Wenn ein Access Point einen Client als verbunden anzeigt, dieser aber keine IP-Adresse erhält, liegt die Ursache meist nicht beim WLAN-Passwort. Häufig erreicht die DHCP-Anfrage den zuständigen DHCP-Server nicht, weil die VLAN-Zuordnung am Access Point, Switch oder Router nicht durchgängig stimmt. Prüfe zuerst, ob der Client per WLAN authentifiziert ist, welches VLAN für das SSID vorgesehen ist und ob dieses VLAN auf dem gesamten Übertragungsweg als getaggtes VLAN zugelassen wird.
Der schnellste sichere Test besteht darin, die IP-Konfiguration des betroffenen Clients und die VLAN-Zuordnung eines zweiten SSID oder eines kabelgebundenen Geräts zu vergleichen. Erhält ein Client im ungetaggten Managementnetz eine Adresse, aber ein Client im separaten WLAN-VLAN nicht, grenzt das die Suche stark auf Trunk, VLAN-Tagging, DHCP-Scope oder DHCP-Relay ein. Ein Zurücksetzen des Access Points ist zu diesem Zeitpunkt nicht sinnvoll, weil dadurch funktionierende SSIDs und Sicherheitsparameter verloren gehen können.
Was die Anzeige „verbunden“ tatsächlich aussagt
Die Anzeige am Access Point beschreibt zunächst nur die erfolgreiche WLAN-Anmeldung. Der Client hat das Funknetz gefunden, die Authentifizierung abgeschlossen und eine Verbindung zur Funkzelle aufgebaut. Damit ist jedoch noch nicht bewiesen, dass Daten bis zum Router gelangen oder dass ein DHCP-Server erreichbar ist.
Für eine normale Netzwerkverbindung müssen mehrere Schritte funktionieren:
- Der Client muss sich am richtigen SSID anmelden.
- Das SSID muss dem vorgesehenen VLAN zugeordnet sein.
- Der Access Point muss das VLAN korrekt an den Switch weitergeben.
- Der Switch muss das VLAN über seine Uplink- oder Trunk-Ports zulassen.
- Der Router, eine Firewall oder ein DHCP-Server muss Anfragen aus diesem VLAN annehmen.
- Der Client muss die DHCP-Antwort zurückerhalten und die Adresse übernehmen.
Fehlt nur einer dieser Schritte, kann die Funkverbindung aktiv erscheinen, während Windows, Android, iOS oder ein anderes Endgerät keine nutzbare Adresse erhält. Eine selbst vergebene Adresse aus dem Bereich 169.254.0.0/16 weist bei vielen Clients darauf hin, dass keine gültige DHCP-Antwort angekommen ist. Sie ist kein Beweis für eine bestimmte Fehlerstelle, aber ein wichtiger Hinweis.
IP-Konfiguration des betroffenen Clients prüfen
Beginne am Endgerät, bevor du Einstellungen im Netzwerk veränderst. Notiere IP-Adresse, Subnetzmaske beziehungsweise Präfix, Standardgateway und DNS-Server. Entscheidend ist, ob der Client überhaupt eine Adresse aus dem erwarteten VLAN-Netz erhalten hat.
Unter Windows öffnest du die Eingabeaufforderung und verwendest:
ipconfig /allEine erneute DHCP-Anfrage lässt sich mit diesen Befehlen auslösen:
ipconfig /release
ipconfig /renewWenn /renew mit einem Hinweis auf einen nicht erreichbaren DHCP-Server endet, liegt der Fehler häufig vor dem DHCP-Dienst. Prüfe danach nicht nur den DNS-Eintrag. Ohne IP-Adresse und Gateway kann eine DNS-Änderung das Problem nicht beheben.
Auf Linux zeigt ip addr die Adressen und ip route die Routing-Tabelle. Bei mobilen Geräten findest du die Informationen meist in den Details des verbundenen WLANs. Die Menübezeichnungen unterscheiden sich je nach Betriebssystem, die wichtigen Werte bleiben jedoch gleich.
