Gastnetwerk

Wat is een gastnetwerk?

Een gastnetwerk is een afzonderlijk netwerksegment dat tijdelijke of externe gebruikers, zoals bezoekers, contractors en leveranciers, alleen beperkte toegang geeft (meestal uitsluitend internet), zonder enige route naar het interne bedrijfs- of productienetwerk. Het is fysiek of logisch gescheiden, bijvoorbeeld via een eigen VLAN, een eigen draadloze netwerknaam (SSID) en een firewall die al het verkeer naar binnen blokkeert. In industriële omgevingen voorkomt een gastnetwerk dat een onbekende laptop of telefoon direct naast een PLC of HMI op het netwerk komt. Het is daarmee een eenvoudige maar wezenlijke toepassing van netwerksegmentatie.

🧠 Waarom heeft een fabriek een gastnetwerk nodig?

Op een productielocatie lopen dagelijks mensen rond die geen medewerker zijn: servicemonteurs, inbedrijfstellers, auditors, uitzendkrachten en bezoekers. Bijna allemaal willen ze internet: om handleidingen op te zoeken, hun eigen supportafdeling te bellen via een VPN of software te downloaden. Zonder gastnetwerk ontstaan twee slechte uitwijkroutes:

• Aansluiten op het bedrijfsnetwerk - een besmette laptop staat dan binnen de perimeter en kan malware of ransomware verspreiden. Zo’n onbekend apparaat is een klassiek rogue device.
• Eigen 4G/5G-routers of hotspots - monteurs zetten zelf een mobiele router neer, soms zelfs in een besturingskast. Daarmee ontstaat een ongecontroleerde internetverbinding naast alle firewalls.

Een goed gastnetwerk haalt de druk van die uitwijkroutes weg: wie internet nodig heeft, krijgt het snel en makkelijk, maar via een segment dat niets weet van de OT- en IT-systemen. Het verkleint zo de kans op malware, datalekken en ongewenste toegang, en draagt bij aan de cybersecurity van de hele locatie zonder bezoekers te hinderen.

🧱 Welke kenmerken heeft een goed gastnetwerk?

🔧 Hoe wordt een gastnetwerk technisch gescheiden?

Er zijn drie gangbare niveaus van scheiding, van zwak naar sterk:

1. Alleen een aparte SSID op dezelfde access points, gekoppeld aan een eigen VLAN. Dit is de basis en volstaat alleen als de firewall tussen dat VLAN en de rest strikt is ingericht.
2. Gast-VLAN met tunnel naar een gastfirewall - veel wifi-platforms tunnelen het gastverkeer van elk access point rechtstreeks naar een firewall of controller aan de rand van het netwerk. Het gastverkeer raakt dan geen interne switches of routers.
3. Fysiek gescheiden infrastructuur - eigen access points, eigen switchpoorten en een eigen internetverbinding, bijvoorbeeld een aparte glasvezel- of 5G-aansluiting. Dit is gebruikelijk op terreinen met kritieke processen.

Een gastnetwerk hoort overigens niet in een DMZ. Een DMZ is bedoeld voor servers die van buitenaf bereikbaar moeten zijn, zoals een webserver of een jump server; gastapparaten zijn juist onbekende clients die alleen naar buiten mogen.

Bij wifi speelt ook de versleuteling. Een open gastnetwerk zonder wachtwoord verstuurt verkeer onversleuteld door de lucht. Opportunistic Wireless Encryption (OWE), beschreven in RFC 8110 (maart 2017) en door de Wi-Fi Alliance sinds 2018 gecertificeerd als Wi-Fi CERTIFIED Enhanced Open, versleutelt elke verbinding zonder wachtwoord. OWE authenticeert echter niemand: het beschermt tegen afluisteren, niet tegen een nagemaakt access point (evil twin). Wie wél geauthenticeerd moet worden, zoals beheerde laptops van medewerkers, hoort daarom op een apart bedrijfsnetwerk met WPA3-Enterprise, 802.1X en RADIUS.

Een captive portal leidt een nieuwe gebruiker eerst naar een aanmeldpagina. Traditioneel ontdekt een apparaat zo’n portaal doordat het netwerk zijn eerste webverzoek onderschept en omleidt. Moderne netwerken maken het portaal bekend via de opties uit RFC 8910 (september 2020: DHCPv4-optie 114, DHCPv6-optie 103 en een IPv6 Router Advertisement-optie), zodat besturingssystemen het aanmeldscherm direct en zonder omleidingstrucs kunnen tonen.

🔐 Hoe past een gastnetwerk in IEC 62443 en zones en conduits?

In het zones-en-conduits-model is het gastnetwerk een eigen zone met het laagste vertrouwensniveau, vergelijkbaar met internet zelf. Het enige toegestane conduit loopt naar buiten, naar internet. Er hoort géén conduit te zijn van het gastnetwerk naar bedrijfs- of OT-zones, ook niet “alleen via een jump server”.

De relevante eisen uit IEC 62443-3-3 zijn:

Ook NIST SP 800-82 (Rev. 3, september 2023) adviseert om OT-netwerken te scheiden van alle andere netwerken. Loopt het gastverkeer toch over de bedrijfsinfrastructuur, zorg dan dat er naast de gastfirewall nog een firewall tussen bedrijfsnetwerk en OT staat; beter is een volledig eigen internetuitgang.

🏭 Hoe gaat u om met leveranciers en servicemonteurs?

