VLAN's in het algemeen

[Tostie1987]

Hallo allemaal,

Een topic voor mijzelf wat ik al veel te lang heb uitgesteld zijn VLAN's. Ik heb tegenwoordig zoveel apparaten in huis, dat ik hier echt mee moet gaan werken. Ik maak gebruik van de TP-Link Deco Be85. Daarnaast heb een acht poorts 10 GbE switch van QNAP welke ook VLAN's in kan stellen.

Nu is mijn vraag niet zozeer (nog niet in ieder geval) hoe ik dat doe. Het zit er meer in welke apparaten ik op welke VLAN zet. Hoe categoriseer ik deze en waarom plaats ik deze in een bepaalde VLAN. De apparaten die ik allemaal in huis heb, zijn de volgende:

- Tv 1 (hoeft enkel naar het internet voor sporadische updates)
- Tv 2 (hoeft enkel naar het internet voor sporadische updates)
- Nvidia Shield tv 1 (moet naar de NAS kunnen)
- Nvidia Shield tv 2 (moet naar de NAS kunnen)
- Tapo H500 hub, om camera's te koppelen (moet ik via mijn telefoon kunnen benaderen)
- Robot stofzuiger (moet ik via mijn telefoon kunnen benaderen, moet via de Tapo H500 hub benaderd kunnen worden)
- Camera 1 (moet ik via mijn telefoon kunnen benaderen, moet via de Tapo H500 hub benaderd kunnen worden)
- Camera 2 (moet ik via mijn telefoon kunnen benaderen, moet via de Tapo H500 hub benaderd kunnen worden)
- Deurbel (moet ik via mijn telefoon kunnen benaderen, moet via de Tapo H500 hub benaderd kunnen worden)
- Deurbel chime (moet contact kunnen maken met de Tapo H500 hub)
- Computer 1 (moet internet hebben en thuis overal in kunnen)
- Computer 2 (moet internet hebben en thuis overal in kunnen)
- Verschillende tablets en telefoons moeten updates kunnen ontvangen en moeten contact kunnen hebben met de NAS)
- Philips Hue hub (moet updates kunnen ontvangen en moet de 'slimme lampen' aansturen. Hoeft absoluut geen contact te hebben met de NAS).
- Verschillende 'slimme' Philips Hue lampen (moeten enkel met de Hub verbonden worden)
- Airco's (moet ik kunnen benaderen via mijn telefoon, ik gebruik de app Smart air)
- Thuisbatterij (moet ik kunnen benaderen via de app)
- Energy display (moet de batterij kunnen benaderen en moet benaderbaar zijn via de app)
- P1 meter (moet updates ontvangen, benaderbaar zijn via telefoon en waardes doorgeven aan de app)
- Envoy omvormer (moet de zonnepanelen aansturen en zijn waardes afgeven aan de app)
- Verschillende switches (geven bedraad internet door aan apparaten)
- Versterker (moet updates kunnen ontvangen en moet benaderbaar zijn via de app op mijn telefoon)
- Nintendo Switch (moet updates kunnen ontvangen, geen contact nodig met thuisnetwerk)
- Printer (moet internet hebben en benaderbaar zijn via computers en telefoon)

Dit zijn min of meer de apparaten die ik heb. Hoe kan ik deze het beste categoriseren onder een of meerdere VLAN's?

Verder is dit wellicht belangrijk. Al mijn internet komt eerst binnen via een glasvezelkastje en gaat direct via VLAN 300 naar mijn Deco BE85 router. Deze deelt de adressen uit. Via de tweede poort gaat er een CAT6A kabel naar mijn QNAP 10 GbE switch. Daarop wil ik dan dus VLAN's laten draaien. Dit is een acht poort switch. In deze switch gaat dan onder andere de tweede Deco BE85, mijn computer, de tweede computer, de QNAP NAS en een tweede NAS (welke eigenlijk altijd uit staat, maar enkel voor backups is).



