# data[].attributes.body
Netzwerkkarte

# data[].attributes.body
https://community.fs.com/de/blog/switch-mac-address-whats-it-and-how-does-it-work.html

# data[].attributes.attachment_link.readable_text
Switch-Mac-Adresse: Was ist das und wie funktioniert es?

Sie haben vielleicht bemerkt, dass jedes Hardwareteil im lokalen Netzwerk neben der IP-Adresse auch eine MAC-Adresse besitzt. Mit Ausnahme von Switches, die eine Switch-MAC-Adresse haben, besitzen alle Geräte, die mit dem Internet verbunden sind, eine MAC-Adresse als eindeutige Identifikationsnummer - von Desktop-Computern, Laptops, Mobiltelefonen, Tablets bis hin zu drahtlosen Sicherheitskameras oder sogar Smart-Kühlschränken. Warum benötigen Ihre Netzwerkgeräte also zwei Adressen, um sich mit einem Netzwerk zu verbinden? Ist eine IP-Adresse nicht ausreichend? Wofür genau ist diese MAC-Adresse gedacht?

Um die Funktion von MAC-Adressen (Media Access Control) auf den Punkt zu bringen, können Sie sich die MAC-Adresse als einen einzigartigen digitalen Fingerabdruck vorstellen. Eine MAC-Adresse wird vom Hersteller angegeben und ist in den Chip eingebettet, der es Ihrem Gerät ermöglicht, sich mit einem Netzwerk zu verbinden. Bei einem Netzwerk-Switch ist es wahrscheinlich, dass er viele MAC-Adressen hat, da jeder Schnittstelle am Switch eine MAC-Adresse zugeordnet ist.

Eine Übersicht zu Mac-Adressen

Eine MAC-Adresse, auch bekannt als "Hardware-Adresse" oder "physikalische Adresse", ist eine Binärzahl, die zur eindeutigen Identifizierung von Computer-Netzwerkadaptern verwendet wird. Pakete, die über Ethernet gesendet werden, kommen immer von einer MAC-Adresse und werden an eine MAC-Adresse gesendet. Wenn ein Netzwerkadapter ein Paket empfängt, vergleicht er die Ziel-MAC-Adresse des Pakets mit der eigenen MAC-Adresse des Adapters. Wenn die Adressen übereinstimmen, wird das Paket verarbeitet, andernfalls wird es verworfen. Traditionelle MAC-Adressen sind 12-stellige Hexadezimalzahlen. Die letzten sechs hexadezimalen Ziffern der Adresse entsprechen der eindeutigen Kennung eines Herstellers, während die letzten sechs Ziffern der Seriennummer der Netzwerkschnittstellenkarte (NIC/Network Interface Card) entsprechen.

Beziehung zwischen MAC- und IP-Adressen

Zunächst mag es den Anschein haben, dass IP-Adressen und MAC-Adressen doppelt vorhanden sind, weil beide eindeutige Identifikatoren von vernetzten Geräten sind, aber sie dienen tatsächlich unterschiedlichen Zwecken und sind auf sehr unterschiedliche Weise sichtbar. MAC arbeitet auf Layer 2 des OSI-Modells, während IP auf Layer 3 arbeitet.

MAC-Adressen werden typischerweise nur verwendet, um Pakete von einem Gerät zum nächsten Gerät zu leiten, während Daten in einem Netzwerk übertragen werden. Das bedeutet, dass die MAC-Adresse des Netzwerkadapters eines Computers das Netzwerk nur bis zum nächsten Gerät auf dem Weg durchläuft. Ist ein Router involviert, geht die MAC-Adresse eines Computers darüber hinaus nicht weiter. Wenn Ihr Computer ein Paket an eine IP-Adresse x.x.x.x. senden möchte, dann ist die erste Prüfung, ob sich die Zieladresse im gleichen IP-Netzwerk wie der Computer selbst befindet. Wenn sich x.x.x.x. im gleichen Netzwerk befindet, kann die Ziel-IP direkt erreicht werden - andernfalls muss das Paket an den konfigurierten Router gesendet werden. Die MAC-Adresse sendet das Datenpaket also einfach an das nächste Gerät, aber die IP-Adresse ist dafür verantwortlich, es an ein ultimatives Ziel zu bringen.

Wofür verwenden Switches die Mac-Adresse?

