Met een VLAN (Virtual LAN, virtueel netwerk) deelt u één fysiek bedrijfsnetwerk op in meerdere gescheiden netwerken. Gasten, camera’s, kassa’s en kantoorpc’s zitten dan elk in hun eigen deel en kunnen niet zomaar bij elkaar. Voor kleinere bedrijven is het een van de eenvoudigste manieren om de beveiliging te verbeteren, vaak zonder extra kabels.
Een VLAN is een afgeschermd deel van uw netwerk
Switches en routers die VLAN’s ondersteunen, geven elk datapakket een label mee dat aangeeft bij welk netwerk het hoort. Apparaten in VLAN 10 kunnen dan niet rechtstreeks praten met apparaten in VLAN 20, ook al hangen ze aan dezelfde switch.
Vroeger gebruikten bedrijven hiervoor aparte switches en aparte bekabeling. Een VLAN geeft dezelfde scheiding op één beheerbare switch, tegen veel lagere kosten, en is later makkelijk aan te passen.
Segmentatie beperkt de schade van een hack
Wordt één apparaat gehackt, dan moet de schade daar blijven. Dat is het idee achter segmentatie. Het is een basismaatregel geworden, ook omdat de regels strenger worden:
- NIS2: de Nederlandse uitwerking, de Cyberbeveiligingswet, wordt van kracht. De NIS2-checklist voor het mkb noemt segmentatie als basismaatregel. Kijk op ncsc.nl voor de actuele stand.
- Datalekken: segmentatie is een maatregel die u kunt aantonen als er iets misgaat.
- Cyberverzekeringen: verzekeraars vragen steeds vaker om segmentatie.
Een voorbeeld. Een goedkope IP-camera bij de achterdeur wordt gehackt via een bekende fout in de software. Zonder VLAN kan die camera meteen bij uw bestandsserver, kassa en boekhouding. In een eigen VLAN kan de camera alleen naar zijn fabrikant en uw videorecorder, en blijft uw bedrijfsdata buiten bereik.
Drie VLAN’s dekken de meeste bedrijven
Elk van deze drie krijgt een eigen VLAN met eigen regels. Vaak kan dat met de apparatuur die u al heeft.
Gastwifi apart van kantoor
Bezoekers en leveranciers krijgen internet, maar zien uw kantoorapparatuur niet. Een laptop van een leverancier zonder updates mag nooit bij uw boekhouding kunnen. Beperk de bandbreedte van het gastnetwerk, zet client isolation aan zodat gasten elkaar ook niet zien, en geef het een eigen wachtwoord dat u regelmatig wijzigt.
Slimme apparaten en camera’s apart
Slimme verlichting, klimaatregeling, camera’s, deurbellen en smart-tv’s zijn gemiddeld slechter beveiligd dan zakelijke apparatuur. Geef ze een eigen VLAN dat alleen naar bekende clouddiensten mag en geen verkeer naar kantoor toelaat.
Kassa en pin apart
Voor winkels, horeca en kapsalons is een pin-VLAN sterk aan te raden. Pinterminals vallen vaak onder de beveiligingseisen van PCI-DSS en horen niet in hetzelfde netwerk als kantoorpc’s. Het pin-VLAN mag dan alleen naar de kassasoftware en de betaalverwerker.
U richt VLAN’s in op de firewall of de switch
Een firewall op locatie doet alles in één apparaat
Een firewall op locatie routeert tussen alle VLAN’s, met per VLAN eigen regels, adresuitgifte (DHCP) en webfilter. Onze FortiGate in het netwerk doet dat niet: die filtert het verkeer naar internet. VLAN’s binnen uw pand scheidt u op de router of switch.
Beheerbare switches met een eenvoudige router
Heeft u beheerbare switches van bijvoorbeeld Ubiquiti, MikroTik of Cisco, dan maakt u de VLAN’s op de switches en laat u de router tussen de VLAN’s routeren. Dat is goedkoper, maar de firewallregels tussen de VLAN’s vragen meer kennis.
In sommige medische en juridische omgevingen gebruikt men nog fysiek gescheiden switches. In de praktijk levert dat weinig extra beveiliging op boven goed ingerichte VLAN’s.
VLAN’s op de lijn kosten bandbreedte
Er zijn twee soorten VLAN’s, en die worden vaak door elkaar gehaald. Alles hierboven gaat over VLAN’s in uw netwerk, op uw eigen switches en firewall. Die zijn gratis, u maakt er zoveel als u wilt en het verkeer blijft binnen uw pand.
Daarnaast bestaan er VLAN’s op de verbinding zelf, tussen uw pand en het netwerk van de provider. Die gebruikt u bijvoorbeeld voor een besloten koppeling met een andere vestiging. Daarvoor gelden grenzen. Bij de meeste netwerken kunt u maximaal drie extra VLAN’s op een verbinding zetten, en u kunt ze alleen verhogen en niet verlagen. Bovendien gaat elk VLAN af van uw totale bandbreedte. Een extra VLAN van 5 Mbit/s op een lijn van 1 Gbit/s laat 995 Mbit/s over voor de rest.
