Cisco 200-301: VLANs, Trunks, Spanning Tree und EtherChannel — Lernleitfaden

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Teil des Cisco CCNA 200-301 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Cisco-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Virtuelle LANs (VLANs), Trunking, das Spanning Tree Protocol (STP) und EtherChannel sind grundlegende Layer-2-Technologien, die Broadcast-Domänen segmentieren, mehrere VLANs über Verbindungen transportieren, Schleifen verhindern sowie Bandbreite und Ausfallsicherheit erhöhen. Ein korrektes Design und eine konsistente Konfiguration verhindern häufige Ausfälle, die durch Inkompatibilitäten (Mismatches), Schleifen und fehlerhafte Aushandlungen (Mis-negotiation) verursacht werden. Dieser Abschnitt erläutert das Betriebsverhalten, die Konfigurationsabsicht und die Kompromisse und zeigt Fehlermodi auf, denen Sie wahrscheinlich in Campus- und kleinen Unternehmensdesigns begegnen werden.

VLANs, Trunks und Inter-VLAN-Routing

VLAN-Erstellung und Zuweisung von Access-Ports

• VLANs segmentieren einen Switch logisch in mehrere Broadcast-Domänen; ein Switch führt für jedes VLAN eine separate MAC-Tabelle. Frames mit unbekanntem Ziel werden nur innerhalb des VLANs geflutet.
• Definieren Sie VLANs mit IDs (1–4094). VLAN 1 ist standardmäßig das Default/native VLAN; die VLANs 1002–1005 sind reserviert. Vermeiden Sie Benutzerverkehr auf VLAN 1 aus Gründen der Sicherheit und betrieblichen Übersichtlichkeit.
• Access-Ports transportieren ein Daten-VLAN. Konfigurieren Sie sie mit switchport mode access und switchport access vlan X, um zu verhindern, dass das Dynamic Trunking Protocol (DTP) unerwartet einen Trunk aushandelt.

Voice-VLANs und QoS-Überlegungen

• IP-Telefone fügen üblicherweise ein internes 802.1Q-Tag für Sprachdaten hinzu, während ein PC, der durch das Telefon durchgeschleift wird, ungetaggt im Access-VLAN verbleibt.
• Konfigurieren Sie switchport voice vlan Y und vertrauen Sie den Layer-2-CoS- oder Layer-3-DSCP-Markierungen gemäß der Richtlinie. Stellen Sie sicher, dass sowohl das Access-VLAN als auch das Voice-VLAN auf den Upstream-Trunks erlaubt sind.

Native VLANs

• Auf 802.1Q-Trunks wird das native VLAN ungetaggt gesendet. Aus Sicherheits- und Übersichtlichkeitsgründen sollten Sie auf beiden Seiten ein ungenutztes, dediziertes natives VLAN einrichten und es vom Benutzerzugriff ausschließen (prunen).
• Eine Nichtübereinstimmung des nativen VLANs (Native VLAN Mismatch) kann zu Datenlecks (Traffic Leaks), Spanning-Tree-Anomalien und der Offenlegung der Control-Plane führen.

802.1Q-Trunks, Listen erlaubter VLANs, Tagging und Aushandlung

• Ein 802.1Q-Trunk transportiert mehrere VLANs, indem er Frames mit einer VLAN-ID taggt; das native VLAN ist ungetaggt. Verwenden Sie IEEE 802.1Q bei Geräten von Drittanbietern.
• Beschränken Sie den Transport explizit mit switchport trunk allowed vlan, um unnötigen Broadcast-Verkehr zu begrenzen und die Angriffsfläche zu verringern.
• Die Einrichtung eines Trunks kann manuell (switchport mode trunk) oder über DTP ausgehandelt werden. dynamic desirable versucht aktiv, einen Trunk zu bilden; dynamic auto ist passiv. Bei Nicht-Cisco-Nachbarn konfigurieren Sie 802.1Q statisch und ziehen Sie switchport nonegotiate in Betracht.