VLAN-Zuordnung am Access Point kontrollieren
Öffne die Verwaltung des Access Points oder der zentralen WLAN-Verwaltung und suche die Einstellungen des betroffenen SSID. Je nach System heißen die Felder etwa VLAN ID, Network, Bridge, Segment, Client Network oder Wireless VLAN. Dort muss die VLAN-ID hinterlegt sein, die auch am Router und an den Switches eingerichtet wurde.
Achte auf diese typischen Abweichungen:
- Das SSID steht versehentlich auf dem Managementnetz statt auf dem Client-VLAN.
- Die VLAN-ID ist als Text, mit Leerzeichen oder mit einem falschen Wert eingetragen.
- Das SSID ist einem isolierten Gastnetz zugewiesen, für das kein eigener DHCP-Bereich existiert.
- Der Access Point arbeitet im Einzelbetrieb, während die VLAN-Einstellung nur in einer zentralen WLAN-Konfiguration geändert wurde.
- Eine Konfigurationsänderung wurde gespeichert, aber noch nicht auf den Access Point übertragen.
Prüfe zusätzlich, ob die SSID-Einstellung zwischen mehreren Access Points identisch ist. Wenn nur ein Standort betroffen ist, spricht das eher für den Uplink, das Patchkabel oder die Portkonfiguration dieses Access Points. Sind alle Access Points mit demselben SSID betroffen, liegt die Ursache eher in der zentralen VLAN- oder DHCP-Konfiguration.
Uplink zwischen Access Point und Switch untersuchen
Ein VLAN muss vom Access Point bis zum zuständigen Gateway durchgereicht werden. In einer üblichen Installation ist der Port zum Access Point als Trunk oder Tagged-Port eingerichtet. Das Management-VLAN kann dabei je nach Hersteller untagged oder tagged übertragen werden. Für die Client-VLANs muss die Konfiguration an beiden Seiten zusammenpassen.
Prüfe am Switch-Port des Access Points:
- Ist der Port administrativ aktiv?
- Wird der Port als Trunk, Tagged-Port oder als passende Hybrid-Konfiguration betrieben?
- Ist die VLAN-ID des SSID in der erlaubten VLAN-Liste enthalten?
- Stimmt das native oder untagged VLAN mit der Erwartung des Access Points überein?
- Zeigt der Port Fehler, Paketverluste oder eine ungewöhnliche Aushandlung?
- Verläuft der Uplink des Switches zum Router oder zur Firewall ebenfalls mit diesem VLAN?
Ein häufiger Fehler entsteht, wenn der Switch-Port nur das Management-VLAN transportiert. Der Access Point bleibt dann erreichbar und zeigt verbundene Clients an, aber Daten aus den zusätzlichen SSIDs werden verworfen. Ein anderer typischer Fall ist eine VLAN-ID, die am Switch zwar angelegt, auf dem Uplink jedoch nicht freigegeben wurde.
Teste nach einer Änderung mit einem neuen DHCP-Versuch. Wenn der Client nun eine Adresse erhält, war die Funkanmeldung bereits in Ordnung. Bleibt die Adresse aus, fahre mit dem Gateway und dem DHCP-Dienst fort.
Gateway und DHCP-Bereich des VLAN prüfen
Für jedes geroutete Client-VLAN wird normalerweise eine eigene Schnittstelle am Router, der Firewall oder einem Layer-3-Switch benötigt. Diese Schnittstelle besitzt eine IP-Adresse im jeweiligen Subnetz und dient häufig als Standardgateway. Zusätzlich muss ein DHCP-Bereich existieren, der Adressen aus genau diesem Subnetz verteilt.
Kontrolliere dabei:
- Existiert das VLAN am Router oder an der Firewall?
- Ist die VLAN-ID an der richtigen physischen oder logischen Schnittstelle konfiguriert?
- Ist die Schnittstelle aktiv und nicht durch eine Sicherheitsregel blockiert?
- Passt das Subnetz des DHCP-Bereichs zur Gateway-Adresse?
- Sind noch freie Adressen verfügbar?
- Ist der DHCP-Dienst für dieses Interface aktiviert?
- Verhindern MAC-Filter, statische Leases oder eine Zugriffskontrolle die Vergabe?
