Managed Switch

Wat is een managed switch?

Een managed switch is een netwerkswitch die naast het doorsturen van Ethernet-frames ook configureerbare beheer-, diagnose- en beveiligingsfuncties biedt, zoals VLAN’s, QoS, redundantieprotocollen, poortbeveiliging en monitoring via SNMP en Syslog. Een unmanaged switch is plug & play en doet niets anders dan frames doorsturen; een managed switch kunt u instellen, uitlezen en afschermen. In OT-netwerken is dat het verschil tussen een netwerk dat “gewoon werkt” en een netwerk dat u kunt segmenteren, bewaken en herstellen wanneer het misgaat.

In OT-netwerken zijn managed switches onmisbaar voor betrouwbare, veilige en gestructureerde communicatie tussen PLC’s, HMI’s, SCADA en veldapparatuur.

🧠 Wat kan een managed switch dat een unmanaged switch niet kan?

Het onderscheid zit niet in de snelheid of het aantal poorten, maar in de software. Een managed switch heeft een eigen besturingssysteem met een configuratie die u kunt aanpassen, opslaan en terugzetten. De belangrijkste functies:

Deze functies maken van de switch een actief onderdeel van netwerksegmentatie, redundantie en netwerkmonitoring, in plaats van een onzichtbaar doorgeefluik.

🔄 Welke soorten managed switches zijn er?

De term “managed” is een spectrum. Fabrikanten gebruiken namen als smart, web-managed of lite managed voor switches met een beperkte functieset.

Voor gebruik in schakelkasten bestaat elke variant ook als industrial switch, met DIN-railmontage, 24 V DC-voeding en een breed temperatuurbereik. “Managed” zegt iets over de software, “industrial” over de hardware; in OT heeft u meestal beide nodig.

🔧 Hoe beheert u een managed switch?

Een managed switch heeft een eigen IP-adres in een beheer-VLAN en is via meerdere interfaces te bereiken:

• CLI - via de seriële console of SSH; geschikt voor scripts en snelle diagnose.
• Webinterface - via HTTPS; laagdrempelig voor monteurs en onderhoudspersoneel.
• SNMP - uitlezen van poortstatistieken (UDP 161) en ontvangen van traps (UDP 162). Gebruik SNMPv3 met authenticatie en versleuteling; v1 en v2c versturen de community string onversleuteld.
• NETCONF/YANG - modelgestuurd configureren vanuit beheertools, vooral bij grotere IT-georiënteerde netwerken.
• Engineeringtools - veel industriële switches zijn ook in te stellen vanuit PLC-software, zoals TIA Portal bij Siemens-switches, of via PROFINET-diagnose zichtbaar in het besturingssysteem.

De configuratie bestaat doorgaans uit een running config (actief) en een startup config (opgeslagen). Een wijziging die niet is opgeslagen, verdwijnt na een herstart: een klassieke oorzaak van “mysterieuze” storingen na een stroomonderbreking. Veel industriële switches kunnen de configuratie ook op een verwisselbaar geheugenmedium bewaren, zodat een vervangende switch bij een defect direct met dezelfde instellingen opstart. Leg configuraties vast onder configuratiebeheer, met versiebeheer en een back-up na elke wijziging.

Voor PROFINET is een managed switch in de praktijk vaak een vereiste: conformance class B voegt netwerkdiagnose via SNMP en topologie-informatie via LLDP toe, en MRP is daarbij een optionele functie.

🏭 Waar zet u managed switches in een OT-netwerk in?

In het Purdue Model vormen managed switches de backbone binnen elk niveau. Ze dragen de segmentatie binnen een zone via VLAN’s, maar de overgang tussen zones, de conduit uit het Zone and Conduits-model, hoort bij een industriële firewall. Een laag-3-switch met ACL’s kan verkeer tussen VLAN’s beperken, maar inspecteert geen industriële protocollen.

🔐 Hoe beveiligt u een managed switch?

Juist omdat een managed switch configureerbaar is, is hij ook een aanvalsdoel: wie de switch beheert, kan VLAN’s wijzigen, verkeer afluisteren via een mirror-poort of de ring laten instorten. Beveiliging bestaat daarom uit twee delen: het netwerk beschermen mét de switch, en de switch zelf beschermen.

Voor de switch zelf geldt hardening: standaardwachtwoorden vervangen, Telnet, HTTP en SNMPv1/v2c uitschakelen, ongebruikte poorten uitschakelen of in een leeg VLAN plaatsen, beheer alleen vanuit het beheer-VLAN, en firmware bijhouden via patchmanagement. Stuur logs naar een SIEM voor security monitoring, zodat u configuratiewijzigingen en nieuwe apparaten direct ziet.

