Wat is een VLAN, en waarom wil je er meer dan één?
Een VLAN is één fysiek netwerk dat je opdeelt in meerdere gescheiden netwerken, over dezelfde kabels en dezelfde switches. Apparaten in het ene VLAN kunnen niet zomaar bij apparaten in het andere. Je wil er meer dan één omdat een gast, een camera, een kassa en een werkplek niets met elkaar te maken hebben, en omdat een probleem in één groep dan niet meteen je hele pand raakt.
In gewone taal
Denk aan een bedrijfsverzamelgebouw. Eén dak, één ingang, één trappenhuis, en toch zit elk bedrijf achter zijn eigen deur. Ze delen de infrastructuur en niemand loopt bij de buren naar binnen. Dat is wat een VLAN met je netwerk doet.
Technisch gebeurt dit: de switch krijgt een lijstje met groepen, elke groep heeft een nummer, en elke poort wordt aan een groep toegewezen. Verkeer dat binnenkomt op een poort van groep 20 komt er alleen weer uit op andere poorten van groep 20. Volgens de norm kunnen dat er 4094 zijn; in een bedrijfspand blijft het meestal bij vijf tot acht.
Waarom niet gewoon aparte kabels?
Dat kán, en bij installaties waar een externe eis het voorschrijft gebeurt het ook. Alleen betaal je er stevig voor: elke extra groep betekent een eigen set kabels door het pand, eigen switches, eigen ruimte in de kast en eigen stroom.
Met VLAN’s ligt er één stevig bekabeld netwerk waar alles op past en is de indeling een instelling. Een poort van de ene groep naar de andere zetten is werk van een minuut, op afstand, zonder ladder. Dat scheelt bij de aanleg en vooral daarna, want een pand verandert nu eenmaal.
Welke groepen je in een bedrijfspand meestal scheidt
Er is geen voorgeschreven indeling; hij volgt uit wat er in je pand hangt en wie er komt. Deze verdeling kom je in de meeste panden in een of andere vorm tegen. Heb je maar een deel van die apparatuur, dan wordt de lijst korter.
| Groep | Wat er in zit | Waarom apart |
|---|---|---|
| Kantoorwerkplekken | Laptops, vaste computers, printers, telefoons, wifi voor eigen medewerkers. | Hier zit je bedrijfsinformatie, en hier komt iets binnen via e-mail of een download. De rest hoort daar buiten te blijven. |
| Gasten | Bezoekers, chauffeurs, monteurs van derden, privételefoons. | Je weet niet wat er op die apparaten staat. Deze groep hoort alleen naar internet te kunnen. |
| Camera’s en recorder | Alle camera’s, de netwerkvideorecorder, een bedieningsscherm. | Beelden zijn persoonsgegevens, camera’s krijgen zelden updates en ze produceren continu verkeer. |
| Kassa’s, machines en besturing | Kassa’s, pinapparatuur, productiemachines, scanners, klimaat- en koelinstallaties. | Draait vaak jarenlang op software die niet meer wordt bijgewerkt, met leveranciers die op afstand meekijken. |
| Toegangscontrole en intercom | Deurcontrollers, kaartlezers, intercomzuilen, slagboom- en poortbesturing. | Wie hierbij kan, kan deuren openen. Dit deel moet ook werken als de rest in de problemen zit. |
| Beheerapparatuur | De beheerkant van de switches, accesspoints, firewall en UPS. | Dit is de sleutelbos van het netwerk. Alleen beheerders horen hierbij te komen. |
Wat er misgaat als je het niet doet
Op een plat netwerk ziet alles elkaar. Dat gaat vaak jaren goed, en daarom denken mensen dat het geen probleem is. Vier situaties die wij in bestaande panden geregeld aantreffen.
De gast die bij de beelden kan. Iemand krijgt het wifi-wachtwoord voor in de wachtruimte. Op datzelfde netwerk staat de camerarecorder, met een inlogpagina die gewoon in de browser opent. Staat daar nog het standaardwachtwoord op, dan houdt niets die persoon tegen. Beelden zijn persoonsgegevens en jij bent er verantwoordelijk voor.
De werkplek die de rest meesleurt. Iemand opent een bijlage die niet deugt. Zulke software doet vervolgens één ding: kijken wat er nog meer op het netwerk staat. Plat gezien vindt hij de server, de laptops, de recorder en de deurcontroller. Verdeeld stuit hij na de werkplekken op een dichte deur.