Switches sind anders als Hubs oder Repeater. Ein Hub sendet einfach jedes Signal auf jedem Port an jeden anderen Port zurück, was (obwohl ineffizient und langsam) einfach umzusetzen ist. Ein Switch hingegen leitet den Datenverkehr zwischen Systemen intelligent weiter, indem er Pakete nur zu ihrem eigentlichen Ziel leitet. Dazu verfolgt es die MAC-Adressen der an jeden Port angeschlossenen NICs. MAC-Adressen müssen eindeutig sein oder zumindest höchst unwahrscheinlich wiederholt werden, damit Switches verschiedene Ports und Geräte identifizieren können. Aus diesem Grund kann die manuelle Einstellung einer MAC-Adresse in einem Switch-Netzwerk unerwartete Folgen haben. Switches haben in der Regel eine Reihe von MAC-Adressen, die in ihrer MAC-Adresstabelle hinterlegt sind. Beim Weiterleiten eines Frames sucht der Switch zunächst in der MAC-Adresstabelle nach der Ziel-MAC-Adresse des Frames für den ausgehenden Port. Wenn der ausgehende Port gefunden wird, wird der Frame weitergeleitet und nicht geroutet, sodass die Sendungen reduziert werden.

Wie lernen Switches Mac-Adressen?

Da ein Switch über eine gewisse Intelligenz verfügt, kann er die MAC-Adresstabelle automatisch erstellen. Der folgende Teil veranschaulicht, wie ein Switch MAC-Adressen lernt.

Es gibt einen Schalter in der Mitte und wir haben drei Computer im Einsatz. Alle Computer haben eine MAC-Adresse, aber sie sind vereinfacht als AAA, BBB und CCC dargestellt. Der Switch hat eine MAC-Adresstabelle und er lernt, wo sich alle MAC-Adressen im Netzwerk befinden. Angenommen, Computer A sendet etwas an Computer B:

Computer A wird einige Daten senden, die für Computer B bestimmt sind. Auf diese Weise wird er einen Ethernet-Frame erstellen, der eine Quell-MAC-Adresse (AAA) und eine Ziel-MAC-Adresse (BBB) beinhaltet. Der Switch hat eine MAC-Adresstabelle und Folgendes wird passieren:

Der Switch erstellt eine MAC-Adresstabelle und lernt nur von den MAC-Quelladressen. In diesem Moment hat es gerade gelernt, dass die MAC-Adresse von Computer A auf der Schnittstelle 1 steht. Es fügt nun diese Informationen in seine MAC-Adresstabelle ein. Aber der Switch hat derzeit keine Informationen darüber, wo sich Computer B befindet. Es gibt nur noch die Option, diesen Frame in alle seine Schnittstellen zu fluten. Computer B und Computer C werden diesen Ethernet-Frame beide empfangen.

Da Computer B seine MAC-Adresse als Ziel dieses Ethernet-Frames erkennt, wird Computer C ihn verwerfen. Computer B wird auf Computer A reagieren, einen Ethernet-Frame erstellen und ihn an den Switch senden. In diesem Moment lernt der Switch die MAC-Adresse von Computer B. Jetzt kennt der Switch beide MAC-Adressen und kann beim nächsten Mal anstelle des Flutens von Ethernet-Frames einfach "switchen". Computer C wird niemals Frames zwischen Computer A und B sehen, außer dem ersten, der geflutet wurde. Sie können den dynamischen Befehl show mac address-table dynamic verwenden, um alle MAC-Adressen anzuzeigen, die der Switch gelernt hat.

Ein weiterer Punkt, der hier hervorgehoben werden sollte, ist, dass die MAC-Adresstabelle auf dem Switch einen Alterungsmechanismus für dynamische Einträge verwendet. Wenn die MAC-Adresse von Computer A und B nicht innerhalb ihrer Alterungszeit aktualisiert wird, werden sie gelöscht, um Platz für neue Einträge zu schaffen. Das bedeutet, dass die Frames zwischen Computer A und B wieder auf Computer C geflutet werden, wenn A Informationen an B übertragen möchte.

Wie wird die Switch-Mac-Adresstabelle konfiguriert?

Für die Frame-Weiterleitung wird eine MAC-Adresstabelle gepflegt, die dynamisch gelernt oder manuell konfiguriert werden kann. Ersteres wurde im vorherigen Text vorgestellt und der nächste Teil konzentriert sich auf die manuelle Konfiguration der MAC-Adressen, um sie an Netzwerkänderungen anzupassen und die Netzwerksicherheit zu verbessern.

