10.8 Trunk-Konfiguration auf Cisco-Switches einfach erklärt

Die Trunk-Konfiguration auf Cisco-Switches gehört zu den wichtigsten Grundlagen moderner VLAN-Netzwerke. Sobald mehrere VLANs nicht nur lokal auf einem einzelnen Switch existieren, sondern über Uplink-Verbindungen zwischen mehreren Switches, Routern oder Hypervisoren transportiert werden sollen, kommt der Trunk-Port ins Spiel. Ein Trunk ermöglicht es, mehrere logisch getrennte VLANs gleichzeitig über eine einzige physische Verbindung zu übertragen. Genau deshalb ist die korrekte Trunk-Konfiguration ein zentrales Thema für Einsteiger, Administratoren und alle, die Cisco-Switching nicht nur theoretisch, sondern praktisch sauber beherrschen möchten.

Was ist ein Trunk auf einem Cisco-Switch?

Ein Trunk ist ein Switch-Port, der mehrere VLANs gleichzeitig transportieren kann. Während ein normaler Access-Port genau einem VLAN zugeordnet ist und typischerweise für Endgeräte wie PCs oder Drucker genutzt wird, ist ein Trunk-Port für Infrastrukturverbindungen gedacht. Über ihn können Frames aus verschiedenen VLANs parallel übertragen werden.

Damit der empfangende Switch unterscheiden kann, zu welchem VLAN ein Frame gehört, werden die Frames in der Regel mit einem VLAN-Tag versehen. In modernen Cisco-Netzwerken erfolgt das üblicherweise nach dem Standard IEEE 802.1Q.

• Ein Trunk transportiert mehrere VLANs über einen einzigen Link.
• Er wird meist für Switch-zu-Switch-Verbindungen genutzt.
• Auch Router, Firewalls, WLAN-Komponenten oder Hypervisoren können über Trunks angebunden werden.
• Die VLAN-Zuordnung erfolgt über 802.1Q-Tags.

Warum Trunks in VLAN-Netzwerken unverzichtbar sind

In einem kleinen Einzelswitch-Szenario lassen sich VLANs lokal betreiben, ohne dass ein Trunk nötig ist. Sobald aber mehrere Switches im selben Netzwerk vorhanden sind, müssen VLANs über diese Geräte hinweg transportiert werden. Andernfalls wäre ein VLAN nur auf einem einzelnen Switch nutzbar.

Ohne Trunk gäbe es zwei unpraktische Alternativen:

• Für jedes VLAN müsste ein eigenes physisches Kabel zwischen den Switches verlegt werden.
• Oder VLANs könnten gar nicht sauber switchübergreifend genutzt werden.

Ein Trunk löst dieses Problem elegant. Statt drei oder vier separaten Uplinks für VLAN 10, VLAN 20 und VLAN 30 genügt ein einziger Trunk-Link, der alle benötigten VLANs gleichzeitig transportiert.

Typische Einsatzszenarien

• Uplink vom Access-Switch zum Distribution-Switch
• Verbindung zwischen zwei Access-Switches
• Router-on-a-Stick für Inter-VLAN-Routing
• Anbindung von ESXi- oder Hyper-V-Hosts
• WLAN-Infrastruktur mit mehreren SSIDs und VLANs

Access-Port und Trunk-Port im Vergleich

Bevor man einen Trunk auf Cisco-Switches konfiguriert, sollte der Unterschied zwischen Access-Port und Trunk-Port klar sein. Viele Fehler entstehen dadurch, dass ein Link mit dem falschen Porttyp arbeitet.

Access-Port

• gehört genau einem VLAN an
• typisch für Endgeräte
• Frames werden in der Regel ungetaggt übertragen
• einfacher Standardport für Clients, Drucker und Kameras

Trunk-Port

• transportiert mehrere VLANs
• typisch für Infrastrukturverbindungen
• Frames werden in der Regel getaggt
• wichtig für Uplinks und VLAN-Transport zwischen Geräten

Ein Trunk ist also kein „schnellerer“ Port, sondern ein Port mit einer anderen Aufgabe im Netzwerkdesign.

Wie ein Trunk technisch arbeitet

Ein Trunk-Port muss dafür sorgen, dass Frames aus mehreren VLANs sauber voneinander getrennt bleiben. Dazu versieht der sendende Switch die Ethernet-Frames mit VLAN-Informationen. Auf Cisco-Switches geschieht das in modernen Netzen meist mit IEEE 802.1Q.

