„Multi-VLAN Access Ports“ sind ein häufiges Missverständnis: Ein klassischer Access-Port trägt genau ein untagged VLAN. Trotzdem gibt es Praxisfälle, in denen scheinbar „mehrere VLANs“ über einen Endgeräte-Port laufen sollen – etwa bei IP-Telefon + PC, Access Points, Virtualisierung oder IoT-Gateways. Dieser Artikel erklärt die typischen Sonderfälle, zeigt warum „Access mit mehreren VLANs“ technisch nicht sauber ist und welche Alternativen auf Cisco Switches betrieblich und sicher sinnvoll sind.
Grundsatz: Ein Access-Port hat genau ein Data VLAN
Ein Access-Port ordnet untagged Frames genau einem VLAN zu. Mehrere VLANs auf einem Access-Port sind daher nicht im klassischen Sinne möglich. „Multi-VLAN“ entsteht entweder durch zusätzliche Mechanismen (Voice VLAN) oder durch echtes Tagging (Trunk).
- Access-Port: untagged, genau ein VLAN
- Mehrere VLANs erfordern Tagging (802.1Q) oder einen Sondermechanismus
- Unklare Port-Rollen erhöhen Risiko und Troubleshooting-Aufwand
Schneller Reality-Check im CLI
show interfaces gigabitEthernet 1/0/15 switchport
show running-config interface gigabitEthernet 1/0/15
Sonderfall 1: IP-Telefon + PC am gleichen Port (Voice VLAN)
Das ist der häufigste „Multi-VLAN Access Port“-Fall. Der Switchport bleibt Access für das Data VLAN (PC), zusätzlich wird ein Voice VLAN definiert. Das Telefon nutzt das Voice VLAN (tagged), der PC bleibt untagged.
Saubere Konfiguration: Data VLAN + Voice VLAN
configure terminal
interface gigabitEthernet 1/0/15
description IP-PHONE+PC
switchport mode access
switchport access vlan 10
switchport voice vlan 20
spanning-tree portfast
spanning-tree bpduguard enable
end
Warum das „sauber“ ist
Das Daten-Endgerät bleibt untagged und muss nichts „wissen“. Das Telefon lernt das Voice VLAN typischerweise per CDP/LLDP und taggt seinen Sprachtraffic selbst.
Sonderfall 2: Access Point mit mehreren SSIDs (Trunk statt Access)
Wenn ein AP mehrere SSIDs bereitstellt (z. B. Corp + Guest), müssen mehrere VLANs zum AP. Das ist kein Access-Use-Case, sondern ein Trunk-Use-Case. Der AP-Port wird als Trunk mit Allowed VLANs betrieben.
Saubere Alternative: AP-Port als Trunk (whitelisted)
configure terminal
vlan 999
name NATIVE-UNUSED
exit
interface gigabitEthernet 1/0/31
description AP-FLOOR-2
switchport mode trunk
switchport trunk allowed vlan 30,40,99
switchport trunk native vlan 999
switchport nonegotiate
spanning-tree portfast trunk
end
Häufiger Fehler: AP-Port als Access
Wenn der AP-Port fälschlich als Access konfiguriert ist, landen Clients oft im falschen VLAN oder bekommen keine IP, weil VLANs nicht sauber getrennt transportiert werden.
Sonderfall 3: Virtualisierung/Server mit mehreren VLANs (Host-Tagging)
Hypervisor (z. B. ESXi) oder Linux-Hosts mit VLAN-Subinterfaces nutzen 802.1Q-Tagging am Server. Der Switchport muss dann als Trunk laufen, sonst gehen VLANs verloren.
Saubere Alternative: Server-Port als Trunk
configure terminal
vlan 999
name NATIVE-UNUSED
exit
interface gigabitEthernet 1/0/20
description HYPERVISOR-01
switchport mode trunk
switchport trunk allowed vlan 80,81,99
switchport trunk native vlan 999
switchport nonegotiate
end
Alternative: Zwei physische Ports statt Trunk
Wenn der Server kein Tagging nutzen soll oder du maximale Einfachheit willst, sind zwei NICs/Ports (je VLAN ein Access-Port) eine saubere, sehr betriebssichere Alternative.
Sonderfall 4: Multi-Domain-Endgeräte (IoT-Gateways, Spezialgeräte)
Manche Geräte benötigen mehrere Netze (z. B. Management + Daten). Häufig ist Trunking technisch möglich, aber betrieblich riskant, weil Endgeräte falsch taggen oder „untagged“ senden können. Hier lohnt sich eine klare Alternative.
