Wat is het OSI-model?
Het OSI-model (Open Systems Interconnection) is een internationaal referentiemodel dat netwerkcommunicatie opdeelt in zeven lagen, van de fysieke overdracht van bits tot de diensten die applicaties gebruiken, zodat elke laag een eigen taak heeft en protocollen van verschillende leveranciers op elkaar kunnen aansluiten. Het model is vastgelegd in ISO/IEC 7498-1 en de gelijkluidende ITU-T-aanbeveling X.200. Het is geen protocol dat u kunt installeren, maar een denkkader: het geeft u een gemeenschappelijke taal om Ethernet, IP, TCP, Modbus TCP of PROFINET te plaatsen, netwerken te ontwerpen en storingen systematisch op te sporen.
Het OSI-model helpt u netwerkprotocollen, apparaten en processen te begrijpen, te structureren en laag voor laag te troubleshooten.
🕰️ Hoe is het OSI-model ontstaan?
In de jaren zeventig had elke computerleverancier zijn eigen netwerkarchitectuur, zoals IBM SNA en DECnet. Systemen van verschillende merken konden daardoor nauwelijks met elkaar praten. ISO startte in 1977 een programma voor netwerkstandaarden; het zevenlaagse idee kwam uit het werk van Charles Bachman bij Honeywell, en de Fransman Hubert Zimmermann schreef in 1978 de eerste ruwe definitie.
| Jaar | Mijlpaal |
|---|---|
| 1977 | ISO start het programma voor Open Systems Interconnection |
| 1980 | ISO publiceert een conceptversie van het referentiemodel |
| 1984 | Publicatie als ISO 7498 en als CCITT-aanbeveling X.200 |
| 1994 | Tweede editie ISO/IEC 7498-1, tekstueel gelijk aan ITU-T X.200; vervangt de editie uit 1984 |
| 2000 | Laatste bevestiging door ISO; de editie uit 1994 is nog steeds geldig |
De bijbehorende OSI-protocollen verloren de strijd van de eenvoudigere TCP/IP-stack, die met internet groot werd. Het referentiemodel bleef wel bestaan als universele kapstok. In OT zijn er zelfs nog echte OSI-protocollen in gebruik: S7 Comm van Siemens en MMS uit IEC 61850 draaien over TPKT (RFC 1006) en COTP (ISO 8073) op TCP-poort 102, een brug tussen OSI-transport en TCP/IP.
🧱 Welke zeven lagen heeft het OSI-model?
Elke laag biedt diensten aan de laag erboven en gebruikt de diensten van de laag eronder. De gegevenseenheid per laag heet de PDU (Protocol Data Unit).
| Laag | Naam | Functie | PDU | Voorbeelden |
|---|---|---|---|---|
| 7 | Toepassingslaag (Application) | Netwerkdiensten voor applicaties | Data | HTTP, SMTP, FTP, OPC UA, Modbus, MQTT, DNS |
| 6 | Presentatielaag (Presentation) | Dataweergave, codering, compressie, versleuteling | Data | ASN.1, JPEG, tekencodering |
| 5 | Sessielaag (Session) | Opzetten, bewaken en afsluiten van sessies | Data | RPC, NetBIOS, ISO 8327 |
| 4 | Transportlaag (Transport) | End-to-end overdracht, poorten, eventueel betrouwbaarheid | Segment / datagram | TCP, UDP |
| 3 | Netwerklaag (Network) | Logische adressering en routering | Pakket | IP, ICMP, IPsec |
| 2 | Datalinklaag (Data Link) | Frames, MAC-adressering, foutdetectie | Frame | Ethernet, VLAN, ARP, PPP |
| 1 | Fysieke laag (Physical) | Bits als elektrische, optische of radiosignalen | Bit / symbool | RJ45, glasvezel, RS-485, RS-232 |
IEEE 802 splitst de datalinklaag in twee sublagen: LLC (Logical Link Control) en MAC (Medium Access Control). Wifi volgens IEEE 802.11 beslaat daarom zowel laag 1 als het MAC-deel van laag 2. TLS staat in veel overzichten op laag 6, maar zit in werkelijkheid tussen transport en applicatie in. Zulke grensgevallen laten zien dat het model een hulpmiddel is, geen wet.
🔧 Hoe werkt encapsulatie in het OSI-model?
Bij het verzenden voegt elke laag een eigen header toe aan de data van de laag erboven (encapsulatie); bij ontvangst haalt elke laag zijn header er weer af. Een SCADA-server die een register uitleest bij een PLC via Modbus TCP laat dat goed zien:
- Laag 7 - de Modbus-applicatie maakt een verzoek: functiecode 03 (read holding registers), startadres en aantal.
