VLAN's voor het MKB: zo scheid je je netwerken

Een VLAN is een virtueel netwerk dat je op dezelfde fysieke switches en kabels naast andere netwerken laat draaien. Zo houd je het verkeer van medewerkers, gasten en apparatuur gescheiden zonder extra bekabeling. Dit artikel legt uit wanneer dat nodig is en hoe je het aanpakt.

Wat doet een VLAN?

Op een plat netwerk kan elk apparaat elk ander apparaat bereiken. De laptop van een medewerker, de printer, de camera en de gastentelefoon zitten dan in dezelfde ruimte. Eén besmet apparaat is genoeg om overal bij te komen.

Met VLAN’s deel je dat netwerk op in aparte stukken. Elk VLAN krijgt een eigen nummer en een eigen IP-bereik. Apparaten in verschillende VLAN’s praten alleen met elkaar als de firewall of router dat expliciet toestaat.

Waarom is dit zinvol voor een MKB-bedrijf?

Je krijgt er drie dingen voor terug:

• Minder schade bij een incident. Een geïnfecteerde laptop bereikt de bedrijfsserver of de kassa niet meer vanzelf.
• Meer overzicht. Je ziet per netwerk welk verkeer er hoort te zijn en wat er niet hoort.
• Betere prestaties. Een camera die continu beelden streamt, veroorzaakt geen drukte meer op het netwerk van je kantoor.

Een bedrijf met een kantoor in Emmen en een magazijn in Klazienaveen heeft hier snel baat bij. Scanners, camera’s en klimaatbeheersing horen niet op hetzelfde netwerk als de administratie.

Welke VLAN’s heb je minimaal nodig?

Begin klein. Een praktische basis bestaat uit vier netwerken:

1. Medewerkers. Laptops en telefoons die bij bedrijfsgegevens moeten.
2. Servers. Bestandsopslag, boekhouding en andere systemen waar je niet zomaar bij wilt kunnen.
3. Gasten. Alleen internet, zonder toegang tot iets anders. Lees ook hoe je gastwifi veilig inricht.
4. Apparaten. Printers, camera’s, sensoren en andere slimme apparatuur die zelden updates krijgen.

Heb je een kassa of betaalterminal, geef die dan een eigen VLAN. Het kost weinig moeite en haalt een groot risico weg.

Zo pak je het aan

Maak eerst een inventaris

Schrijf op welke apparaten er zijn, wie ze gebruikt en met welke systemen ze moeten praten. Zonder die lijst bouw je regels op aannames, en dan werkt iets later niet meer.

Maak een IP-plan

Geef elk VLAN een eigen adresbereik dat je aan een nummer kunt herkennen. Dat maakt logboeken en foutmeldingen veel leesbaarder. Noteer ze in je documentatie als 192.168.10.0/24, zodat ook een collega of beheerder ze later kan terugvinden.

Laat de firewall het verkeer regelen

Een VLAN scheidt alleen. De firewall bepaalt wat er tussen de netwerken mag. Begin met alles dicht en open alleen wat aantoonbaar nodig is. Een printer hoeft bijvoorbeeld alleen bereikbaar te zijn vanaf het medewerkersnetwerk en niet andersom.

Gebruik switches en access points die VLAN’s ondersteunen

Een beheerbare switch is de basis. Bij wifi koppel je elke SSID aan het juiste VLAN, zodat gasten en medewerkers op dezelfde access points kunnen zitten maar toch gescheiden blijven. Hoe je die access points goed plaatst, lees je in het artikel over een wifi site survey.

Veelgemaakte fouten

• Een VLAN aanmaken zonder firewallregels. Het verkeer loopt dan nog gewoon door.
• Het beheernetwerk van switches en access points niet apart zetten.
• Te veel VLAN’s in één keer. Dat wordt onoverzichtelijk. Begin met de vier hierboven en breid uit als het nodig is.
• Geen documentatie bijhouden. Over een jaar weet niemand meer waarom een regel bestaat.

Hulp bij netwerksegmentatie

Segmentatie werkt het best als vast onderdeel van je ontwerp, naast firewall en VPN. De basis daarvan staat in netwerkbeveiliging voor het MKB in Zuidoost-Drenthe. Op de pagina over netwerkbeveiliging lees je wat wij daarin voor je doen.

Wil je weten hoe jouw netwerk er nu voor staat? Neem contact op en we bekijken samen welke scheiding bij jouw bedrijf past.