VLAN konfigurieren - Frage zu Tagged und Untagged

Moin,

TL;DR:
Tagged wenn mehrere VLANs über einen Port müssen
Untagged: wenn ein Endgerät auf ein VLAN zugreifen soll

lg,
Slainte

Und wenn @aqui dir nicht weiterhilft, dann lies nochmal hier: https://www.thomas-krenn.com/de/wiki/VLAN_Grundlagen

Mit VLANs trennt man den Switch auf mehrere Switche auf.

Wenn Du port 5+10 ins VLAN10 stellst, hast du zwei Switche gebaut:

1. Switch: Port 1,2,3,4,6,7,8,9
2. Switch: Port 5,10

Beide Switche sehen sich untereinander nicht. Also auch die daran angeschlossenen PCs sehen sich nicht untereinander, nur die, die im gleichen VLAN hängen.
Du hast also zwei komplett voneinander unabhängige Netzwerke.
Bedenke, dass eine Fritzbox nur auf Switch 1 oder Switch 2 angeschlossen sein kann, also nur in VLAN 1 oder VLAN10.
Wenn du die Fritzboxmit (mit ihren 4 möglichen Ausgängen) in beide VLANs rein steckst, damit beide Netzwerke Internet bekommen würden, hast du die zwei VLANs über den Switch in der Fritzbox miteinander verbunden und alles verhält sich wieder so, als ob keine zwei Netzwerke existieren würden. Dann wäre der Sinn vom VLAN futsch.

Also benötigst du dann einen Router, der zwei Schnittstellen hat, eine Schnittstelle an VLAN1 stecken, die andere an VLAN10. Der Router sorgt dafür, dass beide Netzwerke Internet abbekommen, aber es trotzdem zwei getrennte Netzwerke bleiben bzw nur nach Wunsch bestimmte Protokolle zwischen den zwei VLANs ausgetauscht werden können.

Jetzt gibt es auch Router und andere Geräte, die zwei oder mehrere Schnittstellen über ein einziges Netzwerkkabel verwalten können. VLAN1 und VLAN10 gehen über das selbe Kabel. Intern verwaltet das Gerät dann sogenannte "virtuelle Schnittstellen". Damit es weiss welches ankommende Netzwerkpaket zu welchem VLAN gehört, werden im Paket die Tags mit gesendet. Damit weiss das Gerät zu welcher virtuellen Schnittstelle es gehört ohne sie durcheinander zu bringen. Dieser Tag ist also eine Erkennungsmarke, z.B. ich bin für VLAN10, mehr nicht.

Auch dem Switch kann man an einem Anschluss mehrere VLANs zuordnen.

Nun laufen über ein Kabel mehrere VLANs, jedes Paket hat einen Tag mit seiner VLAN Nummer. Aber ein Paket kommt trotzdem ohne diesem Tag an (untagged). Man muss also dem Switch und dem Gerät zuordnen, zu welchem VLAN dieses Paket gehören soll, wenn gar kein Tag mit gesendet wird. Meinetwegen ins VLAN 1.

Drucker z.B. können mit VLANs überhaupt nichts anfangen und senden alle Netzwerkpakete ohne VLAN Tags. In diesem Fall würde des Switch entscheiden: Drucker, ich schiebe Deine Pakete ins VLAN 1. Weil VLAN1 an diesem Anschluss als untagged VLAN definiert ist.

Nachdem alle Endgeräte einfacher zu handhaben sind, wenn keine VLAN Einstellungen gemacht werden (sie brauchen ja nur ein LAN), werden grundsätzlich alle Switch Anschlüsse für Endgeräte als untagged VLAN eingestellt. Tagged VLAN benötigt man nur für Geräte, die in mehrere Netze kommunizieren müssen z.B. der Router.

Moin,




Du kannst auch beide Netze über eine Fritte laufen lassen, dazu benötigst du aber die Gastnetz Funktion der Fritte und hast dann keine Möglichkeit das die Netze miteinander kommunizieren können! So habe ich ein LAN mit einem separierten GAST LAN und Gast-WLAN umgesetzt weil der Eigentümer kein Geld für einen vernünftigen Router ausgeben wollte.

Alternativ natürlich ein Routing fähiger Switch...

Moin,

Das ist relativ einfach, Faustregel:

untagged immer dann, wenn nur ein (IP-)Netz oder ein einzelnes Endgerät an dem Port hängt.

tagged immmer dann, wenn da mehrere Netze oder Endgeräte dranhängen, die in veschiedenen IP-Netzen sein müssen, als da sind Switche, Router, Server mit mehreren konfigurierten VLANS.

lks

Die VLAN Schnellschulung sollte dir das eigentlich umfassend erklären:
Heimnetzwerk Aufbauen oder auch wie wird ein Longshine LCS-GS8408 eingerichtet

Für etwas mehr Details solltest du einen Blick ins hiesige VLAN Tutorial riskieren:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern

Wichtig ist bei Switches die kein Auto PVID können noch das PVID Setting am Port:
Warum gibt es PVID bei VLANs?

Ein Bild sagt manchmal mehr als 1000 Worte und entspricht dem was der Kollege LKS oben schon gesagt hat:


Mit dem Rüstzeug solltest du nun aber genau wissen wann man einen Port auf Tagged und wann man ihn auf UNtagged setzt ?!

Hi,

ich habe einen Switch von Cisco.
Da ich Hobby-Admin bin, habe ich mir die Sache mit "tagged" und "untagged" mit folgender Faustregel gemerkt:

Grundsätzlich:
Jedem Port kann (bei Cisco) zugewiesen werden, ob er „Trunk“-Port oder „Access“-Port sein soll.

„Trunk-Ports“ können „tagged“, „untagged“ und „excluded“ sein.
„Trunk“-Ports verbinden „firewall und switch“ oder „switch und switch“.

Sie müssen dann im default-VLAN (Standard: VLAN1) „untagged“ sein.
Gleichzeit sind diese Port auch immer Mitglieder in den anderen VLANs (VLAN 10, 20, 30, 40) – hier sind sie dann „tagged“.

Faustregel:
Uplink-Ports sind „Trunk“ und Mitglied im default-VLAN (Standard: VLAN1). Hier sind sie "unttaged" und nie "tagged". Diese Ports müssen zudem gleichzeitig "tagged" Mitglied in den angelegten VLANs (z.B. 10, 20, 30 usw.) sein.

... ist sicherlich nicht der Weisheit letzter Schluss, aber so kann ich es mir ganz gut einprägen.

Moin zusammen!
@aqui kurze Frage zu deinem Bild.
Unten links steht, Clients immer UNtaged zu setzen. Das immer ist in diesem Fall ja sicher auch relativ? Hatten PC's (Clients), auf denen musste eine VM laufen und der Host sowie die VM, hatten durch VLan-Aktivierung im Treiber jeder sein eigenes, virtuelles Netz.

Das ist dann kein einfacher Client, sondern eine Switch-to-Swich-Verbindung zum den virtuellen Switch auf dem Hypervisor!

lks