- Laag 4 - TCP voegt bron- en bestemmingspoort toe (bestemming 502) en regelt volgnummers en bevestigingen.
- Laag 3 - IP voegt het bron- en bestemmings-IP-adres toe; een router gebruikt dit om tussen subnetten te routeren.
- Laag 2 - Ethernet zet het pakket in een frame met MAC-adressen, EtherType 0x0800 (IPv4) en een CRC-controle; een switch stuurt het frame door op basis van het MAC-adres.
- Laag 1 - de netwerkkaart zet het frame om in signalen op koper of glas.
Hoe dit fysiek en op frameniveau verloopt, leest u in Hoe werkt ethernet.
🔄 Wat is het verschil tussen het OSI-model en TCP/IP?
Het TCP/IP-model (vastgelegd in RFC 1122 en RFC 1123) is het model achter internet en vrijwel elk modern industrieel netwerk. Het telt vier lagen en is minder voorschrijvend.
| OSI-laag | TCP/IP-laag | Typische protocollen |
|---|---|---|
| 7, 6, 5 | Applicatie | HTTP, HTTPS, OPC UA, Modbus TCP, MQTT, SSH |
| 4 | Transport | TCP, UDP |
| 3 | Internet | IPv4, IPv6, ICMP |
| 2, 1 | Link (netwerktoegang) | Ethernet, Wi-Fi, ARP |
In de praktijk gebruiken engineers de nummering van OSI (“een laag 2-switch”, “een laag 7-firewall”) en de protocollen van TCP/IP.
🏭 Waar zitten industriële protocollen in het OSI-model?
Industriële protocollen volgen het model lang niet altijd volledig. Veldbussen zoals Profibus en Foundation Fieldbus gebruiken een gereduceerd model met alleen laag 1, 2 en 7, omdat routering en sessies op één bus niet nodig zijn en elke extra laag tijd kost. Realtime-Ethernetprotocollen slaan IP en TCP om dezelfde reden over en zitten direct op laag 2.
| Protocol | Lagen | Herkenning op het netwerk | Routeerbaar? |
|---|---|---|---|
| Modbus RTU | 1, 2, 7 | Seriële bus, meestal RS-485 | Nee |
| Modbus TCP | 7 over TCP/IP | TCP-poort 502 | Ja |
| OPC UA | 7 over TCP/IP | TCP-poort 4840 (standaard) | Ja |
| IP | 7 (CIP) over TCP/UDP | TCP 44818, UDP 2222 | Ja |
| DNP3 | 7 over TCP/IP | TCP-poort 20000 | Ja |
| IEC 60870-5-104 | 7 over TCP/IP | TCP-poort 2404 | Ja |
| S7 Comm | 7 over COTP/TPKT/TCP | TCP-poort 102 | Ja |
| PROFINET RT | 2 en 7 | EtherType 0x8892 | Nee |
| EtherCAT | 2 en 7 | EtherType 0x88A4 | Nee |
| GOOSE (IEC 61850) | 2 en 7 | EtherType 0x88B8 | Nee |
| PTP (IEEE 1588) | 2 of UDP | EtherType 0x88F7 of UDP 319/320 | Afhankelijk van profiel |
Het onderscheid tussen laag 2 en laag 3 is in OT dus niet academisch. Een laag 2-protocol als PROFINET RT of GOOSE kan geen router passeren en blijft binnen één broadcastdomein of VLAN. Dat beperkt de verspreiding, maar betekent ook dat een gewone laag 3-firewall dit verkeer niet ziet.
🔐 Hoe gebruikt u het OSI-model voor OT-beveiliging?
Voor OT-security is het OSI-model een praktisch gereedschap. Bij netwerksegmentatie en het Zone and Conduits-model uit IEC 62443 helpt het model om per laag te bepalen welke maatregel waar werkt:
- Laag 1 - fysieke toegang tot kasten en ongebruikte poorten afsluiten; een datadiode dwingt eenrichtingsverkeer zelfs fysiek af
- Laag 2 - VLAN’s, port security en Dynamic ARP Inspection tegen ARP-spoofing op een managed switch
- Laag 3 - routering tussen zones met toegangslijsten, subnetting en eventueel NAT
- Laag 4 - een firewall die alleen de benodigde poorten toestaat, bijvoorbeeld 502 van één SCADA-server naar één PLC
- Laag 7 - deep packet inspection en protocolfiltering in een industriële firewall of next-gen firewall, die bijvoorbeeld Modbus-leesopdrachten toestaat maar schrijfopdrachten blokkeert
Een veelvoorkomende verwarring is die tussen het OSI-model en het Purdue Model. Beide hebben genummerde lagen, maar het OSI-model beschrijft hoe één verbinding technisch werkt, terwijl het Purdue Model de functionele niveaus van een fabriek beschrijft, van sensoren (niveau 0) tot ERP (niveau 4). Een firewall tussen Purdue-niveau 2 en 3 kan op OSI-laag 3, 4 of 7 filteren; dat zijn twee onafhankelijke keuzes. Segmentatie als principe gebruikt beide modellen.
