IEEE 802.1Q · UniFi Network 9.x

VLANs visuell erklärt – vom Tag im Frame bis zur Firewall-Ausnahme

Ein physisches Netz, mehrere logische: Wie ein Switch Frames mit vier zusätzlichen Bytes markiert, warum Geräte in verschiedenen VLANs nur über einen Router miteinander sprechen – und wie man in der UniFi Network Application genau festlegt, wer wen erreichen darf.

🔬 Frame-Debugger starten🧭 Regeln ausprobieren
VLAN 1 · ManagementVLAN 10 · LANVLAN 20 · IoTVLAN 30 · GästeVLAN 40 · Kameras
🌍 Internet🧱 UniFi Cloud GatewayRouting · Firewall · DHCP je VLANTrunk: VLAN 1 untagged, 10/20/30/40 tagged🔀 UniFi Switch (Port Manager)VLAN 1 · Management192.168.1.0/24🔀 📶VLAN 10 · LAN192.168.10.0/24🧑‍💻 💻 🏠 🕳️ 🗄️VLAN 20 · IoT192.168.20.0/24🖨️ 📺 🔌VLAN 30 · Gäste192.168.30.0/24📱VLAN 40 · Kameras192.168.40.0/24📹
0x8100
TPID – kennzeichnet ein 802.1Q-Tag
12 Bit
VLAN-ID: 1–4094 nutzbar (0 und 4095 reserviert)
+4 Byte
Frame max. 1518 → 1522 Byte mit Tag
81 00 00 14
Tag für VLAN 20, Priorität 0 – so steht es im Frame
📚

Grundlagen

Broadcast-Domänen, 802.1Q-Tag Byte für Byte, Access/Trunk, Native VLAN, PVID, Inter-VLAN-Routing, DHCP je VLAN, SSID → VLAN.

🔬

Frame-Debugger

Ein TCP-SYN vom Laptop (VLAN 10) zum Drucker (VLAN 20): Tag rein, Tag raus, Routing, Firewall – vor und zurück.

🧱

UniFi-Praxis

Netzwerke anlegen, Port Manager, WiFi mit VLAN, Zone-Based Firewall (Network 9.x), klassische LAN-In-Regeln, typische Ausnahmen.

🧭

Regel-Planer

„Darf Gerät X Gerät Y auf Port Z erreichen?“ – Regeln an/aus, umsortieren, Auswertung mit Begründung inkl. Rückweg.

🩺

Fehlersuche

Falsches Native VLAN, Gerät bekommt falsche IP, WLAN ohne DHCP, mDNS über VLAN-Grenzen – mit Diagnose-Werkzeugen.

🗺️ Das Beispiel-Heimnetz

VLANSubnetz / GatewayDHCP-BereichFirewall-ZoneGeräteZweck
VLAN 1 · Management192.168.1.1/24192.168.1.100 – 192.168.1.199Internal🔀 Switch, 📶 Access PointSwitches, Access Points (Default-Netz, VLAN 1)
VLAN 10 · LAN192.168.10.1/24192.168.10.100 – 192.168.10.199Internal🧑‍💻 Admin-PC, 💻 Laptop, 🏠 Home Assistant, 🕳️ Pi-hole, 🗄️ NASVertrauenswürdige Rechner, NAS, Home Assistant
VLAN 20 · IoT192.168.20.1/24192.168.20.100 – 192.168.20.199IoT (eigene Zone)🖨️ Drucker, 📺 Chromecast, 🔌 Smarte SteckdoseDrucker, Chromecast, Steckdosen
VLAN 30 · Gäste192.168.30.1/24192.168.30.100 – 192.168.30.199Hotspot📱 Gast-HandyNur Internet
VLAN 40 · Kameras192.168.40.1/24192.168.40.100 – 192.168.40.199Kameras (eigene Zone)📹 Kamera EinfahrtPoE-Kameras, ohne Internet

Alle Adressen, Namen und MAC-Adressen (lokal administriert, 02:…) sind synthetisch. Der „Internet-Server“ nutzt 203.0.113.80 aus dem Dokumentationsbereich TEST-NET-3 (RFC 5737).