Cisco 200-301: Ethernet-Switching und Layer-2-Weiterleitung — Lernleitfaden

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Teil des Cisco CCNA 200-301 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Cisco-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Ethernet-Switches leiten Layer-2-Frames innerhalb einer Broadcast-Domäne weiter, indem sie eine MAC-Adresstabelle (auch CAM-Tabelle genannt) erlernen und konsultieren. Switches treffen Entscheidungen für jeden einzelnen Frame basierend auf der Ziel-MAC, dem VLAN und dem Zustand der Ausgangsschnittstelle (Egress-Interface). Ein korrektes Verhalten basiert auf präzisem MAC-Lernen, stabilen Verbindungsparametern und Schutzmechanismen gegen Schleifen (Loops) und Missbrauch auf Layer 2. Dieser Abschnitt erläutert die Funktionslogik, Design-Abwägungen, Fehlermodi und Verifizierungsmethoden, die für das Switching in Produktionsumgebungen relevant sind.

MAC-Lernen, Weiterleiten, Filtern und Fluten

Switches lernen Quell-MAC-Adressen, indem sie die Quell-MAC und das VLAN am Eingang (Ingress) inspizieren und dieses Tupel der empfangenden Schnittstelle zuordnen. Die Einträge sind standardmäßig dynamisch und veralten nach einem Inaktivitäts-Timer (Idle-Timer) (üblicherweise 300 Sekunden bei Cisco Campus-Switches). Das Altern (Aging) entfernt ungenutzte Einträge, wodurch Speicherplatz freigegeben und die Mobilität unterstützt wird; zu kurze Timer erhöhen das Fluten von unbekanntem Unicast-Verkehr (Unknown-Unicast-Flooding), während zu lange Timer veraltete Weiterleitungen und größere Tabellen riskieren.

Weiterleitungslogik pro Frame:

• Unicast mit bekannter Ziel-MAC im VLAN: wird aus dem einzigen zugeordneten Port weitergeleitet (es sei denn, dieser Port ist derselbe wie der Eingangsport; in diesem Fall filtert/verwirft der Switch den Frame, um eine Reflexion zu verhindern).
• Unicast mit unbekannter Ziel-MAC im VLAN: wird an alle anderen aktiven Ports in diesem VLAN geflutet (Unknown-Unicast-Flooding).
• Broadcast (ff:ff:ff:ff:ff:ff): wird an alle anderen Ports im VLAN geflutet. Broadcasts sind für Protokolle wie ARP und einige Erkennungsprotokolle notwendig.
• Multicast: ohne Snooping behandeln viele Switches Multicast wie Broadcast und fluten ihn innerhalb des VLANs. Mit IGMP Snooping (IPv4) oder MLD Snooping (IPv6) beschränken Switches Multicast auf Ports mit interessierten Empfängern, was unnötigen Datenverkehr reduziert.

Statische MAC-Einträge können für eine deterministische Weiterleitung oder um Geräte in Hochsicherheitskontexten fest zuzuweisen konfiguriert werden. Eine übermäßige Verwendung statischer Einträge verkompliziert den Betrieb; dynamisches Lernen mit Kontrollmechanismen ist zu bevorzugen.

Häufige Fehlermodi:

• MAC-Flapping: dieselbe MAC-Adresse erscheint in schneller Folge auf mehreren Schnittstellen, oft verursacht durch Schleifen (Loops) oder asymmetrische Pfade. Symptome sind Log-Meldungen und unaufhörliche CAM-Aktualisierungen.
• CAM-Erschöpfung: die Tabelle füllt sich aufgrund von Skalierung oder eines Angriffs, was zu erhöhtem Unknown-Unicast-Flooding und potenziellen Datenlecks über Access-Ports führt.

Nützliche Befehle:

undefined

undefined

undefined

undefined

undefined

Access-Ports, Betriebszustände und Port-Sicherheit

Access-Ports führen ein einziges VLAN und verbinden Endgeräte. Konfigurieren Sie sie explizit, um Mehrdeutigkeiten zu beseitigen und Risiken im Zusammenhang mit Trunks zu reduzieren.

Beispiele:

undefined

undefined

undefined

undefined

undefined

Vom Switch gemeldete operative Verbindungszustände:

• connected/up: Link und Line-Protokoll sind up; Frames werden weitergeleitet, wenn sie nicht administrativ blockiert sind.
• notconnect/down: keine physische Verbindung erkannt.
• administratively down: shutdown ist konfiguriert.
• err-disabled: Schnittstelle durch Schutzfunktionen deaktiviert (wie z. B. Verstöße gegen die Port-Sicherheit, Loop-Erkennung oder Storm-Control-Aktionen).

