Netwerken voor IT-ondersteuning

Via een netwerk kunnen verbonden apparaten gegevens uitwisselen en middelen delen. De naam vertelt je iets over het bereik of het doel. Een kabel, een radioverbinding en een versleutelde tunnel beschrijven verschillende onderdelen van dat geheel, zodat op één locatie meerdere netwerknamen van toepassing kunnen zijn.

Van één persoon tot veel locaties

Een WLAN hoort bij het lokale netwerk; draadloos betekent niet internet. Een tablet kan via wifi een lokale printer bereiken, zelfs als het internet uitvalt. De router verbindt dat lokale netwerk met het WAN van de provider. Het internet is het grootste WAN.

Het aantal apparaten bepaalt het type niet. Drie apparaten in een appartement en honderden apparaten op één kantoorlocatie kunnen allebei een LAN vormen. Vraag bij het indelen van een netwerk waar de verbindingen naartoe lopen en waarvoor ze dienen.

Opslag heeft een eigen onderscheid

Een opslagnetwerk (SAN) geeft servers toegang tot gedeelde opslag in de vorm van schijfblokken. Een server ziet die opslag ongeveer zoals een aangesloten schijf. Netwerkopslag (NAS) deelt bestanden en mappen via het gewone LAN. Een gebruiker die een gedeelde map op een NAS opent, gebruikt bestandsdeling; de aanwezigheid van netwerkopslag alleen maakt van het kantoor-LAN geen SAN.

Een privéverbinding over een ander netwerk

Een virtueel privénetwerk (VPN) maakt een versleutelde tunnel over een bestaand netwerk, meestal het internet. Een VPN voor toegang op afstand verbindt het apparaat van één gebruiker met een kantoornetwerk. Een site-to-site-VPN verbindt twee kantoor-LAN's. De tunnel beschermt verkeer tussen de uiteinden tegen lezen of wijzigen onderweg. De zorg voor eindpunten en de betrouwbaarheid van websites blijven afzonderlijke aandachtspunten.

Volg een verbinding van een klein bedrijf

Een reparatiebedrijf heeft bedrade desktopcomputers, wifitablets en een telefoon van een technicus die aan oordopjes is gekoppeld. De desktopcomputers gebruiken het LAN, de tablets het WLAN daarvan en de oordopjes een PAN. Een vestiging in een andere stad bereikt het bedrijf via een site-to-site-VPN over het internet.

Als het bedrijf de internettoegang verliest maar de lokale gedeelde bestanden nog kan openen, verwerkt het LAN nog lokaal verkeer. Controleer de WAN-kant voordat je de LAN-switch vervangt. Als alleen een thuiswerker geen toegang meer heeft tot kantoorbestanden terwijl gewone websites werken, is de VPN voor toegang op afstand een goede plek om te controleren. Deze namen helpen de getroffen verbinding te vinden voordat iemand instellingen wijzigt.

Als je een pakket van een laptop naar het internet volgt, kom je verschillende taken tegen: verbinding maken met het lokale netwerk, verkeer binnen dat netwerk vervoeren en verkeer doorgeven aan andere netwerken. Een router voor een klein kantoor of thuis (SOHO) voert vaak alle drie uit, maar elke functie heeft een eigen naam.

Lokale verbindingen en netwerkgrenzen

Een netwerkkaart (NIC) verbindt een apparaat via ethernet of wifi. Het MAC-adres, het adres voor mediatoegangscontrole, is normaal 48 bits lang en wordt geschreven als 12 hexadecimale cijfers, zoals 3C-52-82-1A-7F-09. Bij adressen die door de fabrikant zijn toegewezen, geeft de eerste helft meestal de fabrikant aan. Privé-wifiadressen kunnen afwijken van het hardwareadres. Gebruik daarom bij instellingen voor een specifiek apparaat het adres dat werkelijk op dat netwerk wordt gezien.

Een switch leert welke adressen via elke poort bereikbaar zijn. De switch stuurt bekend unicastverkeer naar de bestemmingspoort; broadcasts en verkeer voor onbekende bestemmingen worden naar de andere poorten in hetzelfde logische netwerk gestuurd. Een oude hub herhaalt signalen naar elke poort, waardoor apparaten de capaciteit delen en botsingen kunnen ontstaan.

Een onbeheerde switch werkt zonder configuratie. Een beheerde switch biedt instellingen en bewaking. De virtuele LAN's (VLAN's) verdelen één fysiek netwerk in logische netwerken, zoals een netwerk voor medewerkers en een gastnetwerk. Communicatie tussen VLAN's vereist een router of firewall. Een patchpaneel schakelt zelf geen verkeer: korte patchkabels verbinden de poorten met een switch terwijl de vaste wandbekabeling op zijn plaats blijft.

Stroom en gegevens samen vervoeren

Voeding via ethernet (PoE) voorziet toegangspunten, camera's en IP-telefoons van stroom via een twistedpairkabel. Een PoE-switch levert die rechtstreeks; een injector voegt stroom toe aan één verbinding vanaf een gewone switch.

Een deel van het vermogen gaat verloren in de kabel. Controleer zowel de standaard per poort als het totale budget van de switch. Drie PoE+-toegangspunten en vier 802.3af-camera's kunnen het volgende vereisen:

Een switch van 150 W komt bij dat geplande maximum 1,6 W tekort. Gebruik een groter budget of voed een camera via een injector met eigen voeding.

Bekijk het apparaat voordat je iets verandert

Een SOHO-apparaat combineert meestal een router, LAN-switch, AP, firewall, server voor automatische adrestoewijzing en doorstuurserver voor naamdiensten. Een gateway van een provider kan ook het modem bevatten. Om de wifidekking uit te breiden is mogelijk alleen een AP nodig; als je de hele gateway vervangt, verander je meerdere diensten tegelijk. Label elk apparaat volgens de functies die het werkelijk biedt.

Een host is een apparaat met een netwerkadres. Een server levert diensten aan andere apparaten, die clients worden genoemd. Serverrollen beschrijven taken en zijn niet noodzakelijk afzonderlijke fysieke machines: één computer kan meerdere rollen vervullen en een dienst kan op een virtuele machine draaien.

Koppel het verzoek aan de dienst

Een gebruiker kan een webpagina bereiken maar toch geen boekhoudkundige database openen. Die verzoeken zijn afhankelijk van verschillende diensten. Stel vast welke functie is uitgevallen voordat je concludeert dat alle servers niet beschikbaar zijn.

