Netwerken, topologieën en apparaten

Een netwerk verbindt apparaten zodat ze gegevens kunnen uitwisselen en bronnen kunnen delen. Bij het openen van een gedeelde map, het afdrukken van een document en het laden van een website communiceren apparaten met elkaar, maar ze volgen niet allemaal hetzelfde pad.

Apparaten, verbindingen en regels

Elk aangesloten apparaat is een knooppunt. Een eindapparaat maakt of ontvangt de gegevens: een laptop, telefoon, server, printer of camera. Een tussenliggend apparaat, zoals een switch, router, accesspoint of firewall, verplaatst of beheerst gegevens tussen eindapparaten. Een server blijft een eindapparaat, ook als die honderden clients bedient.

Een netwerkinterfacekaart (NIC) verzorgt de bekabelde of draadloze verbinding van een apparaat met een medium. Koperen Ethernetkabel transporteert elektrische signalen; glasvezelkabel transporteert licht en is geschikt voor langere verbindingen of plaatsen met elektrische interferentie. Wifi, mobiele netwerken en Bluetooth gebruiken radio. Een laptop kan zowel een bekabelde als een draadloze interface hebben.

Apparaten volgen protocollen: afgesproken communicatieregels. Ethernet verzorgt bekabelde lokale verbindingen, wifi verzorgt draadloze lokale verbindingen, het internetprotocol (IP) transporteert pakketten tussen netwerken en het beveiligde hypertextoverdrachtsprotocol (HTTPS) beveiligt webverzoeken. Door dezelfde regels te volgen kan apparatuur van verschillende fabrikanten samenwerken. Gegevens reizen in kleinere eenheden met bron- en bestemmingsadressen: frames op lokale verbindingen en pakketten tussen netwerken.

Twee adressen met verschillende taken

Een gewoon Ethernet-MAC-adres heeft 48 bits, weergegeven als zes paren hexadecimale cijfers. Een interface heeft een door de fabrikant toegewezen adres, maar software kan een lokaal toegewezen adres gebruiken. Veel telefoons en laptops gebruiken privé-wifi-MAC-adressen die per netwerk verschillen. Als je een laptop naar een ander kantoor verplaatst, verandert meestal het IP-adres; het MAC-adres van de bekabelde interface blijft normaal gesproken gelijk. Beschouw een MAC-adres niet als een onveranderlijke identiteit voor een hele computer.

Capaciteit, behaalde snelheid en vertraging

Bandbreedte is de maximale datasnelheid van een verbinding. Doorvoersnelheid is de werkelijk behaalde snelheid. Latentie is de vertraging onderweg, meestal gemeten in milliseconden. Een verbinding met veel bandbreedte kan toch een lange vertraging hebben en ander verkeer dat dezelfde verbinding gebruikt, kan de doorvoersnelheid verlagen zonder de opgegeven bandbreedte te veranderen.

Netwerksnelheden gebruiken bits per seconde: 1 Mbps is 1.000.000 bit/s en 1 Gbps is 1.000 Mbps. Bestandsgroottes gebruiken bytes: 1 byte is 8 bits. De kleine letter b en de hoofdletter B zijn belangrijk.

Voor een bestand van 1 GB op een verbinding van 100 Mbps:

1. Zet bytes om in bits: $\mathrm{1.000.000.000}\times 8=\mathrm{8.000.000.000}$ bits.
2. Deel door de snelheid: $\mathrm{8.000.000.000}÷\mathrm{100.000.000}=80$ seconden.
3. Bij 1 Gbps duurt dezelfde ideale overdracht 8 seconden. Overhead en ander verkeer op de verbinding maken werkelijke overdrachten langer.

Een verbinding van 100 Mbps transporteert dus maximaal 12,5 MB per seconde, geen 100 MB per seconde. Houd ook wifi en internettoegang uit elkaar: wifi verbindt je met het lokale netwerk; een router en internetprovider (ISP) bieden de route daarbuiten. Lokaal afdrukken kan nog steeds werken tijdens een internetstoring.

Netwerknamen beschrijven vaak het bereik en de eigendom. Begin bij de apparaten en locaties die worden verbonden en vraag dan wie de verbindingen beheert. De snelheid van een verbinding alleen vertelt je niet om welk netwerktype het gaat.

Van één persoon tot verre kantoren

Dit zijn praktische categorieën met grenzen bij benadering. Een universiteit kan eigenaar zijn van een CAN tussen haar gebouwen en een WAN-verbinding huren naar een onderzoekslocatie in een andere stad. Een snel WAN blijft een WAN. Internet verbindt wereldwijd netwerken en is niet van één eigenaar; het wordt vaak het grootste WAN genoemd.

Twee andere benamingen beantwoorden andere vragen. Een SAN is genoemd naar de taak om servers met gedeelde opslag te verbinden. SOHO beschrijft een kleine opzet, vaak rond één alles-in-één-internetrouter.

Hoe verre locaties verbinding maken

Een huurlijn biedt een exclusieve punt-tot-puntverbinding met vaste bandbreedte. Ook het Multiprotocol Label Switching-netwerk (MPLS) van een provider of Metro Ethernet kan bedrijfslocaties verbinden. Zakelijke breedband kan gebruikmaken van DSL via telefoonbekabeling, kabel via het televisienetwerk of glasvezel tot in het pand. Mobiele netwerken met 4G/5G en satellietverbindingen bereiken plaatsen waar vaste verbindingen lastig zijn en kunnen reserveverbindingen bieden.

Een VPN voegt een versleutelde tunnel toe over een ander netwerk, vaak internet. De fysieke verbinding komt nog steeds van een internetprovider; de tunnel beschermt het verkeer tussen de uiteinden. Softwaregedefinieerd WAN (SD-WAN) beheert meerdere WAN-verbindingen centraal en kiest geschikte paden voor applicaties. Een kantoor kan bijvoorbeeld glasvezel en een mobiele verbinding hebben, waarbij applicatieverkeer afhankelijk van de toestand van de verbindingen wordt gestuurd.

Waarom een hoge snelheid toch traag kan aanvoelen

Een geostationaire satelliet bevindt zich ongeveer 35.786 km boven de evenaar. Een verzoek gaat omhoog en omlaag en het antwoord gaat opnieuw omhoog en omlaag. Zelfs de kortste dergelijke heen- en terugreis beslaat ongeveer 143.000 km. Bij ongeveer 300.000 km/s duurt alleen de reis van het signaal al ongeveer 0,48 seconde, ofwel 480 ms. Apparatuur en de rest van de route voegen meer vertraging toe.

