Wie mag met wie praten? Een bedrijfsnetwerk ontworpen vanaf de firewall

1. Segmenteren is ontwerpen, geen bijproduct

In de meeste panden ontstaan afgeschermde netwerken pas als er nieuwe wifi wordt opgehangen, en dan vaak in twee smaken: personeel en bezoek. Hier is het van de andere kant benaderd. Eerst is op papier gezet welke groepen apparatuur er zijn: werkplekken, bezoek, de vergaderruimtes, de logistieke apparatuur, het camerasysteem en de stapel slimme apparaten die niemand echt beheert. Elke groep kreeg een eigen segment met een eigen adresbereik en een eigen plek in de regelset.

Het rendement zie je niet op dag één maar op dag honderd. Komt er apparatuur bij, dan luidt de vraag niet waar het nog past, maar in welke groep het thuishoort. En het segment werkt als eerste zeef bij een storing: je ziet meteen of alle werkplekken last hebben of alleen de logistiek. De techniek erachter staat bij wat is een VLAN.

2. Wat de firewall hier tegenhoudt

Segmenten aanmaken kost een middag. Ze krijgen pas betekenis als er iets tussen staat dat de afspraken afdwingt: de firewall, hier op drie fronten ingericht.

Tussen de segmenten onderling staat de deur standaard dicht. Er gaat alleen open wat aantoonbaar nodig is: een werkplek moet bij de bestanden en bij de printer, dus die twee routes zijn vrijgegeven. Bezoek krijgt een lijn naar internet en verder niets. Geen kassa, geen camerabeelden, geen netwerkschijf, ook niet per ongeluk via een map die ooit gedeeld is. Het camerasysteem praat met de recorder en met de beheeromgeving, daarbuiten heeft het niets te zoeken.

Richting internet geldt dezelfde redenering voor apparaten die daar nauwelijks iets te halen hebben. Laadpunten en slimme apparatuur nemen graag contact op met servers waar niemand ooit om gevraagd heeft. Per segment is vastgelegd wat naar buiten mag, zodat apparatuur die volgend jaar een lek blijkt te bevatten niet vrij kan bellen.

En voor toegang van buitenaf is er één afgeschermde ingang, in plaats van poorten die ooit voor een leverancier zijn opengezet en nooit meer zijn dichtgedaan. Wie op afstand iets moet kunnen, komt versleuteld binnen en landt in het segment waar hij hoort. Hoe we dat opzetten staat op firewall en netwerkbeveiliging.

3. Eén beheeromgeving, en wat er gebeurt als je van installateur wisselt

Of alles in dezelfde omgeving moet draaien, is geen smaakkwestie. Bij losse apparatuur van verschillende leveranciers hoort per doosje een eigen scherm, een eigen wachtwoord en een eigen updateritme, en overziet niemand het geheel nog. In één omgeving zie je op hetzelfde scherm welke poort hapert, waar het druk wordt en welk apparaat zich anders gedraagt dan vorige week.

Daar hoort een eerlijke kanttekening bij: je verbindt je aan een platform. Wij werken zowel met UniFi als met Omada, en welke van de twee het wordt hangt af van wat er al hangt en wat het pand vraagt. Belangrijker dan het merk is de afspraak eromheen. De beheeromgeving staat op naam van de opdrachtgever, de toegang wordt bij oplevering overgedragen en de regelset is uitgeschreven in gewone taal. Een opvolger hoeft dan niet eerst te ontrafelen wat er staat. Beide platforms liggen naast elkaar bij UniFi of Omada.

4. Certificeren, en het rapport dat je meekrijgt

Een aansluiting die nooit gemeten is, is een aanname. Elke lijn is daarom nagelopen met een certificeerder, die verder gaat dan de vraag of er verbinding is: hij laat zien of de lijn de snelheid haalt waarvoor hij bedoeld is, en hoeveel marge er overblijft. Haalt er eentje het niet, dan gaat die eerst terug omhoog.

Die uitslagen zijn geen interne administratie. Ze gaan mee bij de overdracht, samen met de tekening, de kabelstaat en de beschrijving van de regels. Daarmee heb je iets tastbaars in handen: bij een latere storing kun je aantonen dat het bedrade deel niet de boosdoener is. Wat wij vastleggen staat bij wifi-meting.

Het draadloze deel kwam als sluitstuk

Pas toen de segmenten stonden en de kast klopte, zijn de punten geplaatst: binnen in het systeemplafond, aan de buitengevel en langs het terrein. Per punt is bepaald welke segmenten het uitstraalt, want buiten draait bijvoorbeeld wel de logistiek mee en de administratie niet. Daaronder ligt gewoon koper, met de bekende grens van honderd meter: negentig meter vast plus tien meter patchkabel aan beide zijden samen. Werd dat krap, dan volgde er een tussenstap, want een duurdere kabelsoort verschuift die grens niet. In de kast zit elke lijn genummerd op een paneel van vierentwintig poorten, in gekeurde volkoperkabel van merken als Datwyler en Draka, omdat bij een aluminiumkern het PoE-vermogen onderweg wegzakt. Zie ook kabels trekken, patchkast laten maken en hoeveel accesspoints.