Tijd wordt gemakkelijk over het hoofd gezien. Windows-domeinauthenticatie staat normaal een klokverschil van maximaal vijf minuten toe. Op een pc die negen minuten voorloopt, kan aanmelden zelfs met het juiste wachtwoord mislukken. Synchroniseren met de tijdbron van het netwerk pakt de oorzaak aan. De juiste tijd ondersteunt ook certificaatcontroles en laat technici tijdstippen van gebeurtenissen vergelijken.

Verzamel gebeurtenissen en beheer toegang

Een syslogserver verzamelt berichten van netwerkapparaten en hosts, van oudsher via UDP 514. Met centrale registraties kan een technicus een gebeurtenis op een switch vergelijken met een gebeurtenis op een firewall op hetzelfde moment.

Een AAA-server ondersteunt authenticatie, autorisatie en activiteitenregistratie: wie je bent, wat je mag doen en een registratie van je activiteiten. Een RADIUS-server (Remote Authentication Dial-In User Service) kan wifiaccounts van medewerkers controleren en sessieactiviteiten vastleggen. Een geslaagde aanmelding en toestemming om een middel te openen zijn afzonderlijke beslissingen.

Herken netwerkapparaten

Een spamgateway filtert inkomende mail vóór aflevering. Een apparaat voor geïntegreerd dreigingsbeheer (UTM) combineert functies zoals een firewall, inbraakpreventie, malwarescans en webfiltering. Een proxyserver doet verzoeken namens clients en kan die filteren, cachen of vastleggen. Een loadbalancer verdeelt verzoeken over servers en vermijdt servers die niet door de gezondheidscontroles komen. Deze apparaten kunnen zich op het verkeerspad bevinden, ook als de eigen computer van de gebruiker goed werkt.

Ondersteun apparaten met beperkte beheermogelijkheden

Een legacysysteem is een ouder systeem dat nog in gebruik is. Een ingebed systeem is een computer die voor een specifieke taak in een apparaat is ingebouwd. Geen van beide benamingen vertelt op zichzelf of er updates bestaan. Controleer het product en de ondersteuningsstatus.

SCADA-systemen bewaken en besturen apparatuur zoals pompen en fabriekslijnen. Als snel bijwerken of vervangen niet praktisch is, beperken afzonderlijke netwerken met sterk beperkte toegang de blootstelling. Apparaten voor het internet der dingen (IoT) nemen de fysieke wereld waar of handelen daarin: camera's, sloten en thermostaten zijn voorbeelden. Wijzig standaardwachtwoorden, installeer firmware-updates en scheid deze apparaten van bedrijfscomputers. De beschikbare instellingen en de ondersteuning met updates verschillen per product.

Een internetprovider (ISP) verbindt een locatie met het internet. Kies een dienst op basis van het werk dat mensen doen, de verbindingen die op de locatie beschikbaar zijn en de benodigde apparatuur. Een hoog downloadcijfer alleen kan een trage uploadverbinding of een lange vertraging verhullen.

Vergelijk de verbindingen

Een ONT zet het glasvezelsignaal om naar een verbinding die de router kan gebruiken. Kabelinternet gebruikt doorgaans een opschroefbare F-typeconnector voor coaxkabel. Een digitale abonneelijn (DSL) gebruikt de kleinere RJ11-telefoonconnector. Waar telefonie de DSL-lijn deelt, scheidt een filter de signalen. Als glasvezel slechts tot een straatkast loopt, blijft er een laatste koperen deel over waarvan de lengte de snelheid beïnvloedt.

Lees bits, bytes en beide richtingen

Bandbreedte is een datasnelheid, meestal in megabits per seconde (Mbps) of gigabits per seconde (Gbps). Bestandsgroottes gebruiken bytes: één byte bevat acht bits. Een dienst van 100 Mbps kan vóór aftrek van overhead maximaal ongeveer 12,5 megabyte per seconde (MB/s) vervoeren.

Reken voor een download van 1,5 GB bij 100 Mbps de decimale bestandsgrootte om naar megabits en deel:

In het gunstigste geval duurt dit twee minuten. Protocoloverhead en concurrerend verkeer verlengen de werkelijke tijd.

Een asymmetrisch abonnement van 500/50 Mbps biedt maximaal 500 Mbps voor downloaden en 50 Mbps voor uploaden. Een upload van 2 GB bevat 16.000 megabit en duurt bij 50 Mbps minimaal 320 seconden. Als je de downloadsnelheid gebruikt, voorspel je ten onrechte 32 seconden. Zowel back-ups als het verzenden van video gebruiken uploadcapaciteit.

Vertraging verschilt van capaciteit

Latentie meet vertraging. Een meting van de heen- en terugreis, zoals ping, geeft milliseconden voor een verzoek en antwoord. Lage vertraging helpt bij gesprekken, games en werken met een extern bureaublad, ook wanneer daarvoor bescheiden datasnelheden nodig zijn.

Geostationaire satellieten draaien ongeveer 35.786 km boven de evenaar. Alleen de lange heen- en terugweg duurt al ongeveer 0,48 seconde; de gebruikelijke latentie voor de heen- en terugreis is ongeveer 600 ms. Systemen in een lage baan om de aarde gebruiken satellieten die veel lager vliegen en halen vaak ongeveer 20–60 ms, afhankelijk van de dienst en omstandigheden.

Een kantoor dat belt terwijl het back-ups uploadt, heeft baat bij symmetrische glasvezel als die beschikbaar is. Een afgelegen werkplaats kan vast draadloos, mobiel en satellietinternet vergelijken op signaalomstandigheden en vertraging, naast snelheid. Een tweede verbinding, zoals mobiel internet als reserve, kan essentieel werk laten doorgaan als de primaire verbinding uitvalt.

Kies een kabel op basis van de vereiste snelheid, de totale verbindingslengte, connectoren, interferentie en installatieruimte. Een snellere switch kan een beperking in het kabeltraject niet wegnemen. Neem patchkabels en connectoren mee wanneer je het hele kanaal controleert.

Ethernet over koper

Een twistedpairkabel heeft vier paren koperen aders. Het twisten helpt elektrische interferentie tegen te gaan. Niet-afgeschermde twistedpairkabel (UTP) is geschikt voor gewone kantoren. Afgeschermde twistedpairkabel (STP) heeft extra afscherming voor locaties met veel elektrische interferentie en moet goed worden geaard.