Satellieten in een lage baan om de aarde staan veel dichterbij en hebben minder vertraging onderweg. Deze vergelijking gaat over latentie, niet over het aantal bits dat een dienst per seconde kan transporteren. Een grote download en een live spraakgesprek kunnen daarom heel anders worden ervaren op dezelfde satellietverbinding.

Een dienst kan worden aangevraagd bij een centraal systeem of rechtstreeks worden gedeeld door de computers die de dienst gebruiken. Deze twee opstellingen veranderen hoe accounts, bestanden en back-ups worden beheerd. De rollen horen bij software, dus de vorm van de computerbehuizing zegt weinig over het deelmodel.

Een client vraagt; een server levert

In een client-servernetwerk vragen clients diensten aan bij speciaal daarvoor ingerichte servers. Een webbrowser is een client van een webserver. Een kantoorcomputer kan een gedeelde map bij een bestandsserver aanvragen en een afdrukopdracht via een printserver versturen. E-mail, databases en centrale aanmelding zijn andere veelvoorkomende serverrollen.

Een directory- en authenticatieserver, zoals Microsoft Active Directory, bewaart accounts en controleert aanmeldingen. Een server voor het dynamische hostconfiguratieprotocol (DHCP) deelt netwerkadressen uit. Een server voor het domeinnaamsysteem (DNS) zet namen, zoals “example.com”, om naar adressen. Eén fysieke machine kan meerdere diensten draaien, terwijl één druk gebruikte dienst over meerdere machines kan worden verdeeld.

Serverhardware is ontworpen voor betrouwbaarheid en veel gebruikers, maar een desktopcomputer kan serversoftware draaien. Een clouddienst blijft eveneens client-server: de browser vraagt de dienst aan bij de servers van de provider.

Delen tussen gelijkwaardige computers

In een peer-to-peernetwerk (P2P) kan elke computer diensten aanvragen en leveren. Drie mensen kunnen bijvoorbeeld mappen en een printer vanaf hun eigen computers delen. De gedeelde map is afhankelijk van de computer waarop die staat: schakel je die computer uit, dan wordt de map onbeschikbaar.

In een Windows-werkgroep bewaart elke computer zijn eigen accounts. Als één persoon meerdere computers gebruikt, moeten die accounts afzonderlijk worden beheerd. In een domein bewaart een directory de accounts centraal. Een beheerder kan één centraal account uitschakelen wanneer een medewerker vertrekt.

Kies op basis van het werk dat mensen moeten doen

Een tandartspraktijk begint met vier pc's die een printer en een map delen. Peer-to-peer is op die schaal eenvoudig. Bij 25 medewerkers hebben patiëntendossiers gecontroleerde toegang nodig, moeten accounts centraal worden verwijderd en moeten elke nacht back-ups worden gemaakt. Een client-serveropzet met lokale servers of geschikte clouddiensten maakt die taken beheersbaar.

Centralisatie concentreert ook de verantwoordelijkheid. Als één server een essentiële dienst levert, onderbreekt uitval van die server de dienst tenzij er redundantie is. Redundantie houdt een dienst beschikbaar bij een storing; back-ups herstellen eerdere gegevens na verlies of beschadiging. Een organisatie kan beide nodig hebben.

Sommige applicaties combineren opstellingen. Een dienst voor videogesprekken kan centrale servers gebruiken voor aanmelding en het vinden van andere gebruikers en daarna media rechtstreeks tussen deelnemers versturen. Beschrijf de rol van elk onderdeel in plaats van aan te nemen dat elke verbinding in een applicatie hetzelfde model volgt.

Een topologie beschrijft welke apparaten met welke andere apparaten verbonden zijn. De fysieke topologie beschrijft apparatuur en kabels. De logische topologie beschrijft hoe gegevens zich verplaatsen. Lees de verbindingen, niet de omtrek die een diagram op de pagina toevallig vormt.

Volg de verbindingen en bekijk mogelijke storingen

Vroege Ethernetnetwerken via coaxkabel gebruikten een bus. Moderne bekabelde lokale netwerken (LAN's) gebruiken vaak sterren en uitgebreide sterren. Ringen blijven nuttig in glasvezelnetwerken van providers. In een uitgestrekt netwerk (WAN) met naaf-en-spaaktopologie betekent “hub” de centrale locatie, niet een oud Ethernetapparaat dat hub heet.

Een ster is eenvoudig uit te breiden omdat een nieuw eindapparaat één kabel en een vrije centrale poort nodig heeft. Ook blijft een kabelstoring gemakkelijk beperkt. Het centrale apparaat blijft een enkelvoudig storingspunt. Een gedeeltelijk vermaasde topologie kost meer voor geselecteerde verbindingen om belangrijke routes beschikbaar te houden.

Tel verbindingen in een volledig vermaasde topologie eenmaal

Bij vijf locaties is elke locatie met vier andere verbonden. Vermenigvuldigen levert 20 verbindingsuiteinden op, maar elke verbinding is aan beide uiteinden geteld. Deel door twee:

Hier is $n$ het aantal knooppunten en $L$ het aantal ongerichte verbindingen. Vijf locaties hebben 10 verbindingen en vier poorten per locatie nodig. Tien locaties hebben 45 verbindingen en elk negen poorten nodig. Door deze snelle groei is een volledig vermaasde topologie kostbaar; de meeste netwerken reserveren extra verbindingen voor de plaatsen waar die het hardst nodig zijn.

Fysieke en logische opstellingen kunnen verschillen

Een oude hub kan centraal staan in een fysieke ster van kabels. De hub herhaalt elk binnenkomend signaal naar de andere poorten, zodat alle apparaten het gedeelde verkeer ontvangen: logisch gedraagt het netwerk zich als een bus. Ook Token Ring-apparatuur kon stervormige bekabeling gebruiken en tegelijk gegevens in een logische ring doorgeven.

Een moderne switch leert bestemmingen en stuurt bekend unicastverkeer via de betreffende verbinding, wat een logische ster oplevert. Werkelijke systemen combineren vaak ontwerpen: elke vestiging heeft een ster, de vestigingen zijn als spaken met het hoofdkantoor verbonden en het hoofdkantoor heeft een gedeeltelijk vermaasde topologie. Die combinatie is een hybride topologie.

