Ein Virtual Local Area Network kann ein physikalisches industrielles Netz logisch unterteilen, statt mehrere physikalische Netze parallel zu betreiben. Hierbei werden Netzteilnehmer oder Netzsegmente mit Hilfe von Switches oder Wireless Access Points zu logischen Gruppen zusammengefasst. Die einzelnen Netzteilnehmer oder Netzsegmente können sich dabei an beliebigen Orten im physikalischen Netz befinden und an beliebigen VLAN-fähigen Netzkomponenten angeschlossen sein. Alle Geräte in einem VLAN kommunizieren zunächst ausschließlich mit den anderen Geräten im eigenen VLAN, sodass das Netzwerk wie eine Anzahl mehrerer, isolierter LANs zu betrachten ist. Auch Broadcasts ver­bleiben im VLAN. Sollen jedoch Teilnehmer aus verschiedenen VLANs miteinander kommunizieren, wird der Datenverkehr zwischen VLANs immer mit Hilfe eines Layer-3-Switches von einem VLAN in das andere geroutet. Bei Layer-3-Switches handelt es sich um Hochleistungs-Switches, welche um TCP/IP-Routing-Funktionalität erweitert wurden.

Im Detail funktioniert ein VLAN wie folgt: Die Header der Daten, welche Informationen über Absender, Empfänger, Typ und Lebensdauer des Datenpakets sowie den Nutzdatenteil enthalten, werden modifiziert, um sie mit einer VLAN-Kennung zu markieren. Dieser Vorgang, welcher auch als „packet tagging“ (Pa-kete-Kennzeichnung) bezeichnet wird, ist die bevorzugte Methode für den Austausch von VLAN-Daten zwischen VLAN-fähigen Netzkomponenten. Beim Modifizieren von Paketen (taggen) nach dem Standard IEEE 802.1Q wird einem Paket ein so genanntes Tag (Kennzeichen) mit 2 Byte Größe hinzugefügt. Das Tag beinhaltet den VLAN-Identifier (VLAN-ID), der von 1 bis 4096 benannt werden kann, und eine Prioritätsstufe von 1 bis 7, wobei 7 die höchste Priorität darstellt. Mit Hilfe dieser VLAN-ID ist logisch ermittelbar, welche Pakete zu welcher VLAN-Gruppe gehören und mit welcher Priorität diese durch das Netz geleitet werden.
Eine Netzkomponente, die VLANs nach IEEE 802.1Q unterstützt, kann so zum einen eingehende Pakete auf darin enthaltene Tags untersuchen und dann das betreffende Paket abhängig von der Priorität an alle Ports des angegebenen VLANs weiterreichen. Zum anderen kann man „ungetaggten“ Paketen, welche meist von Endteilnehmern kommen, ein Tag vergeben. Das heißt, es werden dem Datenpaket die 2 Bytes mit VLAN-ID und Priorisierung hinzugefügt. Vor der Weiterleitung zum Endgerät wird der Header wieder in sein Ursprungsformat zurückversetzt, sprich das Tag wird entfernt.

Dank des Taggings können 802.1Q-kompatible Geräte wie Layer-2- und Layer-3-Switches oder Access Points im industriellen Netzwerk entlang des gesamten Paketpfades eine VLAN-Segmentierung vornehmen und dabei sowohl einzelne Teilnehmer wie auch ganze Netzsegmente logisch den VLANs zuordnen.

LAN und Switches

Unterteilung eines physikalischen industriellen Netzwerkes in einzelne logische Segmente mithilfe von VLANs.

© Siemens

Generell arbeiten Switches, welche das VLAN-Tagging nach IEEE 802.1Q unterstützen, per Default mit der VLAN-ID 1. Das heißt, an allen Ports des Switches wird den eingehenden Paketen zur internen Verarbeitung am Empfangs-Port die VLAN-ID 1 zugewiesen und bei Austritt zum Empfänger wieder entfernt. Das geschieht unabhängig davon, ob am Port des Switches ein einzelner Teilnehmer oder ein Teilnetz angeschlossen ist.

Will man dieses Grundverhalten ändern, um die Teilnehmer mit Hilfe von VLANs logisch zu segmentieren, ist dieser Prozess zu konfigurieren. Teilnehmer, die miteinander kommunizieren sollen, befinden sich innerhalb eines VLANs und bekommen somit die gleiche ID. Dem jeweiligen Port des Switches wird in Abhängigkeit des angeschlossenen Teilnehmers hierzu per Management eine spezifische VLAN-ID zugewiesen. Empfängt ein Switch anschließend auf diesem Port ein Paket, so wird dieses mit einem Tag und der im Management konfigurierten VLAN-ID modifiziert. Anschließend lassen sich intern nur Pakete zwischen Ports versenden, welche mit der gleichen VLAN-ID getaggt wurden. Beim Absenden des Pakets durch den Switch zum Empfänger wird das Tag wieder entfernt und das Paket in seinen Ursprungszustand zurückversetzt.

