Een VLAN deelt uw netwerk op in gescheiden delen zonder extra bekabeling. Voor een klein bedrijf volstaan er meestal vier: kantoor, gasten, apparaten (camera's, kassa's, printers) en beheer. Het beperkt de schade bij een besmetting en houdt apparaten die nooit updates krijgen weg bij uw bedrijfsgegevens.
Wat het is
Zonder VLAN's is uw netwerk één grote ruimte. Elk apparaat kan elk ander apparaat zien en proberen te benaderen: de laptop van een bezoeker kan bij uw printer, de camera bij uw server, het kassasysteem bij de administratie.
Met VLAN's zet u scheidingswanden. De apparaten zitten nog steeds op dezelfde switch en dezelfde kabels, maar ze zitten in gescheiden ruimtes. Verkeer tussen die ruimtes loopt via uw firewall, en daar bepaalt u wat mag.
Waarom een klein bedrijf dit wil
- Schade bij een incident blijft beperkt. Ransomware verspreidt zich naar wat bereikbaar is. Is dat één deel in plaats van alles, dan scheelt dat dagen.
- Apparaten die nooit updates krijgen. Camera's, kassa's, een machine met ingebouwde computer, de tv in de kantine. Die horen niet bij uw bedrijfsgegevens te kunnen.
- Bezoekers en externen. Een gastnetwerk is eigenlijk gewoon een VLAN.
- Voorrang voor wat belangrijk is. U kunt telefonie en pinverkeer voorrang geven boven een bezoeker die een update binnenhaalt.
- Overzicht. Als u weet welk apparaat in welk deel hoort, valt een vreemd apparaat meteen op.
Een indeling die werkt
Meer delen betekent meer beheer. Voor de meeste kleine bedrijven volstaat dit:
- Kantoor — laptops, computers, printers waar mensen op afdrukken. Mag naar internet en naar de bedrijfssystemen.
- Gasten — bezoekers en privételefoons. Alleen naar internet, verder niets.
- Apparaten — camera's, kassa's, tijdregistratie, machines, het alarmsysteem. Alleen naar de systemen die ze echt nodig hebben, bij voorkeur niet zomaar naar internet.
- Beheer — de beheerpagina's van switches, accesspoints en firewall. Alleen bereikbaar vanaf een paar vaste plekken.
Heeft u een magazijn met scanners, dan komt daar vaak een vijfde deel bij, zodat u die apparatuur apart kunt bewaken en voorrang kunt geven.
Wat u ervoor nodig heeft
VLAN's werken alleen met apparatuur die het ondersteunt. Concreet:
- Beheerde switches in plaats van de eenvoudige kastjes van vijftig euro. Reken op 150 tot 500 euro per switch, afhankelijk van het aantal poorten en voeding over de kabel.
- Een firewall die het verkeer tussen de delen regelt. 200 tot 600 euro plus een jaarabonnement.
- Accesspoints die meerdere netwerknamen aankunnen, elk gekoppeld aan een eigen deel.
Heeft u die apparatuur al, dan is het instellen een kwestie van een dagdeel. Moet alles vervangen worden, plan het dan mee bij een verhuizing of verbouwing; dan betaalt u de installatie-uren één keer.
Leg het vast
Maak een tekening met per deel: welk nummer, welk adresbereik, wat erin hoort en wat er wel en niet mag. Eén A4 volstaat. Zonder die tekening is uw netwerk over twee jaar een raadsel, ook voor uzelf, en duurt elke storing twee keer zo lang.