Een grote campus is gemakkelijker uit te breiden als switches duidelijke rollen hebben. Een hiërarchische architectuur scheidt aansluitingen van eindapparaten, beleidsbeslissingen en snel transport. Dit zijn taken in het netwerk, geen verdiepingen in een gebouw.

Drie rollen

Een uplink voert verkeer van een toegangsswitch naar de rest van het netwerk. De distributielaag verzamelt veel van zulke verbindingen. Hier wordt gewoonlijk besloten of verkeer van het ene interne netwerk naar het andere mag. De kernlaag transporteert vervolgens verkeer tussen distributieblokken. Door gedetailleerde filtering in de distributielaag te houden, voorkom je dat onnodige verwerking de ruggengraat vertraagt.

Door apparatuur naar rol te groeperen beperk je ook de gevolgen van storingen. Uitval van een toegangsswitch raakt de aangesloten apparaten, terwijl andere toegangsswitches kunnen blijven werken. Met een extra toegangsblok groeit het netwerk zonder dat elke verbinding opnieuw moet worden ontworpen.

Twee lagen voor een kleinere campus

Een gecombineerde kern- en distributielaag verenigt distributie- en kerntaken in één paar switches. Dit gebruikt minder apparaten en kost minder, waardoor het geschikt is voor één gebouw met meerdere verdiepingen of een kleinere campus. Er blijft minder ruimte voor uitbreiding en er zijn minder mogelijkheden voor redundantie dan bij afzonderlijke distributieblokken en een kernlaag.

Een zeer klein kantoor met één switch heeft geen formele lagen nodig. Aan het andere uiterste heeft een campus met veel gebouwen baat bij drie lagen. Kies de architectuur op basis van het aantal blokken, het verkeer dat ze uitwisselen en de benodigde groei. Een switch op een middelste verdieping is niet noodzakelijk een distributieswitch; die kan eenvoudigweg werkplekken op die verdieping verbinden.

Werk een redundant ontwerp uit

Stel dat drie gebouwen elk vier verdiepingen hebben, met één toegangsswitch per verdieping:

1. Er zijn $3\times 4=12$ toegangsswitches.
2. Elke toegangsswitch heeft één uplink naar elk lid van het eigen distributiepaar.
3. In totaal zijn dat $12\times 2=24$ uplinks.

Als één distributieswitch uitvalt, hebben de toegangsswitches nog steeds de andere uplink en de andere distributieswitch. Als een toegangsswitch zelf uitvalt, verliezen de eindapparaten daarop nog steeds hun directe verbinding. Redundante uplinks beschermen de paden boven de toegangsswitch; ze vervangen die switch niet.

Een switch beslist welke lokale verbinding een frame moet vervoeren. De switch leert van verkeer, zodat een technicus niet elk adres van een eindapparaat hoeft in te voeren. Dit is efficiënter dan een oude hub, die elk signaal naar elke andere poort herhaalt.

Leer de bron, stuur door naar de bestemming

Een switch bewaart een MAC-adrestabel die interfaceadressen aan poorten koppelt. Bij ontvangst van een frame leert de switch het bronadres op de inkomende poort en zoekt daarna het bestemmingsadres op.

Bij flooding wordt de inkomende poort overgeslagen. Het verkeer blijft binnen het VLAN van het frame. Ongebruikte tabelvermeldingen verlopen; 300 seconden is een gebruikelijke standaardwaarde, zodat de tabel verplaatste of losgekoppelde apparaten volgt.

Begin met een lege tabel, pc A op poort 1, B op poort 2 en C op poort 3. A stuurt naar B. De switch leert A op poort 1, maar heeft B nog niet geleerd en stuurt het frame daarom via poort 2 en 3 door. C verwerpt het frame omdat het voor B bestemd is. B antwoordt: de switch leert B op poort 2 en kent A al, dus stuurt het antwoord alleen naar poort 1. Latere frames van A naar B kunnen alleen naar poort 2 gaan.

Gedeelde signalen en afzonderlijke verbindingen

Bij een hub delen alle eindapparaten de bandbreedte en verzenden ze om de beurt: halfduplex. Gelijktijdig verzenden veroorzaakt botsingen. Elke switchpoort biedt een afzonderlijke verbinding en werkt normaal volduplex, waarbij tegelijk wordt verzonden en ontvangen zonder botsingen. De apparaten delen nog wel broadcasts binnen hun VLAN, dat een broadcastdomein wordt genoemd.

Een onbeheerde switch werkt zonder configuratie. Een beheerde switch biedt instellingen en bewaking voor VLAN's, poortbeveiliging, voeding en verkeersstatistieken. Bedrijven gebruiken beheerde switches om hun netwerken te beheersen en te bewaken.

Scheid logische netwerken en lever voeding

Een VLAN verdeelt een fysiek geschakeld netwerk in afzonderlijke logische lokale netwerken (LAN's), bijvoorbeeld voor medewerkers, gasten en camera's. Verschillende VLAN's hebben routering nodig om verkeer uit te wisselen. Een laag 2-switch stuurt door op basis van MAC-adressen; een laag 3-switch routeert ook op basis van IP-adressen tussen VLAN's en subnetten.

Voeding via Ethernet (PoE) transporteert voeding en gegevens over dezelfde kabel, wat nuttig is voor telefoons, camera's en accesspoints. De limieten aan de switchkant en het vermogen aan de apparaatkant verschillen doordat de kabelweerstand energie verbruikt:

Controleer zowel de standaard die een poort ondersteunt als het totale budget van de switch. Een switch met genoeg poorten kan toch onvoldoende vermogen hebben voor alle aangesloten apparaten.

Een switch vindt een lokale bestemmingspoort; een router vindt een pad naar een ander IP-netwerk. De router bekijkt het bestemmings-IP-adres van een pakket en raadpleegt een routeringstabel. De interfaces zijn op verschillende netwerken aangesloten.

Bepaal of de bestemming lokaal is

Een laptop heeft adres 192.168.10.25 op netwerk 192.168.10.0/24. Bij dit /24-netwerk identificeren de eerste drie getallen het netwerk. De standaardgateway is 192.168.10.1.

1. Een afdrukverzoek naar 192.168.10.40 blijft op hetzelfde netwerk en gaat via de switch naar de printer.
2. Een verzoek aan webserver 203.0.113.80 is bestemd voor een ander netwerk.
3. De laptop stuurt dat pakket naar de standaardgateway, de routerinterface op het lokale netwerk.
4. De router kiest de volgende stap richting de server.

