IP-adres

Wat is een IP-adres?

Een IP-adres (Internet Protocol-adres) is een numeriek adres dat een netwerkinterface binnen een IP-netwerk identificeert, zodat apparaten gegevens kunnen verzenden en ontvangen via protocollen zoals TCP, UDP en HTTP. Het adres bestaat uit een netwerkdeel en een hostdeel: het netwerkdeel bepaalt in welk subnet een apparaat zit, het hostdeel welk apparaat het binnen dat subnet is. In OT-netwerken maakt het IP-adres de communicatie mogelijk tussen PLC’s, HMI’s, SCADA-servers, Drives, Remote IO en andere industriële componenten.

Een IP-adres is uniek binnen één routeringsdomein, niet per se wereldwijd. Duizenden fabrieken gebruiken hetzelfde privé-adres 192.168.1.10, en dat werkt zolang die netwerken niet rechtstreeks met elkaar verbonden zijn.

🧠 Hoe werkt een IP-adres?

Het IP-adres werkt op laag 3 van het OSI-model, de netwerklaag. Een Router kijkt naar het doeladres van een pakket en beslist aan de hand van zijn routeringstabel naar welk netwerk het pakket moet. Binnen hetzelfde subnet gaat het pakket direct naar het doelapparaat.

1. Adres en subnetmasker - een apparaat kent zijn eigen adres en zijn prefix, bijvoorbeeld 192.168.10.25/24. De /24 (subnetmasker 255.255.255.0) betekent dat de eerste 24 bits het netwerk aanduiden.
2. Lokaal of extern - ligt het doeladres in hetzelfde subnet, dan stuurt het apparaat het pakket direct. Anders gaat het naar de default gateway.
3. Van IP naar MAC - voor de levering op het lokale Ethernet-segment is het MAC-adres nodig. IPv4 zoekt dat op met ARP, IPv6 met Neighbor Discovery (NDP).
4. Toewijzing - een adres wordt statisch ingesteld of automatisch uitgedeeld via DHCP of het oudere BOOTP. Bij IPv6 kan een apparaat ook zelf een adres afleiden (SLAAC).
5. Naamresolutie - mensen gebruiken namen, het netwerk gebruikt adressen. DNS vertaalt de ene naar de andere.

🔄 Wat is het verschil tussen IPv4 en IPv6?

IPv4 is vastgelegd in RFC 791 uit september 1981. IPv6 werd ontworpen omdat de IPv4-adresruimte opraakte; de huidige specificatie is RFC 8200 uit juli 2017, opvolger van RFC 2460 uit 1998.

Op 3 februari 2011 deelde IANA de laatste vrije IPv4-blokken uit aan de regionale registers. Het Europese register RIPE NCC, gevestigd in Amsterdam, meldde op 25 november 2019 dat zijn IPv4-voorraad op was. Sindsdien kunnen alleen LIR’s die nog nooit IPv4-adressen kregen via een wachtlijst maximaal een /24 aan teruggekomen adressen krijgen. Voor fabrieksnetwerken maakt dat weinig uit, omdat die vrijwel altijd privé-adressen gebruiken.

🧱 Welke soorten IP-adressen bestaan er?

Niet elk adres is bedoeld voor het internet. Een aantal blokken heeft een vaste, gereserveerde betekenis:

Privé-adressen worden op het internet niet gerouteerd. Voor verkeer naar buiten vertaalt een router of Firewall ze met NAT naar een publiek adres. In OT wordt NAT ook gebruikt om identieke machinenetwerken van een OEM aan een fabrieksnetwerk te koppelen zonder ze om te nummeren.

🏭 Hoe worden IP-adressen in industriële netwerken gebruikt?

In OT zijn IP-adressen meestal statisch: een PLC of HMI moet na een herstart op hetzelfde adres bereikbaar zijn, en firewallregels en SCADA-koppelingen verwijzen naar vaste adressen. De industriële protocollen gaan daar elk anders mee om:

• ProfiNET - een IO-apparaat wordt herkend aan zijn device name (NameOfStation). De IO-controller zoekt het apparaat op die naam en kent het IP-adres toe via het DCP-protocol. Een nieuw apparaat komt zonder naam uit de doos; is de topologie in het project vastgelegd, dan geeft de controller een vervangend apparaat automatisch dezelfde naam en hetzelfde adres.
• IP - veel apparaten staan af fabriek op BOOTP of DHCP en moeten met een tool een vast adres krijgen. Wordt dat vergeten, dan vraagt het apparaat na een stroomonderbreking opnieuw om een adres.
• Modbus TCP - het apparaat wordt puur op IP-adres en poort 502 aangesproken; er is geen naamlaag of authenticatie.
• Beheer en monitoring - Webservers en Embedded configuratietools op het apparaat, uitlezing via SNMP, Logging via Syslog en tijdsynchronisatie via NTP.

🔧 Hoe zet u een goed IP-adresplan op voor OT?

