VLAN

Wat is een VLAN?

Een VLAN (Virtual Local Area Network) is een logisch afgescheiden netwerk binnen één fysieke netwerkinfrastructuur, waarbij een switch poorten en verkeer aan een VLAN-ID koppelt volgens de standaard IEEE 802.1Q. Apparaten in hetzelfde VLAN gedragen zich alsof ze op een eigen lokaal netwerk zitten, ook al delen ze dezelfde switches en kabels met andere VLANs. Daarmee kunt u netwerksegmentatie toepassen zonder extra bekabeling of hardware. In OT-omgevingen is het VLAN een basisbouwsteen voor het scheiden van besturing, bediening en kantoornetwerk, maar het is op zichzelf geen beveiligingsgrens.

🧠 Waarom gebruikt u VLANs?

• Netwerksegmentatie zonder extra hardware - één managed switch kan meerdere gescheiden netwerken bedienen
• Kleinere broadcastdomeinen - broadcast- en multicastverkeer, zoals ARP, blijft binnen het VLAN; dat beperkt de belasting van PLC’s en andere OT-apparatuur met beperkte rekenkracht
• Beveiliging als eerste laag - apparaten met verschillende functies kunnen elkaar niet direct bereiken; verkeer tussen VLANs moet langs een filterpunt
• Overzichtelijk beheer - verkeer is per functie te groeperen, te monitoren en te documenteren
• Prioritering van verkeer - het VLAN-label bevat een prioriteitsveld dat switches gebruiken voor QoS

🔧 Hoe werkt VLAN-tagging volgens IEEE 802.1Q?

IEEE 802.1Q werd in 1998 gepubliceerd en is sindsdien de standaard voor VLANs op Ethernet. De switch voegt tussen het bron-MAC-adres en het EtherType-veld een label (tag) van 4 bytes in. Daardoor groeit het maximale Ethernet-frame van 1.518 naar 1.522 bytes.

VLAN 1 is op vrijwel alle switches het standaard-VLAN. VID 0 betekent: alleen prioriteit, geen VLAN-lidmaatschap. Dat is in OT relevant, omdat PROFINET RT-frames standaard met VID 0 en prioriteit 6 verstuurt. Sommige switches laten zulke frames op een poort met een specifiek VLAN vallen; test dit dus voordat u een PROFINET-netwerk in VLANs opdeelt.

Voor providernetwerken bestaat een uitbreiding met twee labels, IEEE 802.1ad (Q-in-Q, EtherType 0x88A8), die in 2011 in 802.1Q is opgenomen. In fabrieksnetwerken komt u die zelden tegen.

🔄 Wat is het verschil tussen een access-poort en een trunk-poort?

Een eindapparaat weet meestal niets van VLANs: de switch plaatst het untagged verkeer van een access-poort in het juiste VLAN. Een poort kan handmatig worden toegewezen of dynamisch via 802.1X en NAC, waarbij de authenticatieserver het VLAN bepaalt. Het native VLAN van een trunk is het VLAN waarvan verkeer zonder label over de trunk gaat; standaard is dat VLAN 1.

🌐 Hoe verloopt verkeer tussen VLANs?

Apparaten in verschillende VLANs kunnen elkaar alleen bereiken via een laag 3-apparaat:

• Layer 3-switch - routeert snel tussen VLANs en kan ACL’s toepassen, maar die zijn meestal stateless en zien geen applicatieprotocollen
• Router - routeert tussen subnetten, vaak via één trunk met sub-interfaces (router-on-a-stick)
• Firewall of industriële firewall - filtert stateful en kan OT-protocollen zoals Modbus TCP inspecteren; de voorkeursoplossing op zonegrenzen

Elk VLAN krijgt normaal een eigen IP-subnet. Op de overgang tussen zones hoort een firewall met een deny-all, permit-by-exception-beleid. Een layer 3-switch die alles tussen VLANs routeert, heft de segmentatie in de praktijk grotendeels op.

🔐 Is een VLAN een beveiligingsgrens?

Nee, niet op zichzelf. Een VLAN scheidt verkeer op laag 2, maar een configuratiefout of aanval kan die scheiding doorbreken. Bekende risico’s:

• Switch spoofing - een aanvaller laat een poort met automatische trunk-onderhandeling (bijvoorbeeld het Cisco-protocol DTP) een trunk vormen en krijgt zo toegang tot alle VLANs
• Double tagging - een aanvaller in het native VLAN stuurt een frame met twee labels; de eerste switch verwijdert het buitenste label en de volgende switch levert het frame af in het doel-VLAN (alleen in één richting)
• Native VLAN-misbruik - eindapparaten in VLAN 1 of in het native VLAN van trunks maken bovenstaande aanvallen mogelijk
• Te ruime routering - inter-VLAN-routering zonder filtering maakt van gescheiden VLANs één groot netwerk

De Amerikaanse richtlijn NIST SP 800-82 (revisie 3, september 2023) noemt VLANs een kosteneffectieve manier om OT te segmenteren, maar adviseert om voor zeer kritieke systemen fysiek gescheiden switches te overwegen, bijvoorbeeld voor veiligheidssystemen. IEC 62443-3-3 vraagt met SR 5.1 en SR 5.2 om segmentatie en bewaking van zonegrenzen; een VLAN levert de scheiding, de firewall de bewaking.

🏭 Hoe ziet een VLAN-plan voor een fabriek eruit?