Een routeringstabel vermeldt bestemmingsnetwerken met een volgende hop of een uitgaande interface. Een standaardroute biedt een volgende hop als geen specifiekere route overeenkomt. Zonder passende route en zonder standaardroute verwerpt de router het pakket. De standaardgateway van de laptop en de standaardroute van de router zijn verwante instellingen op verschillende apparaten, geen uitwisselbare namen voor één instelling.

Routers scheiden gewone lokale broadcastdomeinen. Ze verlagen ook de levensduurwaarde (TTL) van een pakket bij elke gerouteerde hop met één en verwerpen het bij nul, zodat het niet eindeloos blijft rondgaan in een routeringslus.

Een router en een lijnaansluitapparaat doen verschillend werk

Een draadloze SOHO-router combineert een router, een kleine switch, een accesspoint, een firewall, een DHCP-adresdienst en netwerkadresvertaling (NAT). Met NAT kunnen privéapparaten één publiek internetadres delen. Sommige apparaten bevatten ook het modem. Wifi komt van de accesspointfunctie, niet van routering zelf.

Volg een internetverzoek

Een laptop thuis stuurt een webverzoek via wifi naar het accesspoint in het gecombineerde apparaat. De router stuurt het richting de provider, NAT vertaalt het privébronadres en het modem of de ONT voert het verkeer naar de toegangsverbinding van de provider. De internetprovider en andere routers bezorgen het verder bij de webserver. Antwoordverkeer keert via het randapparaat terug naar de laptop; het verdere pad over internet kan verschillen van de heenweg.

Bedrijfsrouters aan de netwerkrand kunnen VPN-tunnels beëindigen, twee providers gebruiken voor meer weerbaarheid en kwaliteitsregeling (QoS) toepassen om vertragingsgevoelig verkeer zoals spraak voorrang te geven. Een laag 3-switch wordt vaak gebruikt voor snelle interne routering, terwijl een router aan de netwerkrand de WAN-interfaces en diensten biedt die bij de aansluiting op de provider nodig zijn.

Een draadloos accesspoint (AP) verbindt wifi-apparaten met een bekabeld lokaal netwerk (LAN). Het overbrugt draadloze frames via de switchverbinding naar Ethernet. Gebruikers herkennen het draadloze netwerk aan de identificatie van de serviceset (SSID), de naam die in de wifi-lijst van hun apparaat staat.

Bouw dekking rond bekabelde verbindingen

Een afzonderlijk AP routeert niet tussen netwerken. Een draadloze thuisrouter bevat zowel een AP als een router, waardoor het verschil verborgen kan blijven. Bedrijfsnetwerken plaatsen meestal afzonderlijke AP's waar gebruikers dekking nodig hebben en sluiten die met kabels aan op beheerde switches. Voeding via Ethernet (PoE) kan elk AP via diezelfde kabel voeden.

Radiodekking hangt af van muren, bouwmaterialen, afstand en interferentie. Eén AP kan enkele kamers of een open ruimte bedienen; een drukke ruimte kan meer capaciteit nodig hebben, ook als de signaalsterkte goed is. Stel aangrenzende AP's in op niet-overlappende kanalen om interferentie tussen hun uitzendingen te beperken.

Meerdere AP's kunnen in een gebouw dezelfde SSID en beveiligingsinstellingen aanbieden. Terwijl iemand loopt, kan de telefoon via roaming naar een ander AP overschakelen. Consistente instellingen ondersteunen deze verplaatsing, terwijl dekking en clientgedrag de overdracht nog steeds beïnvloeden. Volle signaalstreepjes beschrijven de radioverbinding met het AP, niet de snelheid of beschikbaarheid van het internet daarachter.

Beheer meerdere accesspoints

Centraal beheer kan SSID's en beveiliging consistent toepassen en kanalen en zendvermogen aanpassen. Het vermindert het werk om wijzigingen op veel apparaten te herhalen.

Waar bekabeling onmogelijk is, geven mesh-AP's en bereikvergroters verkeer draadloos door. Die draadloze backhaul verbruikt ook zendtijd, waardoor extra hops meestal de doorvoersnelheid verlagen. Een bekabelde backhaul voert AP-verkeer rechtstreeks naar de switch zonder wifi-zendtijd voor die doorstuurhops te gebruiken.

Houd medewerkers en gasten gescheiden

Gebruik Wi-Fi Protected Access 3 (WPA3), of WPA2 waar oudere apparatuur dat vereist. De Personal-modus gebruikt een gedeelde wachtwoordzin. De Enterprise-modus controleert individuele aanmeldingen via een authenticatieserver, zodat de toegang van één persoon kan worden ingetrokken zonder het gedeelde wachtwoord voor iedereen te vervangen. WEP is gekraakt en ongeschikt voor toegang door medewerkers.

Neem een kantoor met op elk van drie verdiepingen een AP. Elk AP heeft een bekabelde PoE-verbinding met de switch van die verdieping. Alle AP's bieden “Office” voor medewerkers en “Guest” voor bezoekers. Verkeer van medewerkers wordt gekoppeld aan het VLAN voor medewerkers, terwijl gastverkeer wordt gekoppeld aan een afzonderlijk VLAN met regels die internettoegang toestaan en interne bronnen blokkeren. Een tweede SSID biedt een naam; de VLAN-toewijzing en verkeersregels zorgen voor de werkelijke scheiding.

Een firewall beheerst met regels het verkeer tussen netwerken of zones. Regels kunnen bron, bestemming, protocol en poort controleren. Een poort identificeert een diensteindpunt, zoals TCP-poort 443 voor beveiligd webverkeer.

Stem de bescherming af op het verkeer

Een netwerkfirewall beschermt een zone; een hostfirewall beschermt één apparaat. De hostfirewall van een laptop blijft belangrijk wanneer de laptop het kantoor verlaat. Samen bieden ze bescherming in lagen, met bescherming op meer dan één punt.

Doorloop een geordende lijst met regels

Veel netwerkfirewalls gebruiken verwerking op basis van de eerste overeenkomende regel: ze controleren regels van boven naar beneden en stoppen bij de eerste overeenkomst. Verkeer zonder overeenkomst krijgt het standaardbeleid, vaak een impliciete weigering. De verwerking verschilt per product; Windows Defender Firewall geeft expliciete blokkeringen bijvoorbeeld voorrang op toestaanregels en staat uitgaand verkeer normaal toe.

