Netwerkbeheer met VLAN’s? Dat werkt zo

Door: Gertjan Groen | 15 december 2019 09:51

netwerk
How To

Inhoudsopgave

  1. Inleiding
  2. Pagina 2

Het aantal apparaten op je netwerk groeit rap. Vaak heb je geen idee wat die apparaten allemaal doen. Het is een veilig idee om ze op een apart netwerk ofwel subnet te zetten, met de hulp van een virtueel netwerk oftewel VLAN. Je kunt dan restricties opleggen, maar ook verkeersprioriteiten instellen. We laten zien hoe dit werkt, wat je er voor nodig hebt en ook hoe je het verdere beheer van het netwerk kunt aanpakken.

Zo’n groeiend netwerk met IoT-devices is leuk, maar moet ook beheersbaar blijven. Meestal gebruiken de apparaatjes je normale thuisnetwerk, wat niet zo’n veilig gevoel geeft omdat veel ioT-apparaten de beveiliging niet goed op orde hebben. Geholpen door virtuele netwerken (oftewel virtual LAN’s of VLAN’s) is het prima te scheiden. Een virtueel netwerk is feitelijk een afgezonderd netwerk – ofwel subnet – dat gewoon je bestaande kabels en switches gebruikt. Handig om bijvoorbeeld om al die IoT-apparaatjes te isoleren, zodat ze niet in je hoofdnetwerk kunnen of contact kunnen maken met een obscure server in China, om maar wat te noemen.

01 Wat zijn subnetten?

Een subnet is feitelijk een reeks ip-adressen die bij elkaar hoort. Binnen je lokale netwerk zijn dat privé ip-adressen die niet op internet bestaan (zie kader ‘Bekende privé ip-reeksen en subnetmaskers’). Het eerste deel van elk ip-adres verwijst naar het bijbehorende netwerk, het tweede deel naar een bepaald apparaat ofwel host. Een subnetmasker geeft aan welk deel het netwerk beschrijft. Als jouw router een aparte netwerkpoort heeft met een geïsoleerd gastnetwerk, dan is dat feitelijk ook een apart subnet met een andere ip-reeks. Door met VLAN’s te werken, kun je zelf meerdere subnetten maken binnen hetzelfde netwerk, op voorwaarde dat je een managed switch (beheerde switch) gebruikt die met zulke VLAN’s overweg kan. Elders in deze Computer!Totaal hebben we een aantal bekende modellen voor je getest!

Bekende privé ip-reeksen en subnetmaskers

Op zoek naar je router? Grote kans dat je hem op een adres als 192.168.1.1 vindt, met je netwerkapparaten op adressen tussen 192.168.1.2 en 192.168.1.254. In dit geval is het subnetmasker 255.255.255.0. Zo’n subnetmasker geeft welk deel van een ip-adres het netwerk aanwijst. In dit geval precies de eerste drie getallen, die dus voor elk ip-adres in dat subnet hetzelfde zijn. Dat ‘praat’ makkelijker, maar is niet verplicht: je kunt ermee experimenteren (geholpen door rekentools op internet). Je komt ook vaak de verkorte CIDR-notatie tegen (Classless Inter-Domain Routing). Dit specifieke subnet kun je dan schrijven als 192.168.1.0/24. Een andere bekende ip-reeks, die we ook in deze workshop gebruiken, is 10.0.0.0/24.

CIDR notaties
Wikipedia beschrijft de verschillende CIDR-notaties.

02 Zo werken VLAN’s

VLAN’s worden uit elkaar gehouden door een unieke ‘tag’ of ‘VLAN-ID’, een waarde van 1 t/m 4094. Zie het als een labeltje dat op het verkeer wordt geplakt. Het is praktisch zo’n VLAN-ID in het netwerkadres te gebruiken, bijvoorbeeld 10.0.10.0/24 voor VLAN 10 en 10.0.20.0/24 voor VLAN 20. Een switch bepaalt op basis van de VLAN-ID naar welke poorten het verkeer moet worden gestuurd. Bij het instellen ervan moet je vooral weten wat het aangesloten apparaat met VLAN’s doet. Als het er niets mee doe, zoals een pc of printer, configureer je de poort als zogenoemde toegangspoort. Handelt het apparaat echter verkeer voor geselecteerde VLAN’s af, zoals bepaalde routers, servers en zakelijke accesspoints, dan configureer je het als trunk-poort. We noemen zulke apparaten ook wel ‘VLAN-aware’.

