Router

Wat is een router?

Een router is een netwerkapparaat dat datapakketten tussen verschillende netwerken doorstuurt op basis van het doel-IP-adres, met behulp van een routeringstabel die per bestemming de beste volgende stap aangeeft. Waar een switch apparaten binnen één netwerk verbindt, koppelt een router netwerken aan elkaar: een productiecel aan het kantoornetwerk, een gemaal aan de centrale controlekamer of een fabriek aan internet. In OT-omgevingen staat de router daarom precies op de grens tussen zones, en is hij een van de belangrijkste plekken om verkeer te beperken, te vertalen en te bewaken.

Routers zorgen voor verkeersgeleiding, scheiding van subnetten en beveiliging in zowel IT- als OT-netwerken.

🧠 Hoe werkt een router?

Een router werkt op laag 3 van het OSI-model, de netwerklaag. Voor elk binnenkomend IP-pakket doorloopt hij dezelfde stappen:

1. Doeladres lezen - de router kijkt naar het doel-IP-adres in de header, niet naar het MAC-adres zoals een switch.
2. Routeringstabel raadplegen - hij zoekt de route met de langste overeenkomende prefix (longest prefix match). Een route naar 10.20.30.0/24 wint dus van een route naar 10.20.0.0/16.
3. Volgende stap bepalen - de gekozen route geeft de uitgaande interface en de volgende router (next hop). Is er geen specifieke route, dan gaat het pakket naar de default route (0.0.0.0/0).
4. Doorsturen - de router verlaagt de TTL-waarde met één, bouwt een nieuw laag-2-frame en stuurt het pakket door. Komt de TTL op nul, dan wordt het pakket weggegooid, zodat routeringslussen niet eindeloos doorgaan.

Elk subnet heeft een default gateway: het adres van de routerinterface waarlangs apparaten het eigen subnet verlaten. Een PLC met een verkeerde of ontbrekende gateway kan prima met zijn buren praten, maar bereikt de SCADA-server in een ander subnet niet. Dat is een van de meest voorkomende storingen bij inbedrijfstelling.

Moderne routers bieden naast routering vaak extra functies:

• NAT (Network Address Translation) - vertaalt interne adressen naar andere adressen, bijvoorbeeld om identieke machinenetwerken te koppelen
• VPN - versleutelde tunnels voor koppelingen tussen locaties of toegang op afstand
• Firewall-functies - van eenvoudige ACL’s tot volwaardige stateful inspectie
• Routeringsprotocollen - zoals OSPF en BGP, voor het automatisch uitwisselen van routes

🔀 Welke soorten routering bestaan er?

Een router vult zijn tabel op drie manieren: via direct aangesloten netwerken, via handmatig ingevoerde statische routes en via dynamische routeringsprotocollen. Als er voor dezelfde bestemming meerdere bronnen zijn, kiest de router op basis van de administrative distance: hoe lager de waarde, hoe betrouwbaarder de bron. De waarden in de tabel zijn de standaardwaarden bij Cisco; andere fabrikanten gebruiken vergelijkbare prioriteiten.

In industriële netwerken wordt vooral gebruikgemaakt van statische routes of eenvoudige dynamische protocollen. Statische routes zijn voorspelbaar, makkelijk te controleren en kunnen niet door een aanvaller via een vervalst routeringsbericht worden aangepast. OSPF (versie 2, RFC 2328) komt voor op grotere sites met meerdere paden, zodat het netwerk bij een kabelbreuk automatisch een alternatieve route kiest. Gebruikt u een dynamisch protocol, zet dan authenticatie van routeringsberichten aan en accepteer alleen buren op bekende interfaces.

Voor beschikbaarheid van de default gateway zelf bestaat het Virtual Router Redundancy Protocol (VRRP): twee routers delen één virtueel gateway-adres en bij uitval neemt de reserve het binnen enkele seconden over. VRRP versie 3 is sinds april 2024 vastgelegd in RFC 9568, de opvolger van RFC 5798. Het past goed in een redundant ontwerp naast ringprotocollen op de switches.

🏭 Waar worden routers ingezet in industriële netwerken?