Gebruik een firewall die de eerste overeenkomende regel toepast en standaard weigert, met deze regels:

1. Sta TCP 443 toe van elke bron naar webserver 203.0.113.10.
2. Weiger al het verkeer van 198.51.100.0/24.
3. Sta TCP 22 toe van beheerder 198.51.100.7 naar die webserver.

Het TCP 22-verzoek van de beheerder bereikt eerst regel 2 en wordt geweigerd. Regel 3 komt nooit aan de beurt. Door de specifieke toestaanregel voor de beheerder boven de algemene weigering te plaatsen, wordt die verbinding doorgelaten. Het TCP 443-verzoek van dezelfde beheerder komt overeen met regel 1 en wordt toegestaan. Een verzoek van 192.0.2.50 naar TCP 25 komt met geen van de regels overeen en bereikt de standaardweigering.

Scheid blootgestelde diensten van intern werk

Een afgeschermd subnet, ook een gedemilitariseerde zone (DMZ) genoemd, bevat publieke diensten zoals een webserver. Het staat achter regels die onderscheid maken tussen het externe internet, de zone voor publieke diensten en het interne netwerk. Als de publieke server wordt gecompromitteerd, hebben interne bronnen nog steeds een afzonderlijke, gecontroleerde grens.

Een IDS controleert een kopie van het verkeer vanaf een spiegelpoort of netwerk-TAP en geeft waarschuwingen. Een IPS staat inline en kan verkeer verwerpen terwijl het passeert. Beide kunnen signaturen van bekende aanvallen gebruiken of gedrag detecteren dat afwijkt van een normale uitgangssituatie. Signaturen moeten worden bijgewerkt; detectie van afwijkingen kan onbekende aanvallen vinden, maar geeft ook valse alarmen.

Een foutpositieve detectie merkt onschadelijk verkeer aan; een foutnegatieve detectie mist een echte aanval. Foutpositieve detecties in een inline IPS kunnen legitieme gebruikers onderbreken. Een UTM-apparaat voor geïntegreerd dreigingsbeheer combineert functies zoals firewall, IPS, scannen, filtering en VPN. Bescherming heeft nog steeds meerdere lagen nodig: toegestaan web- of e-mailverkeer kan schadelijke inhoud bevatten.

Netwerkapparaten voegen diensten toe rond het basispad voor switching en routering. Kies een apparaat op basis van de taak die het uitvoert. Een fysiek apparaat en een virtuele machine kunnen dezelfde netwerkfunctie uitvoeren.

Verdeel en bemiddel verzoeken

Een loadbalancer verdeelt verzoeken over een groep servers achter een gedeeld virtueel adres. De loadbalancer controleert de beschikbaarheid van servers en stopt met het selecteren van een uitgevallen server. Bij beurtelingse toewijzing aan S1, S2 en S3 gaan verzoeken 1 tot en met 7 naar S1, S2, S3, S1, S2, S3 en S1. Als S2 niet door de beschikbaarheidscontrole komt, gaan nieuwe verzoeken afwisselend naar S1 en S3. Toewijzing op basis van de minste verbindingen is een andere methode: kies de server met de minste actieve sessies.

Een forwardproxy treedt op voor gebruikers die verzoeken aan internet doen. De proxy kan websites filteren, inhoud tijdelijk opslaan en toegang registreren. Een reverseproxy treedt op voor servers die verzoeken ontvangen en verzorgt taken zoals versleuteling, tijdelijke opslag of verdeling van de belasting. Een CDN bewaart kopieën op veel locaties, zodat gebruikers inhoud van servers in de buurt ontvangen. Dit vermindert de vertraging en de belasting van de oorspronkelijke server.

Verbind locaties of externe gebruikers veilig

Een VPN voert netwerkverkeer door een versleutelde tunnel over een publiek netwerk. Een VPN tussen locaties verbindt netwerken via gateways. Een VPN voor toegang op afstand verbindt het apparaat van één gebruiker met de organisatie. Een VPN-concentrator beëindigt veel tunnels van externe gebruikers.

Een opzet met een volledige tunnel stuurt het internetverkeer van het apparaat door de tunnel. Een opzet met een gesplitste tunnel stuurt geselecteerd bedrijfsverkeer erdoorheen en laat ander verkeer de lokale internetverbinding gebruiken. Een forwardproxy geeft verzoeken van een applicatie door; dat is een andere taak dan netwerkverkeer door een tunnel voeren. Controleer welk verkeer een VPN volgens de configuratie vervoert voordat je de route voorspelt.

Bestanden, schijfblokken en elektrische voeding

NAS gebruikt vaak de bestandsprotocollen SMB of NFS. Een SAN kan Fibre Channel of iSCSI over Ethernet gebruiken. Gebruikers zien een gedeelde map op NAS; een server ziet een blokvolume van het SAN. Het verschil is de aangeboden toegang, niet alleen het aantal schijven in de kast.

Bedrijfsservers worden vaak in racks gemonteerd en draaien meerdere virtuele machines. Netwerkfuncties zoals firewalls, routers en loadbalancers kunnen ook als virtuele apparaten draaien. Sluit behalve de servers ook de switches, router en firewall aan op een beschermde stroomvoorziening: een draaiende server kan gebruikers niet bedienen via een uitgeschakelde switch. Een loadbalancer houdt nieuwe verzoeken weg van uitgevallen servers, maar herstelt geen verwijderde gegevens; daarvoor dienen back-ups.

Een klein bedrijfsnetwerk heeft een keten van verbonden rollen. De providerlijn eindigt bij een modem of optische netwerkterminal (ONT). Een router en firewall beschermen de netwerkrand. Een hoofdswitch verbindt de servers en opslag met toegangsswitches, die werkplekken, printers, camera's en draadloze accesspoints (AP's) aansluiten.

Sluit een apparaat op de juiste plaats aan

Een typisch bekabeld pad is apparaat → patchkabel → wandcontactdoos → vaste kabel in de muur → patchpaneel → patchkabel → switchpoort. Het patchpaneel vormt het aansluitpunt van vaste bekabeling; het schakelt geen verkeer. Vaste apparaten die stabiele prestaties nodig hebben, waaronder opslag, printers, camera's en AP's, zijn goede kandidaten voor bekabelde verbindingen.

Mobiele apparaten maken verbinding met het draadloze LAN (WLAN) via de netwerknaam voor medewerkers, of SSID. Gebruik WPA3, of WPA2 voor oudere compatibele apparatuur. Schakel WPS uit, vooral de kwetsbare pincodemethode. Geef printers, camera's en andere vaste randapparatuur gereserveerde of vaste IP-adressen, zodat gebruikers ze kunnen blijven vinden.

