Terug naar de blog
17 augustus 2026

Vlan instellen bij een bedrijf: praktische stappen voor het MKB

Handen die netwerkkabels aansluiten op een switch

Ja, VLANs kun je prima inzetten in het MKB. Segmentatie via VLANs verhoogt de veiligheid, verlicht je netwerkbelasting en maakt beheer overzichtelijker, ook met een klein team. Het minimale stappenplan bij het vlan instellen voor je bedrijf: ontwerp je VLAN-id’s en subnetten, maak de VLANs aan op je managed switch, wijs poorten toe als access of trunk, richt inter-VLAN routing in en test alles voordat je gebruikers erop laat werken.

Voor de meeste kantoren met één tot enkele switches werkt een Layer‑3 switch met SVI’s (Switch Virtual Interfaces) het beste. Heb je maar één switch en één router, dan is router-on-a-stick een prima tussenstap.

  • Ontwerp: bepaal welke VLANs je nodig hebt (werkplekken, voice, servers, gasten, IoT).
  • Aanmaken: maak elk VLAN aan op je switch met een uniek id en naam.
  • Poorten toewijzen: stel per poort in of die access of trunk is.
  • Routing: configureer een SVI of router-on-a-stick voor verkeer tussen VLANs.
  • Testen: verifieer connectiviteit met ping en show-commando’s voordat je live gaat.

Belangrijkste inzichten

VLAN-segmentatie werkt in het MKB het best met een doordacht ontwerp vooraf en een Layer‑3 switch of router-on-a-stick als routeringsmethode, aangevuld met gestructureerd testen na elke wijziging.

Punt Details
Ontwerp eerst, configureer daarna Vertaal bedrijfsprocessen naar aparte VLANs voor werkplekken, voice, servers, gasten en IoT.
Vermijd VLAN 1 voor management Richt een apart management-VLAN in en stel bewust een PVID per poort in.
Kies routing passend bij schaal Gebruik SVI’s voor productieomgevingen en router-on-a-stick alleen voor kleine, tijdelijke opzetten.
Test met show-commando’s Controleer show vlan, show interface trunk en show ip interface brief na elke wijziging.
Overweeg Astia bij complexe migraties Astia verzorgt ontwerp, implementatie, monitoring en documentatie bij grotere VLAN-trajecten.

Inhoudsopgave

Wat heb je nodig voordat je begint met vlan instellen voor je bedrijf?

Een mislukte VLAN-migratie komt zelden door een verkeerd commando. Het komt door een ontbrekend IP-schema, een switch zonder Layer‑3 licentie, of geen rollback-plan als het misgaat op een dinsdagmiddag.

Zorg voor deze basis:

  • Hardware: minstens één managed switch (Layer‑2 volstaat voor eenvoudige segmentatie, Layer‑3 nodig voor SVI’s), een router of firewall als je geen L3-switch gebruikt, voldoende kabels en eventueel PoE-poorten voor voice-apparaten of access points.
  • Toegang: werkende inloggegevens voor de switch, via CLI (command line) of webinterface, en een recente firmwareversie zodat alle VLAN-functies beschikbaar zijn.
  • Organisatie: een netwerkdiagram met de huidige topologie, een IP-schema per geplande VLAN en een onderhoudsvenster buiten kantooruren.
  • Rollback-plan: een export van de huidige configuratie, zodat je binnen minuten kunt teruggaan als een wijziging verkeer blokkeert.

Reken voor een eenvoudige implementatie met enkele VLANs op een enkele switch op een paar uur, inclusief testen. Migreer je een heel kantoor naar een Layer‑3 switch met meerdere SVI’s en DHCP-herinrichting, dan is een dagdeel tot een volledige werkdag realistischer, afhankelijk van het aantal apparaten en applicaties die opnieuw moeten koppelen.

Hoe ontwerp je een VLAN-structuur die past bij je bedrijf?

Het ontwerp bepaalt of je netwerk over een jaar nog te beheren is, of dat je een lappendeken van uitzonderingen krijgt. Begin daarom bij de bedrijfsprocessen, niet bij de techniek: welke groepen apparaten moeten met elkaar praten, en welke juist niet?