Het kanaal van 100 m biedt normaal ruimte voor 90 m vaste kabel plus 10 m patchkabels. Onderdelen uit een lagere categorie verminderen de prestaties die het complete kanaal kan garanderen. Door een Cat5e-patchkabel in een Cat6a-installatie kun je niet het hele traject als Cat6a beschouwen alleen omdat de vaste kabel dat label heeft.

Ethernet gebruikt een RJ45-connector met acht contacten. De kleinere RJ11 is bedoeld voor telefoon- en DSL-verbindingen. Ze zijn voor verschillende signalen bedoeld.

Sluit elke ader op de juiste pin aan

Houd de RJ45-stekker met de contacten omhoog, het clipje omlaag en pin 1 links. T568B, pin 1 tot en met 8, is wit/oranje, oranje, wit/groen, blauw, wit/blauw, groen, wit/bruin, bruin. Bij T568A zijn de groene en oranje paren verwisseld: wit/groen, groen, wit/oranje, blauw, wit/blauw, oranje, wit/bruin, bruin.

Dezelfde standaard aan beide uiteinden levert een rechte kabel op, die voor bijna alle huidige verbindingen wordt gebruikt. T568A aan het ene uiteinde en T568B aan het andere levert de bekende gekruiste aansluiting op die bij oudere verbindingen werd gebruikt. Moderne auto-MDI-X-poorten passen zich automatisch aan. Volg consequent de standaard van het gebouw.

Stem mantel en medium af op de locatie

Plenumgeclassificeerde kabel beperkt branduitbreiding en rook in ruimtes die voor luchtcirculatie worden gebruikt, zoals een plafondruimte voor retourlucht. Een systeemplafond op zichzelf maakt een ruimte nog geen plenum. Gebruik de mantelclassificatie die voor de daadwerkelijke ruimte vereist is. Grondkabel voor directe ingraving is ontworpen om zonder buis in de grond te worden gelegd; de geschiktheid voor buitengebruik en ingraving moet bij het traject passen.

Een coaxkabel heeft een centrale geleider met daaromheen isolatie en afscherming. RG6 met een opschroefbare F-typeconnector wordt gebruikt voor kabelinternet en tv; RG59 en BNC-connectoren komen voor in oudere video-installaties.

Glasvezel vervoert licht, is bestand tegen elektrische interferentie en voorkomt een elektrisch geleidend pad tussen gebouwen. Singlemodeglasvezel heeft een kern van ongeveer 9 µm en ondersteunt lange verbindingen met bijpassende laseroptiek. Multimodeglasvezel heeft een kern van 50 of 62,5 µm en wordt gebruikt voor kortere verbindingen; 10GBASE-SR haalt ongeveer 300 m op OM3 en 400 m op OM4. Stem de glasvezel en beide transceivers op elkaar af. ST-connectoren hebben een draaisluiting, SC-connectoren een duw-treksluiting en kleinere LC-connectoren klikken vast.

Kijk nooit in een glasvezeluiteinde of optische poort; onzichtbaar laserlicht kan je ogen beschadigen.

Kies voor een traject van 70 m en 10 Gbps door een plafondruimte voor retourlucht plenumgeclassificeerde Cat6a. Voor een verbinding van 400 m tussen gebouwen past glasvezel bij het bereik en de elektrische scheiding; singlemode laat ook uitbreidingsruimte over. OM4 met geschikte 10Gbps-optiek kan 400 m halen, maar heeft weinig afstandsmarge.

Een kabelstoring kan bestaan uit een beschadigde geleider, een slechte aansluiting, een onbekend traject of een verbinding die niet aan de prestatie-eis voldoet. Kies gereedschap dat de werkelijke vraag beantwoordt. Een geslaagde test heeft alleen betekenis binnen wat dat gereedschap meet.

Monteer de verbinding en sluit die aan

Een kabelstripper verwijdert de mantel zonder de geleiders door te snijden. Een krimptang bevestigt een modulaire stekker: de contacten maken verbinding met de aders en de trekontlasting klemt de mantel vast. Een montagetang voor aansluitstroken drukt aders in de contacten van wandcontactdozen, patchpanelen of aansluitblokken en knipt de uiteinden af.

Zo maak je een T568B-patchkabel:

1. Verwijder ongeveer 25 mm van de mantel zonder de aders te beschadigen.
2. Leg de geleiders in T568B-volgorde: wit/oranje, oranje, wit/groen, blauw, wit/blauw, groen, wit/bruin, bruin.
3. Knip de uiteinden gelijkmatig af, tot ongeveer 13 mm voor een geschikte stekker.
4. Steek de aders volledig in de stekker, met de mantel vast onder de trekontlasting, en krimp de stekker.
5. Sluit het andere uiteinde volgens dezelfde standaard aan en test de kabel.

Gebruik connectoren die bij de kabel passen en volg de bijbehorende voorbereidingsinstructies. Volg bij een contactdoos of paneel de afgedrukte A- of B-markeringen. Houd de paren tot op ongeveer 13 mm van het aansluitpunt getwist; lange onttwiste delen vergroten de interferentie tussen paren.

Test de aders of certificeer de prestaties

Een kabeltester wordt met een hoofdunit en een externe unit op de tegenoverliggende uiteinden aangesloten. Het aderverbindingsschema toont een onderbroken geleider, een kortsluiting tussen geleiders of een verkeerde aansluiting. Een eenvoudige test met acht lampjes toont continuïteit en pinvolgorde aan. Een kabelcertificeringstester meet eigenschappen zoals lengte, verlies en overspraak om te beoordelen of een kanaal aan zijn classificatie voldoet. Acht lampjes alleen tonen geen prestaties van 10 Gbps aan.

Met een toongenerator en zoekprobe traceer je een kabel. Sluit de toongenerator aan op één uiteinde en zoek met de probe de bijbehorende kabel of paneelpoort. Traceren bepaalt het traject; een aderverbindingstest controleert de aansluitingen. Een loopbackstekker stuurt uitgezonden signalen terug naar de ontvangstkant van een poort om de interface lokaal te testen. Als die test slaagt, moet je de echte kabel en het apparaat aan het andere uiteinde nog controleren.

