Switch

Wat is een switch?

Een switch is een netwerkcomponent die apparaten binnen een lokaal netwerk (LAN) met elkaar verbindt en elk Ethernet-frame alleen doorstuurt naar de poort waar het doelapparaat zit, op basis van het MAC-adres. Daardoor krijgt elk aangesloten apparaat zijn eigen verbinding zonder botsingen en blijft het overige verkeer op het netwerk beperkt. In OT-omgevingen vormen switches de ruggengraat van Industrial Ethernet: ze verbinden PLC’s, HMI’s, Drives, IO-modules en SCADA-servers, en bepalen mede hoe betrouwbaar, snel en veilig een installatie communiceert.

Switches vormen het hart van zowel IT- als OT-netwerken. In de fabriek is een uitgevallen of verkeerd geconfigureerde switch vaak de directe oorzaak van een stilstaande productielijn.

🧠 Hoe werkt een switch?

Een switch werkt op laag 2 van het OSI-model (datalinklaag) en volgt een vast patroon:

1. Leren - bij elk binnenkomend frame noteert de switch het bron-MAC-adres en de poort in zijn MAC-adrestabel (ook wel CAM-tabel genoemd).
2. Opzoeken - de switch kijkt naar het doel-MAC-adres en zoekt de bijbehorende poort op.
3. Doorsturen - is het adres bekend, dan gaat het frame alleen naar die ene poort (unicast).
4. Flooden - broadcasts, onbekende unicast en (zonder IGMP-snooping) multicast gaan naar alle poorten in hetzelfde VLAN.
5. Verouderen - ongebruikte tabelregels verdwijnen na de ageing time, standaard 300 seconden, zodat een verplaatst apparaat opnieuw wordt geleerd.

Elke poort is een eigen collision domain en werkt vrijwel altijd full-duplex, dus het oude CSMA/CD-mechanisme van gedeeld Ethernet speelt geen rol meer. Switches werken meestal volgens store-and-forward (eerst het hele frame ontvangen en de checksum controleren) of cut-through (doorsturen zodra het doeladres binnen is, met lagere latency). Laag-3-switches kunnen daarnaast routeren tussen VLAN’s, een taak die anders bij een router of firewall ligt.

De Ethernet-switch ontstond rond 1990: de EtherSwitch van Kalpana geldt als een van de eerste multipoort-switches, en Cisco nam Kalpana in 1994 over. Daarmee verdween de hub, die elk frame naar alle poorten herhaalde, geleidelijk uit bedrijfsnetwerken.

🔄 Wat is het verschil tussen een hub, switch en router?

🔧 Welke soorten switches zijn er?

• Unmanaged switch - plug & play, geen configuratie, geen VLAN’s of monitoring. Geschikt voor een kleine, geïsoleerde machine.
• Smart of web-managed switch - beperkte instellingen zoals VLAN’s en poortprioriteit, vaak via een webinterface.
• Managed switch - volledig configureerbaar via web, CLI of SNMP, met VLAN’s, QoS, redundantieprotocollen, logging en beveiligingsfuncties.
• Laag-3-switch - managed switch die ook routeert tussen subnetten en ACL’s op IP-niveau ondersteunt.
• Industriële switch - gebouwd voor DIN-rail of 19-inch-kast, met bereik van typisch -40 tot +75 of +85 °C, redundante 24 V DC-voeding en weerstand tegen trillingen, stof en EMC-storingen.
• PoE-switch - voedt camera’s, accesspoints en sensoren via de netwerkkabel: 15,4 W per poort (IEEE 802.3af), 30 W (802.3at) of 60 tot 90 W (802.3bt).

Voor onderstations gelden extra eisen: IEC 61850-3 en IEEE 1613 beschrijven de omgevings- en EMC-eisen voor netwerkapparatuur die naast beveiligingsrelais in de kast zit, passend bij IEC 61850.

🏭 Hoe worden switches in industriële netwerken ingezet?

• Verbinden van besturing en veld - PLC’s, HMI’s, O en sensoren via PROFINET, IP of Modbus TCP.
• Prioriteren van realtime verkeer - met QoS krijgen tijdkritische frames voorrang; PROFINET RT gebruikt EtherType 0x8892 en VLAN-prioriteit 6. Voor deterministisch verkeer met gegarandeerde latency bestaat TSN.
• Redundantie - ringredundantie via MRP of DLR, meshnetwerken via RSTP, of naadloze redundantie via PRP (twee parallelle netwerken) en HSR (ring).
• Segmentatie - VLAN’s voor netwerksegmentatie volgens het Purdue Model en het Zone and Conduits-model.
• Monitoring - SNMP-statistieken en meldingen, logging naar Syslog of een SIEM, en een SPAN-poort die verkeer kopieert naar een IDS voor passieve monitoring.
• Tijdsynchronisatie - switches met PTP-ondersteuning (IEEE 1588) als transparent of boundary clock.

🔐 Hoe beveiligt u een switch in een OT-netwerk?

