Cisco Catalyst 2960-X: Trunk-Ports (802.1Q) konfigurieren
Auf einen Blick
| Gilt für | Cisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E; Trunks nur mit IEEE 802.1Q |
|---|---|
| Bereich | Netzwerk-Hardware |
| Dauer | ca. 15 Minuten |
| Rechte | Privileged EXEC (enable) |
| Stand | Oktober 2026 |
Einen Trunk-Port auf dem Cisco Catalyst 2960-X konfigurieren ist nötig, sobald mehrere VLANs über eine Leitung laufen sollen – zum Core-Switch, zur Firewall, zum Server-Host oder zum WLAN-Access-Point. Der Switch markiert die Ethernet-Rahmen dafür mit einem 802.1Q-Tag. Dieser Artikel zeigt die sichere Grundkonfiguration mit fester Trunk-Einstellung, eingeschränkter VLAN-Liste und ungenutztem Native VLAN sowie typische Fehler.
Grundlagen: Trunk-Port, Tag und Native VLAN
| Begriff | Bedeutung |
|---|---|
| Trunk-Port | Port, der Rahmen mehrerer VLANs überträgt, jeweils mit 802.1Q-Tag |
| Native VLAN | das eine VLAN, dessen Rahmen auf dem Trunk ohne Tag laufen (Standard: VLAN 1) |
| Allowed VLANs | Liste der VLANs, die der Trunk überträgt (Standard: alle 1–4094) |
| DTP | Cisco-Protokoll, mit dem Ports selbst aushandeln, ob sie Trunk werden – sollte aus sein |
Der 2960-X beherrscht nur 802.1Q; den von größeren Switches bekannten Befehl switchport trunk encapsulation dot1q gibt es hier nicht.
Trunk-Port zum Core-Switch oder zur Firewall konfigurieren
Zuerst ein eigenes, sonst ungenutztes VLAN als Native VLAN anlegen:
SW-EG-01# configure terminal
SW-EG-01(config)# vlan 998
SW-EG-01(config-vlan)# name NATIVE-UNGENUTZT
SW-EG-01(config-vlan)# exit
Dann den Uplink – bei Modellen mit 10G-Uplinks z. B. TenGigabitEthernet1/0/1, bei 1G-Modellen GigabitEthernet1/0/49:
SW-EG-01(config)# interface te1/0/1
SW-EG-01(config-if)# description Uplink CORE-01 Te1/0/10
SW-EG-01(config-if)# switchport mode trunk
SW-EG-01(config-if)# switchport nonegotiate
SW-EG-01(config-if)# switchport trunk native vlan 998
SW-EG-01(config-if)# switchport trunk allowed vlan 10,20,40,50,99
SW-EG-01(config-if)# no shutdown
SW-EG-01(config-if)# end
SW-EG-01# write memory
switchport mode trunk+nonegotiate: fester Trunk ohne DTP.- Native VLAN 998: Rahmen ohne Tag landen in einem leeren VLAN. Das verhindert VLAN-Hopping per Double Tagging und dass ungetaggter Verkehr versehentlich im Client-Netz ankommt.
- Allowed VLANs: Nur übertragen, was auf der Gegenseite gebraucht wird. Das begrenzt Broadcasts und die Ausbreitung von Störungen.
Die Gegenseite muss dieselbe Native-VLAN-ID und dieselben VLANs verwenden. Für die OPNsense zeigt der Artikel VLANs und Netzwerksegmentierung mit OPNsense die passende Firewall-Seite.
switchport trunk allowed vlan 30 ersetzt die gesamte Liste – der Trunk überträgt danach nur noch VLAN 30, und die Verbindung zum Management-VLAN reißt ab. VLANs immer mit switchport trunk allowed vlan add 30 ergänzen und mit … remove 30 entfernen.Trunk zum WLAN-Access-Point
Viele Access Points erwarten ihr Management-VLAN ungetaggt und die SSID-VLANs getaggt:
SW-EG-01(config)# interface gi1/0/45
SW-EG-01(config-if)# description AP Flur EG
SW-EG-01(config-if)# switchport mode trunk
SW-EG-01(config-if)# switchport nonegotiate
SW-EG-01(config-if)# switchport trunk native vlan 99
SW-EG-01(config-if)# switchport trunk allowed vlan 10,50,99
SW-EG-01(config-if)# spanning-tree portfast trunk
spanning-tree portfast trunk ist nur für Endgeräte wie Access Points oder Hypervisor-Hosts gedacht, nie für Verbindungen zu anderen Switches.
Kontrolle
show interfaces trunk ! alle Trunks, Native VLAN, erlaubte und aktive VLANs
show interfaces te1/0/1 switchport ! Modus, Aushandlung, Native VLAN
show cdp neighbors te1/0/1 detail ! Gegenstelle und deren Port
In show interfaces trunk zeigt der Block Vlans allowed and active in management domain, welche erlaubten VLANs auf dem Switch auch existieren; der Block forwarding state and not pruned zeigt, welche tatsächlich weitergeleitet werden.
Typische Fehler
| Symptom | Ursache | Lösung |
|---|---|---|
Log-Meldung %CDP-4-NATIVE_VLAN_MISMATCH |
Native VLAN auf beiden Seiten unterschiedlich | Native VLAN angleichen |
| Geräte in einem VLAN erreichen das Gateway nicht | VLAN fehlt in der Allowed-Liste oder ist auf dem Switch nicht angelegt | allowed vlan add, vlan … anlegen
|
| Trunk kommt nicht hoch, Port bleibt Access | Gegenseite fest auf Access, DTP aus | beide Seiten fest auf Trunk stellen |
| Switch nach Änderung nicht mehr per SSH erreichbar | Management-VLAN aus der Allowed-Liste gefallen | über Konsole korrigieren; vorher reload in 10 setzen
|
Hinweise
- Mehrere Uplinks: Zwei Trunks zum selben Gerät nicht einzeln betreiben (Spanning Tree blockiert einen), sondern als EtherChannel mit LACP bündeln, siehe Cisco Catalyst 2960-X: EtherChannel mit LACP konfigurieren.
- VLAN 1 entlasten: Wird VLAN 1 aus allen Allowed-Listen entfernt (
allowed vlan remove 1), laufen CDP, VTP und STP-BPDUs trotzdem weiter; Nutzdaten in VLAN 1 werden aber nicht mehr übertragen. - Bei Planung und Betrieb Ihrer Switch-Infrastruktur unterstützen Sie die Managed Services von m.a.x. it.
Siehe auch
- Cisco Catalyst 2960-X – Überblick und alle Artikel der Reihe
- Cisco Catalyst 2960-X: VLANs und Access-Ports konfigurieren
- Cisco Catalyst 2960-X: EtherChannel mit LACP konfigurieren
- Trunk-Port
- CiscoSB Sg200/Sg300 ManagementVLAN über einen Trunk
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