Bekijk radiosignalen en actief verkeer

Een wifi-analysetool toont netwerknamen, kanalen en ontvangen signaalsterkte. De sterkte is vaak een negatieve dBm-waarde: −50 dBm is sterker dan −75 dBm. Ongeveer −67 dBm is een gangbare streefwaarde bij de planning voor spraak en video; de werkelijke werking hangt ook af van ruis en drukte. Waarden onder ongeveer −80 dBm leveren vaak een onbetrouwbare verbinding op.

Een netwerktap kopieert verkeer op een verbinding naar een bewakingspoort voor een pakketanalysator of beveiligingsmonitor. De tap observeert verkeer; die wijst geen clientadressen toe en repareert geen bekabeling.

Onderzoek een onbekende wandcontactdoos

Een aantoonbaar werkende laptop en patchkabel werken niet bij een pas in gebruik genomen werkplek. Traceer de wandkabel met een toongenerator naar het patchpaneel. Test tussen het paneel en de wandcontactdoos: ader 3 is onderbroken. Inspecteer het getroffen aansluitpunt en sluit het opnieuw aan, test het aderverbindingsschema opnieuw en verbind daarna de gelabelde paneelpoort met de switch. Controleer tot slot een echte netwerkverbinding. Als je de al geteste patchkabel van de werkplek vervangt, blijft de storing in de permanente bekabelingsverbinding bestaan.

Een adres van internetprotocol versie 4 (IPv4) duidt een interface op een netwerk aan. Het bevat 32 bits, weergegeven als vier decimale octetten gescheiden door punten. Elk octet loopt van 0 tot 255, dus 192.168.1.25 is een geldige notatie en 192.168.1.300 niet.

Geef elke instelling haar taak

De DNS-server kan hetzelfde adres hebben als de gateway, omdat één router vaak beide diensten levert. De taken blijven afzonderlijk. Apparaten kunnen lokaal zonder gateway communiceren; voor internetdiensten op naam zijn de juiste instellingen voor adressering, gateway en naamomzetting nodig.

Bij masker 255.255.255.0, ook /24 genoemd, duiden de eerste drie octetten het netwerk aan. 192.168.1.37 en 192.168.1.200 zitten op hetzelfde lokale netwerk. 192.168.0.200 zit op een ander netwerk. In dit /24-netwerk duidt .0 het netwerk aan, is .255 het broadcastadres en zijn .1 tot en met .254 de 254 apparaatadressen. Een adres moet uniek zijn op het lokale netwerk.

Herken privé- en bijzondere adressen

Privé-IPv4-bereiken zijn 10.0.0.0–10.255.255.255, 172.16.0.0–172.31.255.255 en 192.168.0.0–192.168.255.255. Ze kunnen binnen afzonderlijke organisaties opnieuw worden gebruikt en worden niet over het openbare internet gerouteerd. Een SOHO-router gebruikt netwerkadresvertaling (NAT) zodat privéclients een openbaar IPv4-adres kunnen delen. Controleer het volledige bereik: 172.20.5.4 is privé; 172.32.0.1 valt erbuiten.

127.0.0.1 is loopback, wat dit apparaat zelf betekent. Als je dit adres pingt, controleer je de lokale netwerksoftware zonder verkeer via de kabel of wifi te verzenden.

169.254.x.x hoort bij IPv4-link-local-adressering. Windows noemt het automatisch gebruik van deze adressen automatische privé-IP-adressering (APIPA). Op een Windows-client die is ingesteld om automatisch instellingen te verkrijgen, betekent dit meestal dat er geen bruikbare DHCP-lease is verkregen. Het adres staat communicatie op de lokale verbinding toe, maar biedt geen gerouteerde internettoegang. Een link-local-adres op zichzelf toont een symptoom, niet welke kabel, server of instelling de oorzaak is.

Lees een echte configuratie

In Windows toont ipconfig het adres, masker en de gateway. ipconfig /all voegt DNS-servers, het fysieke MAC-adres, de DHCP-status, de lease en de bijbehorende server toe. Gebruik in macOS Systeeminstellingen > Netwerk > verbinding > Details; ifconfig toont interfacegegevens. In Linux toont ip addr de adressen en toont ip route de gateway na “default via”.

Een pc met 192.168.1.37/24, gateway 192.168.1.1 en DNS 192.168.1.1 heeft consistente instellingen. Bij een andere pc met 169.254.88.14 en zonder gateway moet je de automatische adrestoewijzing controleren. Controleer de fysieke verbinding of wifiverbinding en de DHCP-dienst voordat je een nieuwe lease aanvraagt. Bij een verkeerde gateway kan lokaal printen blijven werken terwijl bestemmingen daarbuiten onbereikbaar zijn.

De meeste clientapparaten horen hun instellingen automatisch te verkrijgen. Sommige apparaten hebben een voorspelbaar adres nodig zodat gebruikers en toepassingen ze kunnen vinden. Kies een adresseringsmethode die daaraan voldoet en beheersbaar blijft wanneer het netwerk verandert.

Kies wie de instellingen beheert

DHCP levert de instellingen voor adres, masker, gateway en DNS. Een mobiele laptop kan verbinding maken met een ander netwerk en daar passende instellingen ontvangen. Een statische invoer blijft op het apparaat staan totdat die wordt gewijzigd. Bij een reservering blijft het apparaat DHCP gebruiken, maar krijgt de server opdracht om dat apparaat steeds hetzelfde adres toe te wijzen.

Controleer het adres dat de server werkelijk ziet, vooral bij wifiapparaten die privé-MAC-adressen gebruiken. Als die identificatie verandert, kan een bestaande reservering niet meer overeenkomen.

Kies een veilig statisch adres

Stel dat een router 192.168.1.1/24 gebruikt en dat de DHCP-pool loopt van 192.168.1.100 tot en met 192.168.1.199. Een printer kan 192.168.1.20 gebruiken als dat adres ongebruikt en vastgelegd is. Voer masker 255.255.255.0, gateway 192.168.1.1 en de voor het netwerk goedgekeurde DNS-server in.

Controleer alle drie de adresvoorwaarden:

1. Het statische adres hoort bij het lokale netwerk van de gateway.
2. DHCP wijst het niet aan een andere client toe: het ligt buiten de pool of is ervan uitgesloten.
3. Geen ander apparaat gebruikt het al.

