IP

Wat is IP?

IP (Internet Protocol) is het netwerkprotocol op laag 3 van het OSI-model dat datapakketten van een adres voorziet en ze via routers van bron naar bestemming leidt, ook als die in verschillende netwerken liggen. Elk apparaat dat via IP communiceert, heeft daarvoor een IP-adres. In industriële omgevingen verbindt IP PLC’s, SCADA-servers, HMI’s, aandrijvingen, switches en IT-systemen tot één samenhangend, op Ethernet gebaseerd netwerk. Dat maakt IP de technische basis van IT/OT-convergentie, maar ook van veel aanvalspaden naar de procesbesturing.

🧠 Hoe werkt IP?

IP is een verbindingsloos best-effortprotocol. Het verstuurt elk pakket (een datagram) los van de andere, zonder garantie dat het aankomt, op tijd komt of in de goede volgorde binnenkomt. Die taken laat IP over aan bovenliggende protocollen:

• TCP - verbindingsgericht, met bevestigingen en herverzending; gebruikt door onder meer Modbus TCP, S7 Comm en OPC UA
• UDP - licht en snel, zonder bevestiging; gebruikt voor cyclische I/O-data van IP, voor BACnet/IP en voor tijdsynchronisatie
• ICMP - geen transportprotocol maar een hulpprotocol van IP zelf, voor foutmeldingen en diagnose; bekend van ping en traceroute

Een IP-pakket bestaat uit een header en de payload. De header bevat onder meer het bron- en bestemmingsadres, het protocol van de payload en een teller die voorkomt dat pakketten eindeloos rondgaan: de Time To Live (TTL) bij IPv4, de Hop Limit bij IPv6. Elke router verlaagt die teller met één en gooit het pakket weg bij nul.

Binnen één netwerksegment zoekt een apparaat het MAC-adres van de bestemming op via ARP (IPv4) of via Neighbor Discovery (IPv6). Ligt de bestemming in een ander subnet, dan stuurt het apparaat het pakket naar zijn standaardgateway. Welk deel van een adres het netwerk aangeeft, bepaalt het subnetmasker; zie Subnetting.

🕰️ Waar komt IP vandaan?

IPv4 werd in september 1981 vastgelegd in RFC 791, een specificatie voor het Amerikaanse DARPA met Jon Postel als redacteur. Op 1 januari 1983 stapte het ARPANET in één keer over van het oudere NCP naar TCP/IP. Die dag geldt vaak als de geboortedag van het internet zoals we het kennen.

De adresruimte van IPv4 bleek te klein. Om die op te rekken kwamen eerst privé-adresbereiken (RFC 1918, februari 1996) en NAT. Daarnaast ontstond IPv6, dat sinds juli 2017 als internetstandaard RFC 8200 is vastgelegd; die verving de eerste specificatie RFC 2460 uit 1998. De IANA deelde op 3 februari 2011 haar laatste vrije IPv4-blokken uit. RIPE NCC in Amsterdam, dat adressen voor Europa, het Midden-Oosten en delen van Centraal-Azië beheert, gaf op 25 november 2019 zijn laatste reguliere /22-blok uit. Sindsdien gaat vrijgekomen IPv4-ruimte via een wachtlijst.

🔍 Wat is het verschil tussen IPv4 en IPv6?

Wereldwijd loopt ongeveer de helft van het verkeer naar Google inmiddels over IPv6. In OT-netwerken blijft IPv4 dominant, omdat veel PLC’s, O-modules en engineeringtools IPv6 niet of maar beperkt ondersteunen. Let wel op: veel moderne besturingssystemen op engineeringstations en servers hebben IPv6 standaard aan. Een segment dat “alleen IPv4” lijkt, kan daardoor ongemerkt IPv6-verkeer bevatten dat firewallregels voor IPv4 omzeilt.

🏭 Hoe wordt IP gebruikt in industriële netwerken?

