Schulnetz mit vier VLANs: Subnetzplanung, DHCP-Pool und Schleife
Die Gewerbliche Schule betreibt ein Netz mit 10.20.0.0/22. Vier VLANs sind geplant: Schüler (120 Geräte), Lehrkräfte (60), Verwaltung (90) und Gäste (40). Wegen steigender Gerätezahlen soll jedes VLAN 30 % Reserve erhalten. Die Adressen werden zentral per DHCP verteilt; der Gäste-Pool reicht von 10.20.2.10 bis 10.20.2.50, die Lease-Dauer beträgt 8 Stunden. Seit dem Anschluss eines zweiten Uplinks zwischen den Switches der Gebäude A und B melden Nutzer intermittierend Aussetzer; die Port-LEDs zeigen starke Aktivität, und einzelne Geräte erhalten selbst zugewiesene Adressen im Bereich 169.254.x.x. Zusätzlich klagen Gäste über doppelte IP-Adressen, weil ein älterer Drucker im Gäste-VLAN statisch 10.20.2.20 nutzt. Die Schulleitung möchte Gäste vom Schulnetz isoliert sehen, ohne den Verwaltungszugriff auf den Drucker zu verlieren. Der Internetzugang erfolgt über einen Router mit NAT; ein Server für das LMS steht im Verwaltungs-VLAN.
1. Erstelle einen Subnetzplan für die vier VLANs mit 30 % Reserve. Gib Netzadresse, Präfix, nutzbaren Bereich und Gateway an und begründe die gewählten Größen.
Read the worked answer
10.20.0.0/22 umfasst 1.024 Adressen (10.20.0.0–10.20.3.255). Reserve 30 %: Schüler 120 → 156, Lehrkräfte 60 → 78, Verwaltung 90 → 117, Gäste 40 → 52. Passende Größen: /24 = 254 nutzbare, /25 = 126, /26 = 62. Ein möglicher Plan:
- Schüler: 10.20.0.0/24, nutzbar .1–.254, Gateway .1.
- Verwaltung: 10.20.1.0/25, .1–.126, Gateway .1.
- Lehrkräfte: 10.20.1.128/25, .129–.254, Gateway .129.
- Gäste: 10.20.2.0/26, .1–.62, Gateway .1.
- Frei: 10.20.2.64–10.20.3.255 für Wachstum.
Begründung: Jedes VLAN hat mindestens 30 % Reserve; /24 für Schüler wegen 156, /25 für Verwaltung und Lehrkräfte wegen 117 bzw. 78, /26 für Gäste wegen 52. Die Gäste könnten mit /26 knapp auskommen, aber wegen DHCP-Ausschlüssen und weiterem Wachstum ist ein /25 (10.20.2.0/25) sicherer; dann bleibt 10.20.2.128–10.20.3.255 frei. Wichtig: Netze dürfen sich nicht überlappen; Gateway und Drucker außerhalb des DHCP-Pools.
2. Diagnostiziere die DHCP- und Doppel-IP-Probleme im Gäste-VLAN und schlage konkrete Maßnahmen vor. Beachte dabei die Isolation der Gäste und den Zugriff der Verwaltung auf den Drucker.
Read the worked answer
Der Gäste-Pool .10–.50 hat 41 Adressen. Bei 40 Geräten plus 30 % Reserve (52) und 8-h-Leases ist er zu klein; außerdem belegt der Drucker .20 statisch, sodass DHCP diese Adresse vergeben kann, wenn sie nicht ausgeschlossen ist. Symptome: Pool exhausted, Geräte nehmen APIPA (169.254.x.x), Doppel-IP durch statischen Drucker.
Maßnahmen: Gäste-VLAN auf /25 vergrößern oder Pool auf .10–.120 erweitern; Lease auf 1–2 h senken; .20 und Gateway aus dem Pool ausschließen (DHCP-Reservierung für den Drucker); DHCP-Snooping gegen fremde DHCP-Server; feste IPs nur außerhalb des Pools; Gäste per ACL/NAT vom Schulnetz isolieren, aber Verwaltung darf den Drucker über eine gezielte Regel erreichen. Prüfen, ob der Drucker wirklich ins Gäste-VLAN gehört; besser eigenes Drucker-VLAN.
3. Erkläre die intermittierenden Aussetzer nach dem zweiten Uplink und bewerte zwei Möglichkeiten, Redundanz ohne Schleife zu betreiben.
Read the worked answer
Ein zweiter Uplink zwischen zwei Switches ohne Spanning Tree erzeugt eine Schleife. Broadcasts und unbekannte Unicasts kreisen, die MAC-Tabellen flappen, und die Ports zeigen hohe Aktivität; das Netz wird intermittierend unerreichbar. STP/RSTP blockiert logisch einen Port und verhindert die Schleife; bei Ausfall eines Links wird der blockierte aktiv. Für mehr Bandbreite und Redundanz ist LACP (802.3ad) mit zwei Links als ein logisches Bündel sinnvoll, kombiniert mit RSTP.
Bewertung: STP allein ist einfach und kompatibel, nutzt aber nur einen Link aktiv. LACP plus RSTP nutzt beide Links und bietet Redundanz, erfordert aber passende Switch-Konfiguration und Tests. Alternativ routed Uplink (Layer 3), der Broadcast-Domänen trennt. Nach der Verkabelung zuerst STP prüfen, Loop-Guard/BPDU-Guard aktivieren, dann LACP konfigurieren und testen. Ohne STP ist die zweite Leitung keine Redundanz, sondern ein Ausfallrisiko.