Een adres buiten de DHCP-pool is niet per se vrij. Een andere technicus kan het al handmatig hebben toegewezen. Controleer de registraties van de locatie en de huidige apparaten voordat je het gebruikt.

Herken het symptoom van een verkeerd veld

Een dubbel IP-adres kan wisselende toegangsproblemen veroorzaken doordat twee apparaten hetzelfde adres opeisen. Als je een handmatig adres binnen een actieve DHCP-pool kiest, ontstaat dit risico wanneer de server het later toewijst. Verplaats het handmatige adres naar buiten de pool of sluit het ervan uit en documenteer de wijziging.

Een verkeerd masker verandert welke bestemmingen de client als lokaal beschouwt. Een ontbrekende gateway blokkeert andere netwerken terwijl lokale middelen kunnen blijven werken. Verkeerde DNS-instellingen verstoren naamopzoekingen, ook als verbindingen met bekende IP-adressen nog werken. Een laptop waarop een statische thuisconfiguratie blijft staan, kan daardoor niet werken wanneer die verbinding maakt met een kantoornetwerk.

Vervang een router

Een oude router gebruikte 192.168.0.x; de vervanger gebruikt 192.168.1.x. Een printer die nog vast op 192.168.0.50/24 staat, zit nu op het verkeerde netwerk voor de pc's. Behoud het oude LAN-bereik op de vervangende router of verplaats de printer naar een ongebruikt adres in het nieuwe bereik. Werk de printerpoorten van de pc's bij als het adres van de printer verandert. Door de leases van de pc's herhaaldelijk te verlengen, verander je niets aan een handmatig geconfigureerde printer.

Een DHCP-server geeft clients automatisch IP-instellingen. In een klein netwerk maakt die vaak deel uit van de router. De server beheert adressen voor een netwerk en levert opties zoals het subnetmasker, de standaardgateway, DNS-servers en de leaseduur.

Volg DORA

Een nieuwe IPv4-client gebruikt doorgaans vier berichten, te onthouden als DORA:

1. Discover: de client zendt een broadcast uit om een server te vinden.
2. Offer: een server stelt een adres en instellingen voor.
3. Request: de client vraagt om een geselecteerd aanbod te gebruiken.
4. Acknowledge: de server bevestigt de lease en de bijbehorende opties.

DHCP gebruikt UDP 67 op de server en UDP 68 op de client. De eerste broadcast blijft op het lokale netwerk, tenzij een router die doorstuurt. Een verbonden client kan geen lease krijgen van een onbereikbare server alleen omdat die server elders in de organisatie bestaat.

Plan voldoende adressen

Een DHCP-bereik combineert een reeks adressen met de opties voor dat netwerk. Een DHCP-uitsluiting haalt adressen uit de automatische toewijzing, vaak om handmatig geconfigureerde apparaten te beschermen. Een reservering koppelt een adres aan het MAC-adres van één client.

Een bereik van 192.168.1.100 tot en met 192.168.1.199 bevat 100 adressen omdat beide eindpunten meetellen. Door .100 tot en met .109 uit te sluiten, vallen er 10 af en blijven er 90 over. Als 95 nieuwe clients tegelijk een lease nodig hebben en geen van hen een bruikbare lease heeft, kunnen vijf er geen krijgen. Windows-clients kunnen in die situatie terugvallen op link-local-adressen in 169.254.x.x. Houd bij het uitbreiden van een pool nog steeds rekening met statische toewijzingen en het bereik van het lokale netwerk.

Begrijp de timing van een lease

Een DHCP-lease geeft de client toestemming om het adres gedurende een beperkte tijd te gebruiken. Bij de standaardverhoudingen voor de timers wordt een lease van 24 uur na 12 uur bij de oorspronkelijke server verlengd. Lukt dat niet, dan probeert de client na 21 uur elke beschikbare server. Zodra de lease zonder verlenging afloopt, moet de client stoppen met het gebruik van dat geleasede adres.

Bestaande clients met een geldige lease kunnen blijven werken tijdens een DHCP-storing. Een opnieuw opgestarte client kan een onthouden, niet-verlopen lease vaak opnieuw gebruiken. Nieuwe clients zonder bruikbare lease ondervinden als eerste problemen, dus het feit dat bestaande gebruikers werken, sluit DHCP niet uit als mogelijke oorzaak.

In Windows geeft ipconfig /release een lease op; ipconfig /renew vraagt er één aan. Het opgeven van de lease onderbreekt de verbinding van die client. Gebruik deze opdrachten nadat je hebt gecontroleerd of er een werkend pad naar de bedoelde DHCP-dienst bestaat.

Herken concurrerende of niet-overeenkomende instellingen

Een ongeautoriseerde DHCP-server is een DHCP-server die niet is toegestaan. Een reserve-thuisrouter die via een LAN-poort is aangesloten, kan het verkeerde netwerk of de verkeerde gateway aanbieden en zo bij verschillende clients verschillende resultaten veroorzaken. Verwijder de onbedoelde dienst of configureer het reserveapparaat als toegangspunt met DHCP uitgeschakeld. Meerdere geautoriseerde servers zijn toegestaan als ze zijn ingesteld om samen te werken.

Reserveringen zijn afhankelijk van een overeenkomend MAC-adres. Een vast privé-wifi-MAC-adres kun je reserveren; een wisselend adres zal op een gegeven moment niet meer overeenkomen. Controleer het adres dat de router ziet en de privacyinstelling van het apparaat voor dat netwerk.

DHCP kan een correct adres en een verkeerde DNS-server leveren. In dat geval slaagt de lease, maar mislukken websiteaanvragen op naam. Controleer zowel de geleverde opties als het adres.

Internetprotocol versie 6 (IPv6) gebruikt adressen van 128 bits. De ongeveer 4,3 miljard mogelijke adressen van IPv4 zijn te weinig om elk apparaat een uniek openbaar adres te geven. IPv6 biedt een veel grotere adresruimte en werkt vaak naast IPv4.