Een voorbeeld voor een middelgrote productielocatie, ingedeeld naar het Purdue Model:

Elke overgang tussen deze VLANs loopt via een firewall. Externe leveranciers horen niet in een gast-VLAN met een route naar de fabriek, maar komen binnen via beveiligde toegang op afstand met MFA naar de jump server in de DMZ. In combinatie met het zones-en-conduits-model vormt elk VLAN of elke groep VLANs een zone, en is de gefilterde verbinding tussen twee VLANs een conduit. Cisco en Rockwell Automation beschrijven een vergelijkbare opbouw in Converged Plantwide Ethernet, met VLANs per cel/gebied.

🧭 Welke best practices gelden voor VLANs in OT?

1. Ontwerp eerst de zones - bepaal op basis van een risicoanalyse welke systemen samen een zone vormen, en leid daar de VLANs van af.
2. Gebruik VLAN 1 nergens voor eindapparaten - en kies voor elke trunk een ongebruikt native VLAN, of tag het native VLAN expliciet.
3. Zet access-poorten vast - schakel automatische trunk-onderhandeling uit en sta op trunks alleen de benodigde VLANs toe.
4. Sluit ongebruikte poorten af - schakel ze uit en plaats ze in een ongebruikt VLAN; gebruik Port Security of 802.1X op actieve poorten.
5. Bescherm laag 2 - zet DHCP Snooping en Dynamic ARP Inspection aan waar de switch dat ondersteunt.
6. Filter tussen VLANs met een firewall - documenteer per conduit welke protocollen en poorten nodig zijn.
7. Scheid het beheer - managementinterfaces in een eigen beheer-VLAN, alleen bereikbaar vanaf beheerwerkplekken.
8. Monitor en documenteer - leg het VLAN-plan vast, controleer wijzigingen en gebruik netwerkmonitoring om onverwacht verkeer te vinden.

Voor organisaties die onder NIS2 vallen, is aantoonbare segmentatie een logisch onderdeel van de verplichte risicobeheersmaatregelen; een gedocumenteerd VLAN-plan met firewallregels helpt bij die verantwoording.

🛡️ Hoe past een VLAN in Defense in Depth?

Defense in Depth is een cybersecuritystrategie waarbij meerdere beveiligingslagen samenwerken. VLANs vormen daarin een logische verdedigingslaag, maar zijn niet voldoende zonder de andere lagen:

• Fysieke beveiliging - afgesloten kasten en ruimtes, toegangscontrole, cameratoezicht
• Firewall en routeringsregels tussen VLANs
• Authenticatie en toegangsbeheer - bijvoorbeeld RBAC en MFA
• Monitoring en logging van netwerk- en switchgebeurtenissen
• Back-ups en herstelprocedures, inclusief de switchconfiguraties
• Beveiligde toegang op afstand via een Jump Server of VPN

Door VLANs binnen dit bredere geheel in te zetten, kunnen indringers of fouten zich niet zomaar van het ene segment naar het andere verplaatsen. Een VLAN is vaak de eerste stap naar fijnere microsegmentatie, waarbij ook verkeer binnen een zone wordt beperkt.

❓ Veelgestelde vragen

Hoeveel VLANs kan een netwerk hebben?

Een netwerk volgens IEEE 802.1Q kan maximaal 4094 VLANs hebben, omdat het VLAN-ID 12 bits groot is en de waarden 0 en 4095 gereserveerd zijn. Veel switches, zeker compacte industriële modellen, ondersteunen in de praktijk minder gelijktijdig actieve VLANs. Controleer daarom het datasheet van de switch.

Wat is het native VLAN?

Het native VLAN is het VLAN waarvan het verkeer zonder 802.1Q-label over een trunk-poort gaat. Standaard is dat VLAN 1. Omdat het native VLAN double-tagging-aanvallen mogelijk maakt, kiest u er een ongebruikt VLAN-ID voor of tagt u het expliciet.

Wat is VLAN hopping?

VLAN hopping is een aanval waarbij een aanvaller verkeer naar een ander VLAN stuurt zonder langs een router of firewall te gaan. De twee bekende varianten zijn switch spoofing via automatische trunk-onderhandeling en double tagging via het native VLAN. Vaste access-poorten en een ongebruikt native VLAN voorkomen beide.

Heb ik een managed switch nodig voor VLANs?

Ja, VLANs vereisen een managed switch die IEEE 802.1Q ondersteunt. Een unmanaged switch kent geen VLAN-configuratie en kan getagd verkeer niet correct scheiden. In OT-omgevingen gebruikt u bij voorkeur een industriële managed switch die ook PROFINET-frames met VLAN-ID 0 correct doorgeeft.

Is een VLAN voldoende om OT van IT te scheiden?

Een VLAN alleen is niet voldoende om OT van IT te scheiden, omdat configuratiefouten of VLAN hopping de scheiding kunnen doorbreken. Combineer VLANs met een firewall en een DMZ tussen IT en OT. Voor veiligheidssystemen raadt NIST SP 800-82 aan om fysiek gescheiden switches te overwegen.

Wat is het verschil tussen een VLAN en een subnet?

Een VLAN scheidt verkeer op laag 2 (Ethernet), een subnet verdeelt adressen op laag 3 (IP). In de praktijk koppelt u elk VLAN aan één eigen IP-subnet, zodat routering en firewallregels per VLAN zijn in te stellen.

📌 Samengevat

Een VLAN is een logisch afgescheiden netwerk binnen één fysieke infrastructuur, waarmee u met IEEE 802.1Q-tagging netwerksegmentatie toepast zonder extra hardware. In IT en OT is het een onmisbare eerste laag voor segmentatie, maar pas in combinatie met firewalls, gehard switchbeheer en monitoring wordt het een betrouwbare grens tussen zones.