Konfigurieren von statischen, dynamischen und Blackhole MAC-Adresstabelleneinträgen

Um die Port-Sicherheit zu verbessern, können Sie manuell MAC-Adresseinträge zur MAC-Adresstabelle hinzufügen, um Ports mit MAC-Adressen zu verbinden und so MAC-Adress-Spoofing-Angriffe abzuwehren. Darüber hinaus können Sie Blackhole-MAC-Adresseingaben konfigurieren, um Pakete mit bestimmten Quell- oder Ziel-MAC-Adressen herauszufiltern.

Ändern oder hinzuzufügen eines statischen, dynamischen oder Blackhole MAC-Adresstabelleneintrages:

1. Rufen Sie die Systemansicht auf.

Systemansicht

N/A

2. Fügen Sie einen dynamischen oder statischen MAC-Adresseintrag hinzu oder ändern Sie ihn.

MAC-Adresse { dynamic | static } mac-addressinterface interface-type interface-number vlan

Verwenden Sie einen der Befehle.

3. Fügen Sie einen Blackhole-MAC-Adresseintrag hinzu oder ändern Sie ihn.

Mac-Adresse Blackhole mac-address vlan

Konfigurieren eines Unicast MAC-Adresstabelleneintrags mit mehreren Anschlüssen

Sie können einen Eintrag in der Unicast MAC-Adresstabelle mit mehreren Ports konfigurieren, um eine Unicast MAC-Adresse mehreren Ports zuzuordnen, sodass Pakete, die mit dem Eintrag übereinstimmen, an mehrere Ziel-Ports gesendet werden.

Konfigurieren eines MAC-Adresstabelleneintrags mit mehreren Ports für Unicasts:

1. Rufen Sie die Systemansicht auf.

Systemansicht

N/A

2. Konfigurieren Sie einen Eintrag in der Multi-Port-Unicast-MAC-Adresstabelle.

Mac-Adresse Multiport mac-address interface interface-list vlan

Standardmäßig sind keine Einträge in der Multi-Port-Unicast-MAC-Adresstabelle vorhanden.
Stellen Sie sicher, dass Sie das VLAN erstellt haben, und weisen Sie die Schnittstellen dem VLAN zu.

Konfigurieren des Alterungs-Timers für dynamische MAC-Adresseingaben

Die MAC-Adresstabelle auf Ihrem Switch verwendet einen Alterungsmechanismus für dynamische Einträge, sodass dynamische MAC-Adresseinträge, die nicht innerhalb ihrer Alterungszeit aktualisiert werden, gelöscht werden, um Platz für neue Einträge zu schaffen, und die MAC-Adresstabelle wird umgehend aktualisiert, um die neuesten Netzwerkänderungen anzupassen.

Zur Konfiguration des Alterungstimers für dynamische MAC-Adresseingaben:

1. Rufen Sie die Systemansicht auf.

Systemansicht

N/A

2. Configure the aging timer for dynamic MAC address entries.

mac-address timer { agingseconds | no-aging }

Wahlweise. Der Wertebereich des Alterungszeitgebers beträgt 10 bis 3600 Sekunden und der Standardwert 300 Sekunden.

Konfigurieren der MAC-Lerngrenze auf Ports

Um zu verhindern, dass die MAC-Adresstabelle so groß wird, dass die Weiterleitungsleistung des Switches nachlässt, können Sie die Anzahl der MAC-Adressen begrenzen, die an einem Port gelernt werden können.

So konfigurieren Sie die MAC-Lerngrenze für Ports:

1. Rufen Sie die Systemansicht auf.

Systemansicht

N/A

2.Geben Sie die Ansicht für die Ethernet-Schnittstelle, die Portgruppe oder die Schicht 2-Aggregatschnittstelle ein.

1. Öffnen Sie die Ansicht der Ethernet-Schnittstelle: interface Schnittstellentyp Schnittstellennummer

2. Portgruppenansicht aufrufen: Portgruppenhandbuchport-group-name

3. Rufen Sie die aggregierte Schnittstellenansicht für Layer 2 auf: Interface Bridge-Aggregationinterface-number

Verwenden Sie einen beliebigen Befehl.
Einstellungen in der Ansicht der Ethernet-Schnittstelle oder der Ansicht der Schicht 2-Gesamtschnittstelle wirken sich nur auf den aktuellen Port aus. Die Einstellungen in der Portgruppenansicht wirken sich auf alle Mitgliedsports in der Portgruppe aus.

