VLAN klingt nach Konzern und nach einem Switch-Handbuch mit hundert Seiten. Im kleinen Büro ist es schlicht die Möglichkeit, auf derselben Verkabelung mehrere Netze zu führen. Telefone, Gäste, Arbeitsplätze und Kameras müssen nicht dieselbe Adresswelt und dieselben Broadcasts teilen. Wer das einmal sauber auf einem managed Switch und der Firewall aufsetzt, erspart sich später eigene Kabel für jedes Thema.
Warum „bei uns ist alles klein“ kein Argument ist
Ohne VLAN landet die Gegensprechanlage neben der Lohnverrechnung, und das Gäste-WLAN des Besprechungsraums sieht die Freigabe. Dazu kommen praktische Störungen: Ein defektes Gerät flutet das ganze Büro mit Broadcasts, oder die Telefonanlage verliert die Qualität, sobald jemand große Dateien kopiert. Die Fehlersuche beginnt dann bei „alles ist langsam“ und endet Stunden später an einem einzelnen Port. Kleine Netze sind davon nicht ausgenommen, sie haben nur weniger Personal, das so etwas auseinanderzieht.
Zu viele VLANs sind die andere Falle. Acht Netze für zwölf Personen erzeugen Regeln, die niemand mehr prüft, und Drucker, die in drei Zonen gleichzeitig stehen müssten. Für die meisten Büros genügen Arbeitsplätze, Server und Verwaltung, Gäste sowie ein Netz für Telefone oder Gebäudetechnik. Die Firewall routet dazwischen. Der Switch trägt an jedem Port nur das VLAN, das dort hingehört. Ausnahmen wie ein Access Point mit mehreren SSIDs bekommen einen Trunk, beschriftet und in der Liste vermerkt.
Drei bis vier Netze, die jemand benennen kann
- Zweck. Pro VLAN einen Satz aufschreiben, wer dort arbeiten darf.
- Ports. Jeden Switch-Port einem VLAN zuordnen und am Patchfeld beschriften.
- Routing. Die Firewall als Übergang setzen, nicht einen zweiten Router unter dem Schreibtisch.
- Ausnahmen. Trunks nur für Access Points und Telefonanlagen, die mehrere Netze brauchen.
- Test. Ein Gerät je VLAN anstecken und die erlaubten sowie die verbotenen Ziele prüfen.
VLANs wirken nur, wenn die Beschriftung mit der Konfiguration übereinstimmt. Ein neues Gerät, das „einfach in einen freien Port“ wandert, landet sonst im Gäste-Netz und findet den Server nicht, oder schlimmer: im Server-Netz, obwohl es ein Versuchs-Laptop ist. Die Portliste ist deshalb Teil der Übergabe, nicht ein Anhang, den niemand öffnet.
Woran Projekte in der Praxis scheitern
- VLANs auf dem Switch anlegen und die Firewall im selben Netz belassen, sodass keine Trennung entsteht.
- Jedem Port alle VLANs erlauben, damit man später nichts umstecken muss.
- Kameras und Gäste in das Büro-VLAN legen, weil die App sonst „nicht gefunden“ wird.
- Die VLAN-Nummern nirgends notieren und beim nächsten Tausch des Switches raten.
Beispiel aus dem Betriebsalltag
Eine Agentur mit zwölf Arbeitsplätzen in Wien hatte Kameras der Eingangstür, ein Gäste-WLAN und die IP-Telefone im selben Netz wie die Arbeitsplätze. Nach einem fehlerhaften Kamera-Update waren die Telefone minutenweise stumm. Wir haben vier VLANs auf einem managed Switch eingerichtet, die Telefone priorisiert und die Kameras nur zur Rekorder-Adresse durchgelassen. Das Gäste-WLAN behielt Internet und verlor die Sicht auf die Projektfreigabe. Die Portliste hängt seither als kurze Tabelle neben dem Rack, nicht als Foto im Chat.
Kurze Entscheidungshilfe
- Hat jedes VLAN einen Namen, den eine Vertretung versteht?
- Gibt es Ports, die noch „alles“ durchlassen, ohne dass das begründet ist?
- Findet ein Telefon den Server der Anlage nach einem Neustart des Switches?
- Ist die Portliste nach dem letzten Umbau angepasst worden?
Wenn VLANs in einem kleinen Büro bei Ihnen ansteht, klären wir den Umfang unverbindlich: Network und Firewall. Switches statt Kabelketten Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.