Kurze Beispiele

vlan 10
 name Users
vlan 20
 name Voice

interface GigabitEthernet1/0/10
 switchport mode access
 switchport access vlan 10
 switchport voice vlan 20
 spanning-tree portfast
 spanning-tree bpduguard enable

interface GigabitEthernet1/0/48
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30

Inter-VLAN-Routing

• Router-on-a-Stick: Ein einziges Router-Interface mit 802.1Q-Subinterfaces routet zwischen VLANs. Die Skalierbarkeit ist durch die Bandbreite des einzelnen Interfaces und das CPU-basierte Forwarding bei Low-End-Routern begrenzt.
• Layer-3-Switch: Erstellen Sie Switched Virtual Interfaces (SVIs) pro VLAN und aktivieren Sie ip routing für hardwarebasiertes Inter-VLAN-Routing. Dies bietet einen höheren Durchsatz und eine einfachere Anwendung von Richtlinien.

Kurze Beispiele

! Router-on-a-stick
interface GigabitEthernet0/0.10
 encapsulation dot1q 10
 ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/0.20
 encapsulation dot1q 20
 ip address 192.168.20.1 255.255.255.0

! Layer 3 switch with SVIs
ip routing
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
interface Vlan20
 ip address 192.168.20.1 255.255.255.0

Häufige Inkompatibilitäten und Kompromisse

• Nichtübereinstimmungen beim nativen VLAN eines Trunks oder bei den erlaubten VLANs verursachen VLAN-Bleeding und verwaiste Hosts. Validieren Sie immer beide Enden.
• Fehlkonfigurationen von Voice-/Daten-VLANs unterbrechen die Konnektivität von Telefonen/PCs; überprüfen Sie, ob das Telefon getaggte Sprachdaten sendet und das QoS-Vertrauen konsistent ist.
• Vermeiden Sie unkontrollierte VLAN-Ausbreitung (VLAN Sprawl); dokumentieren Sie die Zuordnungen von VLANs zu Subnetzen und fassen Sie das Routing nach Möglichkeit zusammen.

Spanning-Tree-Betrieb und Loop Guarding

Zweck und Verhalten

• Ethernet fehlt eine TTL und versagt bei Schleifen im „Fail-Open“-Modus. STP baut einen schleifenfreien Baum auf, indem es redundante Verbindungen blockiert, während ein einziger aktiver Pfad pro VLAN erhalten bleibt.
• Die Wahl der Root-Bridge verwendet die niedrigste Bridge-ID (Priorität + MAC). Legen Sie deterministische Roots für jedes VLAN oder jede Instanz fest. Beispiel: spanning-tree vlan 200 priority 0.

Port-Rollen, -Zustände und Pfadkosten

• Rollen: Root-Port (bester Pfad eines Non-Root-Switches zur Root), Designated Port (bester Pfad auf einem Segment), Alternate/Backup (Standbys zur Schleifenverhinderung).
• Klassische 802.1D-Zustände: Blocking, Listening, Learning, Forwarding, Disabled. Rapid STP (802.1w) fasst diese zu Discarding, Learning, Forwarding zusammen.
• Die Pfadkosten sind kumulativ; niedrigere Werte werden bevorzugt. Verwenden Sie die Standardkosten von 802.1t oder passen Sie sie auf Hochgeschwindigkeitsverbindungen explizit an, um die Pfadauswahl zu beeinflussen.

Rapid PVST+ und MST

• Rapid PVST+ führt eine Instanz pro VLAN aus und konvergiert schnell durch Handshakes und Proposal/Agreement auf Punkt-zu-Punkt-Verbindungen; ideal für eine kleinere Anzahl von VLANs, die eine granulare Steuerung erfordern.
• MST bildet mehrere VLANs auf wenige Instanzen ab und skaliert so in größeren Umgebungen. Alle Switches in einer MST-Region müssen sich über Name, Revision und die Zuordnung von VLANs zu Instanzen einig sein; andernfalls arbeiten sie im PVST+-Kompatibilitätsmodus mit suboptimalen Spanning Trees zusammen.
• Topologieänderungen: 802.1D verwendet TCN-BPDUs von der Designated Bridge auf dem geänderten Segment; RSTP setzt das TC-Flag in BPDUs von der Root, wodurch CAM-Einträge schnell verfallen, um die Dauer des Floodings zu begrenzen.