Ein DHCP-Bereich darf nicht versehentlich dem falschen VLAN zugeordnet sein. Wenn etwa das Client-VLAN das Subnetz 192.168.30.0/24 verwendet, muss das Gateway eine passende Adresse besitzen und der DHCP-Pool aus diesem Netz stammen. Die Werte sind nur ein Beispiel; maßgeblich sind deine tatsächlich eingerichteten Netze.
Prüfe auch, ob der Pool erschöpft ist. Ein voll belegter Bereich führt dazu, dass neue Clients keine Adresse erhalten, obwohl VLAN und Routing korrekt arbeiten. Alte oder nicht mehr benötigte Leases können je nach System bereinigt werden. Ändere den Adressbereich jedoch nicht ohne vorher zu prüfen, ob statische Geräte, Firewall-Regeln oder Reservierungen davon abhängen.
DHCP-Relay bei getrenntem Server
Befindet sich der DHCP-Server nicht im selben VLAN wie die Clients, muss das Gateway DHCP-Relay oder DHCP-Helper unterstützen. DHCP arbeitet beim ersten Kontakt mit Broadcasts. Router leiten solche Broadcasts normalerweise nicht automatisch in andere Netze weiter. Die Relay-Funktion nimmt die Anfrage im Client-VLAN entgegen und übermittelt sie an den DHCP-Server.
Suche im Gateway nach einer Einstellung wie DHCP Relay, IP Helper, DHCP Forwarding oder Relay Agent. Hinterlegt werden muss die Adresse des DHCP-Servers. Zusätzlich muss der Server für das Client-VLAN einen passenden Scope besitzen. Bei mehreren VLANs braucht jedes Netz eine eigene Zuordnung und einen eigenen Adressbereich.
Wenn der Relay-Dienst aktiv ist, aber weiterhin keine Adresse verteilt wird, prüfe Firewall-Regeln zwischen Gateway und Server. DHCP nutzt UDP-Verkehr; die genauen Quell- und Zielports müssen zur verwendeten Infrastruktur passen. Eine pauschale Freigabe sämtlicher Verbindungen ist nicht nötig und schwächt die Netzsegmentierung.
Mit einem kabelgebundenen Test zwischen VLAN- und WLAN-Fehler unterscheiden
Ein Notebook mit VLAN-Unterstützung oder ein verwalteter Switch-Port kann helfen, die Funkstrecke aus der Gleichung zu nehmen. Weise den Testport demselben Client-VLAN zu wie das SSID und schließe das Notebook dort an. Erhält es ebenfalls keine Adresse, liegt die Ursache wahrscheinlich im VLAN-Pfad, Gateway oder DHCP-Dienst.
Funktioniert der kabelgebundene Test, konzentriert sich die Suche auf den Access Point. Prüfe dann die SSID-Zuordnung, die Funkprofil-Synchronisierung und den Uplink-Port dieses Geräts. Ein Vergleich mit einem SSID im Managementnetz ist ebenfalls hilfreich: Ist dieses erreichbar, während das VLAN-SSID scheitert, fehlt meist die Freigabe oder Weiterleitung des zusätzlichen VLANs.
Nutze bei verwalteten Switches und Access Points die Status- oder Ereignisanzeige. Suche nach Hinweisen auf fehlende VLANs, verworfene Tags, Authentifizierungsfehler oder eine nicht übernommene Konfiguration. Bei einer zentralen Verwaltung kann ein Provisionierungsstatus zeigen, ob der Access Point die aktuelle Konfiguration tatsächlich erhalten hat.
Besonderheiten bei Gastnetz, Isolation und Authentifizierung
Gastnetze verwenden oft eine zusätzliche Isolation. Diese soll den Zugriff auf interne Geräte verhindern, darf aber die DHCP-Vergabe nicht blockieren. Prüfe daher, ob die Isolation nur den Datenverkehr zwischen Clients und internen Netzen einschränkt oder versehentlich auch DHCP und DNS betrifft.
Bei WPA-Enterprise mit RADIUS kann die VLAN-ID dynamisch aus den Benutzer- oder Geräteeigenschaften kommen. Dann reicht die VLAN-Zuordnung am SSID allein nicht aus. Prüfe, ob der RADIUS-Server ein VLAN-Attribut liefert, ob die Schreibweise stimmt und ob die Antwort vom Access Point akzeptiert wird. Ein falsch zugewiesenes oder nicht vorhandenes VLAN kann denselben Effekt haben wie ein fehlendes Trunk-VLAN.
