LAN-Komponenten in Betrieb nehmen

Ein einzelnes flaches Netz reicht bald nicht mehr: Telefone, Gäste, Verwaltung und Server sollen getrennt sein, ohne dass man für jede Gruppe eigene Kabel zieht. In diesem Modul konfigurierst du managed Switches über die Kommandozeile, teilst das Netz mit VLANs auf und verbindest die VLANs über einen Router oder Layer-3-Switch. Du sicherst redundante Verbindungen mit Spanning Tree und Link-Aggregation ab, bindest Access Points mit mehreren SSIDs ein und schützt Ports gegen fremde Geräte. Zum Schluss findest du Fehler auf Layer 2 gezielt mit show-Befehlen.

Das sind die Fähigkeiten, die am Ende des Moduls sitzen sollten. Jedes Ziel mit einem Beispiel aus dem Lehrbetrieb.

1. 1

   Einen managed Switch grundkonfigurieren und sicher verwalten

   Kompetenz A

   Du gibst dem Switch einen Namen, eine Management-Adresse und sichere Zugänge. Unsichere Protokolle wie Telnet schaltest du ab, die Konfiguration speicherst du dauerhaft.

   Situation

   Die Gemeindeverwaltung Muster erhält zwei neue Cisco-Catalyst-Switches mit 48 Ports. Sie kommen mit Werkseinstellungen.

   Deine Aufgabe

   Bereite den ersten Switch so vor, dass er sicher per SSH verwaltet werden kann.

   Gutes Ergebnis

   Hostname SW-GV-01, Management-VLAN 99 mit IP 10.99.0.11/24, Gateway 10.99.0.1, lokaler Admin mit 'secret', SSH Version 2 aktiv, Telnet aus, Login-Banner gesetzt, 'copy running-config startup-config' ausgeführt.

   Konsole vs. SSHManagement-VLANenable secretrunning-config / startup-configBanner
2. 2

   VLANs planen und auf Access- und Trunk-Ports umsetzen

   Kompetenz B

   Du teilst das Netz logisch in Gruppen auf und weist jedem Port das richtige VLAN zu. Zwischen Switches transportiert ein Trunk mehrere VLANs über ein Kabel mit 802.1Q-Tags.

   Situation

   In der Gemeinde sollen Verwaltung, Bauamt, Telefonie und Gäste getrennt sein. Die Telefone hängen zwischen Dose und PC.

   Deine Aufgabe

   Erstelle die VLANs und konfiguriere Access-, Voice- und Trunk-Ports.

   Gutes Ergebnis

   VLAN 10 Verwaltung, 20 Bauamt, 30 Voice, 40 Gäste, 99 Management. Ports Gi1/0/1 bis 24 Access VLAN 10 mit Voice-VLAN 30. Uplink Gi1/0/48 als Trunk mit 'allowed vlan 10,20,30,40,99' und Native-VLAN 999 ohne Geräte.

   Access-PortTrunk802.1Q-TagNative VLANVoice-VLAN
3. 3

   Routing zwischen VLANs einrichten

   Kompetenz C

   Geräte in verschiedenen VLANs können nur über einen Router miteinander sprechen. Du richtest dafür Subinterfaces auf einem Router oder virtuelle Schnittstellen auf einem Layer-3-Switch ein und leitest DHCP-Anfragen an den zentralen Server weiter.

   Situation

   Die PCs im Bauamt (VLAN 20) müssen auf den Planserver im Verwaltungs-VLAN 10 zugreifen. DHCP läuft zentral auf 10.10.0.5.

   Deine Aufgabe

   Konfiguriere das Routing zwischen den VLANs auf dem Layer-3-Switch.

   Gutes Ergebnis

   SVI 'interface vlan 10' mit 10.10.0.1/24 und 'interface vlan 20' mit 10.20.0.1/24, 'ip routing' aktiv. Auf SVI 20 'ip helper-address 10.10.0.5'. Ein PC im Bauamt bekommt 10.20.0.101 und erreicht den Planserver.

   Router-on-a-StickSubinterfaceSVIip routingDHCP-Relay
4. 4

   Redundante Verbindungen mit Spanning Tree und Link-Aggregation absichern

   Kompetenz D

   Doppelte Verbindungen zwischen Switches erhöhen die Ausfallsicherheit, erzeugen aber ohne Schutz Schleifen. Du legst die Root-Bridge bewusst fest und bündelst parallele Kabel mit LACP zu einer schnelleren, ausfallsicheren Leitung.