Dit is ongeveer hoe het nu is ingedeeld. De blauwe kastjes zijn de routers, de zwarte vierkante de switches. De switch beneden is unmanaged, de switch boven is managed en daar wil ik dus VLAN's op. De router in de kleinere slaapkamer boven fungeert als extra WiFi punt en geeft internet door aan de tv in de slaapkamer en de Nvidia Shield die daar staat.

Nou... ik hoop dat het duidelijk is. Wat zouden jullie op basis van bovenstaande informatie aanraden?

Groeten,

Jos

[Ben(V)]

Tostie1987 schreef op donderdag 6 november 2025 @ 12:06:
Een topic voor mijzelf wat ik al veel te lang heb uitgesteld zijn VLAN's. Ik heb tegenwoordig zoveel apparaten in huis, dat ik hier echt mee moet gaan werken.

Volgens mij moet je eerst bedenken wat het doel is dat je met vlan's wilt bereiken.
Vlan's opzetten omdat je veel apparaten hebt lijkt me nauwelijks een zinvolle reden.
En vlan's voor beveiliging is ook niet zinvol, daar gebruik je een firewall voor.

Dus vlan's omdat het kan blijft dan over

PS
Dit lijkt me ook het verkeerde topic hiervoor, het topic "Netwerken" past hier beter bij.

[ Voor 7% gewijzigd door Ben(V) op 06-11-2025 13:05 ]

[Tostie1987]

Ben(V) schreef op donderdag 6 november 2025 @ 13:03:
[...]


Volgens mij moet je eerst bedenken wat het doel is dat je met vlan's wilt bereiken.
Vlan's opzetten omdat je veel apparaten hebt lijkt me nauwelijks een zinvolle reden.
En vlan's voor beveiliging is ook niet zinvol, daar gebruik je een firewall voor.

Dus vlan's omdat het kan blijft dan over

PS
Dit lijkt me ook het verkeerde topic hiervoor, het topic "Netwerken" past hier beter bij.

Jazeker, ik dacht ook dat ik hem in dat topic had gelpaatst. Als een moderator dit ziet, dan mag deze inderdaad naar Netwerken worden verplaatst.

Het gaat mij om een stukje beveiliging en het beheren van het (aantal) verkeer. Je hoort steeds vaker dat IOT apparaten niet binnen het eigen privé netwerk zouden moeten zitten. Uit het oogpunt van veiligheid, lijkt het mij goed om deze apparaten te isoleren van de rest. Hierbij wil ik mijn NAS ook beter afschermen van het internet. De QNAP NAS blokkeert dagelijks wel 100.000 ping verzoeken.. Lijkt mij niet helemaal gezond. De meeste zijn intern, sommige IP-adressen komen (volgens IP-lookup) uit China.
Daarnaast is het mij ook opgevallen dat het netwerk soms traag is. Dit schijnt te kunnen liggen aan verkeer dat (even zwart wit gezien) overal een aanvraag doet. Terwijl met een VLAN tag je directer pakketten kunt doorsturen. Bij het monitoren van verkeer viel het mij ook op dat sommige apparaten aankloppen bij bijvoorbeeld mijn NAS, terwijl deze er helemaal niets mee te maken hebben.

[Ben(V)]

vlan's zijn niet voor beveilig, dat is enkel een functionele scheiding.
Voor beveiliging gebruikt je een firewall waarin je regels opneemt welk device waar naartoe mag.
En vlan's zullen echt niets voor een overbelast netwerk doen, daarvoor moet je de oorzaak zoeken.

En die 100.000 ping "verzoeken" (ping is een probe en geen verzoek) kan alleen als je die Qnap open op het internet (via een port forward neem ik aan) hebt hangen, daar zit vermoedelijke je probleem dan.

Problemen los je enkel op door eerst de oorzaak te vinden en dan de oplossing te zoeken.
Zomaar met "verwachtte" oplossing gaan beginnen werkt bijna nooit.

