Het risico van één plat netwerk
Bemmel hoort bij de gemeente Lingewaard. Zoals bij veel mkb-bedrijven is het netwerk van een onderneming hier vaak in de loop der jaren met het bedrijf meegegroeid. Er kwam een printer bij, een paar camera’s, een wifi-netwerk voor bezoekers en misschien een machine of een slimme meter. Alles kreeg een plek in hetzelfde netwerk.
Dat is handig zolang er niets gebeurt. Maar raakt één apparaat besmet, dan kan het in zo’n plat netwerk ongehinderd bij de rest. Een bezoeker op de gastwifi zit dan in feite naast uw fileserver, en een verouderde camera wordt een achterdeur. Het oplossen daarvan begint met een indeling die bepaalt wie en wat met elkaar mag praten.
Zo delen we uw netwerk in
Met VLAN’s splitsen we één fysiek netwerk op in meerdere logische netwerken. Welke indeling logisch is, hangt af van uw bedrijf, maar een gangbare opzet ziet er zo uit:
- Kantoor: de werkplekken van uw medewerkers, met toegang tot bestanden en bedrijfsapplicaties
- Servers: alleen bereikbaar voor wie ze nodig heeft
- Productie of techniek: machines, meetapparatuur en andere systemen die niet altijd bijgewerkt kunnen worden
- Camera’s en toegang: afgeschermd, met alleen verbinding naar de opslag van de beelden
- Gasten: internettoegang voor bezoekers, verder nergens heen
Tussen die netwerken staat de firewall, bijvoorbeeld een FortiGate van Fortinet. Daar leggen we per verbinding vast wat is toegestaan. Alles wat niet expliciet mag, wordt tegengehouden.
Gastwifi die echt gescheiden is
Een apart wifi-wachtwoord voor bezoekers is nog geen gescheiden netwerk. Wij koppelen de gastwifi aan een eigen VLAN dat alleen naar internet mag, zodat een laptop van een bezoeker uw interne systemen niet eens kan zien. Desgewenst beperken we ook de bandbreedte, zodat gasten uw eigen verbinding niet vol trekken. Wilt u de dekking in het pand zelf verbeteren, kijk dan bij wifi-aanleg.
Regels bijhouden, niet alleen instellen
Een segmentatie is maar zo goed als het onderhoud ervan. Er komen nieuwe apparaten bij, leveranciers vragen om toegang op afstand, en tijdelijke uitzonderingen blijven anders jaren staan. Wij documenteren elke regel met de reden erachter, houden de firmware van switches en firewall bij en zien in de monitoring wanneer er iets ongebruikelijks gebeurt.
Het grootste deel van dat beheer doen we op afstand vanuit Nijmegen. Moet er een switch vervangen of een kabel getrokken worden, dan komt er iemand langs. Het beheer valt onder een vaste prijs per gebruiker per maand; zie onze pakketten of de pagina over netwerkbeheer voor wat er verder bij hoort.
Veelgestelde vragen over netwerkbeheer in Bemmel
Is segmentatie ook zinvol voor een klein bedrijf?
Ja, zeker als er naast de werkplekken ook camera’s, een gastennetwerk of machines aan het netwerk hangen. Een eenvoudige indeling in drie of vier delen verkleint het risico al aanzienlijk en is op de meeste zakelijke switches goed te realiseren.
Merken medewerkers iets van de nieuwe indeling?
Nauwelijks. Hun werkplek blijft gewoon bij de bestanden en applicaties die ze nodig hebben. Het verschil zit in wat er niet meer kan, zoals een gastlaptop die bij de printer of de server komt.
Onze machineleverancier wil op afstand kunnen meekijken. Kan dat nog?
Ja. We richten dan een afgeschermde toegang in die alleen uitkomt bij het apparaat van die leverancier, en niet in de rest van uw netwerk. Zo’n toegang leggen we vast in de documentatie, zodat hij niet blijft openstaan als de samenwerking stopt.
Kan dit met onze huidige switches?
Dat hangt af van het type. Veel zakelijke switches ondersteunen VLAN’s, maar goedkope onbeheerde exemplaren niet. Bij de inventarisatie zien we welke apparatuur kan blijven en wat vervangen moet worden om de indeling goed te laten werken.
Klaar om ICT van uw bordje te halen?
Vertel ons waar u nu tegenaan loopt. In een gesprek van een uur weet u of wij bij uw organisatie passen, geheel vrijblijvend.