Lees en verkort de notatie

Een volledig adres heeft acht groepen van vier hexadecimale cijfers, gescheiden door dubbele punten. Hexadecimaal gebruikt 0–9 en a–f. Begin met:

2001:0db8:0000:0000:0000:ff00:0042:8329

Verwijder eerst voorloopnullen binnen groepen:

2001:db8:0:0:0:ff00:42:8329

Vervang vervolgens één aaneengesloten reeks nulgroepen door :::

2001:db8::ff00:42:8329

Gebruik :: maximaal één keer. Bij twee voorkomens zijn de posities van ontbrekende groepen onduidelijk. Verwijder alleen voorloopnullen: als je db80 verandert in db8, verandert het adres. Vul een verkort adres aan door genoeg nulgroepen terug te plaatsen om in totaal acht groepen te krijgen.

Herken de adrestypen

Een interface waarop IPv6 is ingeschakeld, maakt automatisch een link-local-adres aan. Zo'n adres is normaal. Een globaal adres duidt een wereldwijd bereik aan, maar voor werkende internettoegang zijn ook een geschikte route en toegestaan verkeer nodig. Een apparaat kan tegelijk een link-local-adres, meerdere globale adressen en wisselende tijdelijke privacyadressen hebben. Dat is geen adresconflict.

Het achtervoegsel /64 geeft vaak de prefixlengte van een LAN aan. Een interfacemarkering zoals %12 in fe80::1%12 duidt de lokale netwerkinterface aan; die maakt geen deel uit van het adres.

Leer waar instellingen vandaan komen

Bij stateless adresautoconfiguratie (SLAAC) kondigt de router een prefix aan en maakt de client een adres aan. DHCPv6 kan adressen of andere instellingen leveren, waaronder DNS-servers. Routeraankondigingen leveren de informatie over de standaardrouter; de gateway verschijnt vaak als een link-local-adres zoals fe80::1.

Dualstack betekent dat IPv4 en IPv6 samen werken. Een overzicht in Windows kan een globaal IPv6-adres, een link-local-IPv6-adres en zowel IPv4- als IPv6-gateways tonen. Als alleen een link-local-IPv6-adres verschijnt, kan een geldige IPv4-configuratie nog steeds internettoegang bieden. Controleer welke protocolfamilie een verbinding werkelijk gebruikt voordat je het hele apparaat als offline beschouwt.

IPv6 heeft geen broadcastadres. Thuisnetwerken geven apparaten doorgaans een eigen globaal IPv6-adres in plaats van NAT zoals bij IPv4 te gebruiken. De firewall van de router beheert nog steeds inkomend verkeer; het bereik van een adres en toestemming om verbinding te maken zijn afzonderlijke zaken.

Het domeinnaamsysteem (DNS) zet namen zoals www.example.com om in adressen. Het is gedistribueerd: verschillende servers bevatten verschillende delen van een hiërarchie. Een werkende internetverbinding en werkende naamomzetting zijn afzonderlijke vereisten.

Volg de hiërarchie

Lees www.example.com van rechts naar links. De root stuurt verzoeken naar een topleveldomein (TLD) zoals .com. De servers van dat TLD geven aan welke servers autoritatief zijn voor example.com. De autoritatieve servers bevatten de officiële records van het domein, waaronder namen daaronder zoals www.example.com.

Een apparaat gebruikt zijn lokale naaminformatie, waaronder de cache en het hostsbestand. Als het DNS nodig heeft, vraagt het zijn ingestelde recursieve DNS-resolver. Dit kan een bedrijfsserver, een dienst van de provider, een openbare resolver of een dienst via de router zijn. De resolver antwoordt waar mogelijk uit de cache. Anders volgt die verwijzingen van root naar TLD naar autoritatieve server en geeft het resultaat terug. DNS gebruikt poort 53.

Records in de cache hebben een vervaltijd

De cachegeldigheidsduur (TTL) van een record begrenst hoe lang het in de cache mag worden bewaard. Een TTL van 3600 seconden staat één uur toe; 300 seconden staat vijf minuten toe. Een gewijzigd autoritatief record vervangt niet onmiddellijk de kopieën die nog geldig zijn in caches.

Verlaag vóór een geplande verhuizing de TTL vroeg genoeg zodat oude kopieën in caches kunnen verlopen. In Windows maakt ipconfig /flushdns de lokale cache leeg, maar niet de cache van een resolver elders. Door de cache van de pc herhaaldelijk leeg te maken, kun je een externe resolver niet dwingen een antwoord te vergeten waarvan de TTL nog geldig is.

Controleer lokale uitzonderingen en de resolver

Het hostsbestand koppelt lokaal namen aan adressen. Windows gebruikt C:\Windows\System32\drivers\etc\hosts; macOS en Linux gebruiken /etc/hosts. Een vermelding zoals “203.0.113.50 intranet.example.com” kan toepassingen op dat apparaat naar dat adres laten gaan zonder een DNS-opzoeking. Als slechts één pc een oude site bereikt, controleer dan naast de caches ook lokale uitzonderingen.

Voer nslookup www.example.com uit om de DNS-server en het antwoord te zien. “Non-authoritative answer” betekent dat de resolver die antwoordt niet autoritatief is voor die naam. De resolver kan een cache hebben gebruikt of een nieuwe opzoeking hebben uitgevoerd. De aanduiding is normaal. Om resolvers te vergelijken, stuurt nslookup www.example.com 1.1.1.1 de vraag naar een opgegeven server. Bedenk dat nslookup DNS bevraagt; het bootst niet het gedrag van elke toepassing ten aanzien van het lokale hostsbestand na.

Onderscheid een naamfout van een verbindingsfout

Als een internetadres waarvan bekend is dat het antwoordt op ping reageert, maar een naam de melding “host niet gevonden” oplevert, verdient de naamomzetting aandacht. Controleer de ingestelde DNS-server en vergelijk de resultaten van opzoekingen. Een ping die alleen een time-out geeft, is niet doorslaggevend: een host of firewall kan ping blokkeren terwijl een andere dienst werkt. Als verbindingen op basis van adressen ook mislukken, onderzoek dan naast DNS ook de verbinding.

Bedrijfs-pc's kunnen interne namen zoals fileserver.corp.example.com nodig hebben. Gebruik de goedgekeurde interne DNS-servers. Als je die vervangt door een openbare resolver, kunnen openbare opzoekingen weer werken terwijl interne middelen en domeinaanmelding niet meer werken. De standaardgateway en DNS-server zijn onafhankelijke instellingen, ook als een thuisrouter beide levert.

Een DNS-record heeft een naam, type, cachegeldigheidsduur (TTL) en waarde. Het type vertelt je wat de waarde betekent. Lees het type voordat je bepaalt of de waarde een adres, een andere naam, een mailbestemming of beleidstekst moet zijn.