[M2M]

Maar goedkope chinese IOT dingen in een apart netwerkje zetten is wel een goed idee en bovendien nog leuk ook om in te stellen. beetje spelen met je router en switch

Maargoed, @Ben(V) 's verhaal klopt wel redelijk, ware het niet dat sommige apparatuur niet echt een firewall heeft. Een random brak IOT ding die overgenomen wordt, kan zo je netwerk rond gaan. Zelfs met de beste firewall in je router kun je niet voorkomen dat het buiten de router om een connectie probeert te maken met andere brakke IOT dingen in je netwerk.

Je hele netwerk opdelen in kleine stukjes is dan ook weer wat overdreven.

[Tostie1987]

Wat zou je aanraden?

Ik zat zelf te denken aan een VLAN voor IOT apparaten. Moet ik ook een VLAN voor de bridges zoals de Tapo H500 hub, de Philips Hue bridge, de omvormer(s), de P1 meter? Of allemaal binnen hetzelfde VLAN laten draaien?

Plaats ik ook alle apparaten zoals mijn computer op een VLAN of doe ik daar verder niets mee?

[Pazo]

Ooit in een verleden ook eens met VLAN's aan het spelen geweest, en ingericht in 3 delen:

VLAN 1 alleen de router, switches en accesspoints (management VLAN)
VLAN 2 alle (zover mogelijk) betrouwbare apparatuur. PC's, telefoons, tablets etc.
VLAN 3 alle IoT apparatuur zoals camera's en ander randapparatuur.

Dat is dus best leuk om het gescheiden te hebben, maar ergens moest mijn server op VLAN 2 ook kunnen praten met de camera's op VLAN 3. Dus VLAN 2 moest met VLAN3 kunnen praten waardoor het eigenlijk gewoon open naar elkaar is ...

Firewall instellingen zou daarom wellicht beter zijn. Moet ik mij nog steeds een keer in verdiepen.

[FenixOrange]

Een vlan is een segmentering van ethernet verkeer. Die vlans hebben dan ook een eigen ip subnet. (bijv vlan1 192.168.1.0/24, vlan2 192.168.2.0/24 etc). Als devices die in aparte vlans zitten, ondeling willen communiceren, dan moeten die vlans ergens bij elkaar komen ==> Router/Firewall
Een router routeert het verkeer tussen vlans, een firewall kan ook regels hebben welk verkeer is toegestaan of niet.
Niet alle managed switches die vlans ondersteunen hebben ook een ingebouwde router/firewall. Vaak zal je hiervoor een extra device nodig hebben die verbonden is aan alle vlans en daardoor dus kan routeren en filteren. Als je vlans over meerdere switches wil hebben zal je ook vlan trunking moeten aanzetten op de poorten die de switches onderling verbinden. Een managed switch kan de vlans dus niet delen met een unmanaged switch. Ook als er Wifi in het spel is zullen de Accesspoints vlans moeten ondersteunen (en indien bekabeld aangesloten dus ook een vlan trunk moeten gebruiken). Al met al is het implementeren van vlans niet direct heel simpel en zal goed doordacht moet worden.

[Ben(V)]

Nogmaals een vlan zal je niet beschermen, vlan hopping is heel simpel.
Vlan's zijn functionele scheidingen en geen beveiliging.
En tegen netwerk (over)belasting helpen ze uiteraard helemaal niet, alles gaat nog steeds over dezelfde fysieke layer.
Voor beveiliging en afscherming heb je een goede firewall in je netwerk nodig met de juiste rules.

@M2M Iot device hebben uiteraard zelf geen firewall.
Je moet een firewall in je netwerk opnemen die dingen kan afschermen doordat bepaalde ipadressen maar naar bepaalde andere adressen mogen connecten en nergens anders heen.

[Tostie1987]

Ben(V) schreef op donderdag 6 november 2025 @ 14:38:
Nogmaals een vlan zal je niet beschermen, vlan hopping is heel simpel.
Vlan's zijn functionele scheidingen en geen beveiliging.
En tegen netwerk (over)belasting helpen ze uiteraard helemaal niet, alles gaat nog steeds over dezelfde fysieke layer.
Voor beveiliging en afscherming heb je een goede firewall in je netwerk nodig met de juiste rules.

