switches im Hypervisor oder dedizierte Rechenzentrums-Switches.

Fuer ein klassisches KMU-Netzwerk, wie es dieser Artikel behandelt, ist VXLAN in der Regel nicht relevant – VLANs reichen fuer die ueblichen Groessenordnungen locker aus. Relevant wird es, sobald Virtualisierungsplattformen wie VMware NSX, Hyper-V Network Virtualization oder Cloud-Overlays (z.B. Azure-VNets) im Spiel sind. Mehr dazu in Virtualisierung: Hochverfuegbarkeit und Azure VNet & NSG im Detail.

VLAN-Aenderungsmanagement mit Rollback-Plan

Eine VLAN-Aenderung an einem produktiven Trunk- oder Core-Port kann, wie oben schon angesprochen, in Sekunden ein ganzes Netzsegment vom Netz trennen. Deshalb gehoert jede nicht-triviale VLAN-Aenderung in einen formalen Change-Prozess (siehe auch Change Management nach ITIL):

1. Change dokumentieren: Ticket mit Ziel, betroffenen Geraeten und Zeitfenster anlegen (siehe Ticketsystem-Grundlagen)
2. Backup vor der Aenderung: aktuelle Konfiguration sichern
3. Rollback-Plan vorher schriftlich festlegen – nicht erst im Fehlerfall improvisieren
4. Wartungsfenster ausserhalb der Kernarbeitszeit waehlen
5. Aenderung durchfuehren und sofort verifizieren (Konnektivitaet, show-Befehle)
6. Bei Problemen: Rollback-Plan 1:1 anwenden, nicht neu improvisieren
7. Dokumentation/CMDB aktualisieren und Ticket schliessen

! Beispiel-Change: VLAN 70 (Produktion) zu einem bestehenden Trunk hinzufuegen

! Schritt 1: Vorher-Zustand sichern
copy running-config tftp://192.168.99.5/switch-backup-2026-07-07.cfg

! Schritt 2: Aenderung durchfuehren
vlan 70
 name Produktion
interface GigabitEthernet0/24
 switchport trunk allowed vlan add 70

! Schritt 3: Verifikation
show vlan brief
show interfaces trunk

! Rollback-Plan (nur bei Bedarf ausfuehren)
interface GigabitEthernet0/24
 switchport trunk allowed vlan remove 70
no vlan 70

Bei vielen Switches oder wiederkehrenden Aenderungen lohnt sich, die Konfiguration versioniert zu verwalten statt Aenderungen nur manuell am Geraet vorzunehmen – siehe Git fuer IT-Admins und Infrastructure as Code im Vergleich.

Checkliste vor der VLAN-Inbetriebnahme

• VLAN-IDs und Subnetz-Plan dokumentiert (IP-Adressplan)
• VLANs auf allen beteiligten Switches erstellt
• Trunk-Ports konfiguriert und alle benoetigen VLANs erlaubt
• Access-Ports den richtigen VLANs zugewiesen
• DHCP-Scopes fuer jedes VLAN vorhanden (oder statische IPs)
• Inter-VLAN-Routing konfiguriert (L3-Switch oder Router-on-a-Stick)
• Firewall-Regeln zwischen VLANs definiert
• Native VLAN auf beiden Seiten jedes Trunks identisch
• Spanning Tree aktiv (Rapid PVST+/RSTP), BPDU Guard auf allen Endgeraete-Ports
• LACP-Bundles: beide Seiten identisch konfiguriert (VLANs, Native VLAN, Modus)
• Rollback-Plan fuer die Aenderung schriftlich vorbereitet
• Konfiguration gespeichert (copy running-config startup-config) und Backup abgelegt
• Dokumentation aktualisiert

Weiterlernen

• Cisco: Configure Inter-VLAN Routing with External Router – offizielle Cisco-Dokumentation mit Schritt-fuer-Schritt-Anleitung
• Cisco: Inter-Switch Link and IEEE 802.1Q Frame Format – technische Details zum 802.1Q-Tag-Format
• Cisco: Understand Rapid Spanning Tree Protocol (802.1w) – offizielle Erklaerung zu RSTP-Port-Rollen und Konvergenz
• Cisco: Configure Isolated Private VLANs on Catalyst Switches – offizielle PVLAN-Konfigurationsanleitung
• RFC 7348: Virtual eXtensible Local Area Network (VXLAN) – der offizielle VXLAN-Standard
• IEEE 802.1Q-2018 Standard – offizieller IEEE-Standard (kostenpflichtig, aber Abstract kostenlos)
• Thomas-Krenn Wiki: VLAN Grundlagen – gute deutschsprachige Uebersicht mit Diagrammen
• NetworkAcademy.IO: VLAN Trunking – erklaert Trunking und 802.1Q sehr anschaulich auf Englisch

Verwandte Seiten in diesem Wiki:

• TCP/IP Grundlagen – Voraussetzung: IP-Adressierung und Subnetting
• Routing Grundlagen – vertieft, wie Traffic zwischen Subnetzen/VLANs tatsaechlich geroutet wird
• DNS Grundlagen – DNS-Anfragen aus verschiedenen VLANs korrekt auflosen
• DHCP Grundlagen – DHCP-Relay konfigurieren fuer mehrere VLANs
• WLAN Grundlagen – WLAN-VLANs und SSIDs verbinden
• 802.1X Netzwerkzugangskontrolle – Geraete dynamisch dem richtigen VLAN zuweisen
• Firewall Grundlagen – Regeln zwischen VLANs sauber aufbauen
• Wireshark Grundlagen – VLAN-Tags in Paketen analysieren
• Change Management nach ITIL vertieft – formaler Prozess fuer risikoreiche Netzwerk-Changes
• IT-Security Grundlagen KMU – Netzwerksegmentierung als Sicherheitsmassnahme

Videos

YouTube

YouTube