   Situation

   Das Schulhaus Rosenau hat einen Core-Switch und drei Etagenswitches, jeder mit zwei Kabeln zum Core. Gelegentlich bricht das ganze Netz zusammen.

   Deine Aufgabe

   Mache die Verbindungen schleifenfrei und nutze beide Kabel.

   Gutes Ergebnis

   Rapid-PVST aktiv, Core-Switch mit Priorität 4096 als Root-Bridge. Je zwei Uplinks als Port-Channel mit LACP (mode active). 'show etherchannel summary' zeigt (SU) mit zwei Ports (P). Der Ausfall eines Kabels unterbricht das Netz nicht mehr.

   Switching-LoopSpanning Tree / RSTPRoot-BridgeBridge-PrioritätLACP / Port-Channel
5. 5

   Access Points mit mehreren SSIDs ins LAN einbinden

   Kompetenz B, E

   Jede SSID wird einem VLAN zugeordnet, der Access Point hängt deshalb an einem Trunk-Port. Du wählst Kanäle so, dass sich benachbarte Access Points nicht stören, und setzt passende Verschlüsselung ein.

   Situation

   Im Schulhaus Rosenau sollen Lehrpersonen, Schülergeräte und Gäste getrennt ins WLAN. Pro Stockwerk gibt es zwei UniFi-Access-Points mit PoE.

   Deine Aufgabe

   Richte die SSIDs und die Switch-Ports für die Access Points ein.

   Gutes Ergebnis

   SSID 'Rosenau-LP' (WPA2-Enterprise, VLAN 50), 'Rosenau-SuS' (WPA2-PSK, VLAN 60), 'Rosenau-Gast' (VLAN 40 mit Client-Isolation). AP-Ports als Trunk mit Native-VLAN 99 für das Management. 2.4 GHz auf Kanal 1, 6, 11 verteilt, 5 GHz mit 40 MHz Kanalbreite.

   SSIDSSID-zu-VLAN-ZuordnungWPA2/WPA3KanalplanungPoE-Budget
6. 6

   Switch-Ports gegen unerwünschte Geräte absichern

   Kompetenz E

   Du schaltest ungenutzte Ports ab, begrenzt die Anzahl Geräte pro Port und verhinderst, dass jemand einen eigenen Switch oder DHCP-Server einschmuggelt.

   Situation

   In der Gemeinde hat jemand im Sitzungszimmer einen privaten Router angeschlossen. Mehrere PCs bekamen danach falsche Adressen.

   Deine Aufgabe

   Schütze die Access-Ports gegen solche Vorfälle.

   Gutes Ergebnis

   Ungenutzte Ports im VLAN 999 und 'shutdown'. Access-Ports mit 'switchport port-security maximum 3' an Dosen mit IP-Telefon (Telefon in Voice- und Daten-VLAN plus PC) bzw. 'maximum 2' ohne Telefon, 'violation restrict', 'spanning-tree bpduguard enable'. DHCP-Snooping aktiv, nur der Uplink ist 'trusted'.

   Port-SecuritySticky-MACBPDU-GuardDHCP-SnoopingParkplatz-VLAN
7. 7

   Layer-2-Probleme mit show-Befehlen und Wireshark eingrenzen

   Kompetenz F

   Du liest die Ausgaben der wichtigsten show-Befehle und erkennst typische Fehler wie falsche VLAN-Zuordnung, fehlende VLANs auf dem Trunk oder Native-VLAN-Konflikte.

   Situation

   Nach einem Switch-Tausch erreichen die PCs im Bauamt das Gateway nicht mehr, die Verwaltung funktioniert.

   Deine Aufgabe

   Finde den Fehler mit möglichst wenigen Befehlen.