Bereken een vermogensbudget

Een switch heeft een totaalbudget voor voeding via Ethernet (PoE) van 370 W. De switch reserveert 30 W voor elk van zes PoE+-AP's en 15,4 W voor elk van vier camera's.

1. Toewijzing aan AP's: $6\times 30=180$ W.
2. Toewijzing aan camera's: $4\times \mathrm{15,4}=\mathrm{61,6}$ W.
3. Totale toewijzing: $180+\mathrm{61,6}=\mathrm{241,6}$ W.
4. Resterend budget: $370-\mathrm{241,6}=\mathrm{128,4}$ W.

Nog vier apparaten van 30 W hebben 120 W nodig en passen binnen het budget. Vijf hebben 150 W nodig en passen niet. Dit zijn de reserveringswaarden aan de switchkant; het geleverde vermogen bij het apparaat is lager. Vrije poorten alleen laten niet zien of meer gevoede apparaten zullen werken.

Bereid de verbinding voor en test die

Wijzig standaardaanmeldgegevens, werk firmware bij, schakel ongebruikte diensten uit en plaats camera's en slimme apparaten in een afzonderlijk VLAN. Een netwerkvideorecorder (NVR) ontvangt cameraopnamen; telefoons die spraak over IP (VoIP) gebruiken, toegangscontroleapparaten en meetapparaten zijn andere veelvoorkomende randapparaten op het netwerk.

Controleer het fysieke verbindingslampje. In Windows toont ipconfig het IP-adres, masker en de standaardgateway; ip addr in Linux en ifconfig in macOS tonen interfaceadressen. Een Windows-apparaat dat voor DHCP is ingesteld en zichzelf automatisch een 169.254-adres toewijst, heeft geen DHCP-adres verkregen. Controleer de kabel of wifi-verbinding en de DHCP-dienst. Gebruik ping om de gateway te testen en daarna een internetadres of naam; een geblokkeerde ping kan ook een antwoord verhinderen.

Een laptop van een medewerker die afdrukt op een printer in het eigen subnet gebruikt AP → switch → printer. Voor een cloudportaal loopt het pad verder via de hoofdswitch, firewall/router, providerterminal en internetprovider naar de cloud. Een zonder planning toegevoegde thuisrouter kan een extra adresdienst en een extra netwerk introduceren; een beheerd AP is de geschikte manier om zakelijke wifi uit te breiden.

Een datacenter biedt plaats aan servers, opslag en netwerkapparatuur met koeling, fysieke beveiliging en redundante stroomvoorziening. Een organisatie kan een eigen locatie beheren, via colocatie ruimte voor apparatuur huren of de faciliteiten van een cloudprovider gebruiken. Het netwerk moet zowel gebruikers met diensten als diensten met elkaar verbinden.

Racks en verkeersrichtingen

Een standaard 19-inch rack heeft frontpanelen van 482,6 mm breed. De hoogte van apparatuur wordt uitgedrukt in hoogte-eenheden: 1U = 44,45 mm, en een gangbaar rack van volledige hoogte biedt plaats aan 42U. Een switch boven in het rack verbindt de servers in het eigen rack; switches aan het einde van een rij verzamelen serverkabels van een rij racks.

Noord-zuidverkeer gaat het datacenter in of uit, zoals een verzoek van een gebruiker aan een website. Oost-westverkeer gaat tussen de servers, bijvoorbeeld wanneer een webserver een database bevraagt of opslag gegevens naar een andere server kopieert. Deze namen beschrijven verhoudingen, geen windrichtingen op een plattegrond.

Bouw voorspelbare paden tussen servers

In een spine-leafarchitectuur verbinden servers met leafswitches en verbindt elke leaf met elke spine. In de basisopzet zijn leafs niet rechtstreeks met andere leafs verbonden en spines niet rechtstreeks met andere spines. Verkeer tussen servers op verschillende leafs gaat via leaf → spine → leaf.

Met vier spines en acht leafs heeft het ontwerp $4\times 8=32$ verbindingen tussen leaf en spine nodig. Een server op leaf 2 kan leaf 7 via elk van de vier spines bereiken. Als één spine uitvalt, blijven drie van zulke paden over. Een extra leaf biedt meer serverpoorten; een extra spine biedt meer capaciteit tussen leafs. De consistente padlengte is geschikt voor veel oost-westverkeer, dat door een traditionele campushiërarchie langere paden kan afleggen.

Meerdere computers binnen één host

Servervirtualisatie draait meerdere virtuele machines (VM's) op één fysieke host. Elke VM heeft een eigen besturingssysteem. Een hypervisor wijst de middelen van de host toe en biedt de virtuele hardware die de VM's gebruiken.

Een virtuele switch verbindt VM's binnen de host en verbindt ze via de netwerkinterfaces van de host met het fysieke netwerk. Twee VM's op dezelfde virtuele switch kunnen verkeer uitwisselen zonder een fysieke switch te gebruiken, zodat controle binnen het virtuele netwerk nodig kan zijn.

Een container verpakt een applicatie en de afhankelijkheden daarvan en deelt tegelijk de kernel van het besturingssysteem van de host. Een container is doorgaans kleiner en start sneller dan een VM met een eigen besturingssysteem. Docker is een bekend containerplatform.

Virtualisatie van netwerkfuncties (NFV) draait functies zoals routers en firewalls als software op standaardservers. Softwaregedefinieerde netwerken (SDN) scheiden het besturingsvlak, dat over verkeerspaden beslist, van het gegevensvlak, dat verkeer doorstuurt. Een centrale controller coördineert die beslissingen in het netwerk.

Cloudcomputing levert op aanvraag gedeelde computermiddelen via een netwerk. Middelen kunnen snel worden ingericht en vrijgegeven en het gebruik wordt gemeten. De belangrijke keuze is welke taken de provider uitvoert en welke bij de klant blijven.

Wat maakt een dienst tot cloudcomputing?

Het National Institute of Standards and Technology (NIST) onderscheidt vijf kenmerken: zelfbediening op aanvraag, brede netwerktoegang, bundeling van middelen, snelle elasticiteit en gemeten gebruik. Een klant kan middelen aanvragen zonder te wachten tot iemand hardware installeert, ze via het netwerk bereiken en capaciteit aanpassen vanuit een gedeelde verzameling. Meting maakt gebruik en kosten zichtbaar.