Port-Sicherheit (Port Security) begrenzt, wie viele MAC-Adressen auf einem Access-Port erscheinen dürfen und was bei einem Verstoß zu tun ist. Dies entschärft MAC-Flooding, unautorisierte Hubs und beiläufige Gerätewechsel.

Beispiel mit Sticky Learning:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

Gelernte Sticky-MACs werden zu sicheren MAC-Einträgen, die in die laufende Konfiguration (running configuration) geschrieben werden; speichern Sie die Konfiguration, damit sie Neustarts überdauert. Sie können auch statische sichere MACs konfigurieren.

Verstoßmodi (Violation Modes):

• protect: verwirft Frames mit unbekannten/verletzenden MACs stillschweigend. Kein SNMP-Trap oder Syslog; am wenigsten störend, am wenigsten sichtbar.
• restrict: verwirft verletzende Frames, erhöht den Zähler für Verstöße und generiert Syslog/SNMP-Trap; bevorzugt für Sichtbarkeit ohne Verbindungsabbruch.
• shutdown (Standard): versetzt den Port in den Zustand err-disabled, was ein manuelles shutdown/no shutdown oder eine zeitgesteuerte automatische Wiederherstellung erfordert.

Wiederherstellung und Sichtbarkeit:

undefined

undefined

undefined

undefined

Abwägungen: protect/restrict erhalten die Verbindung aufrecht, können aber Probleme verschleiern; shutdown ist auffällig, setzt aber die Richtlinie unmissverständlich durch und stoppt den gesamten Verkehr aus dem kompromittierten Segment.

Weiterleitungsentscheidungen, Zähler, Duplex/Geschwindigkeit und Fehlerbehebung

Die korrekte Weiterleitung beginnt mit dem genauen Erlernen. Wenn Datenverkehr nicht zugestellt wird, überprüfen Sie, ob die Ziel-MAC-Adresse tatsächlich in der Tabelle vorhanden ist, dem richtigen Port und VLAN entspricht und ob die Eingangs- und Ausgangsports betriebsbereit sind.

Grundlegende Schritte zur Fehlerbehebung:

• VLAN-Mitgliedschaft und Port-Modus bestätigen:

undefined

• MAC-Lernvorgang überprüfen:

undefined

• Nach MAC-Flapping-Ereignissen im Protokoll suchen:

undefined

• Schnittstellenstatus und Fehler überprüfen:

undefined

• CDP/LLDP-Nachbarn und Verkabelung validieren:

undefined

,

undefined

Schnittstellenzähler und ihre Bedeutung:

• input errors: Sammelwert für empfangsseitige Probleme, einschließlich CRC, Runts, Giants. Wenn ein Frame den FCS-Check nicht besteht, erhöhen sich sowohl die Zähler für input errors als auch für CRC.
• CRC: Frames, die mit FCS-Fehlern empfangen wurden; häufige Ursachen sind Verkabelungsprobleme, elektrische Störungen oder ein Duplex-Mismatch.
• runts: Frames, die kleiner als 64 Bytes sind, oft im Zusammenhang mit Kollisionen bei Halbduplex.
• giants: Frames, die größer als die MTU sind, ohne abgeschnitten zu werden; kann durch Tagging oder eine falsch konfigurierte MTU verursacht werden.
• late collisions: Kollisionen, die nach den ersten 64 Bytes erkannt werden; treten typischerweise bei Halbduplex-Verbindungen oder übermäßiger Kabellänge über die Ethernet-Standards hinaus auf.
• output errors: Übertragungsfehler; können auf Überlastung oder Hardwareprobleme hindeuten.

Duplex- und Geschwindigkeitsaushandlung:

• Autonegotiation ist für 1000BASE-T und schnellere Kupferverbindungen erforderlich. Das Erzwingen von Geschwindigkeiten auf einer Seite und die Verwendung von ‘auto’ auf der anderen kann zu einem Duplex-Mismatch führen (ein Ende Full-Duplex, das andere Half-Duplex). Symptome sind CRC-Fehler, Late Collisions und ein schlechter Durchsatz.
• Die Best Practice bei modernen Switches ist die durchgängige Verwendung von ‘auto speed’ und ‘auto duplex’ mit aktiviertem Auto-MDIX, es sei denn, es besteht eine Verbindung zu älteren oder nicht aushandlungsfähigen Geräten, bei denen erzwungene, übereinstimmende Einstellungen erforderlich sind.
• Überprüfung mit

undefined

und

undefined

.

