Prüfungsrelevanz: IHK AP1 und AP2, Handlungsbereich „Netzwerk". Typische Aufgabenstellung: Ein Switch soll drei Abteilungen (Vertrieb, Technik, Verwaltung) auf getrennte VLANs verteilen. Erklären Sie, welche Ports als Access-Ports und welche als Trunk-Ports konfiguriert werden.
Quick Reference
Ein Access-Port gehört genau einem VLAN an. Frames werden ungetaggt übertragen — das Endgerät weiß nichts von VLANs.
Ein Trunk-Port transportiert mehrere VLANs gleichzeitig. Jedes Frame wird mit einem 4-Byte-802.1Q-Tag versehen, das die 12-Bit-VLAN-ID enthält (nutzbarer Bereich 1–4094).
Das Native VLAN ist die Ausnahme: Auf einem Trunk-Port werden dessen Frames ungetaggt gesendet. Standard ist VLAN 1 — aus Sicherheitsgründen sollte es auf ein ungenutztes VLAN geändert werden.
Worked Example: 3 Abteilungen auf einem Switch
Schritt 1 — VLANs anlegen und Access-Ports zuweisen.
VLAN 10 = Vertrieb → Ports 1–8 (Access)
VLAN 20 = Technik → Ports 9–16 (Access)
VLAN 30 = Verwaltung → Ports 17–24 (Access)
Schritt 2 — Uplink zum zweiten Switch als Trunk konfigurieren.
Port 25: Trunk → erlaubt VLAN 10, 20, 30 (tagged)
Native VLAN = 99 (ungenutzt)
Schritt 3 — Übertragung je Port-Typ bewerten.
| Port-Typ | VLAN-Anzahl | Tagging | Gegenstelle | Beispiel |
|---|---|---|---|---|
| Access | genau 1 | ungetaggt | Endgerät (PC, Drucker) | Ports 1–8 |
| Trunk | mehrere | getaggt (802.1Q) | Switch, Router, AP | Port 25 |
| Native VLAN | 1 (auf Trunk) | ungetaggt | — | VLAN 99 |
Schritt 4 — Ergebnis prüfen. Ein Frame aus VLAN 10 verlässt Port 5 ungetaggt (Endgerät versteht kein Tagging), wird auf Port 25 mit Tag „VLAN 10" versehen und auf dem Ziel-Switch wieder enttaggt an den richtigen Access-Port geleitet.
Common Trap
Der klassische Fehler: Native VLAN Mismatch. Ist das Native VLAN an beiden Enden eines Trunks unterschiedlich konfiguriert, wandern Frames unbemerkt in das falsche VLAN — ein klassisches Sicherheitsloch und ein beliebtes Prüfungs-Szenario.
Zweite Falle: VLAN 1 als Native VLAN belassen. In der IHK-Prüfung wird erwartet, dass VLAN 1 nicht für Nutzdaten verwendet wird — Begründung: Standard-VLAN, Angreifer können sich dort leichter einhängen.
Dritte Falle: Die VLAN-ID-Grenzen verwechseln. Der nutzbare Bereich ist 1–4094; die Werte 0 und 4095 sind reserviert.
Über 1.260 IHK-Prüfungsfragen mit Musterlösungen, Netzwerk-Simulationen und originalgetreuer Prüfungssimulation — einmalig 5,00 €, keine Abo-Falle: Zum IT Ausbildungs-Lernplattform