Wat zijn VLAN's en waarom gebruikt een bedrijf ze?

Wat is een VLAN?

Een LAN is het lokale netwerk in uw pand: alle computers, printers, telefoons en andere apparaten die via kabels en Wi-Fi met elkaar verbonden zijn. De kabels komen samen in een switch, het apparaat met de rij netwerkpoorten in de netwerkkast.

Een VLAN deelt dat ene fysieke netwerk op in meerdere logische netwerken. De V staat voor virtual: de scheiding zit in de instellingen van de apparatuur, niet in aparte kabels. Een laptop in het ene VLAN kan een camera in een ander VLAN niet rechtstreeks bereiken, ook al hangen ze aan dezelfde switch.

Vergelijk het met een bedrijfsverzamelgebouw. Alle huurders delen de voordeur, de gangen en de lift, maar elk bedrijf heeft een eigen afgesloten unit met een eigen sleutel. Wie bij een ander naar binnen wil, moet langs de receptie. In een netwerk is die receptie de router of de firewall.

Elk VLAN krijgt een nummer en meestal een naam, bijvoorbeeld VLAN 10 voor kantoor en VLAN 20 voor telefonie. Welke nummers u kiest, maakt weinig uit. Ze moeten wel op elke switch en elk access point hetzelfde zijn ingesteld.

Hoe weet de switch bij welk VLAN een apparaat hoort?

Daar zijn twee manieren voor. De eerste is per poort: de beheerder stelt in dat een bepaalde poort bij het camera-VLAN hoort. Alles wat op die poort wordt aangesloten, komt in dat VLAN terecht. Het apparaat merkt daar zelf niets van.

De tweede manier is met een label in het netwerkverkeer zelf. Dat label heet een tag en vertelt bij welk VLAN een datapakketje hoort. Zo kan één kabel het verkeer van meerdere VLAN's tegelijk dragen. Dat gebeurt tussen twee switches, en tussen een switch en een access point dat meerdere Wi-Fi-netwerken uitzendt.

Hoe zo'n tag eruitziet, staat in de standaard IEEE 802.1Q. Daardoor kunnen switches, routers en access points van verschillende fabrikanten samenwerken, als ze die standaard allemaal ondersteunen.

Begrippen die u tegenkomt

VLAN-ID

Het nummer van een VLAN. Elk apparaat in de keten moet voor hetzelfde VLAN hetzelfde nummer gebruiken.

Untagged poort (access-poort)

Een switchpoort die bij één VLAN hoort. Hier sluit u gewone apparaten op aan, zoals een computer, printer of camera.

Tagged poort (trunk)

Een poort die het verkeer van meerdere VLAN's draagt, elk met een eigen label. Meestal de verbinding tussen switches, of naar een access point, router of firewall.

SSID

De naam van een Wi-Fi-netwerk, zoals u die op uw telefoon ziet. Een zakelijk access point kan meerdere SSID's uitzenden en elke naam aan een eigen VLAN koppelen.

Subnet

Een reeks IP-adressen. Meestal krijgt elk VLAN een eigen subnet, zodat u aan het adres al ziet in welk deel van het netwerk een apparaat zit.

Beheerbare switch

Een switch die u kunt instellen, bijvoorbeeld via een webpagina of beheersoftware. Alleen zo'n switch kan poorten in VLAN's indelen.

Waarom gebruikt een bedrijf VLAN's?

Een bedrijf scheidt zijn netwerk meestal om een paar redenen tegelijk.