3.Konfigurieren Sie das MAC-Lernlimit auf einer Schnittstelle und konfigurieren Sie, ob Frames mit unbekannten Quell-MAC-Adressen weitergeleitet werden können, wenn das MAC-Lernlimit erreicht ist.

mac-addresse max-mac-count { count | disable-forwarding }

Standardmäßig ist die maximale Anzahl von MAC-Adressen, die auf einer Schnittstelle gelernt werden können, nicht angegeben.

Verwenden Sie einen beliebigen Command.

Einstellungen in der Ethernet-Schnittstellenansicht oder im Layer-2-Aggregat der Schnittstellenansicht wirken sich nur auf den aktuellen Port aus. Die Einstellungen in der Portgruppenansicht wirken sich auf alle Mitgliedsports der Portgruppe aus.

To configure the MAC learning limit on a VLAN:

1. Rufen Sie die Systemansicht auf.

Systemansicht

N/A

3.Konfigurieren Sie die MAC-Lerngrenze auf eine Schnittstelle und konfigurieren Sie, ob Frames mit unbekannten Quell-MAC-Adressen weitergeleitet werden können, wenn die MAC-Lerngrenze erreicht ist.

mac-addresse max-mac-count { count | disable-forwarding }

Standardmäßig ist die maximale Anzahl der MAC-Adressen, die auf einer Schnittstelle gelernt werden können, nicht angegeben.

Anzeigen und Pflegen der MAC-Adresstabelle

1.Display MAC-Adressentabelle Informationen.

Mac-Adresse anzeigen [mac-address [ vlan ] | [ [ dynamic | static ] [ interface interface-type interface-number] | blackhole ] [ vlan vlan-id ] [ count ] ] [ | { begin | exclude | include } regular-expression ]

Verfügbar in jeder Ansicht

2. Zeigen Sie die Einträge in der Multi-Port-Unicast-MAC-Adresstabelle an.

Anzeige Mac-Adresse Multiport [ vlan vlan-id ] [ count ] [ | { begin | exclude | include } regular-expression ]

Verfügbar in jeder Ansicht

3. Zeigen Sie den Alterungszeitgeber für dynamische MAC-Adresseinträge an.

display mac-address aging-time [ | { begin | exclude | include } regular-expression ]

Verfügbar in jeder Ansicht

Zusammenfassung

Da MAC-Adressen auf der Netzwerkkarte eindeutig sind und nicht wiederverwendet werden, sind sie für Anwendungen sehr nützlich und wichtig. Netzwerk-Switches speichern eine Liste von MAC-Adressen, die an jedem Port sichtbar sind, und leiten nur Pakete an die Ports weiter, die das Paket sehen müssen. Drahtlose Zugangspunkte verwenden oft MAC-Adressen für die Zugangskontrolle. Sie erlauben den Zugriff nur für bekannte Geräte. Außerdem verwenden DHCP-Server (Dynamic Host Configuration Protocol) die MAC-Adresse, um Geräte zu identifizieren und einigen Geräten feste IP-Adressen zu geben.

# data[].attributes.attachment_link.title
Switch-Mac-Adresse: Was ist das und wie funktioniert es? | FS Community

# data[].attributes.attachment_link.description
Sie haben vielleicht bemerkt, dass jedes Hardwareteil im lokalen Netzwerk neben der IP-Adresse auch eine MAC-Adresse besitzt. Mit Ausnahme von Switches, die eine Switch-MAC-Adresse haben, besitzen alle Geräte, die mit dem Internet verbunden sind, eine MAC-Adresse als eindeutige Identifikationsnummer - von Desktop-Computern, Laptops, Mobiltelefonen, Tablets bis hin zu drahtlosen Sicherheitskameras oder sogar Smart-Kühlschränken.

# data[].attributes.attachment_link.readable_text
Link Aggregation fast mehrere parallele Verbindungen zu einer logischen Verbindung zusammen. Dieses Verfahren ist auch unter dem Begriff Port Trunking oder Channel Bundling bekannt. Weil die Netzwerk-Hersteller unterschiedliche Lösungen entwickelt haben, die zueinander inkompatibel waren, ist der Standard IEEE 802.3ad entstanden.

Für Link Aggregation wurde in die MAC-Schicht von Ethernet ein Link Aggregation Control Layer (LACL) eingefügt, der für die Verteilung des Datenstroms auf die einzelnen Ports sorgt. Der Informationsaustausch zur Steuerung zwischen den verbundenen Stationen wird vom Link Aggregation Control Protocol (LACP) vorgegeben. Die Informationen werden von speziellen Ethernet-Frames transportiert. Entweder nach jeder Veränderung oder im regelmäßigen Austausch.