- Wenn Gerät 802.1Q sauber unterstützt: Trunk mit strikter Whitelist
- Wenn Gerät „fragil“ ist: Zwei Ports/NICs oder ein vorgeschalteter Managed Mini-Switch
- Wenn Isolation nötig ist: PVLAN oder separate Access-Ports pro Zone
Trunk zu Spezialgerät (nur wenn dokumentiert und getestet)
configure terminal
interface gigabitEthernet 1/0/25
description IOT-GW-01
switchport mode trunk
switchport trunk allowed vlan 60,99
switchport trunk native vlan 999
switchport nonegotiate
end
Warum „Access mit mehreren VLANs“ betrieblich gefährlich ist
Wenn ein Port nicht eindeutig ist, entstehen typische Fehler: falsche DHCP-Leases, VLAN-Leaks, unklare Native VLAN und komplexes Troubleshooting. Besonders kritisch wird es, wenn Endgeräte untagged senden und damit in der Native VLAN landen.
- Unklarer Frame-Zustand (tagged vs. untagged)
- Native VLAN-Risiko: untagged Traffic landet im falschen VLAN
- Allowed VLANs fehlen oder wachsen unkontrolliert
- Security-Policies (ACLs, NAC) schwerer nachvollziehbar
Saubere Alternativen: Was du statt „Multi-VLAN Access“ einsetzen solltest
Die richtige Lösung hängt vom Gerätetyp ab. Wichtig ist, dass der Port-Rolle eindeutig bleibt und VLAN-Transport kontrolliert erfolgt.
- Voice VLAN: für IP-Telefon + PC (Access + Voice)
- Trunk mit Whitelist: für APs, Hypervisor, spezielle Tagging-Geräte
- Zwei Ports/NICs: wenn Einfachheit und Stabilität wichtiger sind als Port-Ersparnis
- PVLAN: wenn Hosts im gleichen Subnetz isoliert werden sollen
- Separater Edge-Switch: wenn Endgeräte-VLAN-Tagging unsauber oder unbekannt ist
Trunk-Standardtemplate (sicher und auditierbar)
configure terminal
interface gigabitEthernet 1/0/48
description TRUNK-UPLINK
switchport mode trunk
switchport trunk allowed vlan 10,20,30,99
switchport trunk native vlan 999
switchport nonegotiate
end
Verifikation: So erkennst du sofort, was über den Port läuft
Die wichtigsten Fragen sind: Ist der Port Access oder Trunk? Welche VLANs sind erlaubt? Welche Native VLAN ist gesetzt? Und lernt der Switch MACs im erwarteten VLAN?
show interfaces gigabitEthernet 1/0/15 switchport
show interfaces trunk
show vlan brief
show mac address-table interface gigabitEthernet 1/0/15
show logging | include VLAN|TRUNK|NATIVE|DTP
Troubleshooting: Typische Fehlerbilder bei „Multi-VLAN“ Endgeräte-Ports
Wenn Clients im falschen Netz landen oder keine IP bekommen, prüfe zuerst Port-Modus und Allowed VLANs. Danach Native VLAN, STP und Security-Mechanismen.
- AP-Port als Access statt Trunk: SSID-VLANs kommen nicht an
- Server-Trunk ohne Allowed VLAN: VLAN fehlt, VM ohne DHCP
- Native VLAN mismatch: untagged Frames landen falsch
- DTP erzeugt unerwarteten Trunk: Port wird „dynamisch“ trunk
- Port-Security/802.1X blockiert: Link up, aber kein Traffic
show interfaces gigabitEthernet 1/0/31 switchport
show interfaces trunk
show spanning-tree inconsistentports
show interface status err-disabled
show port-security interface gigabitEthernet 1/0/15
Best Practices: Klarer Port-Rollenstandard für sauberen Betrieb
Mit klaren Standards vermeidest du den Großteil der Multi-VLAN-Probleme. Entscheidend ist, dass Access-Ports Access bleiben und Trunks nur dort eingesetzt werden, wo Tagging wirklich notwendig ist.
- Endgeräte standardmäßig Access, nur definierte Sonderfälle als Trunk
- Voice VLAN als Standard für Telefon+PC
- Trunks immer whitelisten und Native VLAN ungenutzt setzen
- DTP vermeiden bzw. deaktivieren (statische Trunks)
- Descriptions und Templates nutzen (Auditierbarkeit)
copy running-config startup-config
Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)
Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.
Was ich (je nach Paket) umsetze
-
Switching: VLANs, Trunking (802.1Q), Port-Zuweisung, STP-Basics (PortFast/BPDU Guard wo sinnvoll)
-
Routing: Default/Static Routing oder OSPF, Inter-VLAN Routing (Router-on-a-Stick)
-
Services: DHCP (Pools/Scopes), NAT/PAT für Internet-Simulation
-
Optional Security: Basic ACLs und SSH-Hardening
-
Test & Verifikation: Ping/Traceroute + wichtige Show-Commands (mit erwarteten Ergebnissen)
Sie erhalten
-
✅ Packet Tracer .pkt Datei
-
✅ Saubere Konfigurations-Notizen pro Gerät
-
✅ Verifikations-Checkliste + erwartete Outputs
-
✅ Kurze Dokumentation (wie die Topologie funktioniert)
Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.
Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.
