Routing & Switching – Netzwerk-Infrastruktur

Inhaltsverzeichnis

Schnellübersicht

Auf dieser Seite lernen Sie alles über Routing und Switching im Enterprise-Umfeld:

Grundlagen: Was ist der Unterschied zwischen Routing und Switching?
Switching (Layer 2): MAC-Adressen, Switch-Typen, Frame-Weiterleitung
Routing (Layer 3): IP-Adressen, Routing-Tabellen, statisch vs. dynamisch
Routing-Protokolle: OSPF, BGP, EIGRP, RIP, IS-IS
VLANs: Virtuelle Netzwerke, Trunking, Inter-VLAN-Routing
STP: Spanning Tree Protocol gegen Switching-Loops
Enterprise-Architektur: Core, Distribution, Access Layer
Best Practices: Sicherheit, Monitoring, Dokumentation
FAQ: Häufige Fragen und Antworten

1. Was ist Routing & Switching?

Definition

Switching und Routing sind die beiden grundlegenden Mechanismen, mit denen Datenpakete durch ein Netzwerk transportiert werden. Switching arbeitet auf Layer 2 (Sicherungsschicht) des OSI-Modells und leitet Frames anhand von MAC-Adressen innerhalb eines lokalen Netzwerks (LAN) weiter. Routing arbeitet auf Layer 3 (Vermittlungsschicht) und leitet Pakete anhand von IP-Adressen zwischen verschiedenen Netzwerken weiter.

Im Enterprise-Umfeld bilden Switches und Router das Rückgrat der gesamten Netzwerk-Infrastruktur. Ohne sie könnten keine Daten zwischen Abteilungen, Standorten oder dem Internet fließen.

Switch vs. Router – Der Unterschied

Switch (Layer 2)

Innerhalb eines Netzwerks

Arbeitet mit MAC-Adressen
Leitet Frames innerhalb eines LANs weiter
Baut MAC-Adresstabelle auf (CAM-Table)
Hardware-basiert (ASIC), sehr schnell
Erstellt Kollisionsdomänen pro Port
Unterstützt VLANs (Layer 2)
Typisch: 24/48 Ports

VS

Router (Layer 3)

Zwischen verschiedenen Netzwerken

Arbeitet mit IP-Adressen
Leitet Pakete zwischen Netzwerken weiter
Nutzt Routing-Tabellen
Software- und Hardware-basiert
Trennt Broadcast-Domänen
Unterstützt dynamische Routing-Protokolle
Typisch: 2-8 Interfaces

2. Switching (Layer 2)

Ein Switch verbindet Geräte innerhalb eines lokalen Netzwerks (LAN) und leitet Ethernet-Frames basierend auf MAC-Adressen weiter.

Wie funktioniert ein Switch?

             Frame-Weiterleitung
            Frame empfangen: Switch liest die Quell-MAC-Adresse und speichert sie in der MAC-Tabelle (CAM-Table)
Ziel-MAC prüfen: Switch sucht die Ziel-MAC-Adresse in seiner Tabelle
Bekannt: Frame wird nur an den entsprechenden Port weitergeleitet (Unicast)
Unbekannt: Frame wird an alle Ports geflutet (Flooding), außer dem Eingangs-Port
Broadcast: Ziel-Adresse FF:FF:FF:FF:FF:FF → Frame geht an alle Ports

        

Switch-Typen

Unmanaged Switch

Plug & Play

Einfacher Switch ohne Konfigurationsmöglichkeiten. Ideal für kleine Büros und Heimnetzwerke.

Keine Konfiguration nötig
Günstig (20-80 €)
5-16 Ports
Keine VLANs, kein QoS

Managed Switch (Layer 2)

Enterprise Standard

Vollständig konfigurierbar. Unterstützt VLANs, STP, QoS, Port Security und SNMP-Monitoring.

VLAN-Unterstützung (802.1Q)
Spanning Tree (STP/RSTP/MSTP)
QoS und Port Security
SNMP, Syslog, CLI/Web-GUI
Link Aggregation (LACP)

Layer-3-Switch

Switch + Router

Kombiniert Switching und Routing in einem Gerät. Kann IP-Pakete zwischen VLANs weiterleiten.

Alle Layer-2-Features
Inter-VLAN-Routing (SVI)
Statische Routen + OSPF
Hardware-basiertes Routing (ASIC)
Deutlich schneller als Router

3. Routing (Layer 3)

Router verbinden verschiedene Netzwerke miteinander und entscheiden anhand von IP-Adressen und Routing-Tabellen, welchen Weg ein Paket nimmt.

