Wenn Clients „im falschen Netz“ landen, ist die Ursache fast immer eine fehlerhafte VLAN-Zuordnung oder ein unterbrochener VLAN-Transport über Trunks. Typische Symptome sind: falsche IP per DHCP, keine IP, kein Gateway erreichbar oder Zugriff nur lokal. Mit einem strukturierten Troubleshooting-Ansatz (Layer 1 → Layer 2 → Layer 3) findest du die Ursache schnell und vermeidest „blindes“ Herumkonfigurieren. Dieser Leitfaden zeigt die häufigsten Fehlerquellen und die wichtigsten Cisco IOS/IOS XE Befehle.
Symptome richtig einordnen: Was bedeutet „nicht im richtigen VLAN“?
„Falsches Netz“ kann mehrere Dinge bedeuten: Der Port ist im falschen VLAN, der Trunk transportiert das VLAN nicht, oder DHCP/Gateway sind im Ziel-VLAN nicht erreichbar. Kläre zuerst, wie genau sich der Fehler zeigt.
- Client erhält IP aus falschem Subnetz (z. B. 192.168.20.x statt 192.168.10.x)
- Client erhält gar keine IP (APIPA/169.254.x.x oder „DHCP timeout“)
- Client hat richtige IP, aber kein Gateway/keine Kommunikation
- Nur einzelne Ports betroffen vs. ganzer Bereich/ganzer Switch
Schnellstart-Checkliste: In 60 Sekunden die Top-Ursachen prüfen
Diese Checks decken die häufigsten Fehler ab: Port-VLAN, Port-Status, Trunk/Allowed VLANs und MAC-Learning im erwarteten VLAN.
show interfaces status
show vlan brief
show interfaces trunk
show interfaces gigabitEthernet 1/0/10 switchport
show mac address-table interface gigabitEthernet 1/0/10
Interpretation der Ergebnisse (kurz)
- Port zeigt falsches VLAN: Access-VLAN falsch gesetzt
- Trunk zeigt VLAN nicht in Allowed/Active: VLAN-Transport unterbrochen
- Keine MAC am Port: Endgerät/Link/Port-Security/802.1X prüfen
Schritt 1: Layer 1 prüfen – Link, Speed/Duplex, Errors
Bevor du VLANs jagst, stelle sicher, dass der Port physikalisch stabil ist. Flaps, CRC-Errors oder Duplex-Mismatch können DHCP und ARP „zerstören“ und wie ein VLAN-Problem wirken.
show interfaces status
show interfaces gigabitEthernet 1/0/10
show interfaces counters errors
show logging | include LINK|LINEPROTO|DUPLEX
Typische Hinweise auf Layer-1-Probleme
- Port flapped (up/down häufig): Kabel/Stecker/Endgerät/SFP
- CRC/FCS steigt: Kabelqualität oder Duplex-Mismatch
- Port administrativ down: Port ist shutdown
Schritt 2: Access-Port korrekt zuweisen – das häufigste VLAN-Problem
Für Clients muss der Port als Access konfiguriert sein und das richtige Access-VLAN haben. Ein Trunk am Client-Port ist eine typische Fehlkonfiguration.
Port-Konfiguration prüfen
show interfaces gigabitEthernet 1/0/10 switchport
show running-config interface gigabitEthernet 1/0/10
Typische Fehlbilder am Access-Port
- Port ist Trunk statt Access: Client landet „irgendwo“ oder DHCP scheitert
- Access VLAN ist falsch: Client bekommt IP aus falschem Bereich
- Port in „Parking VLAN“: häufig 998/999 und administrativ down
Access-Port korrekt setzen (Beispiel)
configure terminal
interface gigabitEthernet 1/0/10
description CLIENT-OFFICE-2.14
switchport mode access
switchport access vlan 10
spanning-tree portfast
spanning-tree bpduguard enable
end
Schritt 3: VLAN existiert und ist aktiv – VLAN-Datenbank prüfen
Wenn das VLAN auf dem Switch nicht existiert, kann es nicht korrekt zugewiesen oder über Trunks transportiert werden. Prüfe VLAN-ID, Namen und Port-Zuordnung.
show vlan brief
show vlan id 10
VLAN anlegen (falls fehlend)
configure terminal
vlan 10
name CLIENTS
end
Schritt 4: Trunk-Transport prüfen – Allowed VLANs sind der Klassiker
Wenn mehrere Switches beteiligt sind, muss das VLAN über alle relevanten Trunks erlaubt sein. Ein VLAN, das nur an einem Ende erlaubt ist, „stirbt“ unterwegs.