🛠️ Hoe pakt u troubleshooting laag voor laag aan?
De bottom-upaanpak voorkomt dat u urenlang applicatie-instellingen controleert terwijl een kabel defect is. Een PLC die niet meer reageert, onderzoekt u zo:
- Laag 1 - brandt de link-LED, is de kabel intact, klopt de afsluitweerstand op een RS-485-bus? Controleer bij twijfel snelheid en duplex (PROFINET vereist bijvoorbeeld 100 Mbit/s full duplex).
- Laag 2 - loopt de teller van CRC-fouten op de switchpoort op, staat het MAC-adres in de MAC-tabel en in het juiste VLAN?
- Laag 3 - is het IP-adres uniek en zit het in het juiste subnet? Een ping (ICMP) bevestigt bereikbaarheid, mits ICMP niet bewust is geblokkeerd.
- Laag 4 - is de poort (502, 4840, 102) bereikbaar of blokkeert een firewall de verbinding?
- Laag 7 - kloppen unit-ID, registeradressen, certificaten of namespace?
Met Wireshark ziet u alle lagen van één frame tegelijk, wat deze analyse sterk versnelt. Gebruik in een productienetwerk bij voorkeur passieve capture via een mirror-poort.
❓ Veelgestelde vragen
Waarom heeft het OSI-model zeven lagen?
Het OSI-model heeft zeven lagen omdat de ontwerpers elke afzonderlijke functie, zoals bitoverdracht, adressering, routering en sessiebeheer, een eigen laag wilden geven met duidelijke grenzen. Zo kan een laag worden vervangen, bijvoorbeeld koper door glasvezel, zonder dat de lagen erboven hoeven te veranderen.
Wordt het OSI-model nog gebruikt?
Het OSI-model wordt nog dagelijks gebruikt als referentiekader en gemeenschappelijke taal, maar nauwelijks meer als protocolstack. Netwerken draaien op TCP/IP, terwijl engineers termen als laag 2-switch en laag 7-firewall uit het OSI-model gebruiken. Het is ook basisstof in netwerkopleidingen zoals CCNA. In OT leven enkele OSI-protocollen voort, zoals COTP onder S7 Comm en MMS in IEC 61850.
Op welke laag werkt een switch en op welke een router?
Een klassieke switch werkt op laag 2 van het OSI-model en stuurt frames door op basis van MAC-adressen. Een router werkt op laag 3 en stuurt pakketten door op basis van IP-adressen. Een laag 3-switch combineert beide functies in één apparaat.
Op welke OSI-laag zit Modbus?
Modbus is een applicatieprotocol op laag 7 van het OSI-model. Modbus RTU gebruikt daaronder een seriële fysieke laag zoals RS-485, terwijl Modbus TCP over TCP/IP loopt op poort 502.
Is het Purdue Model hetzelfde als het OSI-model?
Het Purdue Model is niet hetzelfde als het OSI-model, ook al hebben beide genummerde lagen. Het OSI-model beschrijft de technische werking van netwerkcommunicatie, terwijl het Purdue Model industriële functies indeelt van veldapparatuur tot bedrijfssystemen. In OT-beveiliging gebruikt u beide modellen naast elkaar.
Waarom is laag 2 belangrijk voor OT-beveiliging?
Laag 2 is belangrijk voor OT-beveiliging omdat veel realtimeprotocollen, zoals PROFINET RT, EtherCAT en GOOSE, direct op Ethernet draaien zonder IP. Dat verkeer passeert geen router of laag 3-firewall, dus bescherming moet komen van VLAN’s, port security en monitoring op switchniveau.
📌 Samengevat
Het OSI-model verdeelt netwerkcommunicatie in zeven lagen, elk met een eigen taak, van bits op de kabel tot applicatiediensten.
Het model is sinds 1984 de gemeenschappelijke taal van netwerkengineers, ook al draait de praktijk op TCP/IP. Voor IT/OT-convergentie is het vooral nuttig om industriële protocollen te plaatsen, te zien welk verkeer routeerbaar is, de juiste beveiligingsmaatregel per laag te kiezen en storingen systematisch van onder naar boven op te lossen.