Leveranciers zijn de lastigste groep, omdat zij vaak wél bij de installatie moeten. Het gastnetwerk is daar niet voor bedoeld. Gangbare praktijk:

• Internet voor eigen werk - een monteur gebruikt het gastnetwerk om handleidingen op te zoeken, zijn eigen supportteam te bereiken via een VPN of firmware-updates te downloaden.
• Bestanden naar OT via een sluis - gedownloade firmware gaat niet rechtstreeks vanaf het gastnetwerk naar een PLC. Controleer de hash of digitale handtekening, scan het bestand en breng het via een gecontroleerde route of USB-beleid naar binnen.
• Toegang tot de installatie via een aparte route - wie aan de besturing moet werken, gebruikt beveiligde toegang op afstand of onderhoud op afstand met MFA naar een jump server in de IDMZ, of een door de eigenaar beheerde engineering station.
• Afspraken vastleggen - leg in het contract vast dat leveranciers geen eigen modems of hotspots plaatsen. Dit hoort bij leveranciersbeveiliging en bij IEC 62443-2-4 voor serviceleveranciers.

🛠️ Hoe richt u een gastnetwerk stap voor stap in?

1. Bepaal de doelgroepen - bezoekers, leveranciers, uitzendkrachten en eigen privételefoons (BYOD) krijgen vaak elk een eigen profiel of netwerk.
2. Kies het scheidingsniveau - op een site met kritieke processen een eigen internetuitgang; elders minimaal een getunneld gast-VLAN.
3. Configureer de firewall - standaard alles weigeren, alleen uitgaand verkeer naar internet (bijvoorbeeld HTTP/HTTPS, DNS en VPN-poorten) toestaan en alle private adresreeksen blokkeren.
4. Schakel client isolation in op access points en switches.
5. Richt de aanmelding in - vouchers of sponsorgoedkeuring, met een geldigheid van bijvoorbeeld 8 tot 24 uur.
6. Beperk bandbreedte per gebruiker zodat gasten geen bedrijfsverbindingen verdringen.
7. Leg logging vast en bewaar die niet langer dan nodig, omdat MAC- en IP-adressen gekoppeld aan een persoon onder de AVG persoonsgegevens zijn.
8. Test periodiek - probeer vanaf een gastapparaat interne adressen te bereiken; elke geslaagde verbinding is een bevinding.

Voor organisaties onder de Cyberbeveiligingswet (van kracht sinds 15 augustus 2026) valt een gescheiden gastnetwerk onder de zorgplicht om passende maatregelen voor netwerkbeveiliging te nemen. Het is ook een eenvoudig, zichtbaar onderdeel van Zero Trust: geen apparaat krijgt vertrouwen alleen omdat het op het terrein is.

❓ Veelgestelde vragen

Is een apart wachtwoord genoeg voor een veilig gastnetwerk?

Een apart wachtwoord alleen is niet genoeg voor een veilig gastnetwerk. De scheiding zit in het VLAN en vooral in de firewall die al het verkeer naar interne netwerken blokkeert. Een wachtwoord dat jarenlang gelijk blijft en op een whiteboard staat, biedt bovendien weinig bescherming.

Mag een leverancier via het gastnetwerk bij een PLC?

Nee, een leverancier hoort nooit via het gastnetwerk bij een PLC of ander OT-systeem te kunnen. Het gastnetwerk geeft alleen internettoegang. Werk aan de besturing verloopt via een aparte, beveiligde route voor toegang op afstand met MFA, logging en goedkeuring door de eigenaar.

Is een open gastnetwerk zonder wachtwoord onveilig?

Een open gastnetwerk zonder wachtwoord verstuurt verkeer onversleuteld door de lucht, tenzij het OWE (Wi-Fi Enhanced Open) gebruikt. Voor de bedrijfsnetwerken is een open gastnetwerk niet gevaarlijker, zolang de firewall strikt scheidt. Een captive portal of voucher helpt wel om bij te houden wie het netwerk gebruikt.

Wat is client isolation in een gastnetwerk?

Client isolation is een instelling waarmee apparaten in hetzelfde gastnetwerk elkaar niet kunnen bereiken. Zo kan een besmette laptop van een bezoeker geen andere gasten aanvallen. Het verkeer van elke gast gaat alleen naar de gateway en internet.

Moet het gastnetwerk een eigen internetverbinding hebben?

Een eigen internetverbinding is niet verplicht, maar wel de sterkste vorm van scheiding voor een gastnetwerk. Het gastverkeer raakt dan geen enkele interne router of firewall. Op locaties met kritieke processen, zoals waterzuivering of chemie, is dat daarom gebruikelijk.

Hoe lang mag ik gegevens van gastgebruikers bewaren?

Gegevens van gastgebruikers, zoals MAC-adressen, IP-adressen en aanmeldnamen, zijn persoonsgegevens onder de AVG. U bewaart ze alleen zolang dat nodig is voor beveiliging en incidentonderzoek, en vermeldt dat in uw privacyverklaring. Een vaste, korte bewaartermijn maakt dat aantoonbaar.

📌 Samengevat

Een gastnetwerk is een gescheiden netwerksegment dat bezoekers en leveranciers alleen internettoegang geeft, zonder enige route naar bedrijfs- of OT-systemen. Een eigen VLAN of internetuitgang, een firewall die standaard alles weigert, client isolation en tijdelijke aanmelding maken het veilig. Werk aan de installatie zelf loopt nooit via het gastnetwerk, maar via een aparte, beveiligde route voor toegang op afstand.