Edge- und Schutzfunktionen

• PortFast: Versetzt Access-Ports sofort in den Forwarding-Zustand und verhindert so lange Konvergenzverzögerungen auf Host-Verbindungen. Nicht auf Verbindungen aktivieren, die zu Transit-Links werden könnten.
• BPDU Guard: Versetzt einen PortFast-Port in den Err-Disable-Zustand, wenn eine BPDU empfangen wird, und schützt so vor versehentlichen Schleifen durch nicht verwaltete Switches.
• Root Guard: Verhindert, dass ein Designated Port zu einem Root-Port wird, wenn überlegene BPDUs empfangen werden; der Port wird in den Root-Inconsistent-Zustand versetzt, bis die Bedrohung beseitigt ist.
• Loop Guard: Schützt vor unidirektionalen Ausfällen oder verlorenen BPDUs auf Non-Designated-Ports; hält den Port blockiert (Loop-Inconsistent), anstatt fälschlicherweise weiterzuleiten.
• BPDU Filter: Unterdrückt das Senden/Verarbeiten von BPDUs. Nur in streng kontrollierten Situationen verwenden (z. B. am Netzwerkrand bei Hosts), da ein Missbrauch Schleifen erzeugen kann.

Kurze Beispiele

spanning-tree mode rapid-pvst
spanning-tree vlan 10,20 root primary
spanning-tree portfast default
spanning-tree bpduguard default

Fehlermodi und Fehlerbehebung

• Unerwartete Root-Bridge aufgrund von Standardprioritäten; legen Sie die Prioritäten für Root/Distribution explizit fest.
• Eine Nichtübereinstimmung des nativen VLANs kann Kontroll-BPDUs in das falsche VLAN ziehen. Gleichen Sie die nativen VLANs auf Trunks an.
• Unidirektionale Glasfaserverbindungen: Loop Guard hilft, aber ziehen Sie auch physische Überwachungstools in Betracht.

EtherChannel und Lastverteilung

Betrieb und Protokolle

• EtherChannel bündelt parallele Verbindungen zu einem einzigen logischen Port-Channel, um die Bandbreite zu erhöhen und ein schnelles Failover zu ermöglichen. STP, MAC-Tabellen und Routing sehen nur eine einzige Verbindung.
• LACP (IEEE 802.1AX/802.3ad) ist ein offener Standard; Modi sind active/passive. PAgP ist Cisco-proprietär; Modi sind desirable/auto. Der Modus on erzwingt die Bündelung ohne Protokoll – nur verwenden, wenn beide Seiten identisch fest konfiguriert sind.
• Die Konsistenz der Mitglieds-Ports ist zwingend erforderlich: Geschwindigkeit/Duplex, Verbindungstyp (Access oder Trunk), erlaubte VLANs und natives VLAN, STP-Einstellungen, MTU und der Modus (Layer 3 versus Layer 2) müssen übereinstimmen. Inkonsistenzen führen dazu, dass Mitglieds-Ports suspendiert werden oder in den errdisable-Zustand übergehen.

Lastverteilung

• Die Verkehrsverteilung erfolgt durch Flow-basiertes Hashing über Felder wie Quell-/Ziel-MAC, IP oder Layer-4-Ports. Wählen Sie einen Hash-Algorithmus, der Ihre typischen Verkehrsmuster am besten diversifiziert.
• Paketweises Load-Balancing wird aufgrund von Problemen mit der Reihenfolge nicht unterstützt; rechnen Sie mit ungleichmäßiger Auslastung bei einer geringen Anzahl von Flows.

Layer-2- vs. Layer-3-Port-Channels

• Layer 2: Erstellen Sie den Bundle auf den Mitglieds-Interfaces und dem Port-Channel mit switchport; setzen Sie dann die Access/Trunk-Attribute auf dem Port-Channel.
• Layer 3: Konfigurieren Sie no switchport auf dem Port-Channel, weisen Sie eine IP-Adresse zu und fügen Sie Mitglieder hinzu. Nützlich für geroutete Distribution-Uplinks.