De machine die het netwerk volpompt. Een kapotte kabel of een apparaat met een storing kan het netwerk overspoelen met verkeer. Zit alles in dezelfde groep, dan staan de kassa’s en de telefonie er tegelijk mee stil.
De leverancier die te veel ziet. Er kijkt iemand op afstand mee met een koelinstallatie of een productielijn. Zonder verdeling zit die partij op hetzelfde netwerk als je administratie. Met verdeling komt die alleen bij het VLAN waar de eigen apparatuur in hangt.
Tagged en untagged, en waarom dat bij de poort hoort
Deze twee woorden komen langs zodra iemand aan je switch werkt, en ze zijn minder ingewikkeld dan ze klinken.
Untagged is een poort die bij precies één groep hoort. Het apparaat dat eraan hangt weet nergens van: je steekt een camera in een untagged poort van het cameranetwerk en die camera denkt dat hij gewoon aan een netwerk hangt. Werkplekken, printers en kassa’s zitten vrijwel altijd op zo’n poort.
Tagged is een poort waarover meerdere groepen tegelijk lopen, elk met een label erop. Dat heb je nodig tussen twee switches en naar een accesspoint dat meerdere draadloze netwerken uitzendt. Dat accesspoint moet immers weten dat de gastwifi naar groep 30 gaat en het personeelsnetwerk naar groep 10. Zo’n poort heet in de dagelijkse praktijk een trunk.
Hier zit meteen de reden dat het uitmaakt wát er aan welke poort hangt. Verhuist een accesspoint naar een poort die niet als trunk is ingesteld, dan verdwijnt de gastwifi of het hele apparaat. Wordt een camera in een vrije poort geprikt, dan komt die in het verkeerde netwerk en ziet de recorder hem niet meer. Daarom leggen wij per poort vast wat erop hoort te zitten en staat dat ook op de labels in de kast. Zie netwerk documenteren.
VLAN’s bereiken elkaar niet vanzelf
Dit stuk wordt vaak overgeslagen. Een switch stuurt verkeer binnen een groep rond, maar niet tussen groepen. Wil je dat een werkplek de camerarecorder kan openen, dan moet er iets tussen staan dat dat verkeer doorlaat: de router met de firewall. Daar leg je per richting vast wat mag.
In de praktijk ziet dat er zo uit. Gasten mogen alleen naar internet. Werkplekken mogen naar de recorder om beelden te bekijken, maar de camera’s mogen niets richting de werkplekken. Beheerapparatuur is alleen bereikbaar vanaf een paar vaste plekken. Hoe die regels tot stand komen staat in wat een router en een firewall doen. En nee, je pand valt hier niet van uit elkaar: je bepaalt zelf welke deuren er tussen de groepen zitten, alleen staan ze standaard dicht in plaats van standaard open.
“Een VLAN kost niets extra als je het bij de aanleg meeneemt. Er achteraf induiken is een avond werk voor iemand die het pand niet kent, met alle apparaten die daarbij even van het netwerk gaan.”Ravi Debipersad, CS Installatie
Waarom je dit vooraf bedenkt en niet achteraf
De indeling van je netwerk is een ontwerpkeuze, net als de plaats van je meterkast. Bij een nieuw netwerk kost het vrijwel geen extra tijd: de switches kunnen het toch al, de adressen worden één keer bedacht en elke poort wordt meteen goed gezet. Achteraf moet apparatuur opnieuw worden geadresseerd, moeten koppelingen weer kloppen en gaat er onvermijdelijk iets even uit.
Let ook op de apparatuur. Onbeheerde switches, die goedkope doosjes zonder instellingen, kunnen geen VLAN’s. Zitten die verspreid door het pand, dan is de scheiding daar niet te maken. Daarom adviseert CS Installatie bij nieuwbouw en verbouwing altijd beheerbare switches, ook als je vandaag met één netwerk toe kunt.
Beheerbare switches
Zonder instelbare switches valt er niets te scheiden. De enige harde voorwaarde, en meteen de meest voorkomende reden dat het niet kan.
Eén adresplan
Per groep een eigen adresreeks, vooraf bedacht en opgeschreven. Dat voorkomt dat een tweede locatie of een VPN later botst met wat je al hebt.
