VLAN-Tagging

Was ist VLAN-Tagging?

VLAN-Tagging bezeichnet das Hinzufügen einer VLAN-Kennung zu Ethernet-Frames, um verschiedene virtuelle Netze über dieselbe physische Leitung zu transportieren. Der Standard IEEE 802.1Q definiert dieses Verfahren. Ein Tag, auch als VLAN-ID oder 802.1Q-Header bezeichnet, wird in den ursprünglichen Ethernet-Frame eingefügt und kennzeichnet das VLAN, zu dem das Paket gehört. Switches, Router und Server werten diese Markierung aus und ordnen den Datenverkehr dem korrekten VLAN zu. VLAN-Tagging ist die Grundlage für Trunk-Verbindungen zwischen Switches und ermöglicht den Betrieb mehrerer logisch getrennter Netze auf einer gemeinsamen physischen Infrastruktur.

Warum VLAN-Tagging notwendig ist

Ethernet-Frames enthalten von Hause aus keine VLAN-Informationen. Ein einfacher Frame besteht aus Ziel- und Quell-MAC-Adresse, einem Ethertype-Feld, den Nutzdaten und einer Prüfsumme. Ohne zusätzliche Kennzeichnung kann ein empfangender Switch nicht erkennen, zu welchem VLAN ein Paket gehört, wenn es über einen Trunk-Port eingeht. Auf einem Trunk laufen die Pakete aller VLANs zusammen. Damit der Switch die Pakete korrekt auf die VLANs verteilen und an die richtigen Access-Ports weiterleiten kann, muss jedes Paket eindeutig markiert sein. VLAN-Tagging löst dieses Problem, indem es eine standardisierte VLAN-ID in den Frame einbettet.

Der Aufbau des 802.1Q-Tags

Das 802.1Q-Tag wird zwischen dem Quell-MAC-Adressfeld und dem Ethertype-Feld des ursprünglichen Frames eingefügt. Es ist 4 Byte lang und besteht aus zwei Hauptkomponenten.

• Tag Protocol Identifier (TPID): Ein 16-Bit-Feld mit dem festen Wert 0x8100. Es zeigt an, dass es sich um einen 802.1Q-getaggten Frame handelt.
• Tag Control Information (TCI): Ein 16-Bit-Feld, das die eigentlichen VLAN-Informationen enthält. Es gliedert sich in drei Teile:
• Priority Code Point (PCP): 3 Bit für die Priorität des Frames, nach IEEE 802.1p. Acht Prioritätsstufen ermöglichen Quality-of-Service-Einstufungen.
• Drop Eligible Indicator (DEI): 1 Bit, das in Kombination mit PCP für die Kennzeichnung von verwerfbaren Paketen bei Überlast verwendet wird.
• VLAN Identifier (VID): 12 Bit für die VLAN-ID. Theoretisch sind 4096 VLANs möglich. Die Werte 0x000 und 0xFFF sind reserviert, sodass 4094 nutzbare VLANs verbleiben.

Native VLAN und Tagging auf Trunk-Ports

Auf einem Trunk-Port kann ein VLAN als natives VLAN definiert werden. Pakete dieses VLANs werden ohne 802.1Q-Tag über den Trunk gesendet. Der empfangende Switch erkennt ein untagged Paket auf einem Trunk-Port als zum nativen VLAN gehörig. Diese Ausnahme reduziert den Overhead für das Management-VLAN oder ein Standard-VLAN und stellt die Kompatibilität zu Geräten sicher, die keine Tags verarbeiten können. Alle anderen VLANs auf dem Trunk erhalten ein 802.1Q-Tag.

Sicherheitshalber sollte das native VLAN von VLAN 1 auf eine ungenutzte VLAN-ID geändert und das Tagging für das native VLAN erzwungen werden, um Double-Tagging-Angriffe zu verhindern.

Tagging auf Access-Ports und bei Endgeräten

Ein Access-Port gehört zu genau einem VLAN und empfängt oder sendet grundsätzlich ungetaggte Frames. Der Switch ordnet eingehende Frames auf einem Access-Port automatisch dem konfigurierten VLAN zu und leitet sie intern mit einem Tag weiter. Ausgehende Frames werden vor dem Verlassen des Access-Ports vom Tag befreit. Endgeräte wie PCs oder Drucker erwarten ungetaggte Ethernet-Frames und sind nicht auf die Verarbeitung von 802.1Q-Tags ausgelegt.

Praktische Bedeutung und Zusammenfassung

VLAN-Tagging ist die zentrale Technik, um Layer-2-Netze logisch zu segmentieren und auf gemeinsamer Hardware zu betreiben. Ohne Tags wäre ein Trunk nicht realisierbar, und VLANs wären auf einzelne Switches beschränkt. Die einheitliche Markierung nach 802.1Q gewährleistet die Interoperabilität zwischen Geräten unterschiedlicher Hersteller und ist die Basis für moderne Netzwerkarchitekturen in Unternehmen, Rechenzentren und Carrier-Netzen.