Wat is een VLAN en hoe configureer je die in een bedrijfsnetwerk?

Een VLAN, of Virtual Local Area Network, is een logische netwerksegmentatie die fysiek gescheiden netwerken nabootst binnen één fysieke infrastructuur. Door apparaten op basis van functie, afdeling of beveiligingsniveau te groeperen in plaats van op fysieke locatie, kunnen netwerkbeheerders het verkeer beter beheersen en de beveiliging versterken. In dit artikel beantwoorden we de meest gestelde vragen over VLANs, van de basisprincipes tot veelgemaakte configuratiefouten. Bekijk ook ons aanbod aan IT-trainingen als je jouw netwerkkennis wilt verdiepen.

Waarvoor gebruik je een VLAN in een bedrijfsnetwerk?

Een VLAN gebruik je in een bedrijfsnetwerk om het netwerkverkeer te segmenteren, de beveiliging te verbeteren en de prestaties te optimaliseren. In plaats van alle apparaten op één groot netwerk te plaatsen, verdeel je ze in logische groepen die onafhankelijk van elkaar opereren. Dit geeft een netwerkbeheerder veel meer controle over wie wat kan bereiken.

In de praktijk worden VLANs ingezet voor uiteenlopende doeleinden:

• Afdelingssegmentatie: De financiële afdeling, HR en IT krijgen elk hun eigen netwerksegment, zodat gevoelige data niet zomaar toegankelijk is voor andere afdelingen.
• Gastnetwerken: Bezoekers krijgen internettoegang zonder dat ze het interne bedrijfsnetwerk kunnen bereiken.
• IoT-isolatie: Slimme apparaten zoals printers, camera’s en sensoren worden gescheiden van kritieke systemen om beveiligingsrisico’s te beperken.
• VoIP-verkeer: Telefonie via IP krijgt een eigen VLAN met prioriteit, wat de gesprekskwaliteit verbetert.

Zonder VLAN-segmentatie is al het interne verkeer in principe zichtbaar voor elk apparaat op het netwerk. Dit vergroot het aanvalsoppervlak aanzienlijk en maakt het lastiger om problemen te isoleren.

Wat is het verschil tussen een tagged en untagged VLAN?

Het verschil tussen een tagged en untagged VLAN zit in de manier waarop VLAN-informatie in de netwerkkabel wordt meegezonden. Bij een tagged VLAN wordt een VLAN-label (tag) aan het Ethernet-frame toegevoegd, zodat switches weten tot welk VLAN het pakket behoort. Bij een untagged VLAN wordt er geen label meegezonden en wijst de switch het frame toe aan een vooraf ingesteld standaard-VLAN.

Tagged poorten

Tagged poorten worden gebruikt voor verbindingen tussen switches, ook wel trunkverbindingen genoemd. Over één kabel kunnen zo meerdere VLANs tegelijkertijd worden doorgegeven. De switch aan de andere kant leest het label en stuurt het frame naar het juiste VLAN. Dit is essentieel wanneer VLANs zich uitstrekken over meerdere switches in een gebouw of campus.

Untagged poorten

Untagged poorten worden doorgaans gebruikt voor eindapparaten zoals computers, printers en IP-telefoons. Deze apparaten begrijpen VLAN-tags niet en verwachten gewoon een ongelabeld frame. De switch verwijdert de tag voordat het frame naar het apparaat wordt gestuurd, en voegt een tag toe aan inkomend verkeer op basis van de geconfigureerde VLAN-instelling van die poort.

Welke hardware heb je nodig om een VLAN te configureren?

Om een VLAN te configureren heb je minimaal één managed switch nodig. Een unmanaged switch biedt geen mogelijkheid om VLANs in te stellen. Afhankelijk van de netwerkgrootte en -complexiteit zijn er aanvullende componenten nodig.

De basisvereisten voor een VLAN-omgeving zijn:

• Managed switch: Ondersteunt IEEE 802.1Q, de standaard voor VLAN-tagging. Dit is de absolute minimumvereiste.
• Router of Layer 3 switch: Noodzakelijk als VLANs met elkaar moeten communiceren. Een gewone Layer 2 switch kan dit niet zonder externe router.
• Firewall: Voor bedrijfsomgevingen sterk aanbevolen om het verkeer tussen VLANs te filteren en te beveiligen.
• Bekabeling: Standaard Cat5e of Cat6 ethernet is voldoende. De VLAN-logica zit in de software van de switch, niet in de kabel.

Voor grotere omgevingen met meerdere verdiepingen of gebouwen zijn meerdere managed switches nodig die via trunkverbindingen met elkaar zijn gekoppeld. Een centrale Layer 3 switch of router verzorgt dan de communicatie tussen de VLANs.

Hoe configureer je een VLAN op een managed switch?

Een VLAN configureren op een managed switch doe je door een VLAN-ID aan te maken, poorten aan dat VLAN toe te wijzen en te bepalen of poorten tagged of untagged zijn. De exacte stappen verschillen per fabrikant, maar het basisproces is vrijwel universeel.