Statisches vs. Dynamisches Routing

Statisches Routing

Manuell konfiguriert

Routen werden manuell eingetragen
Kein Protokoll-Overhead
Vorhersehbar und sicher
Ideal für kleine Netzwerke
Keine automatische Anpassung
Aufwändig bei Änderungen

VS

Dynamisches Routing

Automatisch gelernt

Routen werden automatisch gelernt
Passt sich an Topologie-Änderungen an
Automatische Failover-Pfade
Ideal für große Netzwerke
Protokoll-Overhead (CPU, Bandbreite)
Komplexere Konfiguration

4. Routing-Protokolle im Detail

Dynamische Routing-Protokolle ermöglichen es Routern, automatisch die beste Route zu jedem Zielnetzwerk zu finden.

Manuell

Statische Route

Kein Protokoll – manuelle Konfiguration

Feste Routen, die vom Administrator manuell eingetragen werden. Keine automatische Anpassung.

Typ: Manuell
Metrik: Administrative Distanz (1)
Overhead: Keiner
Konvergenz: Sofort (keine Berechnung)

Einsatz: Default-Routen, kleine Netzwerke, Stub-Netzwerke

Link-State

OSPF

Open Shortest Path First

Das am weitesten verbreitete Interior Gateway Protocol (IGP). Nutzt den Dijkstra-Algorithmus.

Typ: Link-State (IGP)
Metrik: Cost (Bandbreite)
AD: 110
Konvergenz: Schnell (Sekunden)
Areas: Hierarchisches Design

Einsatz: Enterprise-LANs, Campus-Netzwerke, Multi-Vendor

Path-Vector

BGP

Border Gateway Protocol

Das Protokoll des Internets. Verbindet autonome Systeme (AS) weltweit miteinander.

Typ: Path-Vector (EGP)
Metrik: AS-Path, Local Pref, MED
AD: 20 (eBGP) / 200 (iBGP)
Konvergenz: Langsam (Minuten)
Skalierbarkeit: Extrem hoch

Einsatz: Internet-Backbone, Multi-Homing, MPLS, Datacenter

Hybrid

EIGRP

Enhanced Interior Gateway Routing Protocol

Cisco-Protokoll (jetzt offener Standard). Kombiniert Vorteile von Distanz-Vektor und Link-State.

Typ: Advanced Distanz-Vektor (IGP)
Metrik: Bandbreite, Delay, Load, Reliability
AD: 90 (intern) / 170 (extern)
Konvergenz: Sehr schnell (DUAL)

Einsatz: Cisco-Umgebungen, schnelle Konvergenz nötig

Distanz-Vektor

RIP

Routing Information Protocol

Das älteste dynamische Routing-Protokoll. Einfach, aber limitiert. Kaum noch im Einsatz.

Typ: Distanz-Vektor (IGP)
Metrik: Hop Count (max. 15)
AD: 120
Konvergenz: Langsam (Minuten)

Einsatz: Nur noch in Legacy-Netzwerken, Labore

Link-State

IS-IS

Intermediate System to Intermediate System

Link-State-Protokoll, ähnlich OSPF. Wird vor allem von ISPs und in großen Rechenzentren eingesetzt.

Typ: Link-State (IGP)
Metrik: Cost (konfigurierbar)
AD: 115
Konvergenz: Schnell
OSI-basiert: Nicht IP-abhängig

Einsatz: ISP-Backbone, große Datacenter (Microsoft, Facebook)

Routing-Protokolle im Vergleich

Protokoll	Typ	Metrik	AD	Konvergenz	Einsatz
Statisch	Manuell	–	1	Sofort	Kleine Netze, Default-Route
OSPF	Link-State	Cost	110	Schnell	Enterprise-LAN, Campus
EIGRP	Hybrid	Composite	90	Sehr schnell	Cisco-Netzwerke
BGP	Path-Vector	AS-Path	20/200	Langsam	Internet, Multi-Homing
RIP	Distanz-Vektor	Hops	120	Langsam	Legacy, Labore
IS-IS	Link-State	Cost	115	Schnell	ISP, Datacenter

5. VLANs – Virtuelle Netzwerke

VLANs (Virtual Local Area Networks) unterteilen ein physisches Netzwerk in logisch getrennte Broadcast-Domänen – ohne zusätzliche Hardware.

