Cisco Catalyst 2960-X: VLANs und Access-Ports konfigurieren
Auf einen Blick
| Gilt für | Cisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E (LAN Base: bis 1000 VLANs je nach SDM-Vorlage, LAN Lite: bis 64) |
|---|---|
| Bereich | Netzwerk-Hardware |
| Dauer | ca. 20 Minuten |
| Rechte | Privileged EXEC (enable) |
| Stand | Oktober 2026 |
VLANs auf dem Cisco Catalyst 2960-X konfigurieren heißt: VLANs anlegen, ihnen sprechende Namen geben und die Ports für Endgeräte als Access-Ports einem VLAN zuordnen. So trennen Sie Arbeitsplätze, Server, Telefone, Gäste und IoT-Geräte logisch voneinander – die Grundlage jeder Netzwerksegmentierung. Dieser Artikel zeigt auch, wie Sie VTP entschärfen, ein Voice-VLAN für IP-Telefone einrichten und ungenutzte Ports sicher parken.
Planung
Beispiel für einen Standort:
| VLAN | Name | Zweck | Netz (Gateway auf Firewall/Core) |
|---|---|---|---|
| 10 | CLIENTS | Arbeitsplätze | 192.168.10.0/24 |
| 20 | SERVER | Server, Drucker | 192.168.20.0/24 |
| 40 | VOICE | IP-Telefone | 192.168.40.0/24 |
| 50 | GAESTE | Gäste-WLAN | 192.168.50.0/24 |
| 99 | MANAGEMENT | Switches, Access Points | 192.168.99.0/24 |
| 999 | PARKPLATZ | ungenutzte Ports, kein Routing | – |
VLAN 1 wird nur noch als technisches Standard-VLAN geführt und nicht für Endgeräte genutzt. Die VLAN-IDs 1002–1005 sind reserviert.
Schritt 1: VTP auf transparent stellen
Ab Werk läuft der 2960-X im VTP-Modus Server. Kommt ein Switch mit höherer VTP-Revision ins Netz, kann er die VLAN-Datenbank aller Switches überschreiben. Deshalb VTP auf jedem Switch abschalten:
SW-EG-01# configure terminal
SW-EG-01(config)# vtp mode transparent
SW-EG-01(config)# do show vtp status
Im Modus transparent verwaltet jeder Switch seine VLANs selbst, und die VLANs erscheinen zusätzlich in der running-config – praktisch für Sicherung und Vorlagen.
Schritt 2: VLANs anlegen
SW-EG-01(config)# vlan 10
SW-EG-01(config-vlan)# name CLIENTS
SW-EG-01(config-vlan)# vlan 20
SW-EG-01(config-vlan)# name SERVER
SW-EG-01(config-vlan)# vlan 40
SW-EG-01(config-vlan)# name VOICE
SW-EG-01(config-vlan)# vlan 50
SW-EG-01(config-vlan)# name GAESTE
SW-EG-01(config-vlan)# vlan 99
SW-EG-01(config-vlan)# name MANAGEMENT
SW-EG-01(config-vlan)# vlan 999
SW-EG-01(config-vlan)# name PARKPLATZ
SW-EG-01(config-vlan)# exit
Schritt 3: Access-Ports konfigurieren
Arbeitsplatz-Ports 1–20 in VLAN 10:
SW-EG-01(config)# interface range gi1/0/1 - 20
SW-EG-01(config-if-range)# description Arbeitsplatz
SW-EG-01(config-if-range)# switchport mode access
SW-EG-01(config-if-range)# switchport access vlan 10
SW-EG-01(config-if-range)# switchport nonegotiate
SW-EG-01(config-if-range)# spanning-tree portfast
SW-EG-01(config-if-range)# spanning-tree bpduguard enable
SW-EG-01(config-if-range)# no shutdown
switchport mode accessverhindert, dass ein Endgerät per DTP einen Trunk aushandelt.spanning-tree portfastschaltet den Port sofort in den Weiterleitungszustand – PCs bekommen ohne 30 Sekunden Wartezeit eine IP per DHCP.bpduguardschaltet den Port ab (err-disabled), wenn dort ein Switch angeschlossen wird, und schützt so vor Schleifen. Mehr dazu: Cisco Catalyst 2960-X: Spanning Tree (Rapid PVST+) konfigurieren.
Schritt 4: Voice-VLAN für IP-Telefone
Hängt hinter dem Telefon ein PC, transportiert der Port zwei VLANs: Daten untagged, Sprache tagged im Voice-VLAN.
SW-EG-01(config)# interface range gi1/0/21 - 40
SW-EG-01(config-if-range)# description Telefon + PC
SW-EG-01(config-if-range)# switchport mode access
SW-EG-01(config-if-range)# switchport access vlan 10
SW-EG-01(config-if-range)# switchport voice vlan 40
SW-EG-01(config-if-range)# spanning-tree portfast
SW-EG-01(config-if-range)# spanning-tree bpduguard enable
Cisco-Telefone erfahren das Voice-VLAN per CDP. Telefone anderer Hersteller brauchen LLDP-MED (lldp run global) oder die VLAN-ID per DHCP-Option bzw. Provisionierung. Die PoE-Versorgung zeigt show power inline.
Schritt 5: Ungenutzte Ports parken
SW-EG-01(config)# interface range gi1/0/41 - 48
SW-EG-01(config-if-range)# description UNGENUTZT
SW-EG-01(config-if-range)# switchport mode access
SW-EG-01(config-if-range)# switchport access vlan 999
SW-EG-01(config-if-range)# shutdown
SW-EG-01(config-if-range)# end
SW-EG-01# write memory
Wer einen Port freigeben will, muss ihn bewusst ins richtige VLAN legen und aktivieren – ein einfaches Einstecken genügt nicht.
Kontrolle und Fehlersuche
show vlan brief ! VLANs und zugeordnete Access-Ports
show interfaces status ! Port, Status, VLAN, Speed
show interfaces gi1/0/5 switchport ! Modus, Access- und Voice-VLAN
show interfaces status err-disabled ! durch BPDU Guard gesperrte Ports
show mac address-table vlan 10 ! Geräte im VLAN 10
Ein durch BPDU Guard gesperrter Port wird nach Beseitigen der Ursache mit shutdown und no shutdown wieder aktiviert. Steht ein VLAN in show vlan brief nicht, wurde es nicht angelegt – der Port ist dann inaktiv.
Hinweise
- Routing zwischen VLANs übernimmt die Firewall oder ein Layer-3-Core – so lassen sich die Übergänge per Regel kontrollieren, siehe VLANs und Netzwerksegmentierung mit OPNsense.
- VLAN-Datenbank: Die VLANs liegen in
flash:vlan.dat.write eraseallein löscht sie nicht. - Anzahl VLANs: LAN Base unterstützt mit der SDM-Vorlage
lanbase-defaultbis zu 1000 VLANs, mitlanbase-routing255; LAN-Lite-Modelle (Endung-LL) nur 64. Die aktive Vorlage zeigtshow sdm prefer. - Bei Planung und Umsetzung der Netzwerksegmentierung unterstützen Sie die Managed Services von m.a.x. it.
Siehe auch
- Cisco Catalyst 2960-X – Überblick und alle Artikel der Reihe
- Cisco Catalyst 2960-X: Trunk-Ports (802.1Q) konfigurieren
- VLAN
- Cisco Catalyst 2960-X: Spanning Tree (Rapid PVST+) konfigurieren
- Cisco Catalyst 2960-X: Port-Security konfigurieren
- Spanning Tree Protocol
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