Voor componenten legt IEC 62443-4-2 de technische eisen per security level vast; meerdere fabrikanten laten hun industriële managed switches daartegen certificeren. In de EU staan switches in bijlage III van de Cyber Resilience Act als belangrijk product van klasse I: fabrikanten moeten vanaf 11 september 2026 actief misbruikte kwetsbaarheden melden en vanaf 11 december 2027 aan alle eisen voldoen. Organisaties onder de Cyberbeveiligingswet, sinds 15 augustus 2026 de Nederlandse invulling van NIS2, moeten passende maatregelen nemen voor hun netwerk, en een geharde, bewaakte switchinfrastructuur hoort daarbij.

🧭 Hoe neemt u een managed switch in gebruik?

1. Ontwerp eerst - leg vast welke VLAN’s, IP-adressen, redundantieprotocollen en prioriteiten nodig zijn, afgestemd op het veldbusprotocol: MRP bij PROFINET, DLR bij EtherNet/IP.
2. Basisconfiguratie offline - hostnaam, beheer-IP in het beheer-VLAN, tijdsynchronisatie via NTP, en een eigen beheeraccount in plaats van het standaardaccount.
3. Harden - alleen SSH, HTTPS en SNMPv3; ongebruikte poorten uit; port security of 802.1X op toegangspoorten.
4. Redundantie testen - trek tijdens de FAT een ringkabel los en controleer of de O geen communicatiefout meldt. De watchdog-tijd van de apparaten moet ruimer zijn dan de hersteltijd van de ring (bijvoorbeeld 200 ms bij het gangbare MRP-profiel).
5. Monitoring aansluiten - Syslog naar een centrale server (UDP 514, of TLS op 6514), SNMP-traps voor linkverlies en voedingsalarm, eventueel een SPAN-poort voor het IDS.
6. Vastleggen - sla de configuratie op als startup config, maak een back-up en registreer firmwareversie en serienummer in de asset-inventaris.

Een veelgemaakte fout is IGMP-snooping zonder querier: zonder een apparaat dat periodiek IGMP-queries verstuurt, verlopen de multicastregistraties en valt multicastverkeer na enkele minuten weg of wordt het juist weer over alle poorten verspreid.

❓ Veelgestelde vragen

Wat is het verschil tussen een managed en een unmanaged switch?

Een managed switch is configureerbaar en ondersteunt functies als VLAN’s, QoS, redundantieprotocollen, poortbeveiliging en monitoring via SNMP en Syslog. Een unmanaged switch stuurt alleen frames door zonder instellingen of diagnose. In OT-netwerken die verbonden zijn met SCADA of het bedrijfsnetwerk is een managed switch daarom de norm.

Is een managed switch hetzelfde als een industrial switch?

Een managed switch en een industrial switch zijn niet hetzelfde: “managed” gaat over de beheer- en configuratiefuncties, “industrial” over de robuuste hardware voor temperatuur, trillingen en EMC. In OT combineert u ze meestal tot een managed industrial switch. Er bestaan ook unmanaged industrial switches en managed kantoorswitches.

Kan een managed switch een firewall vervangen?

Een managed switch kan een firewall niet vervangen. Met VLAN’s en ACL’s beperkt een (laag-3-)switch verkeer, maar hij inspecteert geen industriële protocollen en houdt geen sessiestatus bij zoals een firewall. Gebruik de switch voor segmentatie binnen een zone en een industriële firewall voor de overgang tussen zones.

Welke beheerprotocollen moet u op een managed switch uitschakelen?

Op een managed switch schakelt u Telnet, HTTP en SNMPv1/v2c uit, omdat deze protocollen wachtwoorden of community strings onversleuteld versturen. Gebruik in plaats daarvan SSH, HTTPS en SNMPv3 met authenticatie en versleuteling. Beperk bovendien beheertoegang tot een apart beheer-VLAN.

Waarom heeft PROFINET een managed switch nodig?

Voor PROFINET conformance class A volstaat een eenvoudige switch, maar conformance class B vraagt om netwerkdiagnose via SNMP en topologie-informatie via LLDP, functies die een unmanaged switch niet levert. Daarmee ziet het besturingssysteem welke apparaten aan welke switchpoort hangen en kan het een vervangen apparaat automatisch een naam geven. Voor ringredundantie met MRP is eveneens een managed switch nodig.

Hoe maakt u een back-up van de configuratie van een managed switch?

Een back-up van een managed switch maakt u door de startup config te exporteren via de webinterface, de CLI of een beheertool, en die op te slaan onder versiebeheer. Veel industriële switches kunnen de configuratie ook op een verwisselbaar geheugenmedium zetten, zodat een vervangende switch direct goed opstart. Maak na elke wijziging een nieuwe back-up.

📌 Samengevat

Een managed switch is een configureerbare netwerkswitch die met VLAN’s, QoS, redundantie, poortbeveiliging en monitoring de ruggengraat vormt van een veilig, stabiel en beheersbaar OT-netwerk. Combineer hem met een geharde configuratie, centrale logging en een firewall tussen zones, en de switch wordt van doorgeefluik een actief onderdeel van uw segmentatie, monitoring en redundantie.