   Gutes Ergebnis

   'show interfaces trunk' zeigt auf dem Uplink nur 'allowed vlan 10,99'. VLAN 20 fehlt auf dem Trunk. Mit 'switchport trunk allowed vlan add 20' behoben, ping auf 10.20.0.1 klappt wieder.

   show vlan briefshow interfaces trunkshow mac address-tableshow spanning-treeCDP / LLDP

Die Kompetenzmatrix zerlegt das Modul in Themenstränge und drei Stufen. Für den Kompetenznachweis solltest du überall mindestens Stufe 2 erreichen. Dein Stand bleibt in diesem Browser gespeichert und färbt Lernweg und Übungen ein.

Noemi ist im 2. Lehrjahr als Informatikerin Plattformentwicklung bei der Lintec Netzwerke AG in Wil SG, 35 Mitarbeitende. Das Hotel Alpenblick in Lenk mit 60 Zimmern auf drei Etagen ersetzt sein flaches Netz, in dem Gäste, Rezeption, Kasse und Telefonie im gleichen Segment hängen. Noemi baut die Switches mit einem Netzwerktechniker auf und übernimmt die Konfiguration.

1. Kapitel 1

   Vier Switches aus der Schachtel

   Noemi verbindet sich per Konsolenkabel mit dem Core-Switch und den drei Etagenswitches und vergibt die Namen SW-CORE und SW-OG1 bis SW-OG3. Jeder Switch bekommt eine Management-Adresse im VLAN 99, SSH wird eingeschaltet und Telnet abgestellt. Nach einem Stromunterbruch im Lager ist die Konfiguration eines Switches weg, weil sie vergessen hat, sie zu speichern. Seither endet jede Sitzung bei ihr mit copy running-config startup-config und einem Haken auf ihrer Checkliste.

   Ziel 1

2. Kapitel 2

   Gäste raus aus dem Hotelnetz

   Noemi legt die VLANs 10 Verwaltung, 20 Kasse und Restaurant, 30 Telefonie, 40 Gäste und 99 Management an. Die Trunks zu den Etagen erlauben nur diese VLANs. Die Access Points hängen an Trunk-Ports, die SSID Alpenblick-Gast landet in VLAN 40 und Alpenblick-Staff in VLAN 10. Im 2. Stock verbinden sich Gäste zwar, bekommen aber keine Adresse: show interfaces trunk zeigt, dass VLAN 40 auf dem Trunk zu SW-OG2 fehlt.

   Ziel 2Ziel 5Ziel 7

3. Kapitel 3

   Die Rezeption muss trotzdem drucken

   Jetzt kann die Rezeption den Drucker im Büro nicht mehr erreichen, weil er in einem anderen VLAN steht. Noemi richtet auf dem Layer-3-Core-Switch für jedes VLAN eine SVI als Gateway ein. Der DHCP-Server steht in VLAN 10, deshalb setzt sie auf jeder SVI eine ip helper-address. Mit einer ACL sorgt sie dafür, dass das Gäste-VLAN nur ins Internet kommt und nichts im Hotelnetz erreicht.

   Ziel 3

4. Kapitel 4

   Ein Kabel zu viel

   Damit eine Etage nicht ausfällt, wenn ein Kabel bricht, zieht der Techniker zu jedem Etagenswitch eine zweite Leitung. Noemi setzt die Spanning-Tree-Priorität des Core-Switches auf 4096, damit er sicher Root-Bridge wird. Die zwei Leitungen zum Serverraum bündelt sie mit LACP zu einem Port-Channel. Beim Test zieht sie ein Uplink-Kabel, und die Telefone im 1. Stock verlieren dank Rapid PVST+ nur knapp zwei Sekunden die Verbindung.

   Ziel 4

5. Kapitel 5

   Der fremde Router im Seminarraum

   Bei einem Seminar bekommen plötzlich mehrere Gäste falsche Adressen. Noemi findet mit show mac address-table und einem Wireshark-Mitschnitt einen zweiten DHCP-Server: Ein Teilnehmer hat einen Reiserouter an die Wanddose gesteckt. Sie aktiviert DHCP Snooping, BPDU Guard auf allen Access-Ports und Port-Security mit einer kleinen Höchstzahl an MAC-Adressen pro Dose (drei an Dosen mit IP-Telefon, sonst zwei). Ungenutzte Ports schaltet sie ab und dokumentiert alle Massnahmen für das Hotel.

   Ziel 6Ziel 7

1. 1

   Switch-Grundlagen und CLI

   ca. 4 Std.