Die Nachbarschaftserkennung mit CDP und LLDP hilft dabei, zu identifizieren, was verbunden ist, den Remote-Port, VLANs und manchmal auch die IP-Adressierung. Verwenden Sie sie bei der Inbetriebnahme und Fehlerbehebung und deaktivieren Sie sie, wenn Sicherheitsrichtlinien die Offenlegung von Geräteinformationen verbieten.

Beispiele:

• Global aktivieren/deaktivieren:

undefined

undefined

• Auf der Schnittstelle:

undefined

undefined

undefined

• Überprüfung:

undefined

undefined

Bewusstsein für Layer-2-Angriffe, Storm Control und Loop-Symptome

Grundlegende Layer-2-Bedrohungen und Gegenmaßnahmen:

• MAC-Address-Flooding (CAM-Überlauf): Ein Angreifer sendet Frames mit vielen gefälschten Quell-MAC-Adressen, um die Tabelle zu füllen. Dies führt zu Unknown-Unicast-Flooding und ermöglicht potenzielles Sniffing. Gegenmaßnahmen: Port Security (Anzahl der MAC-Adressen begrenzen, sticky/static), ungenutzte Ports deaktivieren und die CAM-Auslastung überwachen.
• Unerwünschte Offenlegung von Informationen: CDP/LLDP können Plattform und VLANs preisgeben; auf nicht vertrauenswürdigen Access-Ports deaktivieren.
• Unerwünschte Switches oder Loops: Das Anschließen von nicht verwalteten Switches kann zu Loops führen, die Broadcast-Stürme und MAC-Flapping verursachen. Verwenden Sie PortFast, BPDU Guard und Tools zur Loop-Erkennung.

Storm Control begrenzt die Raten von Broadcast-, Multicast- und Unknown-Unicast-Verkehr, um Stürme einzudämmen und gleichzeitig den normalen Datenverkehr aufrechtzuerhalten.

Beispiel:

undefined

undefined

undefined

undefined

Die Schwellenwerte werden je nach Plattform als Prozentsatz der Verbindungsbandbreite oder in pps ausgedrückt. Konfigurieren Sie einen Wiederherstellungsplan, wenn shutdown als Aktion verwendet wird:

undefined

undefined

undefined

Loop-Symptome und Indikatoren:

• Plötzlicher, anhaltender Anstieg der Zähler für Broadcast, Multicast und Unknown-Unicast auf vielen Ports.
• Die CPU-Auslastung auf den Switches steigt stark an; Instabilität der Control Plane.
• MAC-Flapping-Protokolle, die zeigen, dass dieselbe MAC-Adresse schnell zwischen Ports wechselt.
• ARP-Timeouts und zeitweilige Anwendungsausfälle im gesamten VLAN.

Verhindern Sie Loops durch ein widerstandsfähiges Design (keine nicht verwalteten L2-Verbindungen), Spanning-Tree-Funktionen (PortFast auf Access-Ports, BPDU Guard zum Herunterfahren von Ports, die BPDUs empfangen) und Technologien wie UDLD auf Glasfaser, um unidirektionale Fehler zu erkennen. Befehle zur Überprüfung:

undefined

undefined

undefined

Befehle zur Überprüfung und Fehlerbehebung von Switches

Betriebliche Transparenz ist entscheidend für die Integrität von Layer 2. Häufig verwendete Befehle:

• Schnittstellen und Zähler: show interfaces, show interfaces counters errors, show interfaces status
• MAC-Tabelle: show mac address-table [dynamic|static], clear mac address-table dynamic
• VLAN und Port-Modus: show vlan brief, show interfaces switchport
• Port-Sicherheit: show port-security, show port-security interface INTERFACE, show errdisable recovery
• Erkennung (Discovery): show cdp neighbors detail, show lldp neighbors detail
• Traffic-Stürme und Schleifen: show storm-control, show spanning-tree, show logging
• Systemzustand: show processes cpu history, show platform hardware capacity (modellabhängig)

Wenn ein Problem bei der Frame-Weiterleitung vermutet wird, reproduzieren Sie den Datenverkehr und beobachten Sie die Zähler in Echtzeit mit terminal monitor und aufeinanderfolgenden show-Befehlen, um die Fehlerdomäne (Endpunkt, Kabel, Schnittstelle, VLAN, Switch-Fabric) einzugrenzen.