Rolle von IEEE 802.1Q

802.1Q fügt dem Ethernet-Frame ein VLAN-Tag hinzu. Dieses Tag enthält unter anderem die VLAN-ID. So kann der empfangende Switch erkennen, ob ein Frame zu VLAN 10, VLAN 20 oder einem anderen VLAN gehört.

• getaggte Frames tragen ihre VLAN-ID im Frame
• mehrere VLANs können denselben Link nutzen
• die logische Trennung bleibt trotz gemeinsamer Physik erhalten

Getaggter und ungetaggter Verkehr

Auf einem Trunk werden die meisten VLANs getaggt transportiert. Ein Sonderfall ist das Native VLAN. Frames dieses VLANs können je nach Plattform und Konfiguration ungetaggt über den Trunk laufen. Deshalb spielt das Native VLAN bei jeder Trunk-Konfiguration eine wichtige Rolle.

Das Native VLAN in der Trunk-Konfiguration

Das Native VLAN ist das VLAN, dem auf einem 802.1Q-Trunk ungetaggte Frames zugeordnet werden. Wenn ein Switch auf einem Trunk-Port einen ungetaggten Frame empfängt, behandelt er ihn als Traffic des Native VLANs.

Warum das wichtig ist

• das Native VLAN muss auf beiden Seiten des Trunks übereinstimmen
• ein Native-VLAN-Mismatch führt zu Fehlzuordnungen
• unklare oder ungeplante Native-VLAN-Nutzung erschwert Troubleshooting und Sicherheit

Viele Cisco-Switches verwenden standardmäßig VLAN 1 als Native VLAN. In professionellen Umgebungen wird jedoch häufig ein bewusst gewähltes separates VLAN genutzt.

Beispiel für ein Native VLAN

• VLAN 10 für Clients
• VLAN 20 für Voice
• VLAN 30 für Drucker
• VLAN 99 als Native VLAN

In diesem Design werden getaggte Frames für VLAN 10, 20 und 30 transportiert, während ungetaggter Trunk-Traffic VLAN 99 zugeordnet wird.

Bevor ein Trunk konfiguriert wird

Eine saubere Trunk-Konfiguration beginnt nicht mit dem ersten CLI-Befehl, sondern mit etwas Planung. Der Administrator sollte vorab wissen, welche VLANs tatsächlich über den Link laufen sollen und welche Rolle der Port im Netzwerk hat.

Wichtige Planungsfragen

• Ist der Port wirklich für einen Trunk vorgesehen?
• Welche VLANs sollen über den Link transportiert werden?
• Welches Native VLAN soll verwendet werden?
• Ist die Gegenseite ebenfalls als Trunk geplant?
• Existieren die benötigten VLANs auf beiden Geräten?

Gerade Einsteiger machen oft den Fehler, Trunks „vorsichtshalber“ breit offenzulassen. Besser ist es, nur die VLANs zuzulassen, die tatsächlich benötigt werden.

Grundlegende Trunk-Konfiguration auf Cisco-Switches

Die Basiskonfiguration eines Trunks ist auf Cisco-Switches relativ einfach. Zuerst wird das gewünschte Interface gewählt, dann der Portmodus auf Trunk gesetzt.

Einfacher Trunk-Port

configure terminal
interface GigabitEthernet1/0/24
 switchport mode trunk
 no shutdown
exit

Mit dieser Konfiguration arbeitet der Port als Trunk und kann VLAN-Traffic transportieren.

Was der Befehl bewirkt

• interface GigabitEthernet1/0/24 wählt den Port aus
• switchport mode trunk setzt den Port in den Trunk-Modus
• no shutdown aktiviert das Interface

In vielen Labors reicht das als erster Schritt bereits aus. In produktiven Netzen sollte ein Trunk jedoch präziser konfiguriert werden.

Erlaubte VLANs auf dem Trunk begrenzen

Ein sehr wichtiger Best Practice-Schritt ist das Einschränken der VLANs, die über einen Trunk transportiert werden dürfen. Standardmäßig können auf vielen Plattformen mehr VLANs über den Trunk laufen, als tatsächlich benötigt werden. Das ist technisch oft unnötig und aus betrieblicher Sicht unsauber.