Bei dynamischen VLANs sollte zunächst mit einem einfachen, fest zugeordneten Test-SSID geprüft werden. So lässt sich unterscheiden, ob die Infrastruktur grundsätzlich funktioniert oder nur die RADIUS-Zuweisung fehlschlägt. Das Test-SSID muss anschließend wieder deaktiviert oder ausreichend abgesichert werden.
IPv6 und DNS erst nach der IPv4-Vergabe prüfen
Eine fehlende IPv4-Adresse und ein DNS-Fehler werden häufig verwechselt. Erhält der Client eine IPv4-Adresse, aber keine Webseiten öffnen, sind Gateway, DNS, Firewall oder Routing mögliche Ursachen. Erhält er dagegen gar keine Adresse, muss zuerst die DHCP-Strecke geprüft werden.
IPv6 kann parallel funktionieren oder die Diagnose erschweren. Kontrolliere, ob im VLAN Router Advertisements oder DHCPv6 vorgesehen sind und ob der Client eine IPv6-Adresse erhält. Deaktiviere IPv6 nicht dauerhaft als Standardmaßnahme. Eine vorübergehende, gezielte Prüfung kann sinnvoll sein, sollte aber nach der Ursachenanalyse rückgängig gemacht werden, wenn IPv6 im Netz benötigt wird.
DNS-Server lassen sich erst sinnvoll testen, wenn das Gateway erreichbar ist. Ein Ping auf die Gateway-Adresse oder ein Zugriff auf eine interne Verwaltungsadresse kann dabei helfen. Manche Systeme blockieren ICMP, deshalb ist ein fehlender Ping allein kein endgültiger Beweis für einen Netzfehler.
Änderungen sicher durchführen
Vor Änderungen an VLANs, DHCP oder Firewall-Regeln exportierst du die aktuelle Konfiguration und notierst die bisherige Zuordnung. Besonders wichtig sind Management-VLAN, Admin-Zugang, statische IPs, DHCP-Reservierungen und Regeln für Telefonie, NAS oder Kameras. Eine Änderung am falschen Trunk-Port kann den Zugriff auf mehrere Netzwerkkomponenten gleichzeitig unterbrechen.
Arbeite möglichst in dieser Reihenfolge:
- Konfiguration des betroffenen SSID dokumentieren.
- VLAN-ID am Access Point und am Switch vergleichen.
- Erlaubte VLANs auf Uplink- und Trunk-Ports kontrollieren.
- Gateway-Schnittstelle und DHCP-Scope prüfen.
- Bei externem DHCP-Server Relay und Firewall-Regeln untersuchen.
- Mit einem neuen Client oder einer erneuerten DHCP-Anfrage testen.
- Erst danach Access Point, Switch oder Router kontrolliert neu starten.
Ein Neustart kann eine hängende Sitzung oder eine nicht angewendete Konfiguration beheben, ersetzt aber keine Prüfung der VLAN-Strecke. Werkseinstellungen solltest du nur als letzte Möglichkeit verwenden. Sichere vorher Zugangsdaten, SSID- und VLAN-Zuordnung, Management-Adresse, DHCP-Daten, Zertifikate sowie gegebenenfalls die Konfiguration der Telefonie.
Diagnose anhand des Ergebnisses einordnen
- Management-SSID funktioniert, Client-SSID nicht: Prüfe VLAN-ID, erlaubte Tagged-VLANs und den DHCP-Scope des Clientnetzes.
- Nur ein Access Point ist betroffen: Untersuche dessen Kabel, Switch-Port, Provisionierung und lokale VLAN-Zuordnung.
- Alle SSIDs erhalten keine Adresse: Prüfe Uplink, Gateway, DHCP-Dienst und die Stromversorgung der Netzkomponenten.
- Der Client erhält eine falsche Adresse: Suche nach einem ungewollten DHCP-Server, einer falschen Portzuordnung oder einem falsch zugewiesenen SSID.
- Eine kabelgebundene Verbindung im selben VLAN funktioniert: Die Ursache liegt wahrscheinlich im SSID-Profil, Access Point oder Funknetz.