Praktisches Problemszenario

Contoso Health Labs verzeichnet sporadische Unterbrechungen bei Sprachanrufen und eine schlechte Desktop-Performance im VLAN 20, nachdem mehrere IP-Telefone und kleine, nicht verwaltete Switches in den Bürobereichen hinzugefügt wurden.

Vorgehensweise:

1. Ausgangszustand erfassen und die Auswirkungen isolieren.

• Begründung: Verwenden Sie show interfaces counters errors und show processes cpu sorted, um festzustellen, ob das Problem lokal begrenzt oder systemweit ist. Eine hohe CPU-Auslastung und ansteigende Zähler für Broadcast/Unknown-Unicast auf vielen Ports deuten auf einen Layer-2-Sturm oder eine Schleife hin.

2. Duplex/Geschwindigkeit und Verkabelung validieren.

• Begründung: Führen Sie auf wichtigen Access-Ports show interfaces status und show interfaces INTERFACE aus, um a-full und übereinstimmende Geschwindigkeiten zu bestätigen. „Late Collisions“ und CRC-Spitzen deuten auf einen Duplex-Mismatch oder Kabelprobleme hin. Korrigieren Sie dies, indem Sie beide Enden auf „auto“ oder übereinstimmende, fest eingestellte Werte setzen und verdächtige Kabel austauschen.

3. Schleifen identifizieren und eindämmen.

• Begründung: Überprüfen Sie die Protokolle auf MAC-Flapping. Aktivieren Sie PortFast und BPDU Guard auf allen Access-Ports, um Ports, die BPDUs von nicht autorisierten oder nicht verwalteten Switches empfangen, automatisch in den err-disable-Zustand zu versetzen. Dies unterbindet Schleifen, die durch in Reihe geschaltete Mini-Switches entstehen. Konfiguration: interface range g1/0/1-48 spanning-tree portfast spanning-tree bpduguard enable

4. Storm Control auf Access-Ports implementieren.

• Begründung: Begrenzen Sie Broadcast-, Multicast- und Unknown-Unicast-Verkehr, um zu verhindern, dass Stürme das VLAN und die CPU überlasten, und um den VoIP-Verkehr bei Störungen aufrechtzuerhalten. Konfiguration: interface range g1/0/1-48 storm-control broadcast level 0.50 0.25 storm-control multicast level 0.50 0.25 storm-control action shutdown errdisable recovery cause storm-control errdisable recovery interval 300

5. Port-Sicherheit mit Sticky-MACs auf benutzerzugewandten Ports durchsetzen.

• Begründung: Verhindern Sie MAC-Flooding und nicht autorisierte Hubs, indem Sie die Anzahl der MAC-Adressen pro Port auf das Telefon plus einen PC begrenzen. Verwenden Sie restrict, um die Verbindungen aufrechtzuerhalten, während Verstöße protokolliert werden. Konfiguration: interface range g1/0/1-48 switchport mode access switchport access vlan 20 switchport port-security switchport port-security maximum 2 switchport port-security mac-address sticky switchport port-security violation restrict

6. Multicast-Flutung mit IGMP-Snooping einschränken.

• Begründung: Wenn IP-Telefone Multicast-Dienste nutzen, aktivieren Sie IGMP-Snooping und stellen Sie sicher, dass ein Querier vorhanden ist, um genaue Multicast-Weiterleitungszustände aufzubauen und so unnötige Flutungen im VLAN 20 zu reduzieren.

7. Nachbartopologie überprüfen und die Offenlegung durch Discovery-Protokolle bereinigen.

• Begründung: Verwenden Sie show cdp neighbors detail und show lldp neighbors detail, um die Verkabelungsreihenfolge Switch-zu-Telefon-zu-PC zu validieren. Deaktivieren Sie CDP/LLDP auf Ports, bei denen die Richtlinie die Weitergabe von Informationen an nicht verwaltete Geräte verbietet.

8. Stabilität überwachen und validieren.

• Begründung: Verfolgen Sie nach den Änderungen die Fehlerzähler, Storm-Control-Statistiken und die CAM-Stabilität mit show mac address-table count. Stellen Sie sicher, dass keine wiederkehrenden err-disable-Ereignisse auftreten, und bestätigen Sie die Anrufqualität durch Benutzerfeedback und QoS-Metriken. Dies schließt den Regelkreis zwischen Konfiguration und messbarer Dienstqualität.

← Netzwerkgrundlagen und physische Infrastruktur · Alle Domänen · VLANs →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →