Cisco 200-301: VLANs, Trunks, Spanning Tree en EtherChannel — Studiegids

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Onderdeel van de Cisco CCNA 200-301 — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Virtual LAN’s (VLAN’s), trunking, Spanning Tree Protocol (STP) en EtherChannel zijn fundamentele Layer 2-technologieën die broadcastdomeinen segmenteren, meerdere VLAN’s over verbindingen transporteren, loops voorkomen en de bandbreedte en veerkracht verhogen. Een correct ontwerp en een consistente configuratie voorkomen veelvoorkomende storingen veroorzaakt door mismatches, loops en mislukte onderhandelingen. Dit gedeelte legt het operationele gedrag, de bedoeling van de configuratie en de afwegingen uit, en benoemt faalscenario’s die u waarschijnlijk zult tegenkomen in campus- en kleine bedrijfsontwerpen.

VLAN’s, Trunks en Inter-VLAN-Routing

VLAN-creatie en toewijzing van access-poorten

• VLAN’s segmenteren een switch logisch in meerdere broadcastdomeinen; een switch beheert een aparte MAC-tabel per VLAN. Frames met een onbekende bestemming worden alleen binnen het VLAN geflood.
• Definieer VLAN’s met ID’s (1–4094). VLAN 1 is standaard de default/native VLAN; VLAN’s 1002–1005 zijn gereserveerd. Vermijd gebruikersverkeer op VLAN 1 voor veiligheid en operationele duidelijkheid.
• Access-poorten transporteren één data-VLAN. Configureer met switchport mode access en switchport access vlan X om te voorkomen dat Dynamic Trunking Protocol (DTP) onverwacht een trunk onderhandelt.

Voice VLAN’s en QoS-overwegingen

• IP-telefoons voegen vaak een interne 802.1Q-tag toe voor spraak, terwijl een pc die via de telefoon is doorgelust (daisy-chained) ongetagd blijft op de access VLAN.
• Configureer switchport voice vlan Y en vertrouw Layer 2 CoS- of Layer 3 DSCP-markeringen volgens het beleid. Zorg ervoor dat zowel de access VLAN als de voice VLAN zijn toegestaan op upstream trunks.

Native VLAN’s

• Op 802.1Q-trunks wordt de native VLAN ongetagd verzonden. Stel voor de veiligheid en duidelijkheid aan beide kanten een ongebruikte, toegewijde native VLAN in en ‘prune’ deze van gebruikerstoegang.
• Een native VLAN-mismatch kan leiden tot verkeerslekken, spanning-tree-anomalieën en blootstelling van de control plane.

802.1Q-trunks, toegestane VLAN-lijsten, tagging en onderhandeling

• Een 802.1Q-trunk transporteert meerdere VLAN’s door frames te taggen met een VLAN ID; de native VLAN is ongetagd. Gebruik IEEE 802.1Q met apparatuur van derden.
• Beperk expliciet het transport met switchport trunk allowed vlan om onnodig broadcastverkeer te beperken en het aanvalsoppervlak te verkleinen.
• Het opzetten van een trunk kan handmatig (switchport mode trunk) of via onderhandeling met DTP. dynamic desirable probeert actief een trunk te vormen; dynamic auto is passief. Configureer bij non-Cisco buren 802.1Q statisch en overweeg switchport nonegotiate.

Korte voorbeelden

vlan 10
 name Users
vlan 20
 name Voice

interface GigabitEthernet1/0/10
 switchport mode access
 switchport access vlan 10
 switchport voice vlan 20
 spanning-tree portfast
 spanning-tree bpduguard enable

interface GigabitEthernet1/0/48
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30

Inter-VLAN-routing

• Router-on-a-stick: Een enkele routerinterface met 802.1Q-subinterfaces routeert tussen VLAN’s. De schaalbaarheid wordt beperkt door de bandbreedte van de enkele interface en CPU-forwarding op low-end routers.
• Layer 3-switch: Maak switched virtual interfaces (SVI’s) per VLAN en schakel ip routing in voor hardware-gebaseerde inter-VLAN-routing. Dit biedt een hogere doorvoersnelheid en eenvoudigere toepassing van beleid.

