XPLN/Lernbereiche

F08 · Architektur · IPv4

VLANs und mehrere Subnetze

Kapitel in dieser Lernstufe

Das lernst du

  • Layer-2-Trennung, IP-Subnetze und Scopes zuordnen.
  • Ein Drei-Netze-Konzept mit überprüfbaren Zuständigkeiten erstellen.

Voraussetzungen: G02 · IPv4 und Subnetze berechnenG04 · Client, Server, Switch und RouterG07 · Adressplanung mit ReserveF01 · Transport und Erreichbarkeit

Büro, Gäste und Technik sollen getrennt sein. VLANs trennen den lokalen Frameverkehr. IP-Subnetze beschreiben die Layer-3-Adressen. DHCP muss zur tatsächlich erreichten Clientseite passen.

Ein Kabel trägt drei getrennte Broadcast-Domänen

Getrennte Netze auf einem gemeinsamen TrunkTrunkBüro · VLAN 10192.168.10.0/24Scope10Gäste · VLAN 30192.168.30.0/24Scope30Technik · VLAN 40192.168.40.0/24Scope40Ein VLAN ist eine Broadcast-Domäne, kein DHCP-Scope.
Grafik vergrößern
Getrennte Netze auf einem gemeinsamen TrunkTrunkBüro · VLAN 10192.168.10.0/24Scope10Gäste · VLAN 30192.168.30.0/24Scope30Technik · VLAN 40192.168.40.0/24Scope40Ein VLAN ist eine Broadcast-Domäne, kein DHCP-Scope.
Die räumlich getrennten Flächen zeigen Büro-VLAN 10, Gäste-VLAN 30 und Technik-VLAN 40. Ihre Verkehrswege bleiben auch auf einem gemeinsamen VLAN-Trunk logisch getrennt. Die Scopefelder rechts zeigen eine logische Zuordnung: Im gezeigten Entwurf besitzt jedes VLAN ein eigenes IPv4-Subnetz und einen dazu passenden DHCP-Scope. Der Trunk allein wählt keinen Scope; dafür ist der Empfangskontext am Server beziehungsweise die Herkunftsinformation des Relays entscheidend. Die Nummerngleichheit ist Planung, keine vom Protokoll erzwungene Beziehung.

Ein übliches Modell, keine Begriffsgleichheit

Ein VLAN ist eine Broadcast-Domäne. Häufig wird pro VLAN ein IPv4-Subnetz und pro versorgtem Subnetz ein Scope geplant. VLAN-ID 10 erzwingt aber nicht das Netz 192.168.10.0/24; diese Zuordnung ist eine dokumentierte Designentscheidung.

Ein Scope legt keine Switchports in ein VLAN und erstellt keine Router-Schnittstelle. Ebenso erzeugt ein VLAN allein keinen DHCP-Bereich. Ein Client am falschen Access-Port kann eine technisch gültige Adresse aus dem falschen Netz erhalten.

Zuordnung testen

Notiere für jedes Netz VLAN-ID, Präfix, Routerinterface, DHCP-Pool und Relayziel. Auf Trunks müssen die benötigten VLANs transportiert werden. Der zentrale Server benötigt passende Bereiche und einen Weg zu den Relays.

Prüfe für jeden Testclient die tatsächliche Anschlusszuordnung, anschließend die empfangene Netzkonfiguration. Eine erfolgreiche Vergabe im Gästenetz ist kein Nachweis, dass der Büro-Client ebenfalls korrekt eingeordnet wird. Zugangsschutz zwischen Netzen ist eine zusätzliche Routing-/Firewallaufgabe.

VLAN und IPv4-Netz beantworten verschiedene Fragen

Ein VLAN begrenzt auf Ethernet-Ebene, welche Anschlüsse zu einer gemeinsamen Broadcast-Domäne gehören. Ein IPv4-Präfix legt fest, welche Adressen ein Client als lokal betrachtet. In einem übersichtlichen Firmennetz wird häufig ein Subnetz pro VLAN geplant. Technisch sind die Begriffe trotzdem nicht identisch: Eine falsche VLAN-Zuordnung kann einen Client in den falschen Broadcastbereich setzen, obwohl seine IP-Einstellungen zunächst vertraut aussehen.

Der DHCP-Server sieht beim lokalen Empfang die entsprechende Schnittstelle oder bei einem Relay dessen Herkunftsinformation. Die VLAN-Nummer steht nicht automatisch als universelles Standardfeld im DHCPv4-Grundpaket. Deshalb muss die Zuordnung von VLAN, Routerinterface, Relayadresse und Scope ausdrücklich dokumentiert werden. Die Aussage „VLAN 10“ ersetzt keine Angabe wie 192.168.10.0/24.

Einen Umzug zwischen Netzen nachweisen

Ein Gerät wechselt von Büro-VLAN 10 in Gäste-VLAN 30. Prüfe zuerst den tatsächlichen Anschluss und seine Broadcast-Domäne. Danach beobachte, ob eine gespeicherte Adresse wieder angefragt wird oder eine neue Suche beginnt. Der neue passende Scope muss eine Adresse, Maske und Optionen aus dem Gästenetz liefern. Ein korrektes Büro-ACK wäre am neuen Anschluss gerade kein Erfolg.

Teste zusätzlich die gewollte Trennung: Ein Gast darf vielleicht das Internet erreichen, aber nicht den internen Dateiserver. DHCP liefert dafür die Konfiguration; die Zugriffsbeschränkung selbst wird durch Routing- und Filterregeln umgesetzt. Ein eigener DHCP-Bereich ist somit noch keine vollständige Sicherheitsgrenze. Vergabe und erlaubte Kommunikation müssen separat abgenommen werden.

DURCHGEARBEITETES BEISPIEL

Nordlicht mit drei Clientnetzen

  1. Büro: VLAN 10, 192.168.10.0/24, Gateway .1, Pool .100–.199.
  2. Gäste: VLAN 30, 192.168.30.0/24, Gateway .1, eigener Pool und kürzere Lease. Technik: VLAN 40, 192.168.40.0/24, getrennte Reservierungen.
  3. DHCP-Server bleibt 192.168.20.10. Auf jeder benötigten Clientseite wird ein Relay zum Server eingerichtet.
  4. Je ein Testclient bezieht neu. Vergleiche Subnetz, Gateway und Leaseprofil; teste zusätzlich, dass Gäste nicht allein wegen DHCP Zugriff auf Bürodateien erhalten.

Ergebnis: Drei gültige Scopes sind notwendig, aber keine vollständige VLAN- oder Sicherheitskonfiguration.

Typische Fehler

  • VLAN-Nummern sind keine IP-Adressen.
  • Ein Scope kann ein fehlendes VLAN nicht reparieren.
  • Ein Client im falschen VLAN kann trotzdem eine gültige Lease erhalten.

Praktisch anwenden

P13 öffnen P15 öffnen P36 öffnen

Offizielle Quellen

Versionsbezüge geprüft am 14. Oktober 2026. Produktkonfigurationen werden im jeweiligen isolierten Labor validiert.