- Eine Adresse ist vorhanden, aber kein Internetzugriff: Prüfe Gateway, Routing, DNS und Firewall, nicht zuerst die DHCP-Vergabe.
Die Anzeige eines verbundenen Clients ist damit nur der erste Teil der Diagnose. Entscheidend ist, ob das vorgesehene VLAN vom SSID bis zum Gateway durchgereicht wird und ob dort eine passende DHCP-Antwort entsteht. Wenn diese Kette stimmt, sollte der Client nach einer erneuten DHCP-Anfrage eine Adresse aus dem richtigen Subnetz, das passende Gateway und erreichbare DNS-Server erhalten.
Häufige Fragen zu DHCP über VLAN am Access Point
Kann ein Client trotz fehlender IP-Adresse erfolgreich mit dem WLAN verbunden sein?
Ja, die Anzeige „verbunden“ bestätigt meist nur die WLAN-Authentifizierung und die Funkverbindung. Ob der Client auch eine IP-Adresse erhält, hängt zusätzlich von VLAN-Zuordnung, Switch-Uplink, Gateway und DHCP-Dienst ab.
Was bedeutet eine Adresse aus dem Bereich 169.254.0.0/16?
Eine solche selbst vergebene Adresse weist häufig darauf hin, dass der Client keine gültige DHCP-Antwort erhalten hat. Sie beweist aber nicht, ob der Fehler am SSID, am VLAN-Transport, am DHCP-Relay oder am DHCP-Server liegt; diese Abschnitte müssen nacheinander geprüft werden.
Warum funktioniert das Management-SSID, während das Client-SSID keine IP erhält?
Das Management-VLAN ist am Switch-Port oft freigegeben, während das zusätzliche Client-VLAN auf dem Trunk fehlt oder falsch getaggt wird. Vergleiche deshalb die VLAN-ID des Client-SSID mit der erlaubten VLAN-Liste des Access-Point-Ports und seines Uplinks.
Was ist zu prüfen, wenn nur ein Access Point betroffen ist?
Dann liegt die Ursache eher an dessen Kabel, Switch-Port, Provisionierung oder lokalen Konfiguration als am zentralen DHCP-Scope. Teste denselben Client an einem anderen Access Point und vergleiche die Port- und SSID-Zuordnung, bevor du die zentrale DHCP-Konfiguration änderst.
Kann ein voller DHCP-Pool verhindern, dass der WLAN-Client eine IP-Adresse erhält?
Ja, wenn im vorgesehenen Subnetz keine freien Adressen mehr vorhanden sind, bleibt die DHCP-Vergabe aus, obwohl VLAN und WLAN korrekt arbeiten. Prüfe die belegten Leases, Reservierungen und die Größe des passenden Scopes; ein größerer Adressbereich darf nur eingerichtet werden, wenn Subnetz und Gateway entsprechend angepasst werden.
Wie unterscheidest du einen DHCP-Fehler von einem DNS-Problem?
Bei einem DHCP-Fehler fehlt meist bereits die IPv4-Adresse oder das Standardgateway, während bei einem DNS-Problem eine gültige Netzwerkkonfiguration vorhanden sein kann. Prüfe zuerst Adresse, Präfix und Gateway; erst danach sind DNS-Abfragen und Namensauflösung sinnvoll.
Was ändert sich bei einem externen DHCP-Server?
Der DHCP-Server muss Anfragen aus dem Client-VLAN über ein korrekt eingerichtetes DHCP-Relay erreichen können. Zusätzlich müssen Routing und Firewall-Regeln die Weiterleitung erlauben, wobei Relay-Konfiguration und Server-Scope zum jeweiligen VLAN und dessen Gateway passen müssen.
Solltest du den Access Point bei fehlender DHCP-Adresse zurücksetzen?
Nein, ein Werksreset ist dafür normalerweise nicht der erste Schritt, weil dadurch SSIDs, VLAN-Zuordnungen, Management-Zugang und Sicherheitsparameter verloren gehen können. Sichere zunächst die Konfiguration und prüfe VLAN-Strecke, DHCP-Scope sowie die angewendete Provisionierung; ein kontrollierter Neustart kommt erst danach infrage.