Vind hosts, aliassen en mailbestemmingen

Een naam kan tegelijk A- en AAAA-records hebben. Een CNAME verwijst naar een andere naam, waarvan het adres vervolgens moet worden opgezocht; als je een IP-adres als doel invult, haal je de recordtypen door elkaar. Een gewone naam met een alias kan niet ook eigen A-, MX- of TXT-gegevens bevatten.

Bij MX-records worden lagere voorkeursnummers eerst geprobeerd. Als example.com de records 10 mail1.example.com en 20 mail2.example.com heeft, proberen verzenders normaal mail1 vóór mail2. De MX-waarde is een hostnaam met adresrecords, niet het IP-adres van de mailserver. Het record beschrijft de ontvangst van mail voor het domein, niet welke poort de mailapp van een gebruiker voor uitgaande mail moet gebruiken.

Lees de drie e-mailcontroles

SPF publiceert toegestane verzendende systemen in een TXT-record voor het domein dat in de envelopafzender van het bericht wordt gebruikt. Een record kan een IP-adres en een lijst van een provider bevatten. De afsluiting -all markeert een niet-overeenkomende verzender als afgekeurd; ~all geeft een zachte afwijzing aan. Het beleid van de ontvanger bepaalt de uiteindelijke afhandeling. Publiceer één SPF-beleidsrecord per domein; meerdere SPF-beleidsrecords veroorzaken een fout.

DKIM voegt een digitale handtekening toe met de privésleutel van de verzender. De openbare sleutel wordt gepubliceerd onder een selectornaam zoals selector1._domainkey.example.com. Een ontvanger gebruikt die om het ondertekenende domein en de ondertekende delen van het bericht te controleren. Een geldige handtekening heeft betrekking op die ondertekende delen; die garandeert niet dat het bericht eerlijk is.

DMARC voegt overeenstemming met het zichtbare afzenderdomein toe. Ten minste één methode moet slagen en overeenstemmen: SPF of DKIM. Een geslaagde controle voor een niet-gerelateerd domein is onvoldoende. Een TXT-beleid op _dmarc.example.com kan p=none vragen voor bewaking, p=quarantine voor behandeling als verdacht of p=reject voor weigering, en een bestemming voor rapporten noemen. Ontvangers passen hun eigen afhandelingsbeleid toe.

Ondersteun een overstap naar een andere provider

Een bedrijf wisselt van e-mailprovider en zijn mail belandt in spam. Controleer of het bestaande SPF-beleid de nieuwe provider toestaat en of de DKIM-sleutel van de provider onder de juiste selector is gepubliceerd. Controleer daarna de DMARC-overeenstemming en rapporten. Een tweede SPF-record maken is geen oplossing; werk het ene beleid bij. Los daarvan kan een verhuizing van een website A- of AAAA-gegevens wijzigen, waardoor oude adressen in caches in gebruik blijven totdat hun TTL verloopt.

Een IP-adres brengt gegevens naar een host. Een transportprotocol en poortnummer duiden het eindpunt van het programma op die host aan. Een firewallregel heeft daarom meer nodig dan een adres: TCP- en UDP-verkeer met hetzelfde nummer zijn afzonderlijke gevallen.

Lees een eindpunt

Een protocol is een verzameling communicatieregels. TCP en UDP vervoeren toepassingsgegevens via IP. Een poort is een nummer van 0 tot 65535. Bekende poorten lopen van 0 tot 1023, geregistreerde poorten van 1024 tot 49151 en dynamische privépoorten van 49152 tot 65535. Clientsoftware kiest doorgaans een tijdelijke bronpoort uit een hoog bereik; besturingssystemen kiezen hun eigen beschikbare bereiken.

Een socket bestaat uit een IP-adres en een poort voor een bepaald transportprotocol. Een laptop kan via TCP verbinding maken van 192.168.1.37:51544 naar een webserver op 203.0.113.10:443. De server antwoordt naar poort 51544 van de laptop. De client hoeft niet op 443 te luisteren omdat de server dat doet.

Een tweede TCP-verbinding tussen dezelfde client en hetzelfde servereindpunt gebruikt een andere bronpoort op de client. Meerdere browsertabbladen kunnen ook een verbinding delen, waarbij het webprotocol de verzoeken gescheiden houdt. Leid het aantal transportverbindingen daarom niet af uit het aantal tabbladen.

Vergelijk de aflevering

TCP nummert gegevens en herstelt ontbrekende delen. Dat is geschikt voor bestandsoverdracht en veel web-, mail- en sessies op afstand. UDP heeft minder ingebouwde overhead. Het is geschikt voor korte vragen en tijdgevoelig spraak-, video- en gameverkeer. Als een oud spraakpakket te laat aankomt, kan het minder nuttig zijn om het alsnog af te spelen dan om het gesprek voort te zetten. Toepassingen kunnen boven op UDP hun eigen betrouwbaarheid toevoegen.

UDP “onbetrouwbaar” noemen betekent dat UDP zelf geen aflevering garandeert. Het betekent niet dat de meeste datagrammen verdwijnen. TCP betrouwbaar noemen betekent dat het ontbrekende gegevens detecteert en herstelt zolang de verbinding werkt; het houdt een verbroken verbinding niet eindeloos in stand.

Stem beide delen van een regel af

DNS gebruikt normaal UDP 53 voor gewone vragen, maar gebruikt ook TCP 53, onder meer voor grote antwoorden en overdrachten tussen servers. Extern bureaublad gebruikt TCP 3389 en kan UDP 3389 toevoegen. HTTP/3 gebruikt QUIC via UDP 443, dus modern webverkeer gebruikt niet uitsluitend TCP.

Als een toepassing UDP 3478 vereist, opent het toestaan van TCP 3478 niet het vereiste pad. Controleer transportprotocol, bestemmingspoort en bedoelde host samen. Poortnummers zijn standaardwaarden, geen identiteitsbewijs: een webbeheerdienst kan 8443 gebruiken en andere software kan een bekende poort bezetten. Bepaal naast het nummer ook welke dienst is geconfigureerd.

Poorten helpen je bepalen welk deel van een toepassingstraject je moet onderzoeken. Webtoegang, e-mail verzenden, e-mail lezen, namen opzoeken en automatische adressering gebruiken verschillende diensten. Een geslaagde verbinding voor inkomende mail zegt weinig over de instellingen voor uitgaande mail.

