VLAN - Was ist ein Virtual Local Area Network?

Vir­tua­li­sie­rung funk­tio­niert mit Speichern, Re­chen­leis­tung, Software und auch mit Netz­werk­tech­no­lo­gie: VLAN be­zeich­net ein vir­tu­el­les, rein logisches Netzwerk basierend auf einem tat­säch­li­chen, phy­si­schen Netz. Wie funk­tio­niert ein Virtual LAN?

Ein phy­si­sches Netzwerk basiert heut­zu­ta­ge in den meisten Fällen auf einem oder mehreren Switches. Dabei handelt es sich um Geräte, die den Da­ten­ver­kehr unter den Teil­neh­mern regeln. Dafür verbinden sich am Switch alle Netz­werk­ka­bel und machen so die Kom­mu­ni­ka­ti­on zwischen den ver­schie­de­nen Computern möglich. In­zwi­schen ist es möglich, dass solche Switches Hunderte von Geräten mit­ein­an­der verbinden und dabei für relativ stö­rungs­freie Kom­mu­ni­ka­ti­on sorgen. Es kann aber sinnvoll sein, so große Netzwerke auf­zu­tei­len, ohne dabei etwas an der phy­si­ka­li­schen In­stal­la­ti­on zu verändern.

Ein Virtual Local Area Network (VLAN) ist ein kleineres logisches Segment innerhalb eines großen phy­si­ka­li­schen, ka­bel­ge­bun­de­nen Netzwerks. Die Zu­sam­men­le­gung der ver­schie­de­nen Stationen zu einem eigenen Netz geschieht dabei stand­ort­un­ab­hän­gig: Solange sie im gleichen LAN mit­ein­an­der verbunden sind, können sie in einem VLAN zu­sam­men­ge­fasst werden. Dabei ist es kein Problem, wenn das LAN sich über mehrere Switches erstreckt. Wichtig ist nur, dass der Switch auch VLAN-fähig ist. Nur mit Managed Switches ist es möglich, VLANs zu gründen.

VLANs können auf ver­schie­de­ne Arten ein­ge­rich­tet werden. Je nach Typ steckt eine andere Technik dahinter. In der Praxis finden zwei Typen Ver­wen­dung: port­ba­sier­te VLANs und Tagged VLANs. In vielen Fällen rea­li­sie­ren Netz­werk­ad­mi­nis­tra­to­ren ihre In­stal­la­tio­nen und Zu­wei­sun­gen über eine Mischform dieser beiden Typen.

In einem Switch wird jeder Netz­teil­neh­mer über einen Port geleitet – grob gesagt: eine Buchse, in der das ent­spre­chen­de Netz­werk­ka­bel steckt, das dann zum je­wei­li­gen Computer führt (die Ports werden al­ler­dings auch verwendet, um Switches mit­ein­an­der zu verbinden). Möchte man nun aus diesem einen phy­si­schen Netz zwei VLANs machen, weist man die ent­spre­chen­den Ports dem ge­wünsch­ten vir­tu­el­len Netzwerk zu.

Auch wenn port­ba­sier­te VLAN-In­stal­la­tio­nen vor allem in kleinen Netz­wer­ken vorkommen und dann nur innerhalb von einem Switch rea­li­siert werden, ist die Kon­fi­gu­ra­ti­on auch über mehrere Switches hinweg möglich. So können Port 1 bis 3 am ersten Switch und Port 1 am zweiten Switch mit­ein­an­der in ein und dasselbe VLAN gesteckt werden. Dafür muss man die Switches al­ler­dings mit gleich zwei Kabeln mit­ein­an­der verbinden – für jedes VLAN eine eigene Ver­bin­dung.

Die Ver­tei­lung der Pakete erfolgt also über die Switches selbst. Ad­mi­nis­tra­to­ren stellen in diesen ein, welche Ports zu welchem VLAN gehören. Damit ist das VLAN statisch. Sollen VLANs anders zu­sam­men­ge­stellt werden, müssen die Ports in der Kon­fi­gu­ra­ti­on des Switches neu verteilt werden. Außerdem kann jeder Port – und damit auch jedes an­ge­schlos­se­ne Gerät – nur Teil eines einzigen VLANs sein. Sollen Geräte aus einem VLAN mit einem anderen kom­mu­ni­zie­ren, muss dies über einen Router geschehen, der die Nach­rich­ten­pa­ke­te wei­ter­schi­cken kann – so wie man es auch von der Kom­mu­ni­ka­ti­on zwischen dem hei­mi­schen Netzwerk und dem Internet kennt.

Bei Tagged VLANs funk­tio­niert die Zuweisung zu VLANs dy­na­mi­scher: Statt fest im Switch fest­ge­legt, sorgt eine Mar­kie­rung (Tag) im Frame des Nach­rich­ten­pa­kets für die Zuordnung. Aus diesem Grund nennt man diese Technik analog zu den port­ba­sier­ten Netzen auch frame­ba­siert. In dem Tag steht die In­for­ma­ti­on, in welchem VLAN man sich gerade befindet. Ein Switch kann so erkennen, in welchem Segment die Kom­mu­ni­ka­ti­on statt­fin­det, und leitet die Nachricht dem­entspre­chend weiter.