             Warum VLANs?
            Sicherheit: Trennung sensibler Bereiche (z.B. Finanzen, Gäste, IoT)
Performance: Kleinere Broadcast-Domänen = weniger Broadcast-Traffic
Flexibilität: Logische Gruppierung unabhängig vom physischen Standort
Verwaltung: Einfacheres Netzwerk-Management

        

Typische VLAN-Struktur im Unternehmen

Daten-VLAN (VLAN 10-99)

Für Arbeitsplatz-PCs, Drucker und allgemeine Netzwerkgeräte. Oft nach Abteilungen aufgeteilt.

Voice-VLAN (VLAN 100-199)

Für VoIP-Telefone. Getrenntes VLAN mit QoS-Priorisierung für Sprachqualität.

Management-VLAN (VLAN 99)

Für die Verwaltung von Switches, Routern und Access Points. Nur für Admins zugänglich.

Gäste-VLAN (VLAN 200-299)

Isoliertes Netzwerk für Besucher. Kein Zugriff auf interne Ressourcen, nur Internet.

             Wichtige VLAN-Konzepte
            Access Port: Gehört zu einem einzigen VLAN (Endgeräte)
Trunk Port: Transportiert mehrere VLANs zwischen Switches (802.1Q-Tagging)
Native VLAN: Ungetaggter Traffic auf Trunk-Ports (Standard: VLAN 1)
Inter-VLAN-Routing: Layer-3-Switch oder Router-on-a-Stick für Kommunikation zwischen VLANs
VLAN 1: Default-VLAN – sollte aus Sicherheitsgründen nicht genutzt werden

        

6. Spanning Tree Protocol (STP)

STP verhindert Switching-Loops in redundanten Netzwerk-Topologien, indem es redundante Pfade blockiert und nur einen aktiven Pfad zulässt.

Warum ist STP wichtig?

Ohne STP führen redundante Verbindungen zwischen Switches zu Broadcast-Stürmen: Frames zirkulieren endlos im Netzwerk und überlasten alle Switches innerhalb von Sekunden. Das gesamte Netzwerk bricht zusammen.

STP-Ablauf (vereinfacht)

1

Root Bridge Wahl

Alle Switches vergleichen Bridge IDs. Der Switch mit der niedrigsten ID wird Root Bridge.

2

Root Ports bestimmen

Jeder Nicht-Root-Switch wählt den Port mit dem kürzesten Pfad zur Root Bridge.

3

Designated Ports bestimmen

Auf jedem Segment wird der Port mit dem besten Pfad zur Root als Designated Port gewählt.

4

Redundante Ports blockieren

Alle verbleibenden Ports werden in den Blocking-State versetzt (kein Traffic).

STP-Version	Standard	Konvergenz	Besonderheit
STP	802.1D	30-50 Sekunden	Original, sehr langsam
RSTP	802.1w	1-3 Sekunden	Rapid STP, deutlich schneller
MSTP	802.1s	1-3 Sekunden	Multiple STP-Instanzen pro VLAN-Gruppe
PVST+	Cisco	1-3 Sekunden	Pro VLAN eine STP-Instanz (Cisco)

7. Enterprise-Netzwerkarchitektur

Das Cisco 3-Tier-Modell (Hierarchisches Netzwerkdesign) ist der Standard für Enterprise-Netzwerke. Es unterteilt das Netzwerk in drei logische Schichten.

Core Layer (Kernschicht)

Das Hochgeschwindigkeits-Backbone des Netzwerks. Maximale Verfügbarkeit und Durchsatz. Keine Paketmanipulation (kein ACL, kein NAT). Nur schnelles Forwarding. Redundante 10/40/100 Gbit/s Verbindungen.

Distribution Layer (Verteilungsschicht)

Aggregiert den Traffic der Access-Switches. Hier findet Routing, ACL-Filterung, QoS und Inter-VLAN-Routing statt. Grenze zwischen Layer 2 und Layer 3. Policy-Enforcement.

Access Layer (Zugangsschicht)

Verbindet Endgeräte (PCs, Telefone, APs, Drucker) mit dem Netzwerk. VLAN-Zuweisung, Port Security, 802.1X-Authentifizierung, PoE für Telefone und APs.

Moderne Alternative: Spine-Leaf-Architektur

In modernen Datacentern wird zunehmend das Spine-Leaf-Modell (Clos-Netzwerk) statt des 3-Tier-Modells eingesetzt. Vorteile: Gleiche Latenz zwischen allen Servern, bessere Skalierbarkeit, kein STP nötig (ECMP statt STP). Wird von Cisco ACI, Arista und Juniper unterstützt.

