Quelltext der Seite Cisco Catalyst 2960-X: Trunk-Ports (802.1Q) konfigurieren

{{Steckbrief
| gilt_fuer   = Cisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E; Trunks nur mit IEEE 802.1Q
| bereich     = Netzwerk-Hardware
| dauer       = ca. 15 Minuten
| rechte      = Privileged EXEC (enable)
| stand       = Oktober 2026
}}
'''Einen Trunk-Port auf dem Cisco Catalyst 2960-X konfigurieren''' ist nötig, sobald mehrere VLANs über eine Leitung laufen sollen – zum Core-Switch, zur Firewall, zum Server-Host oder zum WLAN-Access-Point. Der Switch markiert die Ethernet-Rahmen dafür mit einem '''802.1Q-Tag'''. Dieser Artikel zeigt die sichere Grundkonfiguration mit fester Trunk-Einstellung, eingeschränkter VLAN-Liste und ungenutztem Native VLAN sowie typische Fehler.

[[Datei:Cisco-2960-X-Trunk.png|thumb|center|750px|Trunk-Ports auf dem Catalyst 2960-X: Zum Core bzw. zur Firewall laufen nur die benötigten VLANs tagged, das Native VLAN ist ein ungenutztes VLAN; zum Access Point läuft das Management-VLAN untagged und die SSID-VLANs tagged.]]

== Grundlagen: Trunk-Port, Tag und Native VLAN ==
{| class="wikitable"
! Begriff !! Bedeutung
|-
| [[Trunk-Port]] || Port, der Rahmen mehrerer VLANs überträgt, jeweils mit 802.1Q-Tag
|-
| Native VLAN || das eine VLAN, dessen Rahmen auf dem Trunk '''ohne''' Tag laufen (Standard: VLAN 1)
|-
| Allowed VLANs || Liste der VLANs, die der Trunk überträgt (Standard: alle 1–4094)
|-
| DTP || Cisco-Protokoll, mit dem Ports selbst aushandeln, ob sie Trunk werden – sollte aus sein
|}
Der 2960-X beherrscht nur 802.1Q; den von größeren Switches bekannten Befehl <code>switchport trunk encapsulation dot1q</code> gibt es hier nicht.

== Trunk-Port zum Core-Switch oder zur Firewall konfigurieren ==
Zuerst ein eigenes, sonst ungenutztes VLAN als Native VLAN anlegen:
<syntaxhighlight lang="text">
SW-EG-01# configure terminal
SW-EG-01(config)# vlan 998
SW-EG-01(config-vlan)# name NATIVE-UNGENUTZT
SW-EG-01(config-vlan)# exit
</syntaxhighlight>
Dann den Uplink – bei Modellen mit 10G-Uplinks z. B. <code>TenGigabitEthernet1/0/1</code>, bei 1G-Modellen <code>GigabitEthernet1/0/49</code>:
<syntaxhighlight lang="text">
SW-EG-01(config)# interface te1/0/1
SW-EG-01(config-if)# description Uplink CORE-01 Te1/0/10
SW-EG-01(config-if)# switchport mode trunk
SW-EG-01(config-if)# switchport nonegotiate
SW-EG-01(config-if)# switchport trunk native vlan 998
SW-EG-01(config-if)# switchport trunk allowed vlan 10,20,40,50,99
SW-EG-01(config-if)# no shutdown
SW-EG-01(config-if)# end
SW-EG-01# write memory
</syntaxhighlight>
* <code>switchport mode trunk</code> + <code>nonegotiate</code>: fester Trunk ohne DTP.
* '''Native VLAN 998:''' Rahmen ohne Tag landen in einem leeren VLAN. Das verhindert VLAN-Hopping per Double Tagging und dass ungetaggter Verkehr versehentlich im Client-Netz ankommt.
* '''Allowed VLANs:''' Nur übertragen, was auf der Gegenseite gebraucht wird. Das begrenzt Broadcasts und die Ausbreitung von Störungen.
Die Gegenseite muss '''dieselbe Native-VLAN-ID''' und dieselben VLANs verwenden. Für die OPNsense zeigt der Artikel [[OPNsense - VLAN und Netzwerksegmentierung|VLANs und Netzwerksegmentierung mit OPNsense]] die passende Firewall-Seite.

