Site icon bintorosoft.com

Cisco Inter-VLAN-Routing-Konfiguration: Sicher und effizient

Red Snapper

Inter-VLAN-Routing verbindet getrennte VLANs kontrolliert miteinander, damit z. B. Clients auf Server zugreifen können, ohne dass das Netzwerk zu einem unsicheren „Flachnetz“ wird. Eine sichere und effiziente Cisco-Inter-VLAN-Routing-Konfiguration kombiniert klare VLAN-Rollen, konsistente IP-Pläne, saubere Trunk-/L3-Uplink-Designs und restriktive Policies an den Segmentgrenzen. Dieser Leitfaden zeigt bewährte Architekturen, konkrete CLI-Beispiele und verifizierbare Ergebnisse.

Inter-VLAN-Routing: Ziele und typische Einsatzszenarien

Inter-VLAN-Routing ist immer dann notwendig, wenn VLANs nicht nur isoliert sein sollen, sondern definierte Dienste zwischen Segmenten erreichbar sein müssen. Entscheidend ist dabei das Minimalprinzip: nur benötigte Verbindungen erlauben.

Design-Optionen: Router-on-a-Stick vs. Layer-3-Switch

Inter-VLAN-Routing kann entweder auf einem Router (Router-on-a-Stick) oder auf einem Layer-3-Switch (SVIs) erfolgen. Für kleine Standorte ist Router-on-a-Stick üblich, für Campus/Enterprise routet meist ein L3-Core und der Router übernimmt WAN/Edge.

Grundvoraussetzungen: Rollen, IP-Plan und Gateway-Logik

Die häufigsten Fehler entstehen durch inkonsistente IP-Pläne oder fehlende Standards. Legen Sie daher Rollen-VLANs fest (Users, Voice, Guest, IoT, Management) und definieren Sie klare Regeln für Subnetzgrößen und Gateway-Adressen.

Subnetting-Kompakt: /26 als Standardbaustein

Ein /26-Netz liefert 64 Adressen, davon 62 nutzbar. Für Voice/IoT/Printer ist das häufig ausreichend und hält Segmentgrößen übersichtlich.

26 = 64

Konfiguration Variante 1: Router-on-a-Stick (sicher und übersichtlich)

Beim Router-on-a-Stick ist der Switchport zum Router ein Trunk. Auf dem Router wird pro VLAN ein Subinterface mit dot1Q-Tagging und Gateway-IP erstellt. Nutzen Sie klare Interface-Descriptions und gruppieren Sie die Konfiguration logisch.

Beispiel: Trunk + VLAN-Gateways (Subinterfaces)

interface GigabitEthernet0/1
 description LAN-TRUNK-to-SW1
 no shutdown

interface GigabitEthernet0/1.10

description VLAN10-MGMT

encapsulation dot1Q 10

ip address 10.10.10.1 255.255.255.0


interface GigabitEthernet0/1.20

description VLAN20-USERS

encapsulation dot1Q 20

ip address 10.10.20.1 255.255.255.0


interface GigabitEthernet0/1.30

description VLAN30-VOICE

encapsulation dot1Q 30

ip address 10.10.30.1 255.255.255.192


interface GigabitEthernet0/1.40

description VLAN40-IOT

encapsulation dot1Q 40

ip address 10.10.40.1 255.255.255.192


interface GigabitEthernet0/1.50

description VLAN50-GUEST

encapsulation dot1Q 50

ip address 10.10.50.1 255.255.255.0

Erwartete Ergebnisse

Konfiguration Variante 2: Layer-3-Switch (SVIs) mit Router als Edge

In größeren Umgebungen ist es effizienter, Inter-VLAN-Routing auf dem L3-Switch zu betreiben (SVIs). Der Router übernimmt dann WAN, BGP/Failover, NAT oder VPN. Wichtig: Die Default-Route und Routing-Nachbarschaften müssen sauber zwischen Core und Edge abgestimmt sein.

Sicherheit: Policies an den Segmentgrenzen (ACLs als Mindeststandard)

Inter-VLAN-Routing ist erst „sicher“, wenn Sie den Verkehr zwischen VLANs begrenzen. Für viele Büro-Setups reichen klare ACLs: Guest darf nicht intern, IoT nur zu definierten Zielen, Management nur aus dem Management-VLAN.

Beispiel: Guest darf keine internen Netze erreichen

ip access-list extended ACL-GUEST-IN
 deny ip 10.10.50.0 0.0.0.255 10.10.0.0 0.0.255.255
 permit ip 10.10.50.0 0.0.0.255 any

interface GigabitEthernet0/1.50

ip access-group ACL-GUEST-IN in

Beispiel: IoT restriktiv (nur definierte Ziele und Ports)

ip access-list extended ACL-IOT-IN
 permit udp 10.10.40.0 0.0.0.63 10.10.10.10 0.0.0.0 eq 53
 permit tcp 10.10.40.0 0.0.0.63 10.10.20.20 0.0.0.0 eq 443
 deny ip 10.10.40.0 0.0.0.63 10.10.0.0 0.0.255.255
 permit ip 10.10.40.0 0.0.0.63 any

interface GigabitEthernet0/1.40

ip access-group ACL-IOT-IN in

Beispiel: Management-Zugriff auf SSH begrenzen

ip access-list standard MGMT_ONLY
 permit 10.10.10.0 0.0.0.255
 deny   any

line vty 0 4

transport input ssh

access-class MGMT_ONLY in

login local

exec-timeout 10 0

DHCP im Inter-VLAN-Design: Relay als Standard

Wenn DHCP zentral bereitgestellt wird, nutzen Sie DHCP-Relay pro VLAN. Das reduziert lokalen Konfigaufwand und erleichtert Betrieb und Fehleranalyse.

Beispiel: ip helper-address pro VLAN

interface GigabitEthernet0/1.20
 ip helper-address 10.10.10.10

interface GigabitEthernet0/1.30

ip helper-address 10.10.10.10


interface GigabitEthernet0/1.50

ip helper-address 10.10.10.10

Effizienz: Wo Performance wirklich entscheidet

Inter-VLAN-Routing auf einem Router ist für viele Filialen ausreichend, kann aber bei vielen VLANs und hohem Ost-West-Traffic zum Engpass werden. Für hohe interne Datenraten ist ein L3-Switch (SVIs) meist effizienter.

Verifikation: Sichere und effiziente Ergebnisse nachweisen

Nach der Implementierung müssen Sie sowohl Funktion als auch Policy-Wirkung prüfen: VLAN-Gateways, Routing-Tabelle, ACL-Hits und DHCP-Funktion. Diese Checks sind als SOP reproduzierbar.

Basis-Checks (Interfaces, Routing, ARP)

show ip interface brief
show ip route
show arp summary
show interfaces counters errors

Policy-Checks (ACL-Hits und Zuordnung)

show access-lists
show running-config | include ip access-group

DHCP-Checks (indirekt über Client-Tests und Relay-Konfig)

show running-config | include ip helper-address

Typische Fehlerbilder und schnelle Ursachen

Viele Inter-VLAN-Probleme liegen nicht im Routing selbst, sondern im Trunking oder in falschen VLAN-Zuordnungen. Mit wenigen Checks lässt sich die Ursache schnell eingrenzen.

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

Sie erhalten

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.

Exit mobile version