Das Link Aggregation Control Protocol (LACP) ist ein Protokoll zur Bündelung von Punkt-zu-Punkt-Verbindungen zwischen zwei Netzwerk-Stationen. Dabei spielt es keine Rolle, ob es sich um eine Switch-zu-Switch- oder Switch-zu-Server-Verbindung handelt.
Durch LACP werden zwei physikalische Leitungen zu einer logischen Verbindung zusammengefasst, die als Link Aggregation Group (LAG) bezeichnet wird. Wichtig ist dabei, das es sich um zwei Vollduplex-Verbindungen mit der selben Übertragungsrate handelt.
So lassen sich zwei Gigabit-Verbindungen zu einer LAG konfigurieren, die eine Geschwindigkeit von 2 GBit/s hat.
Auf diese Weise lässt sich zwischen zwei Stationen mit einfachen Mitteln die Bandbreite und somit die Datenrate vervielfachen. Ein weiterer Vorteil, fällt eine Verbindung aus, läuft der Datenverkehr auf der anderen Leitung weiter.

Weitere verwandte Themen:

Netzwerktechnik-Fibel

Alles was Sie über Netzwerke wissen müssen.

Die Netzwerktechnik-Fibel ist ein Buch über die Grundlagen der Netzwerktechnik, Übertragungstechnik, TCP/IP, Dienste, Anwendungen und Netzwerk-Sicherheit.
Das will ich haben!

Netzwerktechnik-Fibel

Alles was Sie über Netzwerke wissen müssen.

Die Netzwerktechnik-Fibel ist ein Buch über die Grundlagen der Netzwerktechnik, Übertragungstechnik, TCP/IP, Dienste, Anwendungen und Netzwerk-Sicherheit.
Das will ich haben!

# data[].attributes.attachment_link.description
Link Aggregation fast mehrere parallele Verbindungen zu einer logischen Verbindung zusammen. Dieses Verfahren ist auch unter dem Begriff Port Trunking oder Channel Bundling bekannt. Weil die Netzwerk-Hersteller unterschiedliche Lösungen entwickelt haben, die zueinander inkompatibel waren, ist der Standard IEEE 802.3ad entstanden.

# data[].attributes.body
https://www.elektronik-kompendium.de/sites/net/0907091.htm

# data[].attributes.attachment_link.readable_text
Das Spanning-Tree-Verfahren ist im Standard IEEE 802.1d für die MAC-Schicht spezifiziert. Es soll das Auftreten von doppelten Frames in einem geswitchten Ethernet-Netzwerk verhindern. Die doppelten Frames entstehen durch zwei oder mehr parallele Verbindungen zwischen zwei Switches. Frames, die mehrfach beim Empfänger ankommen, können zu einem Fehlverhalten führen.

Spanning Tree spannt das physikalische Netzwerk zu einem logischen Baum auf, in dem zu jedem Ziel nur ein einziger Weg existiert. Die Switches bzw. Bridges kommunizieren in einem Netzwerk mit Hilfe von BPDUs (Bridge Protocol Data Unit). Diese Konfigurationspakete werden als Multicast-Frames an die MAC-Adresse 01-80-C2-00-00-10 geschickt. Diese Frames werden alle 2 Sekunden an die nächste, tiefer gelegene Station (Bridge oder Switch) übermittelt. Auf diese Weise werden parallele Strecken erkannt und die optimale Strecke ermittelt. Man spricht dann von Prioritäten bzw. Wegkosten, die die Datenrate und Entfernung berücksichtigt. Ports mit nichtbevorzugten Strecken werden dann deaktiviert.

Fällt die bevorzugte Strecke aus, bleibt auch das BPDU-Frame aus, was zu einer Reorganisation des Netzwerks führt. Bei komplizierten Verschachtelungen wird der Baum (Spanning Tree) neu berechnet, was zu einer Verzögerung von bis zu 30 Sekunden oder mehr führen kann. Erst danach kann auf der redundanten Strecke die Übertragung fortgesetzt werden.

