https://techcorner.max-it.de/index.php?action=history&feed=atom&title=Cisco_Catalyst_2960-X%3A_Trunk-Ports_%28802.1Q%29_konfigurierenCisco Catalyst 2960-X: Trunk-Ports (802.1Q) konfigurieren - Versionsgeschichte2026-10-16T00:10:41ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=Cisco_Catalyst_2960-X:_Trunk-Ports_(802.1Q)_konfigurieren&diff=4396&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: 802.1Q-Trunks, Native VLAN, Allowed VLANs, Trunk zum Access Point2026-10-15T00:00:00Z<p>Neuer Artikel: 802.1Q-Trunks, Native VLAN, Allowed VLANs, Trunk zum Access Point</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = Cisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E; Trunks nur mit IEEE 802.1Q<br />
| bereich = Netzwerk-Hardware<br />
| dauer = ca. 15 Minuten<br />
| rechte = Privileged EXEC (enable)<br />
| stand = Oktober 2026<br />
}}<br />
'''Einen Trunk-Port auf dem Cisco Catalyst 2960-X konfigurieren''' ist nötig, sobald mehrere VLANs über eine Leitung laufen sollen – zum Core-Switch, zur Firewall, zum Server-Host oder zum WLAN-Access-Point. Der Switch markiert die Ethernet-Rahmen dafür mit einem '''802.1Q-Tag'''. Dieser Artikel zeigt die sichere Grundkonfiguration mit fester Trunk-Einstellung, eingeschränkter VLAN-Liste und ungenutztem Native VLAN sowie typische Fehler.<br />
<br />
[[Datei:Cisco-2960-X-Trunk.png|thumb|center|750px|Trunk-Ports auf dem Catalyst 2960-X: Zum Core bzw. zur Firewall laufen nur die benötigten VLANs tagged, das Native VLAN ist ein ungenutztes VLAN; zum Access Point läuft das Management-VLAN untagged und die SSID-VLANs tagged.]]<br />
<br />
== Grundlagen: Trunk-Port, Tag und Native VLAN ==<br />
{| class="wikitable"<br />
! Begriff !! Bedeutung<br />
|-<br />
| [[Trunk-Port]] || Port, der Rahmen mehrerer VLANs überträgt, jeweils mit 802.1Q-Tag<br />
|-<br />
| Native VLAN || das eine VLAN, dessen Rahmen auf dem Trunk '''ohne''' Tag laufen (Standard: VLAN 1)<br />
|-<br />
| Allowed VLANs || Liste der VLANs, die der Trunk überträgt (Standard: alle 1–4094)<br />
|-<br />
| DTP || Cisco-Protokoll, mit dem Ports selbst aushandeln, ob sie Trunk werden – sollte aus sein<br />
|}<br />
Der 2960-X beherrscht nur 802.1Q; den von größeren Switches bekannten Befehl <code>switchport trunk encapsulation dot1q</code> gibt es hier nicht.<br />
<br />
== Trunk-Port zum Core-Switch oder zur Firewall konfigurieren ==<br />
Zuerst ein eigenes, sonst ungenutztes VLAN als Native VLAN anlegen:<br />
<syntaxhighlight lang="text"><br />
SW-EG-01# configure terminal<br />
SW-EG-01(config)# vlan 998<br />
SW-EG-01(config-vlan)# name NATIVE-UNGENUTZT<br />
SW-EG-01(config-vlan)# exit<br />
</syntaxhighlight><br />
Dann den Uplink – bei Modellen mit 10G-Uplinks z. B. <code>TenGigabitEthernet1/0/1</code>, bei 1G-Modellen <code>GigabitEthernet1/0/49</code>:<br />
<syntaxhighlight lang="text"><br />
SW-EG-01(config)# interface te1/0/1<br />
SW-EG-01(config-if)# description Uplink CORE-01 Te1/0/10<br />
SW-EG-01(config-if)# switchport mode trunk<br />
SW-EG-01(config-if)# switchport nonegotiate<br />
SW-EG-01(config-if)# switchport trunk native vlan 998<br />
SW-EG-01(config-if)# switchport trunk allowed vlan 10,20,40,50,99<br />
SW-EG-01(config-if)# no shutdown<br />
SW-EG-01(config-if)# end<br />
SW-EG-01# write memory<br />
</syntaxhighlight><br />
* <code>switchport mode trunk</code> + <code>nonegotiate</code>: fester Trunk ohne DTP.<br />
* '''Native VLAN 998:''' Rahmen ohne Tag landen in einem leeren VLAN. Das verhindert VLAN-Hopping per Double Tagging und dass ungetaggter Verkehr versehentlich im Client-Netz ankommt.<br />
* '''Allowed VLANs:''' Nur übertragen, was auf der Gegenseite gebraucht wird. Das begrenzt Broadcasts und die Ausbreitung von Störungen.<br />
Die Gegenseite muss '''dieselbe Native-VLAN-ID''' und dieselben VLANs verwenden. Für die OPNsense zeigt der Artikel [[OPNsense - VLAN und Netzwerksegmentierung|VLANs und Netzwerksegmentierung mit OPNsense]] die passende Firewall-Seite.<br />