Ein VLAN-Tag ist 32 Bit lang und erscheint im Ethernet-Frame direkt nach der MAC-Adresse des Absenders. Das Tag beginnt mit einer zwei Byte langen Protokoll-ID: Der Tag Protocol Iden­ti­fier (TPI) zeigt an, ob überhaupt eine VLAN-ID angegeben wurde. Sollte ein VLAN über den Frame markiert werden, haben diese Blöcke den Wert 0x8100. Im Anschluss verweist der Frame in drei Bits auf die Priorität der Nachricht. Es folgt ein Bit für den Canonical Format Iden­ti­fier (CFI). Diese Position wird nur genutzt, um die Kom­pa­ti­bi­li­tät zwischen Ethernet und Token Ring zu ge­währ­leis­ten.

Erst in den letzten zwölf Bits vermerkt das Protokoll die ei­gent­li­che VLAN-ID (VID). Durch die Länge des Frame-Bereichs sind 4.096 ver­schie­de­ne VLANs verfügbar. Jedes VLAN erhält seine eigene Nummer. Tagged VLANs können auch direkt über die Netz­werk­kar­ten rea­li­siert werden. So un­ter­stützt Linux bei­spiels­wei­se von Haus aus den Standard. Nutzer von Windows hingegen sind abhängig vom je­wei­li­gen Her­stel­ler der Netz­werk­kar­te. Über den Ge­rä­te­trei­ber lässt sich dann das VLAN ein­stel­len.

Das hier vor­ge­stell­te Frame-Prinzip folgt dem Standard IEEE 802.1q. Dies ist die am häu­figs­ten ver­wen­de­te Variante. Tat­säch­lich bestehen aber noch andere Mög­lich­kei­ten, wie sich VLAN-Tags im Nach­rich­ten­pa­ket un­ter­brin­gen lassen. Cisco bei­spiels­wei­se verwendet für seine Switches das Inter-Switch Link Protocol (ISL). Um mehrere VLANs zu er­mög­li­chen, kapselt dieses Protokoll den kom­plet­ten Da­ten­frame ein.

Der Vorteil von einem Tagged VLAN gegenüber einem, das über Port­zu­wei­sung funk­tio­niert, findet sich in der Ver­bin­dung zwischen ver­schie­de­nen Switches. Port­ba­siert müssen min­des­tens zwei Kabel zwischen den Switches verlegt werden, da jedes Virtual LAN seine eigene Ver­bin­dung braucht. Bei Trunking in Tagged VLANs reicht ein Kabel, da die Ver­tei­lung über die In­for­ma­tio­nen des Frames funk­tio­niert. Der Switch erkennt das korrekte VLAN und sendet es weiter an den ent­spre­chen­den zweiten Switch. Dort wird das Tag entfernt und das Paket an den korrekten Empfänger wei­ter­ge­lei­tet.

Warum sollte man die An­stren­gun­gen auf sich nehmen und ein größeres LAN in mehrere kleine VLANs teilen?

Soll ein neuer Teil­neh­mer Teil eines LANs werden, muss das Gerät per Kabel an einen Switch an­ge­schlos­sen werden. Wechselt ein Mit­ar­bei­ter im Un­ter­neh­men das Team und soll daher in einem anderen Netz arbeiten, muss er entweder den Ar­beits­platz wechseln oder die Ver­ka­be­lung muss neu gezogen werden. Bei VLANs funk­tio­niert die Kon­fi­gu­ra­ti­on rein auf Basis von Software. Der Ad­mi­nis­tra­tor kann den gleichen Computer flexibel einem anderen VLAN zuweisen.

Damit unbefugte Personen keinen Zugang zu sensiblen Daten haben, ist es eine gute Idee, das Netzwerk auf eine kleine Gruppe zu be­schrän­ken. Bei einem VLAN begrenzt man die Broadcast-Domäne auf nur wenige Stationen. So kann ein Broadcast nicht Personen erreichen, für die die In­for­ma­tio­nen gar nicht gedacht sind.

Auch eine ver­bes­ser­te Leistung erhält man durch die Re­du­zie­rung der Broadcast-Domäne. Broadcast-Nach­rich­ten müssen nicht mehr das komplette Netz durch­lau­fen. Nach­rich­ten, die vom Typ her an alle Netz­teil­neh­mer gehen, aber nur eine bestimmte Gruppe von Personen erreichen sollen, sorgen somit für unnötigen Traffic. Bei einem VLAN wird die unnütze Belastung der Band­brei­te minimiert.

VLANs verbinden eine logische Gruppe an Stationen mit­ein­an­der. Bei einem Un­ter­neh­mens­netz­werk bei­spiels­wei­se befinden sich mitunter Mit­ar­bei­ter in einer solchen logischen Gruppe, die aber nicht am selben Ort ihre Ar­beits­plät­ze haben. Teilweise befinden sie sich in un­ter­schied­li­chen Räumen, Stock­wer­ken oder gar Gebäuden. Um diese Personen bzw. ihre Computer in einem LAN mit­ein­an­der zu verbinden, müssten sehr lange Kabel gezogen werden – kreuz und quer über das Be­triebs­ge­län­de. Da an einem VLAN mehrere Switches teil­neh­men können, erfolgt die Ver­ka­be­lung damit sehr viel sinn­vol­ler und or­dent­li­cher.

Statt mehrere VLANs lassen sich theo­re­tisch auch mehrere LANs ein­rich­ten, die sich an­schlie­ßend über Router mit­ein­an­der verbinden lassen, damit die Kom­mu­ni­ka­ti­on auch von Netz zu Netz möglich ist. Doch das ist mit zu­sätz­li­chen An­schaf­fun­gen verbunden und daher ein nicht un­er­heb­li­cher fi­nan­zi­el­ler Aufwand. Außerdem ist die In­stal­la­ti­on von par­al­le­len Netzen mit zeit­li­chem Aufwand verbunden.