Korte voorbeelden

! Router-on-a-stick
interface GigabitEthernet0/0.10
 encapsulation dot1q 10
 ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/0.20
 encapsulation dot1q 20
 ip address 192.168.20.1 255.255.255.0

! Layer 3 switch with SVIs
ip routing
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
interface Vlan20
 ip address 192.168.20.1 255.255.255.0

Veelvoorkomende mismatches en afwegingen

• Mismatches in de native VLAN of toegestane VLAN’s op een trunk veroorzaken ‘VLAN bleed’ en geïsoleerde hosts. Valideer altijd beide uiteinden.
• Misconfiguraties van voice/data VLAN’s verbreken de connectiviteit van telefoons/pc’s; verifieer dat de telefoon getagde spraak verzendt en dat de QoS-trust consistent is.
• Voorkom ‘VLAN sprawl’ (wildgroei van VLAN’s); documenteer de VLAN-naar-subnet-mappings en vat routering samen waar mogelijk.

Werking van Spanning Tree en Loop Guarding

Doel en gedrag

• Ethernet heeft geen TTL en faalt ‘open’ bij loops. STP bouwt een lusvrije boomstructuur door redundante verbindingen te blokkeren, terwijl er één actief pad per VLAN behouden blijft.
• De root bridge-verkiezing gebruikt de laagste bridge ID (prioriteit + MAC). Stel deterministische roots in voor elke VLAN of instance. Voorbeeld: spanning-tree vlan 200 priority 0.

Poortrollen, statussen en padkosten

• Rollen: Root Port (beste pad van een non-root switch naar de root), Designated Port (beste pad op een segment), Alternate/Backup (stand-by’s voor luspreventie).
• Klassieke 802.1D-statussen: Blocking, Listening, Learning, Forwarding, Disabled. Rapid STP (802.1w) reduceert dit tot Discarding, Learning, Forwarding.
• Padkosten zijn cumulatief; lager is beter. Gebruik de standaard 802.1t-kosten of pas deze expliciet aan op hogesnelheidsverbindingen om de padselectie te beïnvloeden.

Rapid PVST+ en MST

• Rapid PVST+ draait één instance per VLAN en convergeert snel via handshakes en een proposal/agreement-proces op point-to-point-verbindingen; ideaal voor een kleiner aantal VLAN’s die granulaire controle vereisen.
• MST wijst meerdere VLAN’s toe aan een paar instances, wat schaalbaar is in grotere omgevingen. Alle switches in een MST-regio moeten overeenstemming hebben over de naam, revisie en VLAN-naar-instance-mapping; anders werken ze samen in PVST+ compatibiliteitsmodus met suboptimale spanning trees.
• Topologiewijzigingen: 802.1D gebruikt TCN BPDU’s van de designated bridge op het gewijzigde segment; RSTP markeert TC in BPDU’s vanaf de root, waardoor CAM-entries snel verlopen om de duur van flooding te beperken.

Edge- en beveiligingsfuncties

• PortFast: Plaatst access-poorten onmiddellijk in de forwarding-status, wat lange convergentievertragingen op hostverbindingen voorkomt. Schakel dit niet in op verbindingen die transit-links kunnen worden.
• BPDU Guard: Zet een PortFast-poort in de err-disabled-status als er een BPDU wordt ontvangen, wat beschermt tegen onbedoelde loops via onbeheerde switches.
• Root Guard: Voorkomt dat een designated port een root port wordt als er superieure BPDU’s worden ontvangen; de poort wordt in de root-inconsistent-status geplaatst totdat de dreiging is weggenomen.
• Loop Guard: Beschermt tegen unidirectionele storingen of verloren BPDU’s op non-designated poorten; houdt de poort geblokkeerd (loop-inconsistent) in plaats van onterecht verkeer door te sturen.
• BPDU Filter: Onderdrukt het verzenden/verwerken van BPDU’s. Gebruik dit alleen in strikt gecontroleerde situaties (bijvoorbeeld aan de rand van het netwerk op hosts), omdat misbruik loops kan creëren.

Korte voorbeelden

spanning-tree mode rapid-pvst
spanning-tree vlan 10,20 root primary
spanning-tree portfast default
spanning-tree bpduguard default

Faalscenario’s en troubleshooting

• Onverwachte root bridge door standaardprioriteiten; stel expliciet de prioriteiten van de root/distributie in.
• Een native VLAN-mismatch kan control BPDU’s naar de verkeerde VLAN ‘slepen’. Zorg voor overeenkomende native VLAN’s op trunks.
• Unidirectionele glasvezelverbindingen: Loop Guard helpt, maar overweeg ook fysieke monitoringtools.