In een typische fabriek krijgen PLC’s, IO-modules, HMI’s, engineeringstations, historians en MES-servers een vast IP-adres. Industriële protocollen draaien bovenop IP en zijn herkenbaar aan hun vaste poortnummers:

Niet alles in een industrieel Ethernet-netwerk gebruikt IP. De cyclische realtime-data van PROFINET RT en IRT, van EtherCAT en de GOOSE-berichten uit IEC 61850 lopen rechtstreeks over laag 2, zonder IP-header. Dat scheelt verwerkingstijd en jitter. PROFINET gebruikt IP alleen voor configuratie en diagnose; het IP-adres zelf wijst de controller meestal toe via het laag-2-protocol DCP op basis van de apparaatnaam, in plaats van via DHCP.

Adressen worden in OT meestal handmatig of via BOOTP/DHCP met vaste reserveringen toegewezen. Een PLC die na een herstart een ander adres krijgt, is voor de SCADA-server onvindbaar. VLAN’s met eigen subnetten scheiden productie, beheer en gastnetwerken, en routers of firewalls verbinden die subnetten gecontroleerd. Soms is NAT nodig, bijvoorbeeld om identieke machines van een OEM met dezelfde adressen op één fabrieksnetwerk aan te sluiten.

🔐 Welke beveiligingsrisico’s heeft IP?

IP is ontworpen voor bereikbaarheid, niet voor beveiliging. Het protocol controleert niet wie een pakket verstuurt en versleutelt niets. Dat leidt tot bekende risico’s:

• Spoofing - een aanvaller kan een vals bronadres invullen; op switches helpen IP Source Guard met DHCP Snooping, en Port Security voor de MAC-kant
• ARP Spoofing - door valse ARP-antwoorden leidt een aanvaller verkeer om via zijn eigen systeem (man-in-the-middle)
• Scannen en verkenning - een plat IP-netwerk is in minuten in kaart te brengen; segmentatie beperkt wat een aanvaller ziet
• Internetblootstelling - PLC’s en HMI’s met een publiek IP-adres worden dagelijks gevonden door zoekmachines als Shodan; zie Internetblootstelling van OT
• Onversleutelde protocollen - Modbus TCP, S7comm en IEC 104 kennen in hun klassieke vorm geen authenticatie of encryptie; IPsec in een VPN of de ingebouwde ondertekening en versleuteling van OPC UA voegen die laag toe

Beveilig daarom niet het protocol zelf, maar de omgeving eromheen. Het Purdue Model en het zone-en-conduitmodel uit IEC 62443 delen het IP-netwerk op in zones met gecontroleerde verbindingen. ACL’s en firewalls laten alleen de benodigde poorten tussen bekende adressen toe. Logging van IP-verkeer naar een SIEM en een IDS die nieuwe IP-adressen opmerkt, maken indringers in het OT-netwerk zichtbaar. Internettoegang voor OT-componenten loopt via een proxy of jumpserver.

🧭 Hoe richt u een IP-adresplan voor OT in?

Een doordacht adresplan voorkomt storingen en maakt beveiliging eenvoudiger. Een praktische aanpak:

1. Inventariseer alle apparaten - leg per apparaat het IP-adres, MAC-adres, subnet en de functie vast in een assetinventaris.
2. Kies een vaste structuur - bijvoorbeeld 10.<site>.<zone>.<host>, zodat het adres al verraadt in welke vestiging en zone een apparaat zit.
3. Maak één subnet per zone - houd subnetten klein (een /24 met 254 hosts is vaak ruim genoeg) en koppel elk subnet aan één VLAN.
4. Reserveer vaste bereiken - bijvoorbeeld .1 voor de gateway, .10–.49 voor PLC’s, .50–.99 voor HMI’s en .100–.199 voor I/O.
5. Vermijd overlap met IT - kies privé-bereiken die niet botsen met het kantoornetwerk of de netwerken van leveranciers.
6. Schakel ongebruikte functies uit - zet IPv6 uit op segmenten waar u het niet beheert, of neem het bewust op in de firewallregels.
7. Documenteer en bewaak - gebruik passieve netwerkmonitoring om afwijkingen van het plan te signaleren.