VLANs explizit zulassen

configure terminal
interface GigabitEthernet1/0/24
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,99
 no shutdown
exit

Damit dürfen über diesen Trunk nur die VLANs 10, 20, 30 und 99 transportiert werden.

Vorteile dieser Begrenzung

• mehr Übersicht
• weniger unnötiger VLAN-Traffic
• bessere Kontrolle des Netzwerkdesigns
• geringere Fehlerwahrscheinlichkeit

In Unternehmensnetzen gehört dieser Schritt zu einer sauberen Standardkonfiguration.

Native VLAN auf dem Trunk konfigurieren

Wenn ein bestimmtes Native VLAN gewünscht ist, wird dieses ebenfalls direkt im Interface gesetzt. Das sollte bewusst und konsistent auf beiden Seiten des Trunks erfolgen.

Native VLAN festlegen

configure terminal
interface GigabitEthernet1/0/24
 switchport mode trunk
 switchport trunk native vlan 99
 switchport trunk allowed vlan 10,20,30,99
 no shutdown
exit

In diesem Beispiel ist VLAN 99 das Native VLAN des Trunks.

Wichtige Praxisregel

Die Gegenseite des Trunks muss mit derselben Native-VLAN-Konfiguration arbeiten. Andernfalls entsteht ein Native-VLAN-Mismatch, der zu Fehlverhalten auf Layer 2 führen kann.

Typisches Schritt-für-Schritt-Beispiel

Ein kleines Beispiel zeigt den kompletten Ablauf. Angenommen, zwei Cisco-Switches sollen über Port GigabitEthernet1/0/24 verbunden werden. Über diesen Link sollen VLAN 10 für Clients, VLAN 20 für Voice, VLAN 30 für Drucker und VLAN 99 für Management transportiert werden. VLAN 99 soll gleichzeitig das Native VLAN sein.

Schritt 1: Benötigte VLANs anlegen

configure terminal
vlan 10
 name CLIENTS
exit
vlan 20
 name VOICE
exit
vlan 30
 name PRINTERS
exit
vlan 99
 name MGMT
exit

Schritt 2: Trunk-Port konfigurieren

configure terminal
interface GigabitEthernet1/0/24
 description Uplink zum Distribution-Switch
 switchport mode trunk
 switchport trunk native vlan 99
 switchport trunk allowed vlan 10,20,30,99
 no shutdown
exit

Schritt 3: Konfiguration auf der Gegenseite spiegeln

Der korrespondierende Uplink-Port am anderen Switch muss mit derselben Logik arbeiten. Besonders wichtig sind:

• Trunk-Modus
• identisches Native VLAN
• identische oder bewusst abgestimmte erlaubte VLANs

Schritt 4: Ergebnis prüfen

show interfaces trunk

Damit lässt sich sofort kontrollieren, ob der Port als Trunk läuft und welche VLANs aktiv transportiert werden.

Trunk-Status und Konfiguration prüfen

Nach der Konfiguration sollte ein Trunk immer verifiziert werden. Cisco IOS bietet dafür mehrere sehr nützliche Befehle.

Der wichtigste Kontrollbefehl

show interfaces trunk

Dieser Befehl zeigt:

• welche Ports als Trunk arbeiten
• welches Native VLAN gesetzt ist
• welche VLANs erlaubt sind
• welche VLANs aktiv über den Trunk laufen

Einzelne Interface-Konfiguration anzeigen

show running-config interface GigabitEthernet1/0/24

Damit lässt sich direkt prüfen, wie der Port konfiguriert ist.

Portstatus zusätzlich kontrollieren

show interfaces status

Dieser Befehl zeigt, ob der Port physisch verbunden ist und in welchem Grundzustand er sich befindet.

VLANs auf dem Switch prüfen

show vlan brief

Hier sieht man, ob die benötigten VLANs überhaupt auf dem Gerät vorhanden sind.

Typische Fehler bei der Trunk-Konfiguration

Trunks sind technisch einfach, aber in der Praxis fehleranfällig, wenn Details nicht beachtet werden. Viele VLAN-Probleme in Cisco-Netzen hängen direkt mit falschen Trunk-Einstellungen zusammen.

