Netwerkbeheer met VLAN’s? Dat werkt zo

Door: Gertjan Groen | 15 december 2019 09:51

netwerk
How To

Inhoudsopgave

  1. Inleiding
  2. Pagina 2

Het aantal apparaten op je netwerk groeit rap. Vaak heb je geen idee wat die apparaten allemaal doen. Het is een veilig idee om ze op een apart netwerk ofwel subnet te zetten, met de hulp van een virtueel netwerk oftewel VLAN. Je kunt dan restricties opleggen, maar ook verkeersprioriteiten instellen. We laten zien hoe dit werkt, wat je er voor nodig hebt en ook hoe je het verdere beheer van het netwerk kunt aanpakken.

Zo’n groeiend netwerk met IoT-devices is leuk, maar moet ook beheersbaar blijven. Meestal gebruiken de apparaatjes je normale thuisnetwerk, wat niet zo’n veilig gevoel geeft omdat veel ioT-apparaten de beveiliging niet goed op orde hebben. Geholpen door virtuele netwerken (oftewel virtual LAN’s of VLAN’s) is het prima te scheiden. Een virtueel netwerk is feitelijk een afgezonderd netwerk – ofwel subnet – dat gewoon je bestaande kabels en switches gebruikt. Handig om bijvoorbeeld om al die IoT-apparaatjes te isoleren, zodat ze niet in je hoofdnetwerk kunnen of contact kunnen maken met een obscure server in China, om maar wat te noemen.

01 Wat zijn subnetten?

Een subnet is feitelijk een reeks ip-adressen die bij elkaar hoort. Binnen je lokale netwerk zijn dat privé ip-adressen die niet op internet bestaan (zie kader ‘Bekende privé ip-reeksen en subnetmaskers’). Het eerste deel van elk ip-adres verwijst naar het bijbehorende netwerk, het tweede deel naar een bepaald apparaat ofwel host. Een subnetmasker geeft aan welk deel het netwerk beschrijft. Als jouw router een aparte netwerkpoort heeft met een geïsoleerd gastnetwerk, dan is dat feitelijk ook een apart subnet met een andere ip-reeks. Door met VLAN’s te werken, kun je zelf meerdere subnetten maken binnen hetzelfde netwerk, op voorwaarde dat je een managed switch (beheerde switch) gebruikt die met zulke VLAN’s overweg kan. Elders in deze Computer!Totaal hebben we een aantal bekende modellen voor je getest!

Bekende privé ip-reeksen en subnetmaskers

Op zoek naar je router? Grote kans dat je hem op een adres als 192.168.1.1 vindt, met je netwerkapparaten op adressen tussen 192.168.1.2 en 192.168.1.254. In dit geval is het subnetmasker 255.255.255.0. Zo’n subnetmasker geeft welk deel van een ip-adres het netwerk aanwijst. In dit geval precies de eerste drie getallen, die dus voor elk ip-adres in dat subnet hetzelfde zijn. Dat ‘praat’ makkelijker, maar is niet verplicht: je kunt ermee experimenteren (geholpen door rekentools op internet). Je komt ook vaak de verkorte CIDR-notatie tegen (Classless Inter-Domain Routing). Dit specifieke subnet kun je dan schrijven als 192.168.1.0/24. Een andere bekende ip-reeks, die we ook in deze workshop gebruiken, is 10.0.0.0/24.

CIDR notaties
Wikipedia beschrijft de verschillende CIDR-notaties.

02 Zo werken VLAN’s

VLAN’s worden uit elkaar gehouden door een unieke ‘tag’ of ‘VLAN-ID’, een waarde van 1 t/m 4094. Zie het als een labeltje dat op het verkeer wordt geplakt. Het is praktisch zo’n VLAN-ID in het netwerkadres te gebruiken, bijvoorbeeld 10.0.10.0/24 voor VLAN 10 en 10.0.20.0/24 voor VLAN 20. Een switch bepaalt op basis van de VLAN-ID naar welke poorten het verkeer moet worden gestuurd. Bij het instellen ervan moet je vooral weten wat het aangesloten apparaat met VLAN’s doet. Als het er niets mee doe, zoals een pc of printer, configureer je de poort als zogenoemde toegangspoort. Handelt het apparaat echter verkeer voor geselecteerde VLAN’s af, zoals bepaalde routers, servers en zakelijke accesspoints, dan configureer je het als trunk-poort. We noemen zulke apparaten ook wel ‘VLAN-aware’.

Ethernet
02 Een pc werkt meestal niet met VLAN’s, maar het kán eventueel wel.