8. Best Practices

VLAN & Switching

VLAN 1 nicht für Datenverkehr nutzen
Native VLAN auf Trunks ändern (nicht VLAN 1)
Unbenutzte Ports in ein "Parking-VLAN" verschieben
Port Security aktivieren (MAC-Limit)
BPDU Guard auf Access-Ports aktivieren
RSTP oder MSTP statt legacy STP verwenden

Routing

OSPF als Standard-IGP im Enterprise
Area-Design: Backbone Area 0 + Stub/NSSA Areas
Default-Route zum Internet-Gateway
Route-Summarization an Area-Grenzen
Passive Interfaces für Endgeräte-Netzwerke
BGP nur an den Netzwerkgrenzen (Edge)

Sicherheit

802.1X für Netzwerk-Authentifizierung
DHCP Snooping gegen Rogue DHCP-Server
Dynamic ARP Inspection (DAI)
IP Source Guard
ACLs an Distribution-Layer
Management-Zugriff nur über dediziertes VLAN

Monitoring & Dokumentation

SNMP v3 für Switch/Router-Monitoring
Syslog an zentralen Log-Server
NetFlow/sFlow für Traffic-Analyse
Netzwerk-Topologie dokumentieren
IP-Adress-Schema (IPAM) pflegen
Konfigurations-Backups automatisieren

9. FAQ – Häufige Fragen & Antworten

Häufige Fragen zu Routing & Switching

Was ist der Unterschied zwischen einem Switch und einem Router?

Ein Switch arbeitet auf Layer 2 (OSI) und leitet Frames anhand von MAC-Adressen innerhalb eines LANs weiter. Er verbindet Geräte im selben Netzwerk.

Ein Router arbeitet auf Layer 3 und leitet Pakete anhand von IP-Adressen zwischen verschiedenen Netzwerken weiter. Er verbindet unterschiedliche Netzwerke (z.B. LAN mit Internet).

Layer-3-Switches kombinieren beide Funktionen: Sie können sowohl switchen als auch routen – und das in Hardware-Geschwindigkeit.

Wann sollte ich OSPF statt EIGRP verwenden?

OSPF ist die bessere Wahl, wenn:

Sie eine Multi-Vendor-Umgebung haben (OSPF ist offener Standard)
Sie ein hierarchisches Netzwerk-Design mit Areas benötigen
Sie große Netzwerke mit vielen Routern betreiben

EIGRP ist besser, wenn:

Sie eine reine Cisco-Umgebung betreiben
Sie extrem schnelle Konvergenz benötigen (DUAL-Algorithmus)
Sie ungleichmäßige Lastverteilung (Unequal Cost Load Balancing) brauchen

Was ist ein Broadcast-Sturm und wie verhindere ich ihn?

Ein Broadcast-Sturm entsteht, wenn Broadcast-Frames in einer Schleife (Loop) endlos zwischen Switches zirkulieren. Das Netzwerk wird innerhalb von Sekunden überlastet und bricht zusammen.

Verhinderung:

STP/RSTP/MSTP aktivieren: Verhindert Layer-2-Loops
BPDU Guard: Schaltet Ports ab, die unerwartet BPDUs empfangen
Loop Guard: Verhindert, dass blockierte Ports versehentlich aktiv werden
Storm Control: Begrenzt die Broadcast-Rate pro Port
Korrekte Verkabelung: Keine redundanten Verbindungen ohne STP

Wie funktioniert Inter-VLAN-Routing?

VLANs trennen Broadcast-Domänen – Geräte in verschiedenen VLANs können standardmäßig nicht miteinander kommunizieren. Für die Kommunikation zwischen VLANs wird ein Layer-3-Gerät benötigt:

Router-on-a-Stick: Ein Router mit einem Trunk-Interface und Sub-Interfaces pro VLAN (langsam, für kleine Netze)
Layer-3-Switch (SVI): Switched Virtual Interfaces – der Switch routet selbst in Hardware-Geschwindigkeit (empfohlen)

Empfehlung: In Enterprise-Netzwerken immer Layer-3-Switches für Inter-VLAN-Routing verwenden. Router-on-a-Stick ist ein Flaschenhals.

Was ist die Administrative Distanz (AD)?

Die Administrative Distanz (AD) ist ein Wert, der die Vertrauenswürdigkeit einer Routing-Quelle angibt. Je niedriger der Wert, desto vertrauenswürdiger die Quelle:

Connected: AD 0 (direkt verbunden)
Statisch: AD 1
EIGRP: AD 90
OSPF: AD 110
RIP: AD 120
BGP (extern): AD 20

Wenn ein Router dieselbe Route von mehreren Protokollen lernt, wählt er die Route mit der niedrigsten AD.