VLANs können sich über mehrere Switche oder Access Points erstrecken. Die Ports, welche die Switches mitei-nander verbinden, heißen „Trunk-Ports“. Die Konfiguration dieser Trunk-Ports erfolgt gleichermaßen über Switch-Management – sie sind dann ebenfalls Mitglieder mehrer VLANs. Wird ein Paket durch den Switch mit einem Tag versehen, kann dieser ein Paket ohne jegliche Änderung in einen Trunk einer weiteren Netzkomponente einspeisen. Empfängt wiederum ein Switch auf einem Trunk-Port ein Da-tenpaket mit VLAN-Tag nach IEEE 802.1Q, kann auch er es unverändert weiterleiten. Lediglich der Switch am Empfangs-Port muss unterscheiden, ob er ein taggingfähiges Endgerät beliefert (dann muss das Datenpaket unverändert bleiben) oder ob es sich um ein nicht taggingfähiges Endgerät handelt, welches zu dem aktuellen VLAN gehört (dann ist das Tag zu entfernen).

VLAN und WLAN

Format des VLAN-Telegramms nach Standard IEEE 802.1Q. Das Ethernet-Telegramm wird um zusätzliche Bytes verlängert. Dadurch lassen sich weitere Informationen integrieren, wie VLAN ID zur Identifikation oder User Priority zur Priorisierung der unterschiedlichen VLANs.

© Siemens

Mit dem Wissen über die Funktion von VLANs in kabelgebundenen Ethernet-LANs lässt sich diese Technik auch  in funkbasierten LANs gemäß IEEE 802.11 nutzen. So ist ein VLAN-fähiger Access Point ebenfalls in der Lage, Pakete von angeschlossenen Teilnehmern mit einer VLAN-ID zu modifizieren. Hier geschieht dies ebenso durch eine Projektierung im Management. Die drahtlos angebundenen Endgeräte, welche einem bestimmten VLAN angehören sollen, werden hierbei erst einer bestimmten SSID (Service Set Identifier) zugeordnet, wobei die SSID in Funknetzen (WLANs) nach dem Standard 802.11 den frei wählbaren Namen eines solchen Funknetzes bezeichnet. Anschlie-ßend wird diese SSID im Management logisch einem VLAN und somit einer VLAN-ID zugewiesen. Auf diese Weise können ausschließlich Teilnehmer miteinander kommunizieren, deren Anmeldung über den gleichen SSID-Namen an dem Access Point erfolgte. Auch zwischen Access Points ist es möglich, Trunk-Ports einzurichten, womit sich das VLAN über mehrere Access Points erstrecken kann. Die Ankopplung des drahtlosen Netzwerkes an das kabelgebundene Netzwerk geschieht dann ebenfalls über einen Trunk-Port. So ist eine durchgängige nahtlose VLAN-Struktur zwischen drahtlosen und drahtgebundenen Komponenten möglich.

In vielen Situationen ist es zudem vorteilhaft, den Datenverkehr im industriellen Netzwerk mit Prioritäten auszustatten und seinen Fluss zu kontrollieren. Dies kann durch die Vergabe einer Priorität geschehen. Die Priorität wird zusammen mit der VLAN-ID im Datenpaket hinterlegt. Die VLAN-fähigen Netzkomponenten sind in der Lage, die Priorität auszuwerten und Pakete beziehungsweise VLANs mit höherer Priorität zu bevorzugen. Wie bereits erwähnt, enthält das VLAN-Tag neben der VLAN-ID ein Prioritätsfeld. Dieses Prioritätsfeld kann die Wertigkeit von 1 bis 7 annehmen. Sowohl bei Switches, die VLAN nach IEEE 802.1Q unterstützen, als auch bei Access Points mit VLAN nach IEEE 802.1Q ist diese Wertigkeit im Management zusammen mit der VLAN-ID konfigurierbar.

Alle genannten Aspekte sind ebenso über eine entsprechende Verkabelung oder durch den Einsatz mehrerer physikalischer Switche und WLAN-Access Points beziehungsweise Industrial-Ethernet-Netze realisierbar.

Zusammenfassend lässt sich festhalten: Die Trennung zwischen logischen und physischen LANs ist nur ein kon­sequenter Schritt, welcher – richtig umgesetzt – sowohl die Administration als auch die Skalierbarkeit vorhandener Netzwerke deutlich verbessert. Instal-lations- und Unterhaltskosten werden reduziert und es entsteht eine höherer Flexibilität bei der Zuordnung von Endgeräten zu Netzwerksegmenten unabhängig von deren Standort. Ein weiterer Vorteil: Durch geschickte Priorisierung der unterschiedlichen VLANs ist die Performance des Gesamt-Netzwerkes steigerbar. So wird durch VLANs die Grundlast, welche zum Beispiel durch Broadcasts ausgelöst wird, auf die VLANs begrenzt und somit das gesamte Netz stabilisiert, da sich die Broadcasts nicht über das gesamte Netz ausbreiten. Und nicht zuletzt lassen sich VLAN-Netze besser gegen Ausspionieren und Abhören sichern als reine geswitchte Netze, da nur Mitglieder desselben VLANs miteinander kommunizieren können.

Autor: Heiko Hack ist Marketing Manager für Profinet bei Siemens.