Adresuitgifte per groep
Elke groep krijgt zijn eigen uitgifte van adressen. Camera’s en controllers geef je bij voorkeur een vast adres, zodat je ze terugvindt.
Wifi per groep
Personeel, gasten en apparatuur krijgen elk een eigen draadloos netwerk, gekoppeld aan het bijbehorende VLAN. Dezelfde accesspoints doen dat naast elkaar.
De uitzonderingen
Printers, telefonie en beeldschermen worden vanuit meerdere groepen gebruikt. Maak daar bewust een regel voor in plaats van er een gat voor te laten.
Vastgelegd op papier
Welke groep welk nummer heeft, welke poort waar bij hoort en welke regels ertussen staan. Zonder dat document is je opvolger een dag bezig.
Vragen over VLAN’s
Wat is een VLAN in gewone taal?
Het is één fysiek netwerk dat in meerdere gescheiden netwerken is opgedeeld, over dezelfde kabels en switches. Elke groep krijgt een nummer en elke switchpoort wordt aan een groep toegewezen. Apparaten in verschillende groepen kunnen elkaar niet bereiken, tenzij je daar bewust een regel voor maakt.
Heb ik hier extra kabels voor nodig?
Nee, dat is juist het punt. De scheiding zit in de instellingen van de switch, niet in de bekabeling. Op één netwerk van Cat6- of Cat6A-kabels passen alle groepen die je nodig hebt. Wel heb je beheerbare switches nodig, want onbeheerde switches kunnen geen VLAN’s.
Hoeveel VLAN’s heeft een bedrijfspand nodig?
Meestal vijf tot acht: kantoorwerkplekken, gasten, camera’s, kassa’s of machines, toegangscontrole en beheerapparatuur, soms aangevuld met telefonie of gebouwtechniek. Het aantal volgt uit wat er in je pand hangt, niet uit de grootte van je bedrijf.
Wat betekenen tagged en untagged?
Untagged is een poort die bij precies één groep hoort; het apparaat dat eraan hangt merkt daar niets van. Tagged is een poort waarover meerdere groepen tegelijk lopen, elk met een label. Dat heb je nodig tussen switches onderling en naar een accesspoint dat meerdere draadloze netwerken uitzendt.
Kunnen VLAN’s elkaar bereiken?
Niet vanzelf. Een switch stuurt verkeer alleen binnen een groep rond. Wil je dat een werkplek bij de camerarecorder kan, dan moet de router met firewall dat doorlaten en leg je dat per richting vast als regel. Alles waarvoor je geen regel maakt, blijft dicht.
Kan ik VLAN’s achteraf toevoegen aan een bestaand netwerk?
Dat kan, maar het is meer werk dan vooraf. Apparaten moeten opnieuw worden geadresseerd, koppelingen moeten weer kloppen en onbeheerde switches moeten worden vervangen. Reken op een geplande avond of een rustig moment, want tijdens de omzetting gaat er apparatuur even van het netwerk.
Merken mijn medewerkers hier iets van?
Als het goed is gedaan niet. Ze loggen op dezelfde manier in op dezelfde wifi en werken door. Wat je wel merkt is dat bezoekers op een apart gastnetwerk komen en dat sommige apparaten alleen nog bereikbaar zijn vanaf de plekken waar dat is afgesproken.
Zijn camera’s op een eigen VLAN hetzelfde als een eigen netwerk?
In de praktijk komt het op hetzelfde neer, en voor de meeste panden is een eigen VLAN de juiste oplossing. Alleen waar een verzekeraar, een norm of een opdrachtgever fysiek gescheiden bekabeling voorschrijft, ga je verder. Meer daarover staat bij camera’s op een eigen netwerk.
Wat gebeurt er met mijn gastwifi in zo’n opzet?
Die krijgt een eigen naam, een eigen wachtwoord en een eigen groep die alleen naar internet mag. Bezoekers zien de rest van je netwerk niet en kunnen onderling ook niet bij elkaar. Je kunt er bovendien een snelheidslimiet op zetten, zodat een volle wachtruimte je bedrijfsverkeer niet in de weg zit.
Werkt dit met apparatuur van verschillende merken?
Ja, VLAN’s zijn genormeerd, dus switches van verschillende fabrikanten begrijpen elkaar. Het beheer wordt wel eenvoudiger als switches, accesspoints en gateway uit één systeem komen, want dan rol je een groep in één keer over alle apparaten uit.