Dienstmodellen verdelen het werk

Amazon EC2 en Azure Virtual Machines zijn voorbeelden van IaaS. Azure App Service en Google App Engine zijn voorbeelden van PaaS. E-mail van Microsoft 365 en Salesforce zijn voorbeelden van SaaS.

In het model van gedeelde verantwoordelijkheid blijven fysieke faciliteiten en de onderliggende infrastructuur van de provider bij de provider. Klanten blijven verantwoordelijk voor hun gegevens en wie daartoe toegang heeft. Een besturingssysteem zonder beveiligingsupdates op een IaaS-VM is de taak van de klant. Een SaaS-klant werkt de applicatie van de provider niet bij, maar verwijdert nog steeds vertrokken gebruikers en stelt toegangsrechten in. Ook de dekking en bewaartermijn van back-ups moeten aansluiten bij de behoeften van de klant.

Implementatiemodellen beschrijven wie de cloud gebruikt

Een publieke cloud bedient veel klanten op infrastructuur van de provider. Bij multitenancy wordt fysieke hardware gedeeld terwijl de middelen van klanten logisch gescheiden blijven. Een private cloud bedient één organisatie; die kan op de eigen locatie staan of elders worden gehost. Een hybride cloud verbindt private middelen of middelen op de eigen locatie met een publieke cloud, zodat werklasten en gegevens kunnen worden gedeeld. Een gemeenschapscloud bedient organisaties met gemeenschappelijke behoeften. Multicloud betekent gebruikmaken van meer dan één publieke provider.

Een private gehoste cloud en een serverruimte op de eigen locatie zijn dus verschillende begrippen. “Privaat” beschrijft voor wie de cloud exclusief bestemd is, niet het adres van het gebouw.

Vergroot capaciteit en volg de vraag

Schaalbaarheid is het vermogen om capaciteit te vergroten. Verticaal schalen gebruikt een grotere machine; horizontaal schalen voegt meer machines toe. Elasticiteit voegt automatisch middelen toe en verwijdert die als de vraag verandert.

Een webwinkel draait normaal op twee servers. Een uitverkoop zorgt voor acht extra servers, waarmee het totaal op tien komt; daarna worden die acht verwijderd. Meer servers toevoegen is horizontaal schalen en ze automatisch toevoegen en verwijderen met de vraag toont elasticiteit. Cloudgebruik vervangt grote hardwareaankopen door doorlopende gebruikskosten en snelle inrichting. Apparatuur op de eigen locatie biedt directe controle over hardware en gegevenslocatie en lokale diensten kunnen beschikbaar blijven tijdens een internetstoring.

Een virtuele private cloud (VPC) is een logisch geïsoleerd netwerk binnen een publieke cloud. Azure noemt de overeenkomstige dienst een virtueel netwerk, of VNet. De klant kiest adresbereiken, verdeelt die in subnetten en beheert de routes en filters tussen middelen.

Scheid publieke toegangspunten van private diensten

Neem een VPC met bereik 10.0.0.0/16. Het publieke subnet, 10.0.1.0/24, bevat een publiek bereikbare loadbalancer. Het privésubnet, 10.0.2.0/24, bevat applicatieservers en een database.

Een publiek subnet heeft een route naar een internetgateway. Een vanaf internet bereikbaar middel heeft ook geschikte publieke adressering en regels nodig die het verkeer toestaan. Een privésubnet heeft geen directe internetroute naar de middelen daarin. De servers kunnen nog wel uitgaande verbindingen maken via een NAT-gateway, bijvoorbeeld om updates te downloaden. Die gateway laat de antwoorden op gestarte verbindingen toe zonder internetclients een directe manier te geven om verbindingen met de private servers te starten.

Door de database achter een private grens te plaatsen, blijven publieke bezoekers bij het toegangspunt. De applicatie bereikt de database via een toegestaan intern pad. De labels “publiek” en “privé” beschrijven de routeringsopzet; die moet aansluiten op adressen en regels om de bedoelde toegang te bieden.

Pas filters op het juiste niveau toe

Beveiligingsgroepen worden aan instanties of netwerkinterfaces gekoppeld. Netwerk-ACL's gelden bij subnetgrenzen. De werking verschilt per provider; bij Amazon Web Services (AWS):

Sta voor een eenvoudige web- en databaseopzet TCP-poort 443 vanaf publieke bezoekers toe naar de groep van de webserver. Sta database-TCP-poort 3306 alleen toe vanaf leden van de groep van de webserver. De databaseregel beperkt de bron tot de weblaag; die geeft niet alle internetbezoekers dezelfde toegang. Combineer deze filters met private routering en zorg dat de database geen publiek toegangspad heeft.

Verbind het kantoor met de cloud

Een VPN tussen locaties versleutelt verkeer tussen de kantoorgateway en het cloudnetwerk over internet. Die is snel tot stand te brengen en relatief goedkoop, maar is afhankelijk van de wisselende snelheid en vertraging van internet. Afzonderlijke externe gebruikers gebruiken een VPN voor toegang op afstand.

Een exclusieve private verbinding, zoals AWS Direct Connect, Azure ExpressRoute of Google Cloud Interconnect, vermijdt het publieke internet en biedt beter voorspelbare bandbreedte en latentie. Die kost meer en duurt langer om te regelen. “Private verbinding” beschrijft het transportpad; leid uit die naam geen garantie op versleuteling af.

In het ontwerp voor de webwinkel ontvangt de publieke loadbalancer bezoekers, halen private servers updates op via NAT en gebruiken beheerders de VPN tussen kantoor en cloud. Door deze drie paden gescheiden te houden, kun je precies beschrijven wie elke verbinding kan starten.

Een netwerkdiagram geeft een verzameling apparaten en verbindingen weer op een manier die een technicus kan gebruiken. Kies de weergave die de vraag beantwoordt: waar iets is geïnstalleerd, bij welk netwerk het hoort, hoe verkeer loopt of hoeveel rackruimte het inneemt.

Kies de juiste tekening

Laag 1-tekeningen leggen de nadruk op kabels en poorten. Laag 2-tekeningen leggen de nadruk op switches, VLAN's en trunks, verbindingen die meerdere VLAN's vervoeren. Laag 3-tekeningen leggen de nadruk op routers, subnetten, IP-adressen en gateways. Fysieke en logische details kunnen ook in gecombineerde tekeningen voorkomen, dus lees de labels en legenda.