<br />
{{Warnung|<code>switchport trunk allowed vlan 30</code> '''ersetzt''' die gesamte Liste – der Trunk überträgt danach nur noch VLAN 30, und die Verbindung zum Management-VLAN reißt ab. VLANs immer mit <code>switchport trunk allowed vlan add 30</code> ergänzen und mit <code>… remove 30</code> entfernen.}}<br />
<br />
== Trunk zum WLAN-Access-Point ==<br />
Viele Access Points erwarten ihr Management-VLAN ungetaggt und die SSID-VLANs getaggt:<br />
<syntaxhighlight lang="text"><br />
SW-EG-01(config)# interface gi1/0/45<br />
SW-EG-01(config-if)# description AP Flur EG<br />
SW-EG-01(config-if)# switchport mode trunk<br />
SW-EG-01(config-if)# switchport nonegotiate<br />
SW-EG-01(config-if)# switchport trunk native vlan 99<br />
SW-EG-01(config-if)# switchport trunk allowed vlan 10,50,99<br />
SW-EG-01(config-if)# spanning-tree portfast trunk<br />
</syntaxhighlight><br />
<code>spanning-tree portfast trunk</code> ist nur für Endgeräte wie Access Points oder Hypervisor-Hosts gedacht, nie für Verbindungen zu anderen Switches.<br />
<br />
== Kontrolle ==<br />
<syntaxhighlight lang="text"><br />
show interfaces trunk ! alle Trunks, Native VLAN, erlaubte und aktive VLANs<br />
show interfaces te1/0/1 switchport ! Modus, Aushandlung, Native VLAN<br />
show cdp neighbors te1/0/1 detail ! Gegenstelle und deren Port<br />
</syntaxhighlight><br />
In <code>show interfaces trunk</code> zeigt der Block ''Vlans allowed and active in management domain'', welche erlaubten VLANs auf dem Switch auch existieren; der Block ''forwarding state and not pruned'' zeigt, welche tatsächlich weitergeleitet werden.<br />
<br />
== Typische Fehler ==<br />
{| class="wikitable"<br />
! Symptom !! Ursache !! Lösung<br />
|-<br />
| Log-Meldung <code>%CDP-4-NATIVE_VLAN_MISMATCH</code> || Native VLAN auf beiden Seiten unterschiedlich || Native VLAN angleichen<br />
|-<br />
| Geräte in einem VLAN erreichen das Gateway nicht || VLAN fehlt in der Allowed-Liste oder ist auf dem Switch nicht angelegt || <code>allowed vlan add</code>, <code>vlan …</code> anlegen<br />
|-<br />
| Trunk kommt nicht hoch, Port bleibt Access || Gegenseite fest auf Access, DTP aus || beide Seiten fest auf Trunk stellen<br />
|-<br />
| Switch nach Änderung nicht mehr per SSH erreichbar || Management-VLAN aus der Allowed-Liste gefallen || über Konsole korrigieren; vorher <code>reload in 10</code> setzen<br />
|}<br />
<br />
== Hinweise ==<br />
* '''Mehrere Uplinks:''' Zwei Trunks zum selben Gerät nicht einzeln betreiben (Spanning Tree blockiert einen), sondern als EtherChannel mit [[LACP]] bündeln, siehe [[Cisco Catalyst 2960-X: EtherChannel mit LACP konfigurieren]].<br />
* '''VLAN 1 entlasten:''' Wird VLAN 1 aus allen Allowed-Listen entfernt (<code>allowed vlan remove 1</code>), laufen CDP, VTP und STP-BPDUs trotzdem weiter; Nutzdaten in VLAN 1 werden aber nicht mehr übertragen.<br />
* Bei Planung und Betrieb Ihrer Switch-Infrastruktur unterstützen Sie die [https://www.max-it.de/it-services/managed-services/ Managed Services von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[Cisco Catalyst 2960-X]] – Überblick und alle Artikel der Reihe<br />
* [[Cisco Catalyst 2960-X: VLANs und Access-Ports konfigurieren]]<br />
* [[Cisco Catalyst 2960-X: EtherChannel mit LACP konfigurieren]]<br />
* [[Trunk-Port]]<br />
* [[CiscoSB Sg200/Sg300 ManagementVLAN über einen Trunk]]<br />
<br />
== Links und Quellen ==<br />
* [https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst2960x/software/15-2_7_e/configuration_guide/b_1527e_consolidated_2960x_cg/m_vlan_trunk_cg_2960-x.html Cisco: Configuring VLAN Trunks (Catalyst 2960-X, IOS 15.2(7)E)]<br />
* [https://www.max-it.de/it-services/managed-services/ Managed Services von m.a.x. it]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:Netzwerk-Hardware]]<br />
</div>imported>TechCorner-Redaktion