Een typisch MKB-kantoor werkt met VLANs voor werkplekken, spraak (voice), servers, gasten-wifi en eventueel IoT-apparatuur zoals camera’s of slimme deursloten. Elke groep krijgt een eigen VLAN-id en subnet, zodat een besmet apparaat in het gastennetwerk niet bij je serverdata kan komen.

Houd voor VLAN-id’s en namen een vaste conventie aan. Gebruik bijvoorbeeld id’s in blokken van tien zodat er ruimte overblijft voor uitbreiding, en geef elk VLAN een herkenbare naam zoals DATA, VOICE, GUEST of IOT in plaats van een cijfercombinatie.

Een compact voorbeeld voor een kantoor is een VLAN voor werkplekken, voice, servers en gasten-wifi, elk met een eigen subnet en gateway.

Pro-tip: Gebruik nooit VLAN 1 voor je management-verkeer. VLAN 1 is op vrijwel elke switch de fabrieksinstelling en dus het eerste doelwit bij een aanval. Richt een apart management-VLAN in, stel op elke poort een bewuste PVID in en laat VLAN 1 verder ongebruikt.

Hoe ontwerp je een VLAN-structuur die past bij je bedrijf? — overview diagram

Vlan aanmaken en poorten toewijzen: stap voor stap

Zodra het ontwerp vaststaat, volgt de uitvoering. De basisstappen zijn op vrijwel elke managed switch gelijk, of je nu de webinterface of de command line gebruikt: VLAN aanmaken met een uniek id tussen 2 en 4094, een naam geven, de PVID per poort instellen en bepalen of een poort access of trunk wordt.

Handen die kabels aansluiten en instellingen aanpassen op een netwerkswitch.

Bij Cisco-apparatuur verloopt dit via commando’s die je op de meeste enterprise- en business-switches terugvindt:

vlan 10
 name WERKPLEKKEN
exit
interface gigabitEthernet 0/1
 switchport mode access
 switchport access vlan 10

Voor een trunk-poort, die meerdere VLANs tegelijk moet doorlaten naar een andere switch of router, gebruik je in plaats daarvan switchport mode trunk en geef je op welke VLANs zijn toegestaan.

Op Cisco Business switches (CBS220, CBS250 en CBS350 series) verloopt dit via de webinterface: je logt in, navigeert naar het VLAN-beheerscherm, maakt een nieuw VLAN aan met een unieke id en wijst vervolgens per poort de modus en het VLAN toe. Belangrijk detail: VLAN 1 is standaard aanwezig als default VLAN op bijna elke switch, dus check altijd welke poorten daar nog aan hangen voordat je gaat herconfigureren.

Let bij elke wijziging op een paar zaken die vaak over het hoofd worden gezien:

  • De PVID (Port VLAN Identifier) bepaalt in welk VLAN ongetagde frames terechtkomen; klopt die niet, dan valt een apparaat plotseling stil.
  • Het default VLAN kan nog actieve hosts bevatten die je per ongeluk afsluit.
  • Sla configuraties altijd op en maak een backup voordat je verdergaat naar de volgende poort.
  • Wijzig eerst één poort, test die grondig, en rol pas daarna de rest van die zone uit.

Deze gefaseerde aanpak voelt traag, maar voorkomt dat je een heel kantoor tegelijk offline zet door één tikfout in een poortconfiguratie.

Wat is het verschil tussen tagged en untagged verkeer op een trunk?

Een trunk-poort vervoert verkeer van meerdere VLANs over één fysieke kabel. Dat kan alleen omdat elk Ethernet-frame een label krijgt: het 802.1Q-tag, met daarin het VLAN-id waartoe het frame behoort.

Tagged frames dragen dat label expliciet mee, untagged frames niet. Elke trunk-poort heeft daarom een native VLAN: het VLAN waarvan frames ongetagd over de trunk gaan. Komt zo’n ongetagd frame aan de andere kant van de trunk binnen, dan bepaalt het native VLAN van dat kant hoe het wordt geïnterpreteerd.

Bij het configureren van een trunk bepaal je ook welke VLANs zijn toegestaan via de zogeheten allowed list. Dat is een bewuste veiligheidsmaatregel: alleen de VLANs die je expliciet toelaat, kunnen over die trunk-link.