03 Instellen VLAN’s op de switch

Je voegt VLAN’s op de switch na elkaar toe (per VLAN-ID) en kiest per poort tussen de aanduiding Tagged, Untagged of Not Member. Als een poort niets met een bepaald VLAN te maken heeft, kies je voor Not Member. Voor een toegangspoort kies je Untagged zodat verkeer dat de switch verlaat wordt ontdaan van tags. Voor een trunk-poort kies je Tagged, zodat het apparaat de VLAN-ID meekrijgt (en daar iets mee doet). Per toegangspoort moet je doorgaans ook een zogenoemde PVID (Port VLAN identifier) instellen, zodat inkomend verkeer (dat geen VLAN-ID bevat en daarom ongetagd/untagged wordt genoemd) in het juiste VLAN komt. Omdat een toegangspoort maar ‘lid’ is van één VLAN is het eigenlijk ook af te leiden uit je configuratie. Sommige switches doen het daarom zelfstandig, maar controleer dat wel altijd! Wie goed oplet, zal zien dat je bij de configuratie van de switch óók een PVID kunt instellen voor een trunk-poort. Dat komt omdat je, hoewel je dat in de praktijk beter kunt vermijden, via zo’n trunk namelijk naast getagd verkeer ook maximaal één ongetagd VLAN kunt aanbieden.

04 Default VLAN?

Let er op dat switches als je ze uit de doos haalt vaak standaard een default of native VLAN vrijwel altijd met VLAN-ID 1 als PVID hebben ingesteld. Dat komt een beetje uit de Cisco-wereld. Het gevolg is dat ongetagd inkomend verkeer standaard in VLAN 1 zal worden ingedeeld. Alle poorten zijn verder ingesteld als toegangspoort (Untagged) voor dat VLAN. Zodra je een poort lid maakt van een ander VLAN, door deze op Tagged of Untagged in te stellen voor een bepaald VLAN-ID, kun je de VLAN-ID 1 weer weghalen. Is een poort geen lid meer van een ander VLAN, dan wordt het meestal weer automatisch ingedeeld in VLAN 1. Zulk gedrag verschilt een beetje per switch, daarom is het verstandig deze toewijzing te controleren.

Managed switch
04 Een managed switch is nodig om te werken met VLAN’s.

05 Bestaande switches hergebruiken

Kom je netwerkpoortjes tekort? Je kunt je netwerk prima met oude (niet-managed) switches uitbreiden. Weliswaar kunnen die niet met VLAN’s overweg, maar dat hoeft ook niet. Je sluit ze aan op een toegangspoort die, zoals hierboven uitgelegd, verkeer ongetagd aflevert en inkomend verkeer via de PVID-instelling weer in het juiste VLAN indeelt. Het is wel praktisch om op zo’n switch een sticker of label te plakken, zodat je weet voor welke subnet je het gebruikt. Sowieso is het handig als je met VLAN’s werkt, om alle poorten op switches en wellicht ook kabels te labelen. Of je gebruikt bijvoorbeeld een aparte kabelkleur per VLAN.

06 Praktijkvoorbeeld: internet en gastnetwerk

Heb je een router met een aparte netwerkpoort voor gasttoegang? En wil je in bijvoorbeeld een slaapkamer zowel een gewoon als gastnetwerk? Zet dan een managed switch in de meterkast en slaapkamer. Kies zelf een VLAN-ID voor het gewone netwerk (bijvoorbeeld 6) en het gastnetwerk (bijvoorbeeld 8). Sluit in de meterkast bijvoorbeeld poort 1 aan op het gewone netwerk en 2 op het gastnetwerk. Je stelt een poort (bijvoorbeeld poort 8) in als zogenaamde trunk-poort, door deze te taggen voor beide VLAN-ID’s. Via deze poort gaat dan het verkeer voor beide VLAN’s naar de switch in de slaapkamer.

Voer bij de configuratie van de switch eerst VLAN-ID 6 in met poort 1 op Untagged en poort 8 op Tagged. Voer dan het tweede VLAN-ID 8 in met nu poort 2 Untagged en poort 8 op Tagged. Je moet nu doorgaans nog de PVID instellen voor poort 1 (6) en 2 (8). In de slaapkamer kun je met een vergelijkbare configuratie het verkeer weer uitsplitsen. De resterende poorten op de switch kun je natuurlijk naar voorkeur nog indelen op het gewone netwerk of gastnetwerk.

TL 108-SGE
06 Configuratievoorbeeld met apart netwerk voor gasten.

Televisie en internet via aparte kabels?

In het eigen netwerk van de internetproviders gebruiken ze meestal VLAN’s voor het scheiden van bijvoorbeeld internet, televisie en VoIP. Dat is niet alleen veiliger, ook de kwaliteit kan beter worden gegarandeerd door deze aparte netwerken. De router kan intern zulk verkeer uitsplitsen over verschillende poorten. Voor televisie is dat soms een ander subnet en gaat de provider ervan uit dat je aparte kabels trekt. Heb je echter maar één netwerkkabel naar de televisie, dan kun je handig gebruikmaken van VLAN’s. Zet zowel in de meterkast als bij de televisie een managed switch en gebruik VLAN’s om het verkeer gescheiden te houden, eigenlijk zoals in ons praktijkvoorbeeld van het gewone netwerk met een gastnetwerk.

0 Reactie(s) op: Netwerkbeheer met VLAN’s? Dat werkt zo

  • Om te reageren moet je ingelogd zijn. Nog geen account? Registreer je dan en praat mee!
  • Er zijn nog geen reacties op dit artikel.

Wanneer je een reactie plaatst ga je akoord
met onze voorwaarden voor reacties.