Voor Nederlandse organisaties die onder de Cyberbeveiligingswet vallen, die op 15 augustus 2026 in werking is getreden, helpt zo’n adresplan direct bij de verplichte maatregelen voor netwerkbeveiliging, assetbeheer en detectie.

❓ Veelgestelde vragen

Wat is het verschil tussen IP en TCP?

IP zorgt voor de adressering en routering van pakketten tussen netwerken op laag 3 van het OSI-model. TCP werkt daarboven op laag 4 en zorgt voor een betrouwbare verbinding met bevestigingen, volgorde en herverzending. Samen vormen ze TCP/IP, de basis van onder meer Modbus TCP en OPC UA.

Gebruikt elk industrieel Ethernet-apparaat IP?

Niet elk industrieel Ethernet-apparaat gebruikt IP voor zijn procesdata. PROFINET RT en IRT, EtherCAT en IEC 61850 GOOSE versturen realtime-data rechtstreeks over laag 2 om vertraging te beperken. Voor configuratie, diagnose en koppeling met SCADA gebruiken PROFINET- en IEC 61850-apparaten wel IP; bij EtherCAT doet doorgaans alleen de master dat.

Moet een OT-netwerk overstappen op IPv6?

Een overstap naar IPv6 is in de meeste OT-netwerken nu niet nodig, omdat privé-IPv4-adressen ruim voldoende zijn en veel PLC’s IPv6 niet ondersteunen. Wel is het verstandig IPv6 bewust te beheren: zet het uit waar het niet gebruikt wordt, of neem het op in firewallregels en monitoring. Bij nieuwe IIoT- en cloudkoppelingen kan IPv6 wel een rol spelen.

Welke privé-IP-adressen kunt u in een OT-netwerk gebruiken?

Voor interne netwerken zijn in RFC 1918 drie IPv4-bereiken gereserveerd: 10.0.0.0/8, 172.16.0.0/12 en 192.168.0.0/16. Deze privé-IP-adressen worden niet op het internet gerouteerd en zijn dus geschikt voor OT-netwerken. Kies wel bereiken die niet overlappen met het kantoornetwerk of met leveranciersnetwerken.

Is IP-verkeer versleuteld?

Standaard IP-verkeer is niet versleuteld en niet geauthenticeerd. Encryptie komt van aanvullende protocollen, zoals IPsec in een VPN op netwerkniveau, of TLS bij HTTPS en de eigen beveiligingslaag van OPC UA op applicatieniveau. Klassieke OT-protocollen als Modbus TCP versturen hun gegevens daarom leesbaar over het IP-netwerk.

Waarom krijgen PLC’s meestal een vast IP-adres?

PLC’s krijgen meestal een vast IP-adres omdat SCADA, HMI’s en andere PLC’s ze op een vast adres aanspreken. Verandert dat adres na een herstart, dan valt de communicatie weg en kan het proces stilvallen. Daarom wijst men IP-adressen in OT handmatig toe of via DHCP met vaste reserveringen.

📌 Samengevat

IP is het laag-3-protocol dat datapakketten adresseert en routeert, en daarmee het fundament onder vrijwel alle moderne IT- en OT-communicatie. In OT-netwerken is IPv4 nog de norm, draaien protocollen als Modbus TCP, EtherNet/IP en OPC UA bovenop IP, en lopen sommige realtime-protocollen er bewust omheen. Omdat IP zelf geen beveiliging biedt, zijn een helder adresplan, segmentatie volgens IEC 62443, strikte firewallregels en monitoring onmisbaar om uw OT-netwerk stabiel en veilig te houden.