{{Warnung|<code>switchport trunk allowed vlan 30</code> '''ersetzt''' die gesamte Liste – der Trunk überträgt danach nur noch VLAN 30, und die Verbindung zum Management-VLAN reißt ab. VLANs immer mit <code>switchport trunk allowed vlan add 30</code> ergänzen und mit <code>… remove 30</code> entfernen.}}

== Trunk zum WLAN-Access-Point ==
Viele Access Points erwarten ihr Management-VLAN ungetaggt und die SSID-VLANs getaggt:
<syntaxhighlight lang="text">
SW-EG-01(config)# interface gi1/0/45
SW-EG-01(config-if)# description AP Flur EG
SW-EG-01(config-if)# switchport mode trunk
SW-EG-01(config-if)# switchport nonegotiate
SW-EG-01(config-if)# switchport trunk native vlan 99
SW-EG-01(config-if)# switchport trunk allowed vlan 10,50,99
SW-EG-01(config-if)# spanning-tree portfast trunk
</syntaxhighlight>
<code>spanning-tree portfast trunk</code> ist nur für Endgeräte wie Access Points oder Hypervisor-Hosts gedacht, nie für Verbindungen zu anderen Switches.

== Kontrolle ==
<syntaxhighlight lang="text">
show interfaces trunk                      ! alle Trunks, Native VLAN, erlaubte und aktive VLANs
show interfaces te1/0/1 switchport         ! Modus, Aushandlung, Native VLAN
show cdp neighbors te1/0/1 detail          ! Gegenstelle und deren Port
</syntaxhighlight>
In <code>show interfaces trunk</code> zeigt der Block ''Vlans allowed and active in management domain'', welche erlaubten VLANs auf dem Switch auch existieren; der Block ''forwarding state and not pruned'' zeigt, welche tatsächlich weitergeleitet werden.

== Typische Fehler ==
{| class="wikitable"
! Symptom !! Ursache !! Lösung
|-
| Log-Meldung <code>%CDP-4-NATIVE_VLAN_MISMATCH</code> || Native VLAN auf beiden Seiten unterschiedlich || Native VLAN angleichen
|-
| Geräte in einem VLAN erreichen das Gateway nicht || VLAN fehlt in der Allowed-Liste oder ist auf dem Switch nicht angelegt || <code>allowed vlan add</code>, <code>vlan …</code> anlegen
|-
| Trunk kommt nicht hoch, Port bleibt Access || Gegenseite fest auf Access, DTP aus || beide Seiten fest auf Trunk stellen
|-
| Switch nach Änderung nicht mehr per SSH erreichbar || Management-VLAN aus der Allowed-Liste gefallen || über Konsole korrigieren; vorher <code>reload in 10</code> setzen
|}

== Hinweise ==
* '''Mehrere Uplinks:''' Zwei Trunks zum selben Gerät nicht einzeln betreiben (Spanning Tree blockiert einen), sondern als EtherChannel mit [[LACP]] bündeln, siehe [[Cisco Catalyst 2960-X: EtherChannel mit LACP konfigurieren]].
* '''VLAN 1 entlasten:''' Wird VLAN 1 aus allen Allowed-Listen entfernt (<code>allowed vlan remove 1</code>), laufen CDP, VTP und STP-BPDUs trotzdem weiter; Nutzdaten in VLAN 1 werden aber nicht mehr übertragen.
* Bei Planung und Betrieb Ihrer Switch-Infrastruktur unterstützen Sie die [https://www.max-it.de/it-services/managed-services/ Managed Services von m.a.x. it].

== Siehe auch ==
* [[Cisco Catalyst 2960-X]] – Überblick und alle Artikel der Reihe
* [[Cisco Catalyst 2960-X: VLANs und Access-Ports konfigurieren]]
* [[Cisco Catalyst 2960-X: EtherChannel mit LACP konfigurieren]]
* [[Trunk-Port]]
* [[CiscoSB Sg200/Sg300 ManagementVLAN über einen Trunk]]

== Links und Quellen ==
* [https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst2960x/software/15-2_7_e/configuration_guide/b_1527e_consolidated_2960x_cg/m_vlan_trunk_cg_2960-x.html Cisco: Configuring VLAN Trunks (Catalyst 2960-X, IOS 15.2(7)E)]
* [https://www.max-it.de/it-services/managed-services/ Managed Services von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]