WLAN-Clients können trotz erfolgreicher Verbindung ohne Internet bleiben, wenn Access Point und Switch den Datenverkehr einer SSID unterschiedlich taggen. Der schnellste sichere Test ist eine Prüfung der VLAN-ID, der Port-Mitgliedschaft und des ungetaggten beziehungsweise nativen VLANs auf beiden Seiten. Erhält ein Client keine passende IP-Adresse, liegt der Fehler meist vor oder beim DHCP-Server; erhält er eine richtige Adresse, sind Gateway, Routing und Firewall die nächsten Prüfstellen. Ein Zurücksetzen des Access Points ist dafür weder nötig noch sinnvoll.
Warum ein Tagging-Fehler nur die WLAN-Clients treffen kann
Ein VLAN trennt ein physisches Netzwerk in mehrere logische Netze. Ein Ethernet-Frame kann dafür ein 802.1Q-Tag mit einer VLAN-ID tragen. Fehlt dieses Tag, behandelt der Switch den Frame als ungetaggt und ordnet ihn anhand seiner Portkonfiguration einem VLAN zu.
Am Uplink eines Access Points laufen häufig mehrere Verkehrsarten über dasselbe Kabel: die Verwaltung des Access Points und die Daten einer oder mehrerer SSIDs. Der Access Point kann beispielsweise seine Verwaltung ungetaggt übertragen, während er den Verkehr eines Gast-WLANs mit einer festgelegten VLAN-ID versieht. Der Switch-Port muss genau zu diesem Modell passen.
Ist die SSID auf VLAN 30 eingestellt, der Switch-Port erlaubt aber nur VLAN 20, verwirft der Switch die Frames des WLAN-Clients oder leitet sie in das falsche Netz. Das Funknetz bleibt sichtbar und die WLAN-Anmeldung kann gelingen, weil diese Vorgänge zunächst zwischen Client und Access Point stattfinden. DHCP, DNS und Internetzugriff benötigen dagegen den funktionierenden Weg durch den Switch.
Die drei Tagging-Modelle am AP-Uplink unterscheiden
Die Fehlerbehebung wird einfacher, sobald klar ist, welches Portmodell beabsichtigt ist. Die Bezeichnungen unterscheiden sich je nach Switch-Hersteller; technisch sind vor allem diese drei Fälle relevant:
- Nur ein ungetaggtes Netz: Der Access Point und alle Clients nutzen dasselbe VLAN. Der Switch-Port ist diesem VLAN ungetaggt zugeordnet. Eine SSID darf in diesem Aufbau nicht zusätzlich dieselbe VLAN-ID taggen.
- Ungetaggte Verwaltung plus getaggte Client-Netze: Das Management des Access Points läuft über das native beziehungsweise ungetaggte VLAN. Jede entsprechend konfigurierte SSID sendet Clientverkehr mit ihrer VLAN-ID. Der Switch-Port nimmt das native VLAN ungetaggt und die Client-VLANs getaggt an.
- Getaggte Verwaltung und getaggte Client-Netze: Auch das Management-VLAN trägt ein Tag. Der Switch-Port muss sämtliche benötigten VLANs getaggt transportieren. Dieses Modell darf nur eingerichtet werden, wenn der Access Point seine Management-VLAN-ID unterstützt und richtig gesetzt ist.
Ein typischer Fehlgriff besteht darin, einen Access-Port für genau ein ungetaggtes VLAN zu konfigurieren, obwohl der Access Point die SSID-Frames getaggt sendet. Umgekehrt kann ein doppelt erwartetes Tagging entstehen: Der Switch erwartet ungetaggte Frames für sein natives VLAN, während der Access Point gerade dieses Netz mit einem Tag versieht. Entscheidend ist nicht die Bezeichnung Access, Trunk oder Hybrid im Menü, sondern wie eingehende und ausgehende Frames tatsächlich behandelt werden.
Vom Client aus die Fehlerstelle eingrenzen
Beginne mit einem betroffenen WLAN-Client und vergleiche dessen Netzparameter mit einem funktionierenden Gerät im beabsichtigten VLAN. Notiere IP-Adresse, Subnetzmaske beziehungsweise Präfix, Standardgateway und DNS-Server. Eine Adresse aus dem Bereich 169.254.0.0/16 bei IPv4 ist ein starkes Zeichen dafür, dass keine DHCP-Antwort angekommen ist; sie beweist allein jedoch noch nicht, an welcher Stelle der VLAN-Pfad unterbrochen ist.
- Verbinde den Client mit der betroffenen SSID und erneuere die Verbindung. Erhält er keine Adresse aus dem vorgesehenen Subnetz, prüfe zuerst SSID-Zuordnung, VLAN-ID und den Transport dieses VLANs am AP-Port.
- Erhält der Client eine Adresse aus einem anderen internen Netz, landet ungetaggter oder falsch zugeordneter Verkehr wahrscheinlich im falschen VLAN. Vergleiche das native VLAN und die PVID des Switch-Ports mit der AP-Konfiguration.
- Funktionieren IP-Ziele, aber keine Namen, ist das VLAN grundsätzlich transportfähig. Prüfe dann den per DHCP verteilten DNS-Server und die Regeln, die DNS-Anfragen aus diesem Client-VLAN erlauben.
Der Test zum Standardgateway prüft den Weg vom WLAN-Client über Access Point und Switch bis zur Router- oder Firewall-Schnittstelle seines VLANs. Ein Test zu einem Internetziel schließt zusätzlich Routing, Firewall, NAT und den externen Anschluss ein. Beide Ergebnisse dürfen nicht gleich bewertet werden.
Switch-Port und SSID nach demselben Plan abgleichen
Erstelle vor jeder Änderung eine kleine Zuordnung mit vier Angaben: Zweck des Netzes, VLAN-ID, Tagging am AP-Uplink und zugehöriges IP-Subnetz. Ein mögliches Schema wäre eine ungetaggte Verwaltung sowie eine getaggte Mitarbeiter-SSID. Die Zahlen müssen aus deiner vorhandenen Netzplanung stammen; beliebige Beispiel-IDs sollten nicht in eine laufende Konfiguration übernommen werden.
Prüfe am Access Point für jede SSID, ob überhaupt eine VLAN-ID eingetragen ist. Keine eingetragene VLAN-ID bedeutet bei vielen Systemen, dass Clientframes ungetaggt über den Uplink gehen. Eine eingetragene ID bedeutet üblicherweise, dass der AP den Verkehr dieser SSID mit genau diesem Tag sendet. Geräte- und softwareabhängige Abweichungen sind möglich, weshalb die Beschreibung der SSID- und VLAN-Einstellungen des eingesetzten Systems maßgeblich bleibt.
Am Switch-Port müssen danach vier Eigenschaften passen:
- Das Client-VLAN ist auf dem AP-Port vorhanden und für getaggten Verkehr freigegeben, wenn die SSID es taggt.
- Das Management-VLAN ist in der erwarteten Form vorhanden: entweder ungetaggt oder getaggt, nicht unbeabsichtigt beides.
- Die PVID beziehungsweise das native VLAN ordnet eingehende ungetaggte Frames dem richtigen Netz zu.
- Alle weiteren Uplinks bis zum Router, Layer-3-Switch oder zur Firewall transportieren das Client-VLAN ebenfalls.
Ein richtig eingestellter AP-Port genügt nicht, wenn das VLAN am nächsten Switch-Uplink fehlt. Verfolge das VLAN daher entlang des gesamten Pfads. Auf jedem Übergang muss dieselbe VLAN-ID zugelassen sein, bis sie die zuständige Gateway-Schnittstelle erreicht.
MAC-Adresstabelle und DHCP als Gegenprobe nutzen
Die MAC-Adresstabelle des Switches zeigt, in welchem VLAN er die Adresse eines WLAN-Clients gelernt hat. Taucht die Client-MAC im erwarteten VLAN am AP-Port auf, funktioniert zumindest die Zuordnung der Frames an dieser Stelle. Erscheint sie in einem anderen VLAN, weisen native VLAN-Zuordnung, PVID oder SSID-Konfiguration in die falsche Richtung. Fehlt sie vollständig, können die Frames verworfen werden oder den Switch-Port gar nicht erreichen.
Auch der DHCP-Ablauf liefert eine klare Trennung. Der Client sendet zunächst eine Anfrage als Broadcast in seinem VLAN. Diese Anfrage muss entweder einen DHCP-Server im selben VLAN erreichen oder über eine DHCP-Relay-Funktion an einen Server weitergegeben werden. Sieht der DHCP-Server keine Anfrage aus dem betroffenen Netz, suche auf dem Weg zwischen AP, Switch und Gateway. Sieht er die Anfrage und sendet eine Antwort, die den Client nicht erreicht, prüfe den Rückweg und die VLAN-Zuordnung erneut.
DHCP-Snooping, Port-Sicherheitsfunktionen oder eine Begrenzung erlaubter MAC-Adressen können ähnlich wirken. Diese Funktionen solltest du jedoch erst untersuchen, wenn die VLAN-ID und das Tagging auf allen beteiligten Ports übereinstimmen. Schutzfunktionen pauschal zu deaktivieren würde die Diagnose verwässern und kann die Netzsicherheit schwächen.
Management-Erreichbarkeit nicht mit Clientzugang verwechseln
Eine erreichbare Verwaltungsoberfläche beweist nur, dass das Management-Netz des Access Points funktioniert. Sie bestätigt nicht, dass die VLANs der SSIDs den Switch passieren. Dieser Unterschied erklärt, warum ein Access Point steuerbar bleibt und sein WLAN ausstrahlt, während verbundene Geräte keine Adresse oder keinen Internetzugang erhalten.
Der umgekehrte Fall ist ebenfalls möglich: Clients arbeiten in einem korrekt getaggten VLAN, aber der Access Point ist für die Verwaltung nicht erreichbar, weil sein natives oder getaggtes Management-VLAN falsch gesetzt wurde. Ändere deshalb immer nur eine Ebene und sichere die bestehende Konfiguration, bevor du das Management-Tagging anpasst. Bei einer Änderung aus der Ferne besteht sonst das Risiko, den administrativen Zugang zu verlieren.
Änderungen in einer sicheren Reihenfolge durchführen
Halte zuerst fest, welcher Port zum Access Point führt und welche VLANs dort beabsichtigt sind. Sichere danach die Switch- und AP-Konfiguration, sofern die Geräte diese Möglichkeit bieten. Nimm Änderungen möglichst über eine lokale Verwaltungsverbindung oder mit einem erreichbaren Rückweg vor.
- Lege fest, ob die AP-Verwaltung ungetaggt oder getaggt laufen soll.
- Ordne jeder SSID genau das vorgesehene Client-VLAN zu.
- Konfiguriere den AP-Port so, dass er das Management-Netz in der gewählten Form und jedes Client-VLAN getaggt transportiert.
- Prüfe die nachgelagerten Switch-Uplinks und die VLAN-Schnittstelle des Gateways.
- Verbinde einen Testclient neu und kontrolliere IP-Adresse, Gateway-Erreichbarkeit, DNS und Internetzugang in dieser Reihenfolge.
War nur eine falsche VLAN-Mitgliedschaft die Ursache, genügt meist die gezielte Korrektur des Ports oder der SSID-Zuordnung. Ein Neustart kann bei einzelnen Geräten nötig sein, damit eine geänderte Konfiguration übernommen wird; ein Werksreset beseitigt dagegen VLAN-Planung, Zugangsdaten und weitere Einstellungen, ohne einen widersprüchlichen Netzplan zu reparieren.
Das Ergebnis eindeutig bewerten
Die Reparatur ist erst abgeschlossen, wenn der Client eine Adresse aus dem vorgesehenen Subnetz erhält, sein Standardgateway erreicht und Namen sowie Internetziele auflösen beziehungsweise erreichen kann. Prüfe zusätzlich eine zweite SSID, falls sie ein anderes VLAN nutzt. So erkennst du, ob nur das betroffene Client-VLAN korrigiert wurde oder eine Änderung am nativen VLAN unbeabsichtigt andere Netze beeinflusst hat.
Bleibt der Fehler trotz passender Tags bestehen, verschiebt sich die Diagnose hinter den AP-Port: Dann sind VLAN-Transport auf weiteren Uplinks, DHCP-Relay, Gateway-Schnittstelle, Firewall-Regeln und NAT die sinnvollen nächsten Stationen. Die saubere Trennung zwischen fehlender IP-Adresse, falschem Subnetz, unerreichbarem Gateway und reinem DNS-Fehler verhindert, dass ein VLAN-Problem mit einer allgemeinen Internetstörung verwechselt wird.
