Weder an einer Firewall noch an einem Server für virtuelle Maschinen möchte man für jedes einzelne Netzwerk, mit dem man arbeitet, eine eigene Netzwerkschnittstelle einbauen und verkabeln.

Switche, die mehrere getrennte Netze versorgen, sollen nicht mit so vielen Netzwerkkabeln verbunden werden müssen, wie man Netze betreibt.

Man nutzt zur Verbindung von Switchen und solchen Servern virtuelle Netzwerke. Dazu gibt es eine Erweiterung des Paketformats der Ethernetpakete. (Die rein innerhalb eines Switches organisierte Netztrennung namens VLAN ist hier nur eine Basis, die nebenbei genutzt wird).

Ethernetpakete können eine Zusatzinformation enthalten, welche sie einem VLAN im Bereich 1 bis 4096 zuordnet. Diese Pakete sind markiert („tagged“). Normale, nicht weiter hierfür konfigurierte Rechner ignorieren diese Pakete. Switche und passend konfigurierte Rechner ordnen die Pakete den passenden VLANs zu.

Jedes Netzwerkpaket wird im Switch einem VLAN zugeordnet. Um es zu transportieren, wird es entweder

• an einem Port ausgegeben, der selbst diesem VLAN „untagged“ zugeordnet ist oder
• an einem Trunk getaggt ausgegeben.

Genauso erreicht einen Switch ein Netzwerkpaket entweder

• „untagged“ über einen Netzwerkport, der bereits einem VLAN zugeordnet ist oder
• „tagged“ über einen als Trunk konfigurierten Port.

Ergänzung: Trunk-Ports sind i.d.R. mehreren VLANs tagged zugeordnet. Zusätzlich ist ihnen ein VLAN (i.d.R. Nummer 1) untagged zugeordnet. Darüber sind solche Switche also auch untagged zu erreichen. Man nimmt das VLAN 1 i.d.R. immer untagged für ein Management-Netz, um die Switche zu konfigurieren, aber keine weiteren Nutzdaten fließen zu lassen.

Mehr Details, auch mit sinnvollen Abbildungen, unter http://www.thomas-krenn.com/de/wiki/VLAN_Grundlagen.

Für Router gibt es eine eigene Anleitung VLAN am Router

Für KVM-Server folgt sie noch.

• Test auf Verbindung mit ping usw.
• Überprüfung, ob falsche Pakte in einem Netz landen