Was ein Switch tut
Ein Switch arbeitet auf Layer 2 und verbindet Geräte im selben Netz.
- Leitet Frames anhand der Ziel-MAC gezielt weiter
- Lernt MAC-Adressen automatisch aus eingehenden Frames
- Ersetzt den alten Hub (der stumpf an alle sendete)
Die MAC-Adresstabelle
Der Switch merkt sich: welche MAC-Adresse hängt an welchem Port.
- Unbekanntes Ziel → Frame wird geflutet (an alle Ports)
- Einträge altern aus (Aging Timer)
- Grundlage für effizientes, gezieltes Weiterleiten
Kollisions- vs. Broadcast-Domäne
Kollisionsdomäne
Jeder Switch-Port ist eine eigene – keine Kollisionen mehr (Full Duplex).
Broadcast-Domäne
Ohne VLANs erstreckt sie sich über den ganzen Switch.
- Broadcasts erreichen alle Geräte der Domäne
- Große Broadcast-Domänen = mehr Last und Risiko
VLANs
Virtuelle LANs unterteilen einen Switch in mehrere logische Netze.
Ein VLAN = eine eigene Broadcast-Domäne, unabhängig vom physischen Standort.
- Segmentierung nach Abteilung, Funktion oder Sicherheit
- Weniger Broadcast-Last, bessere Isolation
- VLAN-übergreifend geht nur über einen Router (Layer 3)
Access- vs. Trunk-Port
Access-Port
Gehört zu genau einem VLAN – für Endgeräte.
Trunk-Port
Transportiert mehrere VLANs – zwischen Switches/zum Router.
- Trunks kennzeichnen Frames per VLAN-Tag
- Endgerät bemerkt vom VLAN nichts
802.1Q-Tagging
802.1Q fügt ein 4-Byte-Tag mit der VLAN-ID (1–4094) in den Frame ein.
- Nur auf Trunks – Access-Ports senden ungetaggt
- Native VLAN wird ungetaggt übertragen (Standard: VLAN 1)
- Native VLAN auf beiden Trunk-Enden gleich setzen
Inter-VLAN-Routing
Damit VLANs miteinander reden, braucht es Routing.
- Router-on-a-Stick: ein Trunk zum Router mit Sub-Interfaces
- Layer-3-Switch: routet VLANs intern, deutlich schneller
- Ohne Routing bleiben VLANs vollständig getrennt
Häufige Fehler
Der Klassiker: Ein Gerät hängt am falschen Port-Typ oder das VLAN ist auf dem Trunk nicht erlaubt.
- Access- und Trunk-Port verwechselt
- Native-VLAN auf beiden Trunk-Enden unterschiedlich
- VLAN nicht in der erlaubten Trunk-Liste