Port auf einer Seite Trunk, auf der anderen Access

Wenn nur eine Seite als Trunk arbeitet, die Gegenseite aber als Access-Port konfiguriert ist, kommt es zu unerwartetem VLAN-Verhalten. Oft funktioniert dann nur ein Teil des Verkehrs oder die Kommunikation ist komplett fehlerhaft.

VLAN nicht auf dem Trunk erlaubt

Ein VLAN kann lokal auf beiden Switches existieren, aber wenn es auf dem Trunk nicht zugelassen ist, wird es nicht transportiert.

Native-VLAN-Mismatch

Wenn zwei Switches unterschiedliche Native VLANs auf demselben Trunk verwenden, werden ungetaggte Frames unterschiedlich interpretiert. Das kann zu schwer nachvollziehbaren Problemen führen.

Benötigte VLANs nicht auf beiden Seiten vorhanden

Auch wenn der Trunk korrekt konfiguriert ist, muss das betreffende VLAN auf den beteiligten Switches sinnvoll vorhanden und nutzbar sein.

Trunk zu breit geöffnet

Wenn unnötig viele VLANs über einen Trunk erlaubt werden, wird das Design unübersichtlich und potenziell unsicherer. Eine bewusste Beschränkung ist fast immer besser.

Praxisbeispiel: Trunk zwischen Access- und Distribution-Switch

In einem typischen Unternehmensnetz hängt ein Access-Switch auf einer Etage an einem Distribution-Switch. Auf dem Access-Switch existieren VLAN 10 für Benutzer, VLAN 20 für Voice und VLAN 30 für Drucker. Diese VLANs müssen zum Distribution-Layer transportiert werden, damit Routing und zentrale Dienste erreichbar sind.

Die Uplink-Konfiguration kann dann so aussehen:

configure terminal
interface GigabitEthernet1/0/48
 description Uplink zu Dist-SW-01
 switchport mode trunk
 switchport trunk native vlan 99
 switchport trunk allowed vlan 10,20,30,99
 no shutdown
exit

Damit läuft der gesamte VLAN-Verkehr sauber über einen einzelnen physischen Link. Genau das ist der klassische Einsatz eines Trunks im Access-Distribution-Design.

Router-on-a-Stick als Sonderfall

Ein besonders wichtiges Trunk-Szenario für Einsteiger ist Router-on-a-Stick. Dabei wird ein Router über einen Trunk-Port an einen Switch angebunden und übernimmt Inter-VLAN-Routing über Subinterfaces.

Warum hier ein Trunk nötig ist

Der Router muss Frames aus mehreren VLANs empfangen können, um zwischen ihnen zu routen. Ohne Trunk würde er nur ein einzelnes VLAN erreichen.

Beispielhafter Switch-Port

configure terminal
interface GigabitEthernet1/0/24
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30
 no shutdown
exit

Auf Router-Seite werden dazu passende Subinterfaces mit 802.1Q-Kapselung konfiguriert. Für Einsteiger ist wichtig: Der Switch-Port zum Router arbeitet in diesem Szenario als Trunk.

Trunk-Konfiguration in VoIP- und WLAN-Umgebungen

Auch außerhalb klassischer Switch-Uplinks sind Trunks sehr wichtig. Besonders in VoIP- und WLAN-Infrastrukturen müssen oft mehrere VLANs gleichzeitig zu einem Gerät transportiert werden.

Beispiele

• Access Point mit mehreren SSIDs für interne Nutzer und Gäste
• WLAN-Controller mit mehreren VLAN-basierten Netzen
• Firewall-Anbindung mit verschiedenen Sicherheitszonen
• Hypervisor für virtuelle Maschinen in mehreren VLANs

In all diesen Fällen sorgt die Trunk-Konfiguration dafür, dass unterschiedliche logische Netzsegmente auf demselben physikalischen Link verfügbar sind.

Sicherheitsaspekte bei Trunks

Trunks transportieren oft viele wichtige VLANs gleichzeitig. Deshalb haben sie aus Sicherheits- und Betriebsaspekten eine besondere Bedeutung. Eine schlampige Trunk-Konfiguration kann VLAN-Strukturen unnötig öffnen oder ungewollten Verkehr zulassen.