• Veiligheid. Raakt een laptop besmet, of wordt een slecht beveiligde camera misbruikt, dan kan die niet zomaar bij de administratie, de server of de kassa. De schade blijft beperkt tot één deel van het netwerk.
• Overzicht. Elk soort apparaat zit in een eigen deel met eigen adressen. Bij een storing ziet de beheerder sneller waar hij moet zoeken.
• Rust op het netwerk. Apparaten sturen geregeld berichten naar alle andere apparaten in hetzelfde netwerk, bijvoorbeeld om elkaar te vinden. Met VLAN's blijven die berichten binnen het eigen VLAN.
• Voorrang waar het telt. Bellen over internet (VoIP) is gevoelig voor vertraging. Zit telefonie in een eigen VLAN, dan kan het netwerk dat verkeer makkelijker voorrang geven.
• Eén kabelnetwerk voor alles. Kantoor, camera's en gasten delen dezelfde kabels, switches en access points. Een apart netwerk per systeem is niet nodig.

Voorbeelden: welke apparaten krijgen een eigen VLAN?

Welke indeling past, hangt af van uw bedrijf. De tabel laat zien hoe een kantoor of winkel het vaak aanpakt.

Dit is een voorbeeld, geen norm of standaardindeling. Een klein bedrijf kan groepen samenvoegen; een groter bedrijf splitst soms verder.

Telefoon en computer op één aansluiting

Veel IP-telefoons hebben een tweede netwerkpoort voor de computer op hetzelfde bureau. De telefoon zet een label op zijn eigen verkeer, zodat dat in het telefonie-VLAN terechtkomt. Het verkeer van de computer gaat zonder label door naar het kantoor-VLAN. Zo volstaat één wandaansluiting per werkplek, met toch twee gescheiden netwerken.

Personeel en gasten op hetzelfde access point

Een zakelijk access point kan meerdere Wi-Fi-netwerken tegelijk uitzenden, elk met een eigen naam en wachtwoord. Elke naam kan bij een eigen VLAN horen. Medewerkers komen zo op het bedrijfsnetwerk en gasten alleen op internet, via hetzelfde apparaat aan het plafond.

Hoe u gast-Wi-Fi verder afschermt, staat in een apart artikel. Meer over draadloze en bekabelde netwerken vindt u in de Kennisbank over Wi-Fi en netwerk.

Apparaten met stroom via de netwerkkabel

Camera's, IP-telefoons en access points krijgen hun stroom vaak via de netwerkkabel. Dat heet PoE, Power over Ethernet. PoE en VLAN's staan los van elkaar: een camera die via PoE wordt gevoed, kan gewoon in een eigen VLAN zitten. De switch moet dan wel allebei kunnen.

Volgens een overzicht van de Ethernet Alliance levert een switchpoort bij PoE Type 1 (802.3af) 15,4 W en bij Type 2 (802.3at) 30 W. Bij het apparaat komt iets minder aan, ongeveer 12,95 en 25,5 W, omdat er in de kabel wat verloren gaat. Let ook op hoeveel PoE-vermogen de switch over alle poorten samen kan leveren.

Wat een VLAN niet oplost

Een VLAN scheidt, maar is geen complete beveiliging. Een paar dingen blijven nodig.

• Regels tussen de VLAN's. Verkeer van het ene naar het andere VLAN loopt via een router, een firewall of een switch die zelf kan routeren. Daar stelt u in wat wel en niet mag. Staat daar alles open, dan is de scheiding grotendeels weg.
• Updates, wachtwoorden en back-ups. Een VLAN maakt een kwetsbaar apparaat niet veilig. Het beperkt alleen wat een aanvaller of virus van daaruit kan bereiken.
• Afscherming van vrije aansluitingen. Wie in de wachtruimte een laptop in een vrije netwerkaansluiting steekt, komt in het VLAN dat op die poort staat. Ongebruikte poorten kunnen daarom beter uit, of in een leeg VLAN.
• Zorgvuldige instellingen. Eén verkeerd ingestelde poort kan twee VLAN's alsnog met elkaar verbinden. Na elke wijziging hoort een controle of de scheiding nog werkt.
• Een snellere verbinding. VLAN's verdelen het netwerk, maar maken een trage internetverbinding of zwakke Wi-Fi niet sneller. Dat heeft meestal andere oorzaken.

Wat heeft u nodig voor VLAN's?

Of uw netwerk VLAN's aankan, hangt af van elke schakel in de keten. Eén schakel die het niet ondersteunt, kan de indeling doorbreken.