Ethernet
02 Een pc werkt meestal niet met VLAN’s, maar het kán eventueel wel.

03 Instellen VLAN’s op de switch

Je voegt VLAN’s op de switch na elkaar toe (per VLAN-ID) en kiest per poort tussen de aanduiding Tagged, Untagged of Not Member. Als een poort niets met een bepaald VLAN te maken heeft, kies je voor Not Member. Voor een toegangspoort kies je Untagged zodat verkeer dat de switch verlaat wordt ontdaan van tags. Voor een trunk-poort kies je Tagged, zodat het apparaat de VLAN-ID meekrijgt (en daar iets mee doet). Per toegangspoort moet je doorgaans ook een zogenoemde PVID (Port VLAN identifier) instellen, zodat inkomend verkeer (dat geen VLAN-ID bevat en daarom ongetagd/untagged wordt genoemd) in het juiste VLAN komt. Omdat een toegangspoort maar ‘lid’ is van één VLAN is het eigenlijk ook af te leiden uit je configuratie. Sommige switches doen het daarom zelfstandig, maar controleer dat wel altijd! Wie goed oplet, zal zien dat je bij de configuratie van de switch óók een PVID kunt instellen voor een trunk-poort. Dat komt omdat je, hoewel je dat in de praktijk beter kunt vermijden, via zo’n trunk namelijk naast getagd verkeer ook maximaal één ongetagd VLAN kunt aanbieden.

04 Default VLAN?

Let er op dat switches als je ze uit de doos haalt vaak standaard een default of native VLAN vrijwel altijd met VLAN-ID 1 als PVID hebben ingesteld. Dat komt een beetje uit de Cisco-wereld. Het gevolg is dat ongetagd inkomend verkeer standaard in VLAN 1 zal worden ingedeeld. Alle poorten zijn verder ingesteld als toegangspoort (Untagged) voor dat VLAN. Zodra je een poort lid maakt van een ander VLAN, door deze op Tagged of Untagged in te stellen voor een bepaald VLAN-ID, kun je de VLAN-ID 1 weer weghalen. Is een poort geen lid meer van een ander VLAN, dan wordt het meestal weer automatisch ingedeeld in VLAN 1. Zulk gedrag verschilt een beetje per switch, daarom is het verstandig deze toewijzing te controleren.

Managed switch
04 Een managed switch is nodig om te werken met VLAN’s.

05 Bestaande switches hergebruiken

Kom je netwerkpoortjes tekort? Je kunt je netwerk prima met oude (niet-managed) switches uitbreiden. Weliswaar kunnen die niet met VLAN’s overweg, maar dat hoeft ook niet. Je sluit ze aan op een toegangspoort die, zoals hierboven uitgelegd, verkeer ongetagd aflevert en inkomend verkeer via de PVID-instelling weer in het juiste VLAN indeelt. Het is wel praktisch om op zo’n switch een sticker of label te plakken, zodat je weet voor welke subnet je het gebruikt. Sowieso is het handig als je met VLAN’s werkt, om alle poorten op switches en wellicht ook kabels te labelen. Of je gebruikt bijvoorbeeld een aparte kabelkleur per VLAN.

06 Praktijkvoorbeeld: internet en gastnetwerk

Heb je een router met een aparte netwerkpoort voor gasttoegang? En wil je in bijvoorbeeld een slaapkamer zowel een gewoon als gastnetwerk? Zet dan een managed switch in de meterkast en slaapkamer. Kies zelf een VLAN-ID voor het gewone netwerk (bijvoorbeeld 6) en het gastnetwerk (bijvoorbeeld 8). Sluit in de meterkast bijvoorbeeld poort 1 aan op het gewone netwerk en 2 op het gastnetwerk. Je stelt een poort (bijvoorbeeld poort 8) in als zogenaamde trunk-poort, door deze te taggen voor beide VLAN-ID’s. Via deze poort gaat dan het verkeer voor beide VLAN’s naar de switch in de slaapkamer.

Voer bij de configuratie van de switch eerst VLAN-ID 6 in met poort 1 op Untagged en poort 8 op Tagged. Voer dan het tweede VLAN-ID 8 in met nu poort 2 Untagged en poort 8 op Tagged. Je moet nu doorgaans nog de PVID instellen voor poort 1 (6) en 2 (8). In de slaapkamer kun je met een vergelijkbare configuratie het verkeer weer uitsplitsen. De resterende poorten op de switch kun je natuurlijk naar voorkeur nog indelen op het gewone netwerk of gastnetwerk.