De meest voorkomende fouten zijn hardnekkig omdat ze zich niet meteen melden:

  • Een mismatched native VLAN aan beide kanten van de trunk, waardoor frames in het verkeerde VLAN belanden zonder duidelijke foutmelding.
  • Een vergeten VLAN op de allowed list, waardoor apparaten in dat VLAN de trunk simpelweg niet kunnen bereiken.
  • Trunk- en access-modus per ongeluk omgewisseld, waardoor een poort ineens al het gelabelde verkeer doorlaat naar een enkel apparaat.

Denk bij een trunk-link tussen je switch en je router of Layer‑3 switch aan één kabel die logisch is opgesplitst in meerdere gescheiden paden, één per VLAN, met het native VLAN als de enige “ongelabelde” doorgang.

Pro-tip: Controleer na elke trunk-wijziging aan beide zijden of het native VLAN identiek is. Voor 802.1Q-trunking moet het native VLAN op beide kanten overeenkomen; een mismatch hier is een van de lastigst te herkennen oorzaken van vage connectiviteitsproblemen.

Welke methode voor inter-vlan routing past bij jouw netwerk?

Zodra je meerdere VLANs hebt, moet verkeer daartussen ergens gerouteerd worden. Daarvoor bestaan drie gangbare methoden, elk met een andere balans tussen kosten, prestaties en complexiteit.

Router-on-a-stick (ROAS) gebruikt één trunk-verbinding tussen switch en router, met per VLAN een subinterface op die router. Het is goedkoop te implementeren omdat je geen Layer‑3 switch nodig hebt, maar alle inter-VLAN-verkeer deelt diezelfde trunk, wat bij groei snel een bottleneck wordt.

SVI’s op een Layer‑3 switch routeren verkeer direct in de hardware van de switch. Dat maakt deze aanpak de standaard voor productieomgevingen: L3-switches routeren dankzij gespecialiseerde ASICs op dezelfde snelheid als ze schakelen, zonder de trunk-bottleneck van ROAS.

Routed ports zijn fysieke poorten die volledig als Layer‑3 interface werken, zonder VLAN-koppeling. Die gebruik je meestal voor punt-naar-punt verbindingen tussen switches of naar een externe router, niet voor het routeren tussen VLANs binnen één locatie.

Criterium Router-on-a-stick SVI (Layer‑3 switch) Routed port
Best geschikt voor Klein kantoor, tijdelijke opzet Productieomgeving, groeiend kantoor Punt-naar-punt links tussen switches
Prestatierisico Trunk-bottleneck bij veel verkeer Wire‑speed routing, geen bottleneck Geen, maar geen VLAN-functie
Complexiteit Laag, één trunk en subinterfaces Gemiddeld, vereist L3-switch en ip routing Laag, maar beperkt inzetbaar
Kosten Laag, bestaande router volstaat Hoger, L3-switch nodig Afhankelijk van poortcapaciteit
Single point of failure Ja, router en trunk Beperkt bij redundante switches Nee, per link te dupliceren

Voor een klein kantoor met een handjevol VLANs en beperkt budget is router-on-a-stick een redelijke start. Verwacht je groei, kritische applicaties of gewoon meer dan een paar VLANs, kies dan direct voor een Layer‑3 switch met SVI’s.

Een subinterface-configuratie voor ROAS ziet er zo uit:

interface gigabitEthernet 0/0.10
 encapsulation dot1Q 10
 ip address 10.10.10.1 255.255.255.0

Op een Layer‑3 switch richt je in plaats daarvan een SVI in:

ip routing
interface vlan 10
 ip address 10.10.10.1 255.255.255.0

Vergeet dat eerste commando niet: zonder ip routing ingeschakeld routeert de switch simpelweg niets, ook al staat de SVI er verder correct bij.

Hoe richt je DHCP en gateways per vlan in?

Elk VLAN heeft een eigen gateway-IP nodig, meestal het adres van de SVI of subinterface die je bij de routing-configuratie hebt aangemaakt. Apparaten in dat VLAN moeten dat adres als default gateway krijgen, anders komen ze nooit buiten hun eigen subnet.

