Was ist das?

VLAN (Virtual Local Area Networks) ist eine logische Trennung von Netzwerken auf Layer 2.
Es ermöglicht eine einheitliche physische Netzwerkstruktur und bietet Sicherheit sowie Abgrenzung von verschiedenen Geräten wie IoT, VoIP, iSCSI/Backup usw.
Jedes VLAN bildet eine eigene Broadcast-Domain, wodurch der Traffic reduziert und priorisiert werden kann.
Es ist möglich, mehrere logisch getrennte VLAN-Netzwerke über ein Kabel zu übertragen (Trunking).
Ein Switch wird mit VLAN in mehrere virtuelle Switche geteilt, auch Switch-übergreifend.

Grundlagen

Einige Grundlagen von VLAN sind, dass es maximal 4096 VLANs gibt
VLAN-1 immer das Default-VLAN im Auslieferungszustand ist.
VLAN-7 von der Telekom für VDSL genutzt wird.
VLAN-fähig sind Managed Switches, Router, Linux, VMWare, Windows je nach Netzwerkkarte, diverse Geräte wie NAS, WLAN-AccessPoints usw.
Jeder Port und jedes Gerät kann Teil nur eines VLANs sein, aber es können ihm mehrere VLANs zugeordnet werden (Trunk).
VLAN-Trunks müssen alle VLAN-IDs hinterlegt haben, die sie übertragen sollen.
Dynamische, selbstlernende VLAN-Trunks sind heute Standard.
VLAN-Tags werden vom Ziel-Switch entfernt, wenn der Empfänger-Switchport UNTAGGED ist.
Ansonsten gehen die TAGGED Pakete bis zum VLAN-taggingfähigen Zielgerät.
Verbinden verschiedener VLANs ist durch gezieltes Routing (Layer 3) möglich.
Wenn verschiedene VLANs identische Netzwerkadressen haben, ist jedoch kein Routing möglich.

Es gibt zwei Verfahren von VLAN: Port-basierend (untagged) und TAG-basierend (paketbasiert, framebasiert, tagged).
Bei der port-basierten Methode wird der physische Switch in mehrere logische Switches unterteilt, und alle Daten des jeweiligen VLAN liegen am Port an, jedoch werden keine VLAN-Informationen nach außen weitergegeben.
Bei der TAG-basierten Methode werden Datenpakete mit VLAN-TAG an das nächste Gerät weitergeleitet, und die Kommunikation verschiedener VLANs kann über ein Kabel erfolgen.

VLANS werden üblicherweise zwischen Switchen und Routern konfiguriert, und Endgeräte haben einen ungetaggten Port mit der passenden VLAN-ID.
Es gibt VLAN tagged und VLAN untagged Ports.
Die PVID (Port VLAN ID) bestimmt das VLAN, in das untagged Frames forwardet werden, die an dem Port reinkommen.
Jeder Port muss eine PVID zugewiesen werden (standardmäßig PVID 1).