Een vastgelegd adresplan voorkomt dubbele adressen, maakt firewallregels leesbaar en versnelt storingzoeken. Een praktische aanpak:

1. Inventariseer - breng alle bestaande adressen in kaart met asset-inventarisatie en passieve Asset Discovery. Actieve scans op een draaiend procesnetwerk alleen na afstemming met de eigenaar van het proces.
2. Kies een adresblok per locatie - bijvoorbeeld 10.<locatie>.0.0/16, zodat een adres meteen laat zien waar het apparaat staat.
3. Koppel subnetten aan zones - één subnet en VLAN per zone of productielijn, in lijn met het Purdue Model en het zones-en-conduits-model van IEC 62443.
4. Reserveer vaste posities - bijvoorbeeld .1 voor de gateway, .10–.49 voor PLC’s, .50–.99 voor HMI’s en .100–.199 voor IO en drives. Zo herkent een monteur een apparaattype aan het adres.
5. Leg alles vast - adres, hostnaam, MAC-adres, firmwareversie en eigenaar in een IPAM-overzicht of CMDB, en werk het bij bij elke wijziging.
6. Laat ruimte - een /24 geeft 254 bruikbare adressen; plan uitbreiding in plaats van later om te nummeren.

🔐 Welke beveiligingsrisico’s horen bij IP-adressen?

Een IP-adres is geen identiteitsbewijs. Veel industriële protocollen vertrouwen een verzoek alleen op basis van het bronadres, en dat maakt ze kwetsbaar:

• IP-Spoofing - een aanvaller vervalst het bronadres om zich voor te doen als een vertrouwd systeem. Combineer adresfilters daarom met IP Source Guard, DHCP Snooping en controle op het MAC-adres.
• Dubbele adressen - een verkeerd ingesteld of vreemd apparaat kan een PLC onbereikbaar maken. Met ARP-probes (RFC 5227) en netwerkmonitoring vindt u conflicten snel.
• Te ruime regels - beperk verkeer tussen zones met Firewalls en ACL’s op bron, doel en poort, en vermijd regels als “hele /16 naar alles”.
• Zichtbaarheid - log verbindingen naar onbekende adressen in een SIEM of IDS; een nieuw IP-adres in een besturingsnetwerk is altijd het onderzoeken waard.

Netwerksegmentatie op basis van IP-subnetten is een kernmaatregel van IEC 62443-3-3 (eis SR 5.1). De NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad, verplichten onder meer tot assetbeheer. Een actueel IP-adresplan is daarvan een direct bruikbaar onderdeel.

❓ Veelgestelde vragen

Wat is het verschil tussen een IP-adres en een MAC-adres?

Een IP-adres is een logisch adres op laag 3 dat bepaalt in welk netwerk een apparaat zit en dat u kunt wijzigen. Een MAC-adres is een fysiek adres op laag 2 dat de fabrikant meestal in de netwerkinterface vastlegt. Binnen een lokaal netwerk koppelt ARP of NDP het IP-adres aan het MAC-adres.

Waarom krijgen PLC’s een vast IP-adres?

PLC’s krijgen een vast IP-adres omdat HMI’s, SCADA-systemen en firewallregels naar dat adres verwijzen. Als een PLC na een herstart een ander adres via DHCP zou krijgen, valt de communicatie weg en kan het proces stilvallen. Bij PROFINET kent de IO-controller het adres op basis van de apparaatnaam toe, zodat het toch voorspelbaar blijft.

Wat betekent een IP-adres dat begint met 169.254?

Een IP-adres dat begint met 169.254 is een link-local adres dat een apparaat zichzelf geeft als het geen antwoord van een DHCP-server krijgt. In een OT-netwerk wijst zo’n adres meestal op een ontbrekende DHCP-server, een kabelprobleem of een verkeerd ingesteld apparaat. Met zo’n adres is het apparaat alleen binnen het eigen segment bereikbaar.

Is IPv6 bruikbaar in OT-netwerken?

IPv6 is technisch bruikbaar in OT-netwerken, maar veel PLC’s, IO-modules en oudere systemen ondersteunen alleen IPv4. De meeste fabrieken gebruiken daarom IPv4 met privé-adressen en schakelen IPv6 op OT-segmenten vaak uit, zodat er geen onbewaakt tweede adrespad ontstaat. Bij nieuwbouw en IT-gerichte systemen in de OT-DMZ groeit IPv6 wel geleidelijk.

Hoeveel adressen heeft een /24-subnet?

Een /24-subnet heeft 256 IPv4-adressen, waarvan er 254 bruikbaar zijn voor apparaten. Het eerste adres is het netwerkadres en het laatste het broadcastadres. Voor een productielijn is een /24 vaak een praktische maat, omdat er ruimte blijft voor uitbreiding.

Beschermt een privé-IP-adres een apparaat tegen aanvallen?

Een privé-IP-adres beschermt een apparaat niet tegen aanvallen, want het is alleen niet rechtstreeks vanaf het internet routeerbaar. Een aanvaller die via een VPN, een remote-access-oplossing of een besmette laptop binnen is, bereikt privé-adressen gewoon. Echte bescherming komt van segmentatie, firewalls en monitoring.

📌 Samengevat

Een IP-adres bepaalt waar een apparaat in het netwerk zit, en een doordacht IP-adresplan is in OT de basis voor betrouwbare communicatie, segmentatie en assetbeheer.

IPv4 met privé-adressen is in fabrieken de norm, IPv6 rukt langzaam op. Technisch werkt een IP-adres in IT en OT hetzelfde, maar in OT wegen stabiliteit en voorspelbaarheid het zwaarst: statische adressen, een vast schema per zone en een actuele registratie maken netwerken beheersbaar. Omdat een IP-adres geen identiteit bewijst, horen firewalls, segmentatie en monitoring er altijd bij.