Ontcijfer symbolen en labels

Volgens veelgebruikte conventies wordt een router weergegeven als een cirkel met pijlen, een switch als een platte doos, een firewall als een bakstenen muur, een accesspoint (AP) met radiogolven en een server als een toren of rackapparaat. Een wolk verbergt de interne details van een internet- of providernetwerk. Doorgetrokken lijnen betekenen vaak bekabelde verbindingen; stippellijnen kunnen draadloze verbindingen of VPN-tunnels betekenen. De legenda bepaalt de betekenis in die tekening.

Een naam zoals “HQ-SW-02” identificeert de tweede switch op het hoofdkantoor. In de gangbare Cisco-notatie duidt “Gi1/0/2” een GigabitEthernet-poort aan, terwijl “Te1/1/1” een 10-gigabitpoort aanduidt. Labels zoals “1G” of “10G” tonen de verbindingssnelheid; “192.168.20.0/24” identificeert een subnet en “VLAN 20 Guest” geeft het nummer en doel van een logisch netwerk.

Volg één volledig pad

Een tekening verbindt Internet → FW1 → CORE-SW → ACC-SW1 → AP1. De switchtrunk vervoert VLAN 10 Staff en VLAN 20 Guest. Server SRV1 zit op CORE-SW in VLAN 30.

Het internetpad van een telefoon van een gast is telefoon → AP1 → ACC-SW1 → CORE-SW → FW1 → Internet. Controleer het routerings- en firewallbeleid tussen VLAN 20 en VLAN 30 om te bepalen of de telefoon SRV1 kan bereiken. Een gedeeld fysiek switchpad geeft geen toestemming voor verkeer tussen afzonderlijke netwerken.

Tel rackruimte

Een 42U-rack heeft $42\times \mathrm{44,45}=\mathrm{1.866,9}$ mm montagehoogte. Twee 1U-patchpanelen, twee 1U-toegangsswitches, een 1U-firewall, een 1U-router, twee 2U-servers, een 2U-opslagapparaat en een 2U-accuapparaat gebruiken:

$2+2+1+1+4+2+2=14$ U.

Daarmee blijft $42-14=28$ U aan totale montageruimte over. Het rackaanzicht toont waar die vrije ruimte zich bevindt. Controleer de datum, versie en revisiestatus van de tekening voordat je die voor een wijziging gebruikt.

Met bruikbare registraties kan een andere technicus de installatie begrijpen zonder te gissen. Werk ze bij als het netwerk verandert en houd een kopie beschikbaar tijdens een storing. Een technisch correcte installatie heeft ook een overdracht nodig die gebruikers kunnen volgen.

Houd registraties met duidelijke taken bij

Een inventaris van IT-middelen registreert van elk apparaat het merk, model, serienummer, de locatie, firmware- of softwareversie, licenties en garantie. Neem levenscyclusmijlpalen op, vooral de datums waarop beveiligingsoplossingen en technische ondersteuning eindigen. Een aankondiging van het einde van de levenscyclus begint een levenscyclusproces; updates stoppen niet noodzakelijk op die dag.

IP-adresbeheer (IPAM) registreert subnetten en adressen die zijn toegewezen, gereserveerd of vrij zijn. Het helpt dubbele toewijzing voorkomen en laat zien waar vaste apparaten zoals printers en camera's te vinden zijn. Houd het adresplan in overeenstemming met de werkelijk geïnstalleerde apparaten.

Label beide uiteinden van elke kabel, evenals het patchpaneel en de wandcontactdoos. Een kabeloverzicht koppelt die labels aan de dienst. Een rij kan luiden: wandcontactdoos “2.14” → paneel B poort 14 → switch ACC-SW2 poort 14 → VLAN 10 → printer PRN-2F. Een technicus kan dan de juiste poort herkennen zonder aan kabels te trekken om hun uiteinden te vinden.

Leg het geïnstalleerde resultaat en elke wijziging vast

Revisiedocumentatie toont wat werkelijk is geïnstalleerd, inclusief wijzigingen tijdens het werk. Het oorspronkelijke plan legt de bedoeling vast; de revisiedocumentatie ondersteunt later onderhoud. Wijzigingsbeheer registreert wijzigingen en keurt ze goed voordat ze plaatsvinden. Maak back-ups van apparaatconfiguraties en bewaar een bekende goede referentieconfiguratie, zodat een mislukte wijziging kan worden teruggedraaid.

Werk bij een printer die naar een andere wandcontactdoos is verplaatst de locatie, de rij in het kabeloverzicht en de betreffende tekening bij. Controleer of de adresregistratie en switchpoortinformatie nog overeenkomen. Eén juiste vermelding tussen meerdere tegenstrijdige registraties kost tijd tijdens een storing.

Interpreteer een dienstafspraak

Een dienstenniveauovereenkomst (SLA) stelt meetbare doelen vast, zoals beschikbaarheid en reactietijd. Om jaarlijkse beschikbaarheid naar uitvaltijd te vertalen, bepaal je eerst het niet-beschikbare deel. Voor een jaar van 365 dagen:

$365\times 24=8.760$ uur.

Bij 99,9% beschikbaarheid is het niet-beschikbare deel 0,1%, ofwel 0,001:

$\mathrm{0,001}\times 8.760=\mathrm{8,76}$ uur.

Bij 99,99% is dat 0,01%, ofwel 0,0001:

$\mathrm{0,0001}\times 8.760\times 60=\mathrm{52,56}$ minuten.

Lees de meetperiode en uitsluitingen in het contract wanneer je een SLA op een echte dienst toepast. Beschikbaarheid verschilt van hoe snel de provider voor het eerst op een storingsmelding reageert.

Draag de dienst in gewone taal over

Een korte gebruikershandleiding legt uit met welke wifi-naam voor medewerkers of gasten je verbinding maakt, hoe je verbinding maakt, hoe je de betreffende printer toevoegt, wat de wachtwoordregels zijn en met wie je contact opneemt. Loop de taken met gebruikers door en controleer of ze die kunnen uitvoeren. Geef een gebruiker een bruikbare instructie zoals “Maak verbinding met Office en meld je aan met je medewerkersaccount.”

Bewaar beheerderswachtwoorden en aanmeldgegevens van apparaten in een beveiligde wachtwoordmanager of kluis. Ze horen niet in een gebruikershandleiding of op een diagram. Bewaar een kopie van de technische registraties die tijdens een storing toegankelijk is, zoals een afgedrukte map in het rack of een beveiligde kopie buiten het netwerk dat de registraties beschrijven.