Voor DHCP heb je drie opties. Je draait DHCP lokaal op de switch zelf via de SVI, je gebruikt een externe DHCP-server met een ip helper-address op elke SVI die verzoeken doorstuurt, of je zet een dedicated DHCP-relay in tussen VLANs en server. De tweede optie is in het MKB het meest gebruikelijk, omdat je dan één centrale server blijft beheren:

interface vlan 10
 ip address 10.10.10.1 255.255.255.0
 ip helper-address 10.10.30.10

Loopt een VLAN vast zonder IP-adres, controleer dan in deze volgorde: staat het DHCP-scope voor dat subnet correct ingesteld, klopt het subnetmasker, en wijst de default gateway naar het juiste SVI-adres. Deze drie punten verklaren het merendeel van de DHCP-storingen na een VLAN-wijziging.

Hoe test je je VLAN-configuratie en los je problemen op?

Test niet pas als gebruikers klagen. Loop na elke wijziging bewust een diagnosetraject af, van fysieke laag naar routing:

  • Controleer de fysieke link: brandt het lampje, staat de poort niet administratief down.
  • Verifieer met show vlan of het VLAN daadwerkelijk op de switch bestaat en de juiste poorten bevat.
  • Check met show interface trunk of de trunk de juiste VLANs toelaat en het native VLAN klopt.
  • Bekijk met show ip interface brief of de SVI de status “up/up” heeft.
  • Controleer met show ip route of de routeringstabel de verwachte VLAN-subnetten toont.
  • Test connectiviteit met ping vanaf een host naar de eigen gateway, dan naar een ander VLAN.

Een SVI die niet naar “up” gaat, is een van de meest voorkomende valkuilen. Een SVI komt alleen up als het bijbehorende VLAN bestaat, de interface niet administratief down staat, en er minstens één actieve poort in dat VLAN aanwezig is. Ontbreekt die laatste voorwaarde, dan blijft de SVI “down” ook al lijkt de configuratie perfect.

Volg bij een storing altijd dezelfde route: host, dan de access-poort van de switch, dan de trunk, dan het Layer‑3 apparaat, en pas daarna de routeringstabel. Drie fouten verklaren het merendeel van de inter-VLAN problemen: een vergeten ip routing-commando, een verkeerde default gateway op de host, of een trunk-allowed list die het VLAN blokkeert.

Pro-tip: Houd bij grotere migraties een simpel logboekje bij van elke wijziging: welke poort, welk VLAN, welk tijdstip. Bij een storing een uur later scheelt dat enorm veel zoektijd.

Welke beveiligingsmaatregelen horen bij een goed vlan-beheer?

Een VLAN-structuur is pas echt veilig als de operationele routines eromheen kloppen. Een paar concrete regels die in de praktijk het verschil maken:

  • Zet nooit management-verkeer op VLAN 1; isoleer het in een eigen, bewust gekozen management-VLAN.
  • Plaats access control lists (ACLs) op de SVI’s om te bepalen welk VLAN met welk ander VLAN mag praten.
  • Richt een apart voice-VLAN in voor telefonie en een apart segment voor IoT-apparatuur zoals camera’s.
  • Houd firmware van switches actueel en bewaar configuratie-backups na elke wijziging.
  • Monitor trunk- en poortstatus, en werk met een vast onderhoudsvenster voor netwerkwijzigingen.
  • Leg toegangsregels zoveel mogelijk op de firewall vast, en gebruik de SVI-ACL’s alleen voor grove segmentatie.

Pro-tip: Test nieuwe ACL’s eerst in een permissieve modus, of op een aparte test-SVI, voordat je ze op productie-VLANs uitrolt. Een te strikte regel merk je vaak pas als een applicatie stopt met werken. Dan zoek je op het verkeerde moment naar de oorzaak. Voor de structurele invulling van die firewallregels is firewallbeheer een logisch vervolg op je VLAN-ontwerp.