• Scheiding tussen OT en IT - een router of firewall verbindt het OT-netwerk met het IT-netwerk of kantoor, meestal via een DMZ
• Routering tussen VLAN’s - tussen verschillende VLAN’s op een laag-3-Switch of een externe router (router-on-a-stick)
• Machinekoppeling met NAT - tien identieke machines met hetzelfde interne adresbereik krijgen elk via 1:1-NAT een uniek extern subnet
• Afgelegen locaties - gemalen, windturbines, onderstations en laadpalen die via mobiele routers (4G of 5G) met de centrale verbonden zijn
• Onderhoud op afstand - leveranciers die via een VPN-tunnel op een router in de machinekast inloggen voor onderhoud op afstand
• Toegangscontrole - integratie met een Firewall en ACL’s om alleen benodigde verbindingen toe te staan
• Segmentatie - als onderdeel van Netwerksegmentatie volgens het Purdue Model en het zones-en-conduits-model

Een industriële router verschilt van een kantoorrouter vooral in de behuizing: montage op een DIN-rail, een (vaak redundante) voeding op 24 V DC, geen ventilator en bij uitvoeringen voor een breed temperatuurbereik werking van circa −40 tot +75 °C. Veel modellen combineren router, firewall en VPN in één kastje, zoals de secure routers van Moxa, Phoenix Contact (mGuard), Hirschmann en Siemens (SCALANCE).

🔍 Wat is het verschil tussen een router, switch en firewall?

Het belangrijkste verschil zit in de laatste rij. Een standaard ACL op een router controleert elk pakket los, zonder te weten of het bij een bestaande verbinding hoort. Een firewall houdt de verbindingstoestand bij en kan bij een industriële firewall zelfs Modbus- of S7-commando’s beoordelen. Voor een zonegrens in de zin van IEC 62443 is een router met alleen ACL’s daarom meestal te grof; gebruik hem samen met of als onderdeel van een firewall.

🔐 Hoe beveiligt u een router in een OT-omgeving?

Routers en andere randapparatuur zijn een geliefd doelwit. De statelijke groep Volt Typhoon verborg zijn aanvallen via een botnet van gehackte, verouderde kantoor- en thuisrouters van onder andere Cisco en Netgear; de FBI ontmantelde dat netwerk rond de jaarwisseling 2023–2024. Onderzoekers van Forescout vonden eind 2023 21 kwetsbaarheden in mobiele OT/IoT-routers van Sierra Wireless, waarvan er meer dan 86.000 vanaf internet bereikbaar waren. In hun rapport over 2024 noemen zij netwerkapparatuur zoals routers en access points de meest risicovolle IT-categorie.

Praktische maatregelen:

• Sterke Authenticatie - wijzig standaardwachtwoorden, beheer alleen via SSH of HTTPS en schakel Telnet en HTTP uit
• Beheer beperken - sta beheer alleen toe vanaf een beheersubnet of jumpserver met ACL’s, en geef gebruikers rechten per rol met RBAC
• Geen beheer vanaf internet - de beheerinterface hoort nooit direct op het WAN of mobiele netwerk bereikbaar te zijn
• Hardening - zet ongebruikte diensten, poorten en protocollen uit, zoals UPnP en ongebruikte routeringsprotocollen
• Firmware bijwerken - volg de adviezen van de leverancier en vervang routers die geen updates meer krijgen
• Versleuteling en scheiding - versleutel verkeer tussen locaties via VPN en houd netwerken gescheiden met VLAN’s en subnetten
• Monitoring - stuur logbestanden naar een SIEM via Syslog, bewaak de status met SNMPv3 en synchroniseer de klok met NTP zodat logbestanden te correleren zijn
• Configuratiebeheer - bewaar een back-up van elke configuratie en leg wijzigingen vast via wijzigingsbeheer

Een slecht beveiligde router is een kritiek toegangspunt in een OT-netwerk.

📜 Welke normen en wetten zijn van toepassing?

Voor de inkoop van een industriële router is het verstandig om naar een IEC 62443-4-2-certificaat, de ondersteuningstermijn voor firmware-updates en de CRA-conformiteit te vragen.

🛠️ Hoe richt u routering in een OT-netwerk in?