   Du lernst, wie ein Switch MAC-Adressen lernt, und bewegst dich sicher in den Modi der Kommandozeile.

   • In Packet Tracer einen Switch mit 4 PCs aufbauen und die MAC-Adresstabelle beobachten
   • Grundkonfiguration mit Hostname, Passwörtern, SSH und Management-IP üben, bis du sie ohne Vorlage schaffst
   • Unterschied running-config und startup-config ausprobieren (Neustart ohne Speichern)

   Trainiert Kompetenz A1A2

   Lernziel1

2. 2

   VLANs und Trunks

   ca. 5 Std.

   Du trennst das Netz in VLANs und verbindest zwei Switches mit einem Trunk.

   • Vier VLANs auf zwei Switches anlegen und Ports zuweisen
   • Trunk mit eingeschränkten VLANs und eigenem Native-VLAN konfigurieren
   • Mit Wireshark (in GNS3) ein Paket mit 802.1Q-Tag ansehen

   Trainiert Kompetenz B1B2F1

   Lernziel27

3. 3

   VLANs verbinden

   ca. 5 Std.

   Du bringst die VLANs über Router-on-a-Stick und einen Layer-3-Switch zusammen und lässt DHCP zentral laufen.

   • Dieselbe Aufgabe einmal mit Router-Subinterfaces und einmal mit SVIs lösen
   • Einen DHCP-Server in einem VLAN aufstellen und 'ip helper-address' einrichten
   • Mit tracert von einem PC aus den Weg ins andere VLAN prüfen

   Trainiert Kompetenz C1C2

   Lernziel3

4. 4

   Redundanz ohne Schleifen

   ca. 4 Std.

   Du baust ein Dreieck aus Switches, beobachtest Spanning Tree und bündelst Verbindungen.

   • Drei Switches im Dreieck verbinden und mit 'show spanning-tree' den blockierten Port finden
   • Die Root-Bridge per Priorität auf den Core-Switch legen
   • Zwei Uplinks zu einem LACP-Port-Channel bündeln und ein Kabel ziehen

   Trainiert Kompetenz D1D2

   Lernziel4

5. 5

   WLAN und Port-Sicherheit

   ca. 5 Std.

   Du bindest Access Points mit mehreren SSIDs ein und härtest die Access-Ports.

   • Im Packet Tracer oder mit einem UniFi-Controller in Docker drei SSIDs auf VLANs mappen
   • Mit einer WLAN-Analyse-App (z.B. WiFi Analyzer) die Kanäle zu Hause auswerten
   • Port-Security, BPDU-Guard und DHCP-Snooping konfigurieren und mit einem fremden Gerät testen

   Trainiert Kompetenz E1E2

   Lernziel56

6. 6

   Gesamtszenario mit Fehlersuche

   ca. 5 Std.

   Du setzt ein Netz für eine Schule oder Gemeinde komplett um und suchst danach eingebaute Fehler.

   • VLAN-Plan, Port-Plan und IP-Plan erstellen und umsetzen
   • Eine Kollegin oder ein Tutor baut drei Fehler ein, die du mit show-Befehlen findest
   • Alle Konfigurationen als Textdateien sichern und kommentieren

   Trainiert Kompetenz A3B3C3E3F2F3

   Lernziel2367

VLAN

Logisch getrenntes Netz auf derselben Switch-Hardware.

Trunk

Verbindung, die mehrere VLANs mit 802.1Q-Tags über ein Kabel transportiert.

Native VLAN

VLAN, dessen Frames auf einem Trunk ohne Tag übertragen werden.

SVI

Switch Virtual Interface: virtuelle Schnittstelle eines VLANs auf einem Layer-3-Switch, oft das Gateway des VLANs.

Spanning Tree

Protokoll, das Schleifen in redundanten Switch-Netzen verhindert, indem es einzelne Ports blockiert.

LACP

Protokoll zum Bündeln mehrerer physischer Verbindungen zu einem logischen Port-Channel.

Port-Security

Begrenzt, welche und wie viele MAC-Adressen an einem Switch-Port erlaubt sind.

DHCP-Snooping

Switch-Funktion, die DHCP-Antworten nur von vertrauenswürdigen Ports zulässt.

SSID

Name eines WLANs, wie er auf den Endgeräten angezeigt wird.

Passende Module