Trunk-Status prüfen
show interfaces trunk
show interfaces gigabitEthernet 1/0/48 switchport
Häufige Trunk-Fehler
- VLAN nicht in Allowed VLANs
- Trunk ist gar kein Trunk (Mode falsch/DTP)
- Native VLAN mismatch führt zu Warnungen und Fehlzuordnung
VLAN auf Trunk hinzufügen (kontrolliert)
configure terminal
interface gigabitEthernet 1/0/48
switchport mode trunk
switchport trunk allowed vlan add 10
end
Native VLAN prüfen
show interfaces trunk
show logging | include NATIVE|VLAN|TRUNK
Schritt 5: MAC-Learning nutzen – der schnellste L2-Beweis
Wenn ein Client korrekt im VLAN hängt und Traffic erzeugt, sollte der Switch dessen MAC im richtigen VLAN lernen. Das ist oft der schnellste Nachweis für korrekte Layer-2-Zuordnung.
show mac address-table interface gigabitEthernet 1/0/10
show mac address-table vlan 10
Wenn keine MAC gelernt wird
- Endgerät sendet keinen Traffic (Kabel/Link/Power)
- Port ist err-disabled oder durch Security blockiert
- 802.1X/MAB blockiert Port (NAC-Policy)
Schritt 6: Security-Mechanismen prüfen – Port-Security, Err-Disable, 802.1X
Ein Port kann technisch up sein, aber durch Security blockiert werden. Dann sieht es oft so aus, als wäre das VLAN falsch – tatsächlich ist der Datenverkehr unterbunden.
Err-Disable und Port-Security prüfen
show interface status err-disabled
show port-security
show port-security interface gigabitEthernet 1/0/10
show logging | include ERRDISABLE|PORT_SECURITY|BPDU
Port-Security Quick-Fix (nur nach Ursachenbehebung)
configure terminal
interface gigabitEthernet 1/0/10
shutdown
no shutdown
end
Schritt 7: DHCP-Pfad prüfen – VLAN stimmt, aber IP ist falsch/fehlt
Wenn VLAN-Zuordnung korrekt ist, aber IP-Adressen trotzdem nicht passen, ist DHCP der nächste Fokus. Häufige Ursachen: falscher DHCP-Server, DHCP-Relay fehlt oder Voice/Data werden verwechselt.
Indirekte DHCP-Indikatoren auf dem Switch
Auf einem reinen L2-Switch siehst du DHCP nicht immer direkt, aber du kannst L2 und Erreichbarkeit des Gateways prüfen. Auf L3-Geräten sind SVIs und Helper-Address relevant.
show ip interface brief
show arp
ping 192.168.10.1
Auf L3-Switch: SVI und DHCP-Relay prüfen (Beispiel)
show running-config interface vlan 10
show ip interface vlan 10
configure terminal
interface vlan 10
ip helper-address 10.1.80.20
end
Schritt 8: Sonderfälle – Voice VLAN, AP-Trunks, PVLAN, VTP
In Enterprise-Designs sind Ports oft nicht „nur Access“. Voice VLAN, AP-Ports als Trunk, PVLAN oder VTP können die Ursache für unerwartete VLAN-Zuordnung sein.
Voice VLAN: PC und Telefon im gleichen Port
Wenn ein Telefon vorgeschaltet ist, kann der PC im Data VLAN sein und das Telefon im Voice VLAN. Falsche Erwartung führt schnell zu Fehlinterpretation.
show interfaces gigabitEthernet 1/0/15 switchport
show vlan brief
AP-Port als Trunk: SSIDs und VLANs
Wenn ein Access Point mehrere SSIDs bereitstellt, ist der AP-Port häufig ein Trunk. Fehlen Allowed VLANs, landen Clients im falschen SSID-VLAN oder bekommen keine IP.
show interfaces gigabitEthernet 1/0/31 switchport
show interfaces trunk
VTP: VLAN existiert plötzlich nicht mehr oder anders
Wenn VLANs „verschwinden“, kann VTP eine Ursache sein. Prüfe Domain/Mode/Revision und ob VLANs aus einer zentralen Datenbank überschrieben wurden.
show vtp status
show vlan brief
show logging | include VTP|VLAN
Praxis-Playbook: Vorgehen nach Symptomen
Mit diesem Ablauf arbeitest du zielgerichtet: erst Port/VLAN, dann Trunk, dann DHCP/Gateway. Das ist in den meisten Mittelstandsnetzen die schnellste Methode.
- Einzelner Client betroffen: Port-Konfig + MAC-Learning + Security
- Ganzer Bereich betroffen: VLAN-Existenz + Trunk/Allowed VLANs + STP
- Nur DHCP falsch: VLAN stimmt, DHCP-Path/Relay/Gateway prüfen
Standard-Verifikation nach dem Fix
show interfaces status
show interfaces trunk
show vlan brief
show mac address-table vlan 10
show logging | include VLAN|TRUNK|ERRDISABLE
copy running-config startup-config
Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)
Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.
Was ich (je nach Paket) umsetze
-
Switching: VLANs, Trunking (802.1Q), Port-Zuweisung, STP-Basics (PortFast/BPDU Guard wo sinnvoll)
-
Routing: Default/Static Routing oder OSPF, Inter-VLAN Routing (Router-on-a-Stick)
-
Services: DHCP (Pools/Scopes), NAT/PAT für Internet-Simulation
-
Optional Security: Basic ACLs und SSH-Hardening
-
Test & Verifikation: Ping/Traceroute + wichtige Show-Commands (mit erwarteten Ergebnissen)
Sie erhalten
-
✅ Packet Tracer .pkt Datei
-
✅ Saubere Konfigurations-Notizen pro Gerät
-
✅ Verifikations-Checkliste + erwartete Outputs
-
✅ Kurze Dokumentation (wie die Topologie funktioniert)
Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.
Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.