Kurze Beispiele

! LACP Layer 2 trunked port-channel
interface range Gi1/0/1-2
 channel-group 10 mode active
!
interface Port-channel10
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30

! Layer 3 port-channel
interface Port-channel20
 no switchport
 ip address 172.16.0.1 255.255.255.0

Häufige Fehlerquellen

• Eine Seite LACP, die andere PAgP oder on: Der Bundle wird nicht oder nur inkonsistent gebildet. Standardisieren Sie auf LACP für Umgebungen mit mehreren Herstellern.
• Mitglieder mit unterschiedlichen Listen erlaubter VLANs oder nativen VLANs auf einem getrunkten Port-Channel verursachen unerwartete Blackholes.
• Das Ändern von Einstellungen an den Mitglieds-Interfaces anstelle des Port-Channels führt zu Neuverhandlungen und Instabilität; wenden Sie die Konfiguration auf den Port-Channel an, nicht auf die physischen Ports.

Betriebshygiene: VLAN-Pruning, VTP und Fehlerisolierung

VLAN-Pruning

• Manuelles Pruning mit

vlan 10
 name Users
vlan 20
 name Voice

interface GigabitEthernet1/0/10
 switchport mode access
 switchport access vlan 10
 switchport voice vlan 20
 spanning-tree portfast
 spanning-tree bpduguard enable

interface GigabitEthernet1/0/48
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30

, um unnötiges Flooding auf Trunks zu verhindern.

• VTP-Pruning (bei Verwendung von VTP) beschneidet automatisch basierend auf der VLAN-Präsenz, ist aber auf korrekte Advertisements angewiesen. Manuelles Pruning ist vorhersagbar und auditfreundlich.

VTP-Kenntnisse und -Risiken

• VTP verbreitet die VLAN-Datenbank über eine Domäne. Modi: Server, Client, Transparent. Alle Switches in einer Domäne teilen sich einen Namen und eine Revisionsnummer.
• Ein Gerät mit einer höheren Revision und einer leeren VLAN-Datenbank kann beim Hinzufügen VLANs domänenweit löschen. Best Practice: VTP im Transparent-Modus verwenden (oder Server mit strengen Kontrollen), Passwörter setzen und die Revision bei der Wiederverwendung von Geräten zurücksetzen.

Zu beachtende Mismatch-Probleme

• Native VLAN Mismatch: Führt zu Control-Plane-Leakage und STP-Anomalien. Das Native VLAN an beiden Enden abgleichen.
• Trunk Allowed VLAN Mismatch: Verursacht einseitige Erreichbarkeit für bestimmte VLANs.
• DTP Mismatch: Dynamic Auto zu Dynamic Auto bildet keinen Trunk; den Modus auf Inter-Switch-Links explizit festlegen.
• Access-Port im falschen VLAN: Häufige Ursache für Host-Isolierung. Überprüfen mit

! Router-on-a-stick
interface GigabitEthernet0/0.10
 encapsulation dot1q 10
 ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/0.20
 encapsulation dot1q 20
 ip address 192.168.20.1 255.255.255.0

! Layer 3 switch with SVIs
ip routing
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
interface Vlan20
 ip address 192.168.20.1 255.255.255.0

.

Loop-Prävention und Fehlerisolierung

• PortFast und BPDU Guard am Edge, Root Guard von der Distribution in Richtung Access und Loop Guard auf nicht-designierten redundanten Uplinks kombinieren.
• Storm Control verwenden, um Broadcast/Multicast auf Access-Ports zu begrenzen und so den Auswirkungsradius (Blast Radius) bei Fehlern zu limitieren.
• Fehlerbehebung mit

spanning-tree mode rapid-pvst
spanning-tree vlan 10,20 root primary
spanning-tree portfast default
spanning-tree bpduguard default

, um TCNs und Änderungen von Rollen/Zuständen zu lokalisieren,

! LACP Layer 2 trunked port-channel
interface range Gi1/0/1-2
 channel-group 10 mode active
!
interface Port-channel10
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30

! Layer 3 port-channel
interface Port-channel20
 no switchport
 ip address 172.16.0.1 255.255.255.0

für den Zustand des Bundles und

undefined

, um das Learning zu bestätigen. CDP/LLDP liefern Nachbar-Identität und Port-Zuweisung, wenn Layer 3 nicht verfügbar ist.

Praktisches Problemszenario

Northwind Textiles konsolidiert zwei Gebäude in ein einziges Campus-Access- und Distribution-Design. Anforderungen: schnelle Konvergenz bei Link-Ausfällen, Unterstützung für Benutzer- und Voice-VLANs, Verhinderung versehentlicher Loops durch nicht verwaltete Geräte und Sicherstellung einer gleichmäßigen Auslastung über redundante Uplinks.