• Beheerbare switches die VLAN's volgens 802.1Q ondersteunen.
• Access points die meerdere Wi-Fi-netwerken kunnen uitzenden en elk netwerk aan een VLAN kunnen koppelen.
• Een router of firewall die met VLAN's overweg kan en waarin u regels tussen de VLAN's instelt. Het modem of de router van uw internetprovider kan dat lang niet altijd.
• Genoeg PoE-vermogen op de switches, als camera's, telefoons of access points hun stroom via de netwerkkabel krijgen.
• Iemand die het netwerk beheert en de instellingen bijhoudt, binnen uw bedrijf of daarbuiten.

Nieuwe kabels zijn meestal niet nodig: dezelfde kabels dragen alle VLAN's. Staat er een verbouwing of uitbreiding op de planning, kijk dan meteen of de netwerkbekabeling in uw pand nog past bij wat u ermee wilt.

Leg de indeling vast

Een VLAN-indeling ziet u niet aan de buitenkant. Twee netwerkaansluitingen naast elkaar kunnen in verschillende VLAN's zitten. Zet een medewerker de printer op een andere aansluiting, dan doet die het ineens niet meer. Zonder vastlegging kost het zoeken naar de oorzaak dan veel tijd.

Wat hoort in het VLAN-overzicht?

1. Elk VLAN met nummer, naam en doel, bijvoorbeeld: 20, telefonie, alle vaste telefoons.
2. De adresreeks (het subnet) per VLAN.
3. Per switch: welke poort in welk VLAN zit, en welke poorten meerdere VLAN's dragen.
4. Per Wi-Fi-netwerk: de naam en het VLAN waar het bij hoort.
5. De regels tussen de VLAN's: wat mag wel, wat niet, en waarom.
6. Wie het netwerk beheert en waar de beheergegevens veilig zijn opgeborgen.
7. De datum van de laatste wijziging.

Werk het overzicht bij na elke wijziging, ook na een kleine. Labels op het patchpaneel en op de wandaansluitingen helpen daarbij. Een patchpaneel is het verdeelpunt in de netwerkkast waar de kabels uit het pand binnenkomen.

Veelgemaakte misverstanden

“Met een beheerbare switch is het netwerk al gescheiden.”

Nee. Bij levering staan meestal alle poorten in hetzelfde VLAN. Zolang niemand een indeling instelt, is er niets gescheiden.

“Een VLAN is hetzelfde als een firewall.”

Het VLAN maakt de scheiding. De firewall of router bepaalt welk verkeer er tussen de delen door mag. U heeft ze allebei nodig.

“VLAN's zijn alleen iets voor grote bedrijven.”

Ook een kantoor met een handvol medewerkers heeft vaak gasten, een printer en een paar camera's op het netwerk. Scheiden kan daar net zo goed, met kleinere switches.

“Een extra switchje onder het bureau kan altijd.”

Een eenvoudige switch zonder instellingen kent geen VLAN's. Hangt u die aan een netwerkaansluiting, dan komen alle apparaten erachter in het VLAN van die aansluiting terecht, ook apparaten die eigenlijk in een ander VLAN horen.

Wanneer schakelt u een vakman in?

Schakel hulp in als een van deze situaties bij u speelt.

• Gasten, camera's of slimme apparaten zitten op hetzelfde netwerk als de administratie.
• Er komen nieuwe systemen bij, zoals camera's, IP-telefonie, een kassasysteem of laadpalen.
• Niemand weet nog precies hoe het netwerk is ingesteld, of er is geen overzicht.
• Er hangen eenvoudige switches in het netwerk waarvan niemand weet waarom.
• U verhuist, verbouwt of breidt het pand uit.

Wilt u weten wat een indeling in VLAN's voor uw pand betekent? Op de pagina over Wi-Fi en netwerk voor bedrijven leest u hoe Eplus daarbij helpt, in Heerhugowaard en omgeving.