Een praktische aanpak voor een bestaande fabriek:

1. Inventariseer - breng alle routers, mobiele modems en VPN-boxen in kaart, ook die van machinebouwers. Vaak blijken er meer toegangswegen te zijn dan bekend.
2. Ontwerp zones - geef elke zone of productiecel een eigen subnet en leg vast welke verbindingen nodig zijn.
3. Kies de grensapparatuur - gebruik voor de grens tussen IT en OT een firewall, eventueel met een DMZ. Binnen OT kan een laag-3-switch met ACL’s volstaan tussen cellen met vergelijkbaar risico.
4. Houd routering eenvoudig - kies waar mogelijk statische routes en documenteer ze. Vermijd een default route vanuit OT naar internet.
5. Los adresconflicten op - gebruik 1:1-NAT voor machines met identieke adresreeksen, zodat de machinebouwer niets hoeft te wijzigen.
6. Beveilig en bewaak - pas de maatregelen uit de vorige sectie toe en neem routers op in netwerkmonitoring.

❓ Veelgestelde vragen

Heeft een OT-netwerk een router nodig?

Een OT-netwerk heeft een router nodig zodra er meer dan één subnet is, bijvoorbeeld voor aparte productiecellen of een koppeling met het IT-netwerk. Zonder router of laag-3-apparaat kunnen apparaten alleen binnen hun eigen subnet communiceren. Een volledig plat netwerk zonder router is eenvoudig, maar biedt geen enkele plek om verkeer te filteren.

Is een router hetzelfde als een firewall?

Een router en een firewall zijn niet hetzelfde, al combineren veel apparaten beide functies. Een router stuurt pakketten door op basis van het IP-adres, terwijl een firewall verkeer beoordeelt op regels en de verbindingstoestand. Voor de grens tussen IT en OT is een (industriële) firewall de aangewezen keuze.

Wat is het verschil tussen een router en een laag-3-switch?

Een laag-3-switch routeert tussen VLAN’s en subnetten binnen een locatie, met hoge snelheid in hardware. Een router heeft doorgaans meer functies voor WAN-koppelingen, zoals NAT, VPN, mobiele verbindingen en uitgebreide routeringsprotocollen. In OT-netwerken wordt een laag-3-switch vaak binnen de site gebruikt en een router of firewall aan de rand.

Waarom gebruiken industriële netwerken vaak statische routes?

Industriële netwerken gebruiken vaak statische routes omdat ze voorspelbaar, eenvoudig te controleren en lastig te manipuleren zijn. Het netwerk verandert zelden, dus het voordeel van dynamische routering is beperkt. Alleen op grotere sites met redundante paden wordt een protocol als OSPF ingezet.

Valt een industriële router onder de Cyber Resilience Act?

Een industriële router valt onder de Cyber Resilience Act als belangrijk product klasse I, omdat routers, internetmodems en switches in bijlage III staan. De fabrikant mag de conformiteit alleen zelf beoordelen als hij geharmoniseerde normen of een Europese certificering volledig toepast. Volledige toepassing van de CRA geldt vanaf 11 december 2027.

Hoe herkent u een onveilige router in uw installatie?

Een onveilige router herkent u aan standaardwachtwoorden, een beheerinterface die vanaf internet bereikbaar is, Telnet of HTTP-beheer en firmware die al jaren niet is bijgewerkt. Routers waarvoor de leverancier geen updates meer levert zijn een bekend doelwit, zoals bleek bij het botnet van Volt Typhoon. Een periodieke inventarisatie en een scan van de eigen internetblootstelling brengen zulke routers aan het licht.

📌 Samengevat

Een router verbindt netwerken op basis van IP-adressen en routeringstabellen en staat in een OT-omgeving precies op de grenzen tussen zones. Statische routes, NAT voor machinenetwerken en VPN voor locaties en leveranciers zijn de meest gebruikte functies. Omdat routers een aantrekkelijk doelwit zijn, vragen ze om hardening, actuele firmware, beheer via een beperkt pad en monitoring, en vallen ze onder de Cyber Resilience Act.

Een router verbindt en beschermt netwerkzones door verkeer gericht door te sturen, en is essentieel in een veilige en gesegmenteerde OT-architectuur; in combinatie met VLAN’s, een firewall en ACL’s zorgt hij voor een betrouwbare netwerkstructuur en toegangscontrole.