Daar gaan offertes vaak mis. Iemand bestelt 100 Mbit/s, zet er een extra VLAN met gegarandeerde bandbreedte op en houdt minder over dan gedacht. We rekenen die verdeling vooraf met u door en zetten hem in de offerte.
Deze fouten ondermijnen de scheiding
VLAN’s zonder firewallregels scheiden niets
Een router laat standaard al het verkeer tussen VLAN’s door. Pas met expliciete regels per VLAN op de router of firewall zijn de netwerken gescheiden.
Een aparte wifinaam is geen apart VLAN
Krijgt uw gastwifi zijn adres van uw kantoorrouter, dan zit alles nog in één netwerk.
Beheerpoorten horen in een eigen VLAN
De beheerschermen van switches, accesspoints en camera’s staan vaak in het kantoor-VLAN. Een aanvaller op uw kantoornetwerk heeft dan direct beheertoegang tot alles. Zet ze in een apart beheer-VLAN.
Meer VLAN’s zonder beleid geven vooral storingen
Tien VLAN’s zonder duidelijke afspraken over wat waar mag, leveren vooral complexiteit op. Begin met 3 tot 4 en breid uit als de praktijk erom vraagt.
Een test vanuit elk VLAN toont de gaten
Controleer vanuit elk VLAN of u de juiste dingen kunt bereiken, en vooral of u de verkeerde dingen niet kunt bereiken. We werken bij oplevering met een vaste testlijst.
Ook met de cloud blijft segmentatie nodig
Vroeger scheidden VLAN’s vooral servers van werkplekken. Nu scheiden ze vooral soorten apparaten: kantoor, gasten, kassa en slimme apparaten. Voor toegang tot Microsoft 365 of Azure heeft u daarnaast maatregelen op gebruikersniveau nodig, zoals tweestapsverificatie en voorwaardelijke toegang. Voor het gevoeligste verkeer is een Cloud Connect-koppeling een optie.
Goed om te weten
Een dure firewall is niet nodig
Beheerbare switches en een gangbare zakelijke router bieden voor kleinere bedrijven genoeg mogelijkheden. Een firewall die tussen VLAN’s routeert werkt het prettigst, maar is geen vereiste.
Drie tot vijf VLAN’s zijn meestal genoeg
Kantoor, gasten, camera’s en slimme apparaten, en eventueel pin. Meer voegt zelden beveiliging toe als de basis goed staat.
Een consumentenmodem kan het meestal niet
Het standaardmodem van een consumentenabonnement ondersteunt VLAN’s vaak niet of beperkt. Een zakelijke router van bijvoorbeeld DrayTek, Fortinet of MikroTik kan het wel. Bij onze zakelijke aansluitingen leveren we apparatuur die VLAN’s ondersteunt.
Uw netwerk wordt er nauwelijks trager van
Switches verwerken VLAN-labels in de hardware, zonder merkbare vertraging. Een te lichte router kan wel trager worden als hij veel verkeer tussen VLAN’s moet controleren. Daar kiezen we de apparatuur op.
Segmentatie remt ransomware af
Ransomware verspreidt zich vaak via bestandsdeling en extern bureaublad binnen één plat netwerk. Met segmentatie blijft de schade vaak beperkt tot één VLAN. Kassa en camera’s kunnen dan doorwerken en back-ups zijn beter af te schermen.
NIS2 noemt geen VLAN’s, wel scheiding
NIS2 vraagt om passende technische maatregelen voor netwerkbeveiliging en het afschermen van onderdelen. Voor kleinere bedrijven is segmentatie de gangbare invulling daarvan. De NIS2-checklist geeft een volledig overzicht.
De basis kunt u zelf, de rest laat u inrichten
Een gastnetwerk scheiden lukt met goede documentatie vaak zelf. Voor firewallregels, voorrang voor bepaald verkeer en de documentatie voor NIS2 loont het om dit eenmalig te laten inrichten. Daarna beheert u het zelf.
In een bedrijfsverzamelgebouw krijgt elke huurder een eigen VLAN
Deelt een gebouw één glasvezellijn, dan krijgt elke huurder een eigen VLAN op de firewall. De bedrijven zien elkaars apparatuur niet en elk VLAN kan een maximum aan bandbreedte krijgen. Hoe dat werkt en wie wat regelt, staat bij internet in een bedrijfsverzamelgebouw.
Wilt u een koppeling met een andere vestiging als VLAN op de lijn, dan telt de bandbreedte van die lijn. Op een FTTO-glasvezellijn heeft u een eigen vezel en is de snelheid in beide richtingen gelijk. Gegarandeerde bandbreedte kan met de Premium-uitvoering.