Een switch is zelf een aanvalsdoel én een beveiligingsmiddel. Hardening begint bij het apparaat:

• Beheer afschermen - alleen SSH, HTTPS en SNMPv3; Telnet, HTTP en SNMPv1/v2c uitschakelen; beheer via een apart beheer-VLAN.
• Standaardwachtwoorden vervangen en toegang regelen met RBAC en centrale authenticatie.
• Ongebruikte poorten uitschakelen en in een leeg VLAN plaatsen, of fysiek afsluiten.
• Port Security en MAC Filtering - beperken welke en hoeveel MAC-adressen per poort mogen; let op dat een MAC-adres te vervalsen is, dus dit is hygiëne en geen sterke authenticatie.
• 802.1X - echte poortauthenticatie, waar de eindapparaten het ondersteunen.
• DHCP Snooping, Dynamic ARP Inspection en IP Source Guard tegen ARP-spoofing en vervalste DHCP-servers.
• ACL’s op laag-3-switches om verkeer tussen VLAN’s te filteren, als aanvulling op een industriële firewall.
• Firmware actueel houden via patchmanagement, en configuraties back-uppen onder change management.
• Logging naar Syslog of SIEM, met tijd uit NTP, zodat u wijzigingen en onbekende apparaten ziet.

Voor componenten legt IEC 62443-4-2 de technische eisen per security level vast; verschillende leveranciers laten industriële switches hiertegen certificeren.

🧭 Hoe kiest en configureert u een switch voor OT?

1. Inventariseer - welke apparaten, protocollen en bandbreedte zijn nodig, en waar zit de switch in het Purdue Model? Leg dit vast in de asset-inventaris.
2. Kies het type - managed industriële switch voor alles wat met productie te maken heeft; unmanaged alleen binnen een geïsoleerde machine.
3. Kies redundantie - MRP bij PROFINET, DLR bij EtherNet/IP, PRP/HSR waar geen onderbreking toelaatbaar is.
4. Ontwerp VLAN’s en QoS - scheid productie, engineering, beheer en camera’s; geef realtime verkeer prioriteit.
5. Hard de switch - volg de lijst hierboven en documenteer de baseline.
6. Monitor en onderhoud - SNMP/Syslog, een SPAN-poort voor het IDS, periodieke configuratiereview.

Nederlandse en Europese context. Onder de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, moeten essentiële en belangrijke entiteiten passende maatregelen nemen voor hun netwerk- en informatiesystemen, en daar horen veilig geconfigureerde switches bij. De Cyber Resilience Act deelt switches in als belangrijk product klasse I: fabrikanten moeten vanaf 11 september 2026 actief misbruikte kwetsbaarheden melden en vanaf 11 december 2027 aan alle essentiële eisen voldoen, zoals een veilige standaardconfiguratie en beveiligde updates.

❓ Veelgestelde vragen

Wat is het verschil tussen een switch en een hub?

Een hub stuurt elk binnenkomend signaal door naar alle poorten, waardoor alle apparaten één collision domain delen. Een switch leert welke MAC-adressen achter welke poort zitten en stuurt een frame alleen naar de juiste poort. Een switch is daardoor sneller, efficiënter en lastiger af te luisteren dan een hub.

Op welke OSI-laag werkt een switch?

Een standaard switch werkt op laag 2 van het OSI-model en stuurt verkeer door op basis van MAC-adressen. Een laag-3-switch kan daarnaast routeren tussen subnetten en VLAN’s op basis van IP-adressen. Voor beveiligd verkeer tussen OT-zones is een firewall nog steeds de aangewezen plek.

Wanneer heeft u een managed switch nodig?

Een managed switch is nodig zodra u VLAN’s, QoS, redundantieprotocollen, monitoring of poortbeveiliging wilt gebruiken. In OT-netwerken die verbonden zijn met SCADA of het bedrijfsnetwerk is een managed switch daarom de norm. Een unmanaged switch past alleen in kleine, volledig geïsoleerde machinenetwerken.

Wat is een industriële switch?

Een industriële switch is een switch die gebouwd is voor zware omstandigheden, zoals temperaturen van -40 tot +75 °C of hoger, trillingen, stof en elektromagnetische storingen. Hij wordt meestal op een DIN-rail gemonteerd, heeft een redundante 24 V-voeding en ondersteunt industriële redundantieprotocollen zoals MRP. Voor onderstations gelden aanvullend IEC 61850-3 en IEEE 1613.

Hoe snel herstelt een switchnetwerk na een kabelbreuk?

De hersteltijd van een switchnetwerk hangt af van het redundantieprotocol. Klassiek STP heeft 30 tot 50 seconden nodig, RSTP meestal minder dan een seconde, MRP gegarandeerd binnen 200 ms in het meest gebruikte profiel en DLR circa 3 ms. PRP en HSR versturen elk frame dubbel en hebben daardoor helemaal geen hersteltijd.

Kan een switch gehackt worden?

Een switch kan gehackt worden als beheerinterfaces open staan, standaardwachtwoorden niet zijn gewijzigd of de firmware kwetsbaarheden bevat. Een aanvaller met beheertoegang kan verkeer omleiden, VLAN’s wijzigen of een productienetwerk platleggen. Hardening, actuele firmware en logging naar een SIEM verkleinen dat risico sterk.

📌 Samengevat

Een switch verbindt apparaten in een lokaal netwerk en stuurt elk Ethernet-frame alleen naar de poort van de bestemming, op basis van het MAC-adres. In industriële omgevingen zijn beheerde, robuuste switches onmisbaar voor betrouwbaarheid, segmentatie en beveiliging: met VLAN’s, QoS, redundantieprotocollen als MRP en PRP, en een goed geharde configuratie vormen ze het fundament van een veilig OT-netwerk.