IEEE 802.1w / RSTP - Rapid Spanning Tree Protocol

Die relativ lange dauernde Neuberechnung des logischen Netzwerks ist für einen potentielle Angreifer, der ein Netzwerk lahm legen will, ein gefundenes Fressen. Nur ein einziges gefälschtes Spanning-Tree-Frame ist in der Lage eine Reorganisation auszulösen und das gesamte Netzwerk für 30 Sekunden oder mehr lahm zulegen.
Um dieses Szenario zu vermeiden, wurde unter IEEE 802.1w das abwärtskompatible RSTP, auch Fast Spanning Tree genannt, entwickelt. Es sieht vor, dass bei einem Ausfall einer Verbindung mit der bestehenden Netzwerkstruktur weitergearbeitet wird, bis eine alternative Strecke berechnet ist. Anschließend wird ein neuer logischer Baum erstellt und erst dann, innerhalb einer Sekunde, umgestellt.

Loop Detection

Manche einfache Switches ohne Spanning Tree haben eine Loop-Detection-Funktion. Dazu sendet der Switch alle paar Minuten ein Frame an eine bestimmte Adresse. Empfängt der Switch ein solches Frame mit seiner eigenen Adresse, existiert eine Schleife, die über eine LED signalisiert wird.
Eine Schleife wird so nicht verhindert, aber der Netzwerk-Administrator kann sie zumindest optisch erkennen.

Weitere verwandte Themen:

Netzwerktechnik-Fibel

Alles was Sie über Netzwerke wissen müssen.

Die Netzwerktechnik-Fibel ist ein Buch über die Grundlagen der Netzwerktechnik, Übertragungstechnik, TCP/IP, Dienste, Anwendungen und Netzwerk-Sicherheit.
Das will ich haben!

Netzwerktechnik-Fibel

Alles was Sie über Netzwerke wissen müssen.

Die Netzwerktechnik-Fibel ist ein Buch über die Grundlagen der Netzwerktechnik, Übertragungstechnik, TCP/IP, Dienste, Anwendungen und Netzwerk-Sicherheit.
Das will ich haben!

# data[].attributes.attachment_link.title
STP - Spanning Tree Protocol / IEEE 802.1d/w

# data[].attributes.attachment_link.description
Das Spanning-Tree-Verfahren ist im Standard IEEE 802.1d für die MAC-Schicht spezifiziert. Es soll das Auftreten von doppelten Frames in einem geswitchten Ethernet-Netzwerk verhindern. Die doppelten Frames entstehen durch zwei oder mehr parallele Verbindungen zwischen zwei Switches. Frames, die mehrfach beim Empfänger ankommen, können zu einem Fehlverhalten führen.

# data[].attributes.body
Kopplung der Netzwerk-Stationen

# data[].attributes.body
https://www.elektronik-kompendium.de/sites/kom/0301282.htm

# data[].attributes.body
elektrischer oder auch optischer Signalverstärker oder -aufbereiter zur Vergrößerung der Reichweite eines Signals.

# data[].attributes.body
Übertragungsgeschwindigkeit

# data[].attributes.body
Übertragungsgeschwindigkeit

# data[].attributes.body
https://www.elektronik-kompendium.de/sites/net/0906221.htm

# data[].attributes.attachment_link.readable_text
VLANs sind virtuelle lokale Netze die in IEEE 802.1q standardisiert sind und auf der Schicht 2 des OSI-Schichtenmodells arbeiten. Typischerweise arbeitet man in einem Ethernet-basierten Netzwerk mit VLAN- bzw. Multi-LAN-Technik.
Der Standard IEEE 802.1q ist für die VLAN-Technik bekannt, beinhaltet aber auch die Möglichkeit zur Priorisierung von Datenverkehr.

Trennung der Datenströme bzw. Segmentierung durch virtuelle LANs (VLAN-ID)

Priorisierung der Datenströme durch Class of Service (CoS)

Damit beide Verfahren funktionieren, müssen die Netzwerk-Komponenten auf der gesamten Übertragungsstrecke in der Lage sein, alle Datenpakete zu klassifizieren und zu priorisieren.

Was ist mit „virtuelle LANs mit logischer Trennung" gemeint?

Die Trennung der Datenströme auf Schicht 2 durch virtuelle LANs sorgt dafür, dass sich Computer unterschiedlicher Subnetze (auf IP-Ebene) nicht sehen können. Denn VLAN-fähige Switche **schalten Ethernet-Frames nur zwischen Ports, die zum selben VLAN gehören**.

Beispiel Voice-VLAN: Ein Switch erkennt VoIP-Telefone anhand der MAC-Adresse und weist diesen Geräten eine für Telefonie reserviertes VLAN zu. Der Sprachdatenverkehr wird dadurch vom herkömmlichen Datenverkehr im selben lokalen Netzwerk abgeschottet.