Bewährte Grundsätze

• nur benötigte VLANs zulassen
• Native VLAN bewusst festlegen
• VLAN 1 nicht unüberlegt für alles verwenden
• Trunks eindeutig dokumentieren
• Uplinks von Endgeräteports sauber trennen

Diese Regeln verbessern Übersicht, Sicherheit und Wartbarkeit des Netzwerks.

Konfiguration speichern

Wie jede sinnvolle Änderung auf Cisco-Switches muss auch die Trunk-Konfiguration dauerhaft gespeichert werden. Andernfalls ist sie nach einem Neustart verloren.

Konfiguration sichern

copy running-config startup-config

Alternativ wird oft auch verwendet:

write memory

Gerade bei Uplinks und VLAN-Strukturen ist das Speichern unverzichtbar.

Typische Anfängerfehler im Überblick

Trunk und Access verwechseln

Ein Endgeräteport wird als Trunk konfiguriert oder ein Uplink nur als Access-Port. Beides führt zu typischen VLAN-Problemen.

Allowed VLANs nicht setzen oder falsch setzen

Ein benötigtes VLAN fehlt auf dem Trunk oder unnötige VLANs werden mittransportiert.

Native VLAN ignorieren

Ein Native-VLAN-Mismatch wird nicht beachtet, obwohl genau dadurch ungetaggter Verkehr falsch zugeordnet wird.

Nur den physischen Link prüfen

Ein Trunk kann physisch up sein und trotzdem logisch falsch arbeiten. Deshalb reicht ein Blick auf die Link-LED nie aus.

Keine Prüfung nach der Konfiguration

Ohne show interfaces trunk bleibt oft unklar, ob der Port tatsächlich wie geplant arbeitet.

Wichtige Cisco-Befehle im Überblick

Für die Trunk-Konfiguration auf Cisco-Switches gehören einige Befehle zum Grundwissen.

Trunk aktivieren

switchport mode trunk

Allowed VLANs setzen

switchport trunk allowed vlan 10,20,30,99

Native VLAN definieren

switchport trunk native vlan 99

Trunk-Status prüfen

show interfaces trunk

Port-Konfiguration prüfen

show running-config interface GigabitEthernet1/0/24

VLANs auf dem Switch anzeigen

show vlan brief

Wer diese Kommandos sicher anwenden kann, beherrscht bereits einen großen Teil der praktischen Trunk-Arbeit auf Cisco-Switches.

Warum die Trunk-Konfiguration für CCNA und Praxis so wichtig ist

Die Trunk-Konfiguration verbindet mehrere zentrale Themen des Switchings: VLANs, 802.1Q, Native VLAN, Uplinks, Router-on-a-Stick und Layer-2-Troubleshooting. Sie ist deshalb nicht nur ein kleines Detail in der Cisco-CLI, sondern ein Kernthema moderner Netzwerktechnik.

• Sie macht switchübergreifende VLANs erst möglich.
• Sie ist essenziell für skalierbare Unternehmensnetze.
• Sie bildet die Grundlage für Inter-VLAN-Routing-Designs.
• Sie ist ein häufiger Schwerpunkt in CCNA und im Betriebsalltag.
• Sie spielt eine zentrale Rolle bei Fehlersuche und Netzwerksicherheit.

Wer versteht, wie ein Cisco-Trunk geplant, konfiguriert, geprüft und abgesichert wird, beherrscht damit einen entscheidenden Teil der praktischen Switching-Grundlagen. Genau deshalb gehört dieses Thema zu den wichtigsten Bausteinen auf dem Weg vom Einsteiger zum sicheren Netzwerkadministrator.

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3

Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.

Meine Leistungen umfassen:

• Professionelle Konfiguration von Routern und Switches

• Einrichtung von VLANs, Trunks, Routing, DHCP, NAT, ACLs und weiteren Netzwerkfunktionen

• Erstellung von Topologien und Simulationen in Cisco Packet Tracer

• Aufbau, Analyse und Fehlerbehebung von Netzwerk-Labs in GNS3 und EVE-NG

• Automatisierung von Netzwerkkonfigurationen mit Python, Netmiko, Paramiko, NAPALM und Ansible

• Erstellung von Skripten für wiederkehrende Netzwerkaufgaben

• Dokumentation der Konfigurationen und Bereitstellung nachvollziehbarer Lösungswege

• Konfigurations-Backups, Optimierung bestehender Setups und technisches Troubleshooting

Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.