Cisco Business en Ubiquiti UniFi in de praktijk

Op een Cisco Business switch (CBS220, CBS250 of CBS350) verloopt VLAN-beheer via de webinterface: inloggen, naar het VLAN-beheerscherm gaan, een nieuw VLAN toevoegen met een unieke id, en per poort de modus en het VLAN instellen. Voor een SVI op een Layer‑3 model schakel je eerst routing in en maak je vervolgens de virtuele interface aan:

ip routing
interface vlan 20
 ip address 10.10.20.1 255.255.255.0

Werk je met Ubiquiti UniFi, dan verloopt het net iets anders: in de controller ga je naar Networks, kies je Create New Network, en wijs je vervolgens per switchport of access point het gewenste VLAN toe. Dat maakt UniFi een veelgebruikte optie voor kleinere MKB-omgevingen die eenvoud boven granulaire controle verkiezen.

Voor de exacte commando-syntax van jouw specifieke model en firmwareversie raadpleeg je altijd de vendor-documentatie zelf. Vendor-documentatie wijzigt per firmwareversie, en een verkeerd overgenomen commando uit een verouderde gids is een veelvoorkomende bron van fouten.

Wat doet Astia als je VLAN-implementatie uitbesteedt?

Een gestructureerde uitrol volgt bij Astia altijd dezelfde opbouw: intake en netwerkscan, ontwerp van de VLAN-structuur, een testfase in een gecontroleerde omgeving, gefaseerde uitrol per zone, en gestructureerde nazorg met monitoring.

Je krijgt daarbij concrete deliverables: complete configuratie-documentatie, een rollback-plan, doorlopende SLA-monitoring, automatische backups en een changelog van elke wijziging.

Uitbesteden is vooral zinvol als je interne capaciteit beperkt is, als kritische bedrijfsprocessen afhankelijk zijn van het netwerk, of als je behoefte hebt aan 24/7 monitoring die een klein team niet zelf kan bieden.

Zelf doen of uitbesteden: een eerlijke afweging

Heb je een ervaren beheerder in huis en gaat het om een handjevol VLANs op één of twee switches, dan is zelf doen vaak de snelste en goedkoopste route. De stappen in dit artikel zijn met een beetje voorbereiding prima uitvoerbaar zonder externe hulp.

Bij een grotere migratie, zoals de overstap van een plat netwerk naar een volledige Layer‑3 opzet met meerdere VLANs, DHCP-herinrichting en gelijktijdige beveiligingseisen, ligt dat anders. Een MKB-bedrijf dat overstapte van een enkele platte switch naar een Layer‑3 omgeving met gescheiden VLANs voor werkplekken, voice en gasten-wifi liep bijvoorbeeld tegen precies de combinatie aan die dit artikel beschrijft: een vergeten ip routing-commando en een trunk die niet alle VLANs doorliet. Beide problemen waren met de juiste voorbereiding te voorkomen geweest.

Managed netwerkbeheer als alternatief voor zelf uitzoeken en onderhouden

Zelf VLANs instellen kost tijd, en die tijd loop je mis op je eigenlijke werk. Astia neemt het volledige traject over: van ontwerp tot implementatie, monitoring en documentatie, zodat jouw netwerk gewoon blijft werken zonder dat jij de show-commando’s hoeft te onthouden.

Astia

Astia’s netwerkbeheer omvat VLAN-ontwerp, zakelijke wifi, firewallbeheer en de migratie naar een Layer‑3 omgeving als je netwerk daar klaar voor is. Je krijgt een compleet ontwerp, een gefaseerde implementatie, doorlopende monitoring met een SLA en volledige configuratie-documentatie, zodat je nooit meer afhankelijk bent van één persoon die “toevallig weet hoe het zit”.

Twijfel je of jouw netwerk klaar is voor een VLAN-structuur, of loop je al tegen prestatieproblemen aan door een plat netwerk? Vraag een netwerkscan aan via ICT uitbesteden en ontdek binnen een week waar de knelpunten zitten.

Bronnen

Voor exacte commando’s op jouw specifieke model en firmwareversie zijn deze bronnen een goed startpunt:

De Cisco-documentatie is het sterkst in GUI-stappen voor Business-switches, terwijl NetworkLessons en PacketMentor dieper ingaan op CLI-commando’s en de onderliggende routeringslogica.

Aanbeveling