Volg deze stappen als algemene leidraad:

1. Log in op de beheerinterface van de switch, via een webbrowser of via de commandoregel (CLI).
2. Maak een nieuw VLAN aan met een uniek VLAN-ID (een getal tussen 1 en 4094). VLAN 1 is standaard het beheer-VLAN op de meeste switches.
3. Geef het VLAN een naam die de functie beschrijft, zoals “Financiën” of “Gasten”. Dit maakt beheer overzichtelijker.
4. Wijs poorten toe aan het VLAN. Poorten naar eindapparaten stel je in als untagged (of “access” in Cisco-terminologie), poorten naar andere switches als tagged (of “trunk”).
5. Sla de configuratie op en test de verbinding door een apparaat op een VLAN-poort aan te sluiten en te controleren of het alleen de verwachte netwerksegmenten bereikt.

Bij Cisco-apparatuur gebruik je de CLI-commando’s vlan [ID] en switchport access vlan [ID]. Bij merken als HP Procurve, Ubiquiti of TP-Link Smart zijn er grafische interfaces beschikbaar die het proces vereenvoudigen.

Hoe zorg je dat VLANs met elkaar kunnen communiceren?

VLANs kunnen standaard niet met elkaar communiceren, want dat is precies het doel van segmentatie. Om toch communicatie tussen VLANs mogelijk te maken, heb je een router of een Layer 3 switch nodig die het verkeer tussen de netwerksegmenten routeert. Dit proces heet inter-VLAN routing.

Router-on-a-stick

In een kleinere omgeving gebruik je vaak de “router-on-a-stick” methode. Hierbij verbind je één poort van een router via een trunkverbinding met de switch. Op de router maak je subinterfaces aan, één per VLAN, elk met een eigen IP-adres dat fungeert als standaardgateway voor dat VLAN. De router routeert het verkeer vervolgens tussen de subinterfaces.

Layer 3 switch

In grotere bedrijfsnetwerken is een Layer 3 switch de voorkeursmethode. Deze switch combineert de functies van een switch en een router. Je maakt per VLAN een zogenaamde SVI (Switched Virtual Interface) aan met een IP-adres. De switch routeert het verkeer intern, wat sneller is dan een externe router en de infrastructuur vereenvoudigt.

In beide gevallen is het belangrijk om toegangslijsten of firewallregels in te stellen. Zonder filtering kan elk apparaat in VLAN A elk apparaat in VLAN B bereiken, wat de beveiligingsvoordelen van segmentatie tenietdoet.

Welke veelgemaakte fouten moet je vermijden bij VLAN-configuratie?

De meest voorkomende fouten bij VLAN-configuratie zijn een onjuiste trunkinstelling, vergeten native VLAN-beveiliging en inconsistente VLAN-ID’s over meerdere switches. Deze fouten leiden tot verbindingsproblemen die lastig te diagnosticeren zijn als je niet weet waar je moet zoeken.

Vermijd deze veelgemaakte valkuilen:

• Inconsistente VLAN-ID’s: Als VLAN 10 op de ene switch “Verkoop” is en op de andere switch iets anders, ontstaan er routeringsproblemen. Documenteer en synchroniseer VLAN-ID’s over alle switches.
• Native VLAN onbeveiligd laten: Het native VLAN (standaard VLAN 1) is kwetsbaar voor VLAN-hopping aanvallen. Wijzig het native VLAN naar een ongebruikt VLAN-ID of beveilig het expliciet.
• Trunkpoorten niet correct configureren: Als een trunkpoort niet alle benodigde VLANs toestaat, wordt het verkeer van die VLANs geblokkeerd. Controleer altijd welke VLANs zijn toegestaan op een trunk.
• Geen standaardgateway instellen: Apparaten in een VLAN zonder correct geconfigureerde gateway kunnen het lokale segment wel bereiken, maar niet communiceren met andere netwerken of het internet.
• Onvoldoende documentatie: Zonder bijgehouden netwerkdocumentatie is het bij uitval of uitbreiding erg moeilijk om te achterhalen welk apparaat in welk VLAN zit en waarom.

Hoe Startel helpt met VLAN-kennis en netwerkconfiguratie

Een VLAN correct configureren en beheren vraagt om een stevig fundament in netwerkkennis. Wij bij Startel bieden IT-trainingen die netwerkbeheerders en IT-professionals voorzien van de praktische vaardigheden om netwerken veilig en efficiënt in te richten. Ons trainingsaanbod op dit gebied biedt onder andere:

• Klassikale en live online cursussen voor flexibel leren
• Trainingen gericht op netwerkbeheer, beveiliging en infrastructuur
• Voorbereiding op erkende certificeringen van gerenommeerde partijen
• Maatwerktrainingen afgestemd op de specifieke situatie van jouw organisatie

Of je nu net begint als netwerkbeheerder of je bestaande kennis wilt verdiepen, wij helpen je verder. Neem gerust contact met ons op om te bespreken welke training het beste bij jouw leerdoelen past.