Beispiel Private-VLAN: Jeder Switch-Port ist ein eigenes VLAN. Auf diese Weise können die Clients im lokalen Netzwerk nicht direkt miteinander kommunizieren. Auf diese Weise kann der Datenverkehr durch Fremde nicht ausgespäht werden (ARP Spoofing). Die einzelnen Endgeräte bekommen nur Zugriff aufs Internet. Sinnvoll für Gäste in Hotels und Unternehmen.

Grundlagen der Netzwerk-Segmentierung

PLAN: Mehrere Switche für unterschiedliche Netze, die physikalisch voneinander getrennt sind, was teuer, aufwendig und fehleranfällig ist.

Port-Konfiguration: Ein Zwischenschritt ist, zusammengehörige Switch-Ports zu konfigurieren.

Mandanten-fähig: Einzelne Switch-Ports lassen sich Nutzergruppen zuweisen.

VLAN: Jedes VLAN verhält sich wie ein eigener Switch. Die Geräte in den zugeordneten VLANs können miteinander, aber nicht direkt mit Geräten in anderen VLANs kommunizieren.

Segmentierung durch VLAN-Tagging mit VLAN-ID

Virtuelle LANs werden mit Markierungen bzw. Tags der Ethernet-Frames realisiert. Dazu werden Tags definiert. Wobei es sich hierbei nur um eine Nummer handelt. Die Tags werden von den Switchen im Netzwerk ausgewertet.

Es gibt zwei Möglichkeiten, Pakete mit VLAN-Tags zu versehen.

1. Der Switch versieht jedes eingehende Ethernet-Frame mit oder ohne Abhängigkeit der MAC-Adresse mit einem Tag, was Switch-seitig konfiguriert sein muss.

2. Die einzelnen Hosts versehen ausgehende Datenpakete mit Tags. Dazu muss die LAN-Konfiguration jedes Gerätes entsprechend angepasst werden, damit die korrekte Kennung in den Frame-Header geschrieben wird. Vorteil: Ein Switch kann Pakete aus unterschiedlichen VLANs über denselben Port verarbeiten.

Prinzipiell sind 4.096 (2 hoch 12 Bit) virtuelle LANs möglich (von 0 bis 4.095). Allerdings sind die IDs 0 und 4.095 reserviert. Die ID 1 wird typischerweise als Admin-VLAN verwendet, damit alle Netzwerk-Komponenten zentral steuerbar sind.
In der Praxis ist es so, dass die Anzahl der konfigurierbaren VLANs oft begrenzt ist. Typisch sind 24 oder 256.

VLANs werden mit Switche realisiert, die in gewisser Weise die Vorteile von Switching und Routing vereinen. Es gilt die Regel: Verbleibt der Netzwerkverkehr innerhalb eines VLANs, wird geswitcht, andernfalls wird in ein anderes VLAN geroutet. Wobei Switching schneller ist als Routing.

Beispiel-Architektur eines lokalen Netzwerkes mit VLANs

Obwohl die Clients der VLANs 1, 2 und 3 an unterschiedlichen Switche angeschlossen sind, sind sie für unterschiedliche Subnetze adressiert. Die Layer-3-Switche achten anhand der Subnetze auf die gezielte Weiterleitung von Broadcasts. Muss ein Datenpaket das Subnetz wechseln, wird es automatisch in ein anderes VLAN geroutet.

Ethernet-Frame nach IEEE 802.1q

Insgesamt wird das Ethernet-Frame um 4 Byte verlängert und zusätzliche Informationen in den Header gepackt.
Das VID-Feld enthält das 12 Bit lange VLAN-Tag für die Segmentierung bzw. Trennung des Datenverkehrs.
Im ToS-Feld des Ethernet-Headers können drei Bit für die Priorisierung verwendet werden (IP-Precedence). Mit drei Bit können 8 Prioritätsstufen abgebildet und Dienstklassen bzw. einem Class of Service (CoS) zugeordnet werden.

Anwendung von VLANs

VLANs können dann sinnvoll eingesetzt werden, wenn man zwei oder mehrere voneinander physikalisch getrennte Netze haben möchte, aber keine zusätzliche Hardware installieren will.

Trennung von Zugängen zum lokalen Netzwerk mit Zugriff aufs lokale Netzwerk und nur mit Internet-Zugang.