EtherChannel en Loadverdeling

Werking en protocollen

• EtherChannel aggregeert parallelle links in één logische port-channel voor verhoogde bandbreedte en snelle failover. STP, MAC-tabellen en routing zien dit als een enkele link.
• LACP (IEEE 802.1AX/802.3ad) is een open standaard; modi active/passive. PAgP is Cisco-proprietary; modi desirable/auto. mode on forceert bundeling zonder protocol—gebruik dit alleen als beide kanten identiek zijn ingesteld.
• Consistentie van de members is verplicht: snelheid/duplex, linktype (access of trunk), toegestane VLAN’s en native VLAN, STP-instellingen, MTU, en Layer 3 versus Layer 2 modus moeten overeenkomen. Inconsistenties leiden tot opgeschorte members of de errdisable-status.

Load balancing

• Verkeersdistributie is gebaseerd op flow-based hashing van velden zoals bron/bestemming MAC, IP, of Layer 4-poorten. Selecteer een hash die uw typische verkeerspatroon diversifieert.
• Per-packet load balancing wordt niet ondersteund vanwege problemen met de pakketvolgorde; verwacht een ongelijke benutting bij een klein aantal flows.

Layer 2 vs Layer 3 port-channels

• Layer 2: Bouw de bundel op de member-interfaces en de Port-Channel met switchport; stel vervolgens de access/trunk-attributen in op de Port-Channel.
• Layer 3: Configureer no switchport op de Port-Channel, wijs een IP-adres toe en voeg members toe. Nuttig voor gerouteerde distributie-uplinks.

Korte voorbeelden

! LACP Layer 2 trunked port-channel
interface range Gi1/0/1-2
 channel-group 10 mode active
!
interface Port-channel10
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30

! Layer 3 port-channel
interface Port-channel20
 no switchport
 ip address 172.16.0.1 255.255.255.0

Veelvoorkomende valkuilen

• Eén kant LACP, de andere kant PAgP of on: de bundel zal niet of inconsistent gevormd worden. Standaardiseer op LACP voor multivendor-omgevingen.
• Members met verschillende lijsten van toegestane VLAN’s of native VLAN’s op een getrunkte port-channel veroorzaken onverwachte blackholes.
• Het wijzigen van instellingen op de member-interfaces in plaats van op de Port-Channel leidt tot heronderhandelingen en instabiliteit; pas configuratie toe op de Port-Channel, niet op de fysieke interfaces.

Operationele Hygiëne: VLAN Pruning, VTP en Foutisolatie

VLAN pruning

• Handmatig ‘prunen’ met

vlan 10
 name Users
vlan 20
 name Voice

interface GigabitEthernet1/0/10
 switchport mode access
 switchport access vlan 10
 switchport voice vlan 20
 spanning-tree portfast
 spanning-tree bpduguard enable

interface GigabitEthernet1/0/48
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30

om onnodige flooding op trunks te voorkomen.

• VTP pruning (indien VTP wordt gebruikt) prunet automatisch op basis van de aanwezigheid van VLAN’s, maar is afhankelijk van correcte advertisements. Handmatig prunen is voorspelbaar en auditvriendelijk.

VTP-bewustzijn en risico’s

• VTP propageert de VLAN-database binnen een domein. Modi: server, client, transparent. Alle switches in een domein delen een naam en een revisienummer.
• Een apparaat met een hoger revisienummer en een lege VLAN-database kan bij toetreding alle VLAN’s in het hele domein wissen. Best practice: gebruik VTP transparent (of server met strikte controles), stel wachtwoorden in en reset het revisienummer bij het hergebruiken van apparatuur.

Mismatch-problemen om op te letten

• Native VLAN mismatch: veroorzaakt lekkage in het control plane en STP-anomalieën. Lijn de native VLAN aan beide kanten uit.
• Trunk allowed VLAN mismatch: veroorzaakt eenzijdige bereikbaarheid voor specifieke VLAN’s.
• DTP mismatch: dynamic auto-naar-auto vormt geen trunk; stel de modus expliciet in op inter-switch links.
• Access port in het verkeerde VLAN: een veelvoorkomende oorzaak van host-isolatie. Verifieer met

! Router-on-a-stick
interface GigabitEthernet0/0.10
 encapsulation dot1q 10
 ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/0.20
 encapsulation dot1q 20
 ip address 192.168.20.1 255.255.255.0

! Layer 3 switch with SVIs
ip routing
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
interface Vlan20
 ip address 192.168.20.1 255.255.255.0

.

Loop-preventie en foutisolatie

• Combineer PortFast en BPDU Guard aan de edge, Root Guard richting de access-laag vanaf de distributie-laag, en Loop Guard op niet-aangewezen (non-designated) redundante uplinks.
• Gebruik storm control om broadcast/multicast op access ports te beperken, waardoor de ‘blast radius’ tijdens storingen wordt verkleind.
• Troubleshoot met

spanning-tree mode rapid-pvst
spanning-tree vlan 10,20 root primary
spanning-tree portfast default
spanning-tree bpduguard default

om TCN’s en rol/statuswijzigingen te lokaliseren,

! LACP Layer 2 trunked port-channel
interface range Gi1/0/1-2
 channel-group 10 mode active
!
interface Port-channel10
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30

! Layer 3 port-channel
interface Port-channel20
 no switchport
 ip address 172.16.0.1 255.255.255.0

voor de gezondheid van de bundel, en

undefined

om het ’learning’-proces te bevestigen. CDP/LLDP bieden informatie over de identiteit van buren en port mapping wanneer Layer 3 niet functioneert.

Praktisch Probleemscenario

Northwind Textiles voegt twee gebouwen samen in één campusontwerp voor access en distributie. Vereisten: snelle convergentie bij linkstoringen, ondersteuning voor gebruikers- en voice-VLAN’s, het voorkomen van onbedoelde loops door onbeheerde apparaten, en het garanderen van een gelijkmatige benutting van redundante uplinks.

Aanpak

1. Definieer VLAN’s en standaardiseer de native VLAN

• Maak VLAN 10 (Gebruikers) en VLAN 20 (Voice) aan. Reserveer VLAN 999 als native en houd deze verder ongebruikt. Configureer access ports met

undefined

,

undefined

, en

undefined

.

• Rationale: Duidelijke segmentatie en een toegewijde native VLAN voorkomen lekkage van ‘untagged’ verkeer en vereenvoudigen auditing. De Voice VLAN zorgt ervoor dat telefoons verkeer taggen en QoS ontvangen.

2. Bouw deterministische 802.1Q trunks met pruning

• Stel op access-naar-distributie links het volgende in:

undefined

,

undefined

,

undefined

, en

undefined

.

• Rationale: Expliciete trunking vermijdt DTP-ambiguïteit, een consistente native VLAN voorkomt mismatches, en pruning verkleint de broadcast scope en het aanvalsoppervlak.

3. Implementeer Rapid PVST+ met root control en edge-beveiligingen

• Activeer

undefined

. Stel het distributiepaar in als primaire/secundaire root met behulp van

undefined

. Activeer

undefined

en

undefined

op access switches; pas

undefined

toe richting de access-laag en

undefined

op redundante uplinks.

• Rationale: Snelle convergentie beperkt de uitvaltijd. De plaatsing van de root stabiliseert de padselectie. Edge-beveiligingen voorkomen loops door onbeheerde apparaten en unidirectionele storingen.

4. Aggregeer uplinks met LACP EtherChannels

• Bundel twee of meer access-naar-distributie links met behulp van

undefined

aan beide kanten. Configureer Port-Channel interfaces als trunks met identieke ‘allowed VLANs’ en native VLAN 999. Stel de

undefined

van het systeem in op

undefined

.

• Rationale: LACP biedt op standaarden gebaseerde onderhandeling, snelle afhandeling van storingen bij ‘members’, en detecteert inconsistenties. Hashing op basis van IP-paren verspreidt divers gebruikersverkeer over de links.

5. Implementeer Layer 3 SVI’s op de distributielaag voor inter-VLAN routing

• Activeer op distributieswitches

undefined

en maak SVI’s aan voor VLAN 10 en 20 met HSRP/VRRP voor gateway-redundantie. Houd de access-laag puur Layer 2.

• Rationale: Hardware-gebaseerde routing op de distributielaag schaalt de doorvoersnelheid, lokaliseert storingsdomeinen en vereenvoudigt de handhaving van beleid en ACL’s dicht bij de core.

6. Verhard het gedrag van trunks en VTP

• Stel alle switches in op

undefined

en configureer

undefined

op trunks naar apparaten van derden. Valideer de symmetrie van native en ‘allowed’ VLAN’s met show-commando’s en templates.

• Rationale: Elimineert het risico van het wissen van VLAN’s door VTP-revisies en voorkomt onbedoelde DTP-trunking, waardoor een voorspelbare topologie en VLAN-integriteit behouden blijven.

7. Valideer en monitor

• Verifieer spanning tree-rollen met

undefined

, de gezondheid van EtherChannel met

undefined

, en het MAC-learning per VLAN. Activeer syslog voor STP TCN’s en wees voorzichtig met het activeren van

undefined

voor BPDU Guard.

• Rationale: Continue validatie detecteert afwijkingen (‘drift’) en brengt bekabelings- of configuratiefouten vroegtijdig aan het licht, wat de ‘mean time to repair’ minimaliseert.

← Ethernet Switching en Layer 2 Forwarding · Alle domeinen · IPv4-adressering →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →