Ein Switch lernt aus jeder Quell-MAC-Adresse, an welchem Port ein Gerät hängt, und trägt das in seine MAC-Adresstabelle ein. Kennt er die Ziel-MAC, schickt er den Rahmen nur an diesen Port. Kennt er sie nicht, oder ist es ein Broadcast, flutet er den Rahmen an alle Ports außer dem Eingang.

Alle Geräte, die denselben Broadcast hören, bilden eine Broadcast-Domäne. Ohne VLANs ist das ganze geswitchte Netz eine einzige Domäne: Jeder ARP-Request jedes Scanners landet bei jeder Kamera.

Ein VLAN teilt einen Switch in mehrere logische Switches. Jedes VLAN ist eine eigene Broadcast-Domäne und bekommt ein eigenes IP-Netz. IEEE 802.1Q legt fest, wie ein Rahmen sein VLAN mitträgt: ein 4 Byte langer Tag mit der Kennung 0x8100, 3 Bit Priorität (PCP), 1 Bit DEI und 12 Bit VLAN-ID. Nutzbar sind die IDs 1 bis 4094.

Stimmt das Native VLAN auf beiden Seiten nicht überein, landen Rahmen ohne Tag im falschen VLAN. Viele Betriebe legen das Native VLAN deshalb auf ein VLAN, in dem kein Gerät hängt, und lassen auf dem Trunk nur die VLANs zu, die dort gebraucht werden.

Zwischen VLANs braucht es einen Router. Zwei verbreitete Wege: ein Router mit einem Trunk und je VLAN einer Teilschnittstelle („Router on a Stick“), oder ein Layer-3-Switch mit einer virtuellen Schnittstelle je VLAN, der SVI. Die Adresse der SVI ist das Gateway der Geräte im VLAN. Mit zwei Kernswitches teilen sich beide eine virtuelle Gateway-Adresse; der herstellerneutrale Standard dafür ist VRRP (RFC 5798), im Simulator nutzt ihr das Verfahren HSRP eines Herstellers.

DHCP beginnt mit einem Broadcast, und Broadcasts enden am Router. Damit ein Scanner in VLAN 30 trotzdem eine Adresse vom Server im Rechenzentrum des Hub bekommt, leitet die SVI die Anfrage als DHCP-Relay an den Server weiter und trägt ihre eigene Adresse als giaddr ein. Daran erkennt der Server, aus welchem Netz er eine Adresse vergeben muss (DHCP nach RFC 2131).

Redundante Verbindungen bilden Schleifen. Ein Broadcast kreist dann ohne Ende, weil Ethernet-Rahmen keine Lebensdauer haben. Spanning Tree (IEEE 802.1D) macht aus dem Ring einen Baum, indem es Ports blockiert, und gibt sie frei, wenn eine Verbindung ausfällt.

Zuerst wählen alle Switches die Root-Bridge: die kleinste Bridge-ID. Sie besteht aus der Priorität (Standard 32768, einstellbar in Schritten von 4096) und der MAC-Adresse; bei gleicher Priorität gewinnt die kleinere MAC. Jeder andere Switch wählt dann den Port mit den geringsten Pfadkosten zur Root als Root-Port. Auf jeder Verbindung leitet genau ein Designated Port weiter, alle übrigen Ports blockieren.

Timer im klassischen Verfahren: Hello 2 s, Max Age 20 s, Forward Delay 15 s. Wer nichts einstellt, überlässt die Root-Wahl dem Zufall der MAC-Adressen, oft gewinnt ein alter Access-Switch.

Statt zwei parallele Verbindungen von Spanning Tree halb blockieren zu lassen, kann man sie bündeln. Ein EtherChannel fasst mehrere physische Verbindungen zu einer logischen zusammen; Spanning Tree sieht nur noch eine Verbindung, beide Leitungen tragen Last. Das Protokoll, mit dem beide Seiten das Bündel aushandeln, ist LACP nach IEEE 802.1AX (früher 802.3ad). Mindestens eine Seite muss aktiv verhandeln, alle Mitglieder brauchen dieselbe Datenrate und dieselben VLAN-Einstellungen.

Die Last verteilt ein Switch nach einem Hash über Adressen, nicht Paket für Paket. Eine einzelne Verbindung zwischen zwei Geräten bekommt deshalb nie mehr als die Datenrate einer Leitung.

Ein Router sucht in seiner Routingtabelle den Eintrag mit dem längsten passenden Präfix. Einträge entstehen auf drei Wegen: direkt angeschlossene Netze, statische Routen von Hand und dynamische Routen aus einem Routingprotokoll.

OSPF (Version 2 nach RFC 2328) ist ein Link-State-Protokoll: Jeder Router kennt die Karte seiner Area und berechnet daraus die kürzesten Wege. In einem kleinen Netz reicht eine Area, die Area 0. Nachbarn finden sich über Hello-Pakete, üblich sind 10 s Hello und 40 s Dead Interval. Jeder Router braucht eine eindeutige Router-ID, am einfachsten die Adresse einer Loopback-Schnittstelle.

Kosten = ReferenzdatenrateDatenrate der Schnittstelle

Viele Geräte rechnen mit einer Referenz von 100 Mbit/s. Dann haben 1 Gbit/s und 10 Gbit/s beide die Kosten 1, und OSPF kann sie nicht unterscheiden. Die Referenz wird deshalb auf allen Routern gleich und größer gesetzt.

Statische Routen sind einfach und brauchen keine Rechenzeit, merken aber nicht, wenn hinter einer intakten Leitung ein Router ausfällt. Dynamische Routen passen sich an, kosten aber Planung und gegenseitiges Vertrauen der Router.

Ansible arbeitet ohne eigenen Dienst auf den Geräten über SSH. Ein Inventar sagt, welche Geräte gemeint sind, ein Playbook in YAML beschreibt, welcher Zustand gelten soll. Gute Module sind idempotent: Ein zweiter Lauf ändert nichts, wenn alles schon stimmt. Mit --check --diff zeigt Ansible vorher, was es ändern würde.

Neuere Geräte bieten dafür eigene Schnittstellen wie NETCONF (RFC 6241) oder RESTCONF (RFC 8040) mit Datenmodellen in YANG. Ansible kann beide nutzen.