Was ist der Unterschied zwischen Trunk- und Access-Port?

Access-Port: Gehört zu genau einem VLAN. Wird für Endgeräte (PCs, Drucker, Telefone) verwendet. Frames werden ohne VLAN-Tag gesendet.

Trunk-Port: Transportiert Traffic mehrerer VLANs zwischen Switches oder zu Routern. Frames werden mit 802.1Q-VLAN-Tags versehen, damit der empfangende Switch weiß, zu welchem VLAN der Frame gehört.

Best Practice: Access-Ports für Endgeräte, Trunk-Ports nur zwischen Netzwerkgeräten (Switch-Switch, Switch-Router).

Wann brauche ich BGP im Enterprise?

BGP wird im Enterprise typischerweise in folgenden Szenarien benötigt:

Multi-Homing: Zwei oder mehr Internet-Anbindungen von verschiedenen ISPs
MPLS-Netzwerke: MP-BGP für VPN-Verbindungen zwischen Standorten
Datacenter: BGP als Underlay-Protokoll in Spine-Leaf-Architekturen
Cloud-Anbindung: BGP-Peering mit AWS Direct Connect, Azure ExpressRoute

Für reine LAN-Netzwerke reicht OSPF oder EIGRP als IGP aus. BGP ist nur an den Netzwerkgrenzen (Edge) nötig.

Was ist DHCP Snooping und warum ist es wichtig?

DHCP Snooping ist ein Sicherheitsfeature auf Managed Switches, das vor Rogue DHCP-Servern schützt. Ein Angreifer könnte einen eigenen DHCP-Server ins Netzwerk bringen und Clients falsche IP-Adressen und Gateways zuweisen (Man-in-the-Middle-Angriff).

Funktionsweise:

Switch-Ports werden als Trusted (zum echten DHCP-Server) oder Untrusted (Endgeräte) konfiguriert
DHCP-Angebote (Offer) von Untrusted-Ports werden blockiert
Der Switch erstellt eine Snooping-Datenbank mit IP-MAC-Zuordnungen
Diese Datenbank wird von DAI (Dynamic ARP Inspection) und IP Source Guard genutzt

Zusammenfassung

             Die wichtigsten Punkte
            Switching (Layer 2): Frame-Weiterleitung anhand von MAC-Adressen innerhalb eines LANs
Routing (Layer 3): Paket-Weiterleitung anhand von IP-Adressen zwischen Netzwerken
Switch-Typen: Unmanaged (Plug & Play), Managed (VLAN, STP), Layer-3 (Routing)
Routing-Protokolle: OSPF (Standard-IGP), BGP (Internet), EIGRP (Cisco), RIP (Legacy)
VLANs: Logische Netzwerktrennung, Trunking (802.1Q), Inter-VLAN-Routing
STP: Verhindert Switching-Loops, RSTP/MSTP für schnelle Konvergenz
Enterprise-Architektur: Core → Distribution → Access (3-Tier-Modell)
Sicherheit: 802.1X, DHCP Snooping, DAI, Port Security, ACLs
Monitoring: SNMP, Syslog, NetFlow, IPAM, Konfigurations-Backups

        

             Enterprise-Tipps
            OSPF als Standard: Für die meisten Enterprise-Netzwerke ist OSPF die beste Wahl
Layer-3 bis zum Access: Moderne Netzwerke routen so nah wie möglich am Endgerät
Kein VLAN 1: Default-VLAN aus Sicherheitsgründen nicht für Datenverkehr nutzen
Redundanz: Dual-Homing, HSRP/VRRP für Gateway-Redundanz
Automatisierung: Ansible, Python, NETCONF für Konfigurations-Management

        

Weiterführende Themen

Netzwerkgrundlagen

OSI-Modell, TCP/IP, Netzwerk-Topologien und Grundlagen der Datenübertragung.

Zu Netzwerkgrundlagen

IP-Adressierung

IPv4, IPv6, Subnetting, CIDR und VLSM im Detail.

Zur IP-Adressierung

Netzwerksicherheit

Firewalls, IDS/IPS, VPN, 802.1X und Zero Trust im Netzwerk.

Zur Netzwerksicherheit

Unternehmensnetzwerk

Enterprise-Netzwerkdesign, Campus-Architektur und WAN-Anbindung.

Zum Unternehmensnetzwerk