TL 108-SGE
06 Configuratievoorbeeld met apart netwerk voor gasten.

Televisie en internet via aparte kabels?

In het eigen netwerk van de internetproviders gebruiken ze meestal VLAN’s voor het scheiden van bijvoorbeeld internet, televisie en VoIP. Dat is niet alleen veiliger, ook de kwaliteit kan beter worden gegarandeerd door deze aparte netwerken. De router kan intern zulk verkeer uitsplitsen over verschillende poorten. Voor televisie is dat soms een ander subnet en gaat de provider ervan uit dat je aparte kabels trekt. Heb je echter maar één netwerkkabel naar de televisie, dan kun je handig gebruikmaken van VLAN’s. Zet zowel in de meterkast als bij de televisie een managed switch en gebruik VLAN’s om het verkeer gescheiden te houden, eigenlijk zoals in ons praktijkvoorbeeld van het gewone netwerk met een gastnetwerk.

1 Reactie(s) op: Netwerkbeheer met VLAN’s? Dat werkt zo

  • Om te reageren moet je ingelogd zijn. Nog geen account? Registreer je dan en praat mee!
  • 14 november 2020 14:35 rveijkwwnl
    Kijk, zo simpel is het nu om te werken met Virtuele netwerken en hoe je dat simpel kan inrichten, vooral HOE je bepaalde verouderde apparatuur kan gebruiken op een vooral veilige manier zonder dat het netwerk op zich gevaar hoeft te lopen.

    Alle FritzBoxen hebben een bepaalde future qua WiFi in zich waar je dat simpel kunt inregelen, alleen dat moet je wel goed doorhebben en vooral HOE je dat kunt doen op een vrij simpele manier.

    Bijvoorbeeld, qua WiFi tijdschakeling zet je deze Ingeschakeld (bovenste vinkje, het vinkje direct daaronder ook aanvinken (Het draadloze WiFi-netwerk wordt pas uitgeschakeld als er geen WiFi-apparaat meer actief is), dan met de volgende optie ingeschakeld worden > Draadloos WiFi-netwerk volgens tijdschema uitschakelen en hier zorg je ervoor dat alles op WIT komt te staan (volledig uitgeschakeld.

    HUH, is dat wel juist - DAT is nu juist de truuk welke velen niet eens weten, nog beseffen dat dit bestaat - want - de SSID is dan wel in de lucht maar op minimaal vermogen en wel zo minimaal dat 10 meter verderop deze niet eens meer te meten is qua HF signaal.

    Nu komt het erop aan dat men DICIPLINE heeft, dat men WiFi alleen gebruikt wanneer dat noodzakelijk is, dus als men gaat slapen schakeld met ook zijn WiFi uit (ingestelde tijdklok, of als men smartfome een tijdje niet gebruikt deze zelf uitvalt ofzo), de flatbed WiFi dan ook uitschakeld handmatig, enzovoort.

    Zodra de WiFi inschakeld gaat dit type FrizBox na hoeveel zendvermogen er noodzakelijk is, welke frequentie gebruikt wordt (2.4 of 5) en degene die ingeschakeld wordt daarvan wordt het zendvermogen tot dat nivea verhoogd welke noodzakelijk is (ook dat is weer instelbaar).

    Kortom, op deze wijze kan men zijn WiFi SSID beperken qua uitstraling naar buiten toe (puntje veiligheid) en zodra de WiFi niet gebruikt wordt deze uitgeschakeld op de FritzBox qua minimale WiFi SSID.

    In basis staan alle FritzBoxen op Maximaal & totaal open 24/7 ingeschakeld, immers met gaat er in basis van uit dat de klant een DUMMIE is, wat velen immers ook zijn, men gebruikt alleen de hardware als consument en niet als ICT profesional !!!

    Vooral ook, deze optie zit er al op bij alle Fritzboxen sinds XS4ALL ermee begon.

    Leuk hé, en zo onbekend nog steeds.
    Wanneer je een reactie plaatst ga je akoord
    met onze voorwaarden voor reacties.

Wanneer je een reactie plaatst ga je akoord
met onze voorwaarden voor reacties.