Warum Sie VLAN 1 auf Uplinks nicht taggen sollten
Die verborgenen Risiken des Standard-VLANs verstehen
1. Ein kurzer historischer Rückblick
Mit der Einführung des VLAN-Taggings nach IEEE 802.1Q mussten Switches zwei Arten von Frames verarbeiten:
Untagged Traffic: normale Ethernet-Frames ohne VLAN-Tag
Tagged Traffic: Frames mit einer VLAN-ID im Header
Für ungetaggte Frames einigten sich die Hersteller auf eine Konvention:
→ VLAN 1 dient als Standard-VLAN für ungetaggten Traffic.
Bald transportierte VLAN 1 alles: Protokolle der Control Plane (STP, CDP, LLDP), Management-Traffic und teilweise sogar Benutzerdaten.
Mit der Zeit erkannten Netzwerkingenieure das Risiko und begannen, Management- und Control-Traffic in eigene VLANs auszulagern.
VLAN 1 blieb trotzdem überall präsent, und manche Administratoren gingen dazu über, VLAN 1 auf Trunks zu taggen, um „einheitlich“ zu sein.
Technisch möglich, im Betrieb aber gefährlich.
2. Warum das Taggen von VLAN 1 eine schlechte Idee ist
Ein getaggtes VLAN 1 kann mehrere Netzwerk- und Sicherheitsprobleme verursachen:
⚠️ Uneinheitliches Herstellerverhalten: Manche Geräte verwerfen getaggte Frames in VLAN 1 vollständig.
⚠️ Verwechslungen beim nativen VLAN: Das native VLAN ist in der Regel ungetaggt; wird es getaggt, bricht der ungetaggte Traffic weg.
⚠️ Sicherheitsrisiko: VLAN 1 transportiert oft Management- oder Control-Traffic, der nicht mit Benutzerdaten vermischt werden sollte.
⚠️ Mühsame Fehlersuche: Abweichende Konfigurationen zwischen Switches führen zu unbemerktem Traffic-Verlust.
Die goldene Regel:
VLAN 1 niemals taggen.
Wenn Sie es nutzen müssen, verwenden Sie es stattdessen als natives (ungetaggtes) VLAN.
3. Aruba CX und getaggte native VLANs
Switches mit Aruba CX (AOS-CX) bieten eine interessante Flexibilität: Sie können wählen, ob das native VLAN eines Trunks getaggt oder ungetaggt übertragen wird.
▸ Natives VLAN (ungetaggter Modus)
Standardverhalten auf nahezu allen Switches
Ungetaggte Frames werden dem nativen VLAN zugeordnet (in der Regel VLAN 1)
Alle anderen VLANs werden explizit getaggt
▸ Getaggtes natives VLAN
Aruba erlaubt es, das native VLAN zu taggen, damit der gesamte Traffic einheitlich getaggt ist
Beide Enden des Trunks müssen diese Konfiguration unterstützen
Taggt eine Seite VLAN 1 und erwartet die andere es ungetaggt → Verbindungsverlust
📘 Referenz:
Aruba Networks AOS-CX VLAN Configuration Guide
4. Best Practices für reale Netzwerke
Mit diesen bewährten Empfehlungen bleibt Ihr Netzwerk stabil und konsistent:
Ein dediziertes Management-VLAN verwenden
VLAN 1 nicht auf allen Ports aktiv lassen
Für ungetaggte Uplinks ein ungenutztes „Papierkorb“-VLAN verwenden
Das Tagging des nativen VLANs auf jedem Trunk überprüfen
5. Fazit
VLAN 1 mag wie eine harmlose Voreinstellung aussehen, ist aber oft das gefährlichste VLAN in Ihrem Netzwerk.
Wer es taggt, riskiert unsichtbare Ausfälle, herstellerspezifische Eigenheiten und Sicherheitslücken.
Wenn Sie Aruba CX einsetzen, bietet die Option des getaggten nativen VLANs Flexibilität, sie erfordert aber Disziplin.
Planen Sie immer mit Klarheit, Konsistenz und Überprüfung.
Beim VLAN-Management kann das kleinste Tag den größten Ausfall verursachen.