Trennung von Test- und Produktivumgebungen.

Normalen Datenverkehr von Anwendungen und Backup trennen.

Minimierung des Datenverkehrs innerhalb des lokalen Netzwerks. Beispielsweise Begrenzung von Broadcast durch ARP, DHCP, MAC-Flooding, usw. (Hinweis: Broadcasts lassen sich auch durch Subnetting begrenzen.)

Was geht mit IEEE 802.1q nicht?

Weder mit VLAN noch CoS ist eine Garantie der Bandbreite und Verzögerungszeit möglich. Das wäre nur mit verbindungsorientierten Maßnahmen möglich. Grundsätzlich gilt auch, dass alle Switche im Netzwerk die Verfahren beherrschen müssen.

Mehr Sicherheit durch VLAN?

Der VLAN-Technik wird ein gewisser Sicherheitsaspekt zugesagt. Der ist grundsätzlich gegeben, durch die Trennung des Datenverkehrs. Vorausgesetzt, die Implementierung und Konfiguration ist vollständig und richtig. Allerdings sind für einen Angreifer per VLAN getrennte Netze nur eine Hürde, kein wirkliches Hindernis. Einem Angreifer stehen genug weitere Abhörmöglichkeiten zur Verfügung.

VXLAN - Virtual Extensible LAN

In der Regel reichen die rund 4.096 VLAN-Tags für jedes Netzwerk vollkommen aus. Allerdings gibt es sehr große Umgebungen, beispielsweise bei Netzbetreibern, die Datenverkehr nach Kunden segmentieren wollen. Das können Millionen sein.
Bei einem Virtual Extensible LAN (VXLAN) werden Ethernet-Frames in Layer-4-UDP-Pakete gekapselt (Port 4789). Insgesamt können so 16.777.215 (24 Bit) Layer-2-Umgebungen voneinander getrennt werden, die jeweils wieder 4.096 VLANs beinhalten können.

Quality of Service

Weitere verwandte Themen:

Netzwerktechnik-Fibel

Alles was Sie über Netzwerke wissen müssen.

Die Netzwerktechnik-Fibel ist ein Buch über die Grundlagen der Netzwerktechnik, Übertragungstechnik, TCP/IP, Dienste, Anwendungen und Netzwerk-Sicherheit.
Das will ich haben!

Netzwerktechnik-Fibel

Alles was Sie über Netzwerke wissen müssen.

Die Netzwerktechnik-Fibel ist ein Buch über die Grundlagen der Netzwerktechnik, Übertragungstechnik, TCP/IP, Dienste, Anwendungen und Netzwerk-Sicherheit.
Das will ich haben!

# data[].attributes.attachment_link.title
VLAN - Virtual Local Area Network / IEEE 802.1q

# data[].attributes.attachment_link.description
VLANs sind virtuelle lokale Netze die in IEEE 802.1q standardisiert sind und auf der Schicht 2 des OSI-Schichtenmodells arbeiten. Typischerweise arbeitet man in einem Ethernet-basierten Netzwerk mit VLAN- bzw. Multi-LAN-Technik. Der Standard IEEE 802.1q ist für die VLAN-Technik bekannt, beinhaltet aber auch die Möglichkeit zur Priorisierung von Datenverkehr. Trennung der Datenströme bzw.

# data[].attributes.body
Referenzmodell für Netzwerkprotokolle als Schichtenarchitektur.

# data[].attributes.body
Computer bzw. Rechner mit einem zugehörigen Betriebssystem bezeichnet, der Teil eines Netzwerks ist und seine Leistungen oder Ressourcen anderen Netzwerkstationen zur Verfügung stellt.

# data[].attributes.body
Verkabelung von einzelnen Gebäuden untereinander vor

# data[].attributes.body
https://www.elektronik-kompendium.de/sites/net/0908031.htm

# data[].attributes.body
Verbindungselement für Kabel, das für Rangierung, d. h. für den Aufbau komplexer Kabelstrukturen in Gebäuden, eingesetzt wird.

# data[].attributes.body
https://www.itwissen.info/Switch-switch.html

# data[].attributes.attachment_link.description
Switches sind Netzwerkkomponenten, die Schaltfunktionen ausführen. Dabei können diese Schaltfunktionen als Vermittlungsfunktionen in Weitverkehrsnetzen ebenso wie in lokalen Netzen stattfinden. Switches arbeiten hardwarebasiert und sind daher wesentlich schneller als Komponenten, die ihre Schaltfunk…