Handleidingen

VLAN voor je smart-home: een apart netwerk voor je apparaten

Op een gewoon thuisnetwerk zit alles op hetzelfde net: je laptop, je nas, je slimme tv, de camera en de goedkope slimme stekker uit een webshop. Is één daarvan onveilig of gehackt, dan kan het de rest zien. Met VLAN’s verdeel je dat netwerk in aparte stukken, zonder extra kabels. Het is een van de beste stappen als je veel smart-home-apparaten hebt.

Wat is een VLAN?

Een VLAN is een virtueel netwerk. Eén fysiek netwerk wordt opgesplitst in meerdere netwerken die elkaar niet zien, tenzij je dat toestaat. Een apparaat hoort bij één VLAN en krijgt daar zijn eigen adres. Het verkeer tussen VLAN’s loopt via je router of firewall, en daar zet je regels.

Wat heb je nodig?

  • Een router of firewall die VLAN’s kan (bijvoorbeeld OPNsense, pfSense, UniFi, MikroTik). Veel simpele providerkastjes kunnen dat niet.
  • Een managed switch die VLAN’s (802.1Q) ondersteunt.
  • Een access point dat meerdere wifi-netwerken (SSID’s) aan verschillende VLAN’s kan koppelen.

Een eenvoudig plan

Begin met drie of vier netwerken:

VLAN Wie Voorbeeld-netwerk
10 Vertrouwd: je eigen computers en telefoons 192.168.10.0/24
20 Smart-home: lampen, stekkers, tv, camera’s 192.168.20.0/24
30 Gasten: alleen internet 192.168.30.0/24
40 Servers: Home Assistant, nas, homelab 192.168.40.0/24

Controleer je plan met de CIDR-overlap-tool en bereken grenzen met de Subnet-calculator.

Zo pak je het aan

  1. Maak de VLAN’s op je router aan: per VLAN een eigen netwerk met een eigen DHCP-server.
  2. Stel de switch in. De poort naar de router en naar een access point is een trunk: die draagt alle VLAN’s (tagged). Een poort voor één apparaat (zoals een nas) is een access-poort voor één VLAN (untagged).
  3. Koppel wifi-netwerken aan VLAN’s. Maak per VLAN een eigen SSID (bijvoorbeeld “Thuis”, “Smarthome” en “Gast”) in je access point.
  4. Stel firewallregels in. Begin met “alles tussen VLAN’s geblokkeerd” en voeg toe wat nodig is:
    • Vertrouwd mag naar Smart-home en Servers (om te bedienen).
    • Smart-home mag naar internet, maar niet naar Vertrouwd.
    • Gasten alleen naar internet.
    • Alle VLAN’s mogen je DNS-server gebruiken (zoals Pi-hole).
    • Home Assistant (op de servers) mag naar Smart-home om apparaten aan te sturen.
  5. Verplaats apparaten één voor één en controleer na elk of alles blijft werken.

Waar het misgaat

  • Jezelf buitensluiten: stel een VLAN niet in vanaf een verbinding die je er daarmee afhaalt. Houd een kabel in een poort die je niet wijzigt en bewaar een back-up van je configuratie.
  • Apparaten vinden elkaar niet meer. Casten, AirPlay en veel integraties van Home Assistant gebruiken broadcast (mDNS, SSDP) die niet over VLAN’s heen gaat. Oplossingen: een mDNS-repeater op je router, of een netwerkkaart/VLAN-interface voor Home Assistant in het smart-home-VLAN.
  • Apparaten die thuis moeten blijven: sommige slimme apparaten willen cloud en lokaal tegelijk. Test per apparaat welke regels nodig zijn.
  • Te veel in een keer. Begin met één extra netwerk (smart-home), werk dat uit en breid dan uit.

Bronnen en bronvermelding

Dit artikel is in eigen woorden geschreven. De instellingen verschillen per merk; kijk ook in de handleiding van je eigen router of switch.