@M2M Iot device hebben uiteraard zelf geen firewall.
Je moet een firewall in je netwerk opnemen die dingen kan afschermen doordat bepaalde ipadressen maar naar bepaalde andere adressen mogen connecten en nergens anders heen.

Misschien past dat dan met bij mij. Hoe zie ik wel IP adres bijvoorbeeld een hub wel heen mag een welke niet? En hoe pas ik dit aan in mijn router?
Overigens ga ik gebruikmaken van de QNAP qsw-l3208-2c6t.

[Dennism]

M2M schreef op donderdag 6 november 2025 @ 13:32:
Zelfs met de beste firewall in je router kun je niet voorkomen dat het buiten de router om een connectie probeert te maken met andere brakke IOT dingen in je netwerk.

Je hele netwerk opdelen in kleine stukjes is dan ook weer wat overdreven.

Kan je daar niet gewoon device / client isolation voor gebruiken? Dat is wat ik regelmatig gebruik voor public / gast wifi implementaties bijvoorbeeld.

[Dennism]

Tostie1987 schreef op donderdag 6 november 2025 @ 14:53:
[...]


Misschien past dat dan met bij mij. Hoe zie ik wel IP adres bijvoorbeeld een hub wel heen mag een welke niet? En hoe pas ik dit aan in mijn router?
Overigens ga ik gebruikmaken van de QNAP qsw-l3208-2c6t.

Dat bekijk je in de rule matrix van je firewall, wat je daar linkt is volgens mij een switch. Geen router / firewall.
Let wel dat lang niet alle routers geavanceerde firewall opties hebben.

[br00ky]

Schopje naar NT.

[FRIKANDEL14]

Als je die VLAN’s echt op firewall niveau wil afdwingen (en dus ook echt iets aan de segmentatie wil hebben), zou ik eens kijken naar een echte firewall, bijv. pfSense, OPNsense of een UniFi Gateway.
Daarmee kun je netjes bepalen welk VLAN met welk mag praten, en wat alleen naar internet mag.

Omdat je zei dat sommige apparaten door VLANs heen moeten kunnen communiceren, zou ik je aanraden om iets te nemen wat mDNS (Multicast DNS) ondersteunt. Daardoor kunnen je apparaten elkaar nog vinden en koppelen, zonder dat je alles handmatig hoeft in te stellen. Scheelt weer een hoop handmatig gepruts.

[laurens0619]

Gehackte iot apparatuur zal niet zo snel het lokale netwerk op gaan om andere devices te hacken. Sowieso zouden je apparaten op je lan niet zomaar gehackt moeten kunnen worden als er puur netwerk connectiviteit is.

Wat wel vaak voorkomt is dat de gehackte iot apparaten als bot worden ingezet om aanvalle richting het internet te doen.

Beste maatregel is geen troep te kopen en die op je lan te zetten.
Daarna is het goede practice om internet van je iot apparaten te blokkeren of te filteren naar alleen backend. Met dat laatste hou je alleen het probleem houden dat de apparatuur naar huis belt. Beste dus geen internet

Apparaten in apart vlan maar wel internet open (deze zie je het vaakst) is thuis redelijk zinloos.

Maar…. Wel leerzaam en “omdat het kan”.

Als jij dit wil moet je alleen je accesspoints vervangen omdat die geen vlans kunnen

[FredvZ]

Tostie1987 schreef op donderdag 6 november 2025 @ 13:12:
Hierbij wil ik mijn NAS ook beter afschermen van het internet. De QNAP NAS blokkeert dagelijks wel 100.000 ping verzoeken.. Lijkt mij niet helemaal gezond. De meeste zijn intern, sommige IP-adressen komen (volgens IP-lookup) uit China.

Die ping verzoeken komen daar niet zomaar.
Heb je het IP-adres van de NAS ingesteld als DMZ?