Vorgehensweise

1. VLANs definieren und Native VLAN standardisieren

• VLAN 10 (Benutzer) und VLAN 20 (Voice) erstellen. VLAN 999 als Native VLAN reservieren und ansonsten nicht verwenden. Access-Ports mit

undefined

,

undefined

und

undefined

konfigurieren.

• Begründung: Klare Segmentierung und ein dediziertes Native VLAN verhindern Lecks bei ungetaggtem Traffic und vereinfachen die Überprüfung. Das Voice-VLAN stellt sicher, dass Telefone ihren Traffic taggen und QoS erhalten.

2. Deterministische 802.1Q-Trunks mit Pruning aufbauen

• Auf Access-zu-Distribution-Links

undefined

,

undefined

,

undefined

und

undefined

setzen.

• Begründung: Explizites Trunking vermeidet DTP-Mehrdeutigkeit, ein konsistentes Native VLAN verhindert Mismatches und Pruning reduziert die Broadcast-Domäne und die Angriffsfläche.

3. Rapid PVST+ mit Root-Kontrolle und Edge-Schutzmaßnahmen bereitstellen

undefined

aktivieren. Das Distribution-Paar als primäre/sekundäre Root mit

undefined

festlegen.

undefined

und

undefined

auf Access-Switches aktivieren;

undefined

in Richtung Access und Loop Guard auf redundanten Uplinks anwenden.

• Begründung: Schnelle Konvergenz begrenzt die Ausfallzeit. Die Platzierung der Root-Bridge stabilisiert die Pfadauswahl. Edge-Schutzmaßnahmen verhindern Loops durch nicht verwaltete Geräte und unidirektionale Fehler.

4. Uplinks mit LACP EtherChannels aggregieren

• Zwei oder mehr Access-zu-Distribution-Links mit

undefined

an beiden Enden bündeln. Port-Channel-Interfaces als Trunks mit identischen erlaubten VLANs und Native VLAN 999 konfigurieren. Das

undefined

des Systems auf

undefined

setzen.

• Begründung: LACP bietet eine standardbasierte Aushandlung, schnelle Behandlung von Ausfällen einzelner Links und erkennt Inkonsistenzen. Hashing auf Basis von IP-Paaren verteilt diversen Benutzer-Traffic auf die Links.

5. Layer-3-SVIs an der Distribution für Inter-VLAN-Routing implementieren

• Auf den Distribution-Switches

undefined

aktivieren und SVIs für die VLANs 10 und 20 mit HSRP/VRRP für Gateway-Redundanz erstellen. Die Access-Layer rein auf Layer 2 belassen.

• Begründung: Hardware-basiertes Routing an der Distribution skaliert den Durchsatz, lokalisiert Fehlerdomänen und vereinfacht die Durchsetzung von Richtlinien und ACLs in der Nähe des Cores.

6. Trunk- und VTP-Verhalten härten

• Alle Switches auf

undefined

setzen und

undefined

auf Trunks zu Geräten von Drittanbietern konfigurieren. Die Symmetrie von Native und Allowed VLANs mit

undefined

-Befehlen und Vorlagen validieren.

• Begründung: Eliminiert das Risiko einer Löschung durch eine VTP-Revision und verhindert unbeabsichtigtes DTP-Trunking, wodurch eine vorhersagbare Topologie und die VLAN-Integrität gewahrt bleiben.

7. Validieren und überwachen

• Spanning-Tree-Rollen mit

undefined

, den EtherChannel-Zustand mit

undefined

und das MAC-Learning pro VLAN überprüfen. Syslog für STP TCNs und die errdisable-Wiederherstellung für BPDU Guard mit Vorsicht aktivieren.

• Begründung: Kontinuierliche Validierung erkennt Abweichungen (Drift), hebt Verkabelungs- oder Konfigurationsfehler frühzeitig hervor und minimiert die mittlere Reparaturzeit (MTTR).

← Ethernet-Switching und Layer-2-Weiterleitung · Alle Domänen · IPv4-Adressierung →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →