VLAN-Trunking (nach IEEE 802.1Q) transportiert mehrere VLANs gleichzeitig über eine einzige physische Verbindung zwischen Switches. Dazu wird jedem Ethernet-Frame ein Tag hinzugefügt, das seine Zugehörigkeit kennzeichnet.
Der 802.1Q-Tag
Der Switch fügt zwischen Quell-MAC-Adresse und EtherType/Length-Feld einen 4-Byte-Tag ein: Das TPID (Tag Protocol Identifier) mit dem Wert 0x8100 markiert den Rahmen als getaggt, danach folgt das TCI-Feld mit Priorität (PCP, 3 Bit), Default-Identifier (DEI, 1 Bit) und der VLAN-ID (VID, 12 Bit) — damit sind 4094 nutzbare VLANs möglich. Durch den Tag wächst der Frame auf bis zu 1522 Byte.
Access- und Trunk-Ports
Ein Access-Port gehört zu genau einem VLAN und sendet ungetaggte Rahmen; ein Trunk-Port führt mehrere VLANs und versieht die Rahmen mit Tags. Für das Native VLAN (standardmäßig VLAN 1) bleibt der Verkehr auf dem Trunk ungetaggt — beide Seiten müssen hier dasselbe VLAN konfiguriert haben, sonst entstehen Sicherheitslücken wie VLAN-Hopping. Der Trunk erlaubt es, ein VLAN über mehrere Switches auszudehnen, sodass Broadcast-Domänen logisch getrennt bleiben, auch wenn die Geräte physikalisch am selben oder an verschiedenen Switches hängen.
Praxis
Trunks verbinden etwa Kern- und Verteil-Switches im Rechenzentrum oder trennen in Unternehmen Gäste-, Mitarbeiter- und Server-Netze über dieselbe Verkabelung. Das MAC-Learning arbeitet dabei je VLAN getrennt: Der Switch führt für jedes VLAN eine eigene MAC-Tabelle, damit Frames des einen VLANs nie in ein anderes gelangen.
Verwandte Grundlagen: VLAN, MAC-Adresse.