Tutorials

Inter-VLAN-Routing einrichten: Schritt-für-Schritt-Anleitung mit MikroTik Router und Cisco Switch

Melden

Diese Anleitung führt Sie durch die Konfiguration von Inter-VLAN-Routing (auch bekannt als „Router-on-a-Stick“). Der MikroTik Router übernimmt das Routing zwischen den Subnetzen, während der Cisco Switch die Frames auf Layer 2 entsprechend taggt und verteilt.

Das Szenario / Die Topologie

  • MikroTik Router: Port ether2 dient als Trunk-Port zum Switch.
  • Cisco Switch: Port GigabitEthernet 0/1 dient als Trunk-Port zum Router.
  • VLAN 10 (Verwaltung): Subnetz 192.168.10.0/24 | Gateway: 192.168.10.1
  • VLAN 20 (Gäste): Subnetz 192.168.20.0/24 | Gateway: 192.168.20.1
  • Endgeräte-Ports am Switch:
    • Gi0/2 für VLAN 10
    • Gi0/3 für VLAN 20

Teil 1: Konfiguration des MikroTik Routers

Auf dem MikroTik Router werden virtuelle VLAN-Interfaces auf dem physischen Port erstellt und mit den jeweiligen Gateway-IP-Adressen versehen.

Schritt 1.1: VLAN-Schnittstellen anlegen

Öffnen Sie das Terminal (CLI) im MikroTik (über WinBox oder SSH):

# VLAN 10 auf ether2 erstellen
/interface vlan add name=vlan10-mgmt vlan-id=10 interface=ether2

# VLAN 20 auf ether2 erstellen
/interface vlan add name=vlan20-guest vlan-id=20 interface=ether2

Schritt 1.2: IP-Adressen (Gateways) zuweisen

Weisen Sie den virtuellen Interfaces die jeweiligen Gateway-IP-Adressen zu:

# Gateway für VLAN 10
/ip address add address=192.168.10.1/24 interface=vlan10-mgmt network=192.168.10.0

# Gateway für VLAN 20
/ip address add address=192.168.20.1/24 interface=vlan20-guest network=192.168.20.0

Hinweis: Der MikroTik Router aktiviert das Routing zwischen diesen Netzen nun automatisch.

Teil 2: Konfiguration des Cisco Switches

Auf dem Cisco Switch müssen die VLANs in der Datenbank registriert, der Trunk-Port zum Router und die Access-Ports zu den Endgeräten eingerichtet werden.

Schritt 2.1: VLANs in der Datenbank anlegen

Verbinden Sie sich per Konsole oder Telnet/SSH mit dem Cisco Switch:

enable
configure terminal

# VLAN 10 anlegen
vlan 10
 name Verwaltung
exit

# VLAN 20 anlegen
vlan 20
 name Gaeste
exit

Schritt 2.2: Trunk-Port zum MikroTik einrichten

Dieser Port leitet die getaggten Pakete (802.1Q) an den MikroTik weiter.

interface GigabitEthernet0/1
 description Trunk-to-MikroTik
 # Hinweis: Ältere Catalyst-Switches benötigen zwingend die nächste Zeile:
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk allowed vlan 10,20
 no shutdown
exit

Schritt 2.3: Access-Ports für Endgeräte zuweisen

Nun weisen wir die Ports für PCs/Endgeräte den entsprechenden VLANs zu:

# Port für ein Endgerät in VLAN 10
interface GigabitEthernet0/2
 description PC-Verwaltung
 switchport mode access
 switchport access vlan 10
 no shutdown
exit

# Port für ein Endgerät in VLAN 20
interface GigabitEthernet0/3
 description PC-Gäste
 switchport mode access
 switchport access vlan 20
 no shutdown
exit

# Konfiguration abspeichern
end
write memory

Teil 3: Verbindung testen und verifizieren

  1. Endgerät 1 (z. B. PC an Port Gi0/2) manuell konfigurieren:

    • IP-Adresse: 192.168.10.50
    • Subnetzmaske: 255.255.255.0
    • Gateway: 192.168.10.1

  2. Endgerät 2 (z. B. PC an Port Gi0/3) manuell konfigurieren:

    • IP-Adresse: 192.168.20.50
    • Subnetzmaske: 255.255.255.0
    • Gateway: 192.168.20.1

  3. Pings durchführen (vom PC in VLAN 10):

    • Ping eigenes Gateway: ping 192.168.10.1
    • Ping fremdes Gateway: ping 192.168.20.1
    • Ping Endgerät in anderem VLAN: ping 192.168.20.50

Wenn alle Pings erfolgreich sind, funktioniert das Inter-VLAN-Routing einwandfrei.

Optional: Zugriff über MikroTik Firewall einschränken

Standardmäßig erlaubt RouterOS den kompletten Datenverkehr zwischen den VLANs. Soll beispielsweise das Gäste-VLAN 20 nicht auf das Verwaltungs-VLAN 10 zugreifen dürfen, erstellen Sie eine Firewall-Regel auf dem MikroTik:

/ip firewall filter
add chain=forward action=drop in-interface=vlan20-guest out-interface=vlan10-mgmt comment="Blockiere Gaestezugriff auf Verwaltung"
0