Webtoegang en verbindingsbeveiliging

HTTP gebruikt doorgaans TCP 80 en vervoert webverkeer zonder versleuteling. HTTPS gebruikt doorgaans TCP 443 met TLS. TLS beschermt het verkeer onderweg en de browser controleert het certificaat van de server. Een phishingsite kan ook een geldig certificaat hebben: de beveiliging van de verbinding en de eerlijkheid van de eigenaar zijn afzonderlijke vragen. HTTP/3 vervoert HTTPS via QUIC op UDP 443.

Mail verzenden en lezen

STARTTLS schakelt een verbinding over naar TLS; impliciete TLS begint met versleuteling. Gebruik de door de provider vereiste poort en versleutelingsmodus samen. Veel providers blokkeren uitgaand verkeer op 25 bij particuliere verbindingen om spam te beperken. Gebruik server-naar-serverpoort 25 niet in plaats van de instellingen voor geauthenticeerde verzending vanuit de app.

POP3 downloadt berichten en verwijdert vaak kopieën van de server. Lokale mappen en leesstatus worden niet tussen apparaten gesynchroniseerd. IMAP bewaart de mailbox op de server en synchroniseert mappen en berichtstatus. Dat past beter als een gebruiker op een telefoon, laptop en in webmail werkt.

Als ontvangen mail werkt maar verzenden mislukt, controleer dan de SMTP-servernaam, verzendpoort, TLS-modus en aanmelding. Als je de poort voor inkomende IMAP wijzigt, richt je je op het werkende deel van het account.

Zet een POP3-gebruiker zorgvuldig over

De telefoon en laptop van een gebruiker tonen verschillende berichten en een andere leesstatus omdat POP3 afzonderlijke lokale verzamelingen heeft gemaakt. Voeg het account toe met IMAP of het door de provider ondersteunde accounttype. Kopieer berichten die alleen op een apparaat staan naar de mailbox op de server en controleer ze vanaf een andere client. Verwijder de oude POP3-configuratie pas nadat de berichten veilig aanwezig zijn. Als je die eerst verwijdert, kan mail verloren gaan die nergens anders bestaat.

Houd naam- en adresdiensten gescheiden

Het domeinnaamsysteem (DNS) gebruikt poort 53, meestal UDP voor gewone vragen en TCP wanneer dat nodig is. DHCP gebruikt UDP 67 op de server en 68 op de client. DNS vindt het adres achter een naam; DHCP levert de eigen configuratie van een client.

Groepeer de standaardpoorten per taak om ze te leren: web 80/443, mailoverdracht tussen servers 25, mail downloaden 110, mailbox synchroniseren 143, naamopzoeking 53 en automatische IPv4-configuratie 67/68. Bewaar de versleutelde mailpoorten naast de onversleutelde standaardpoorten, zodat je bij configuratiewerk verder komt dan alleen herkennen.

Bij ondersteuning werk je vaak met opdrachten op afstand, externe bureaubladen, gedeelde mappen of bestandsoverdracht. Dat zijn verschillende taken. Kies de dienst die bij de taak past en voorkom dat je inloggegevens over een onversleutelde verbinding verzendt.

Beheer op afstand en bestandsoverdracht

De gegevensverbinding van FTP staat los van de opdrachtverbinding. Actieve modus gebruikt serverpoort 20; passieve modus gebruikt een door de server gekozen gegevenspoort. Als je alleen 21 opent, kan aanmelden daardoor werken terwijl overdrachten mislukken. FTPS voegt TLS toe aan FTP; SFTP is een ander protocol dat via SSH loopt. De vergelijkbare namen maken ze niet uitwisselbaar in clientinstellingen.

Gebruik SSH in plaats van Telnet voor opdrachten op afstand. SSH verzorgt ook SFTP en beveiligd kopiëren (SCP). Bereik RDP voor grafische Windows-bediening via een VPN of externbureaubladgateway. Als je RDP rechtstreeks via een poortdoorschakeling vanaf het internet bereikbaar maakt, nodig je aanvallen op de dienst uit.

Gedeelde bestanden en oudere Windows-netwerken

SMB gebruikt TCP 445 voor het delen van bestanden en printers. Een pad zoals \\fileserver\shared duidt een gedeelde map aan. Windows, macOS, Linux en NAS-apparaten kunnen allemaal SMB gebruiken. CIFS is de naam van een vroege SMB-variant; de benamingen worden in apparaatmenu's soms losjes gebruikt.

Laat SMBv1 uitgeschakeld omdat het verouderd en onveilig is. Als een verbinding met een oud apparaat mislukt, controleer dan de ondersteunde protocollen en werk het apparaat bij of vervang het, in plaats van verouderde bestandsdeling in het hele kantoor in te schakelen.

NetBIOS over TCP/IP (NetBT) gebruikt UDP 137 voor namen, UDP 138 voor datagrammen en TCP 139 voor sessies, waaronder oudere SMB-verbindingen. Moderne netwerken gebruiken normaal DNS voor namen en SMB rechtstreeks op 445.

Directory's en afgebakende firewalltoegang

LDAP raadpleegt en wijzigt directorygegevens zoals gebruikers, groepen en adresboeken. De normale poort is 389. LDAPS gebruikt TLS op TCP 636; LDAP kan ook op 389 overschakelen naar TLS wanneer het voor STARTTLS is geconfigureerd. Een kopieerapparaat kan bijvoorbeeld in de directory e-mailadressen van medewerkers opzoeken.

Stel dat een firewall het netwerk van medewerkers van het servernetwerk scheidt. Een versleutelde Linux-shell van een beheerder heeft TCP 22 naar de bedoelde server nodig. Een verzoek voor een gedeelde map heeft TCP 445 naar de bestandsserver nodig. Externe bureaubladen hebben TCP 3389 vanaf goedgekeurde VPN-clients nodig, eventueel met UDP voor betere prestaties. Noem in elke regel de bron, bestemming, het transportprotocol en de poort. Als je één breed bereik opent omdat meerdere taken mislukken, blijft onduidelijk welke dienst werkelijk nodig is.

Wifi is de IEEE-familie 802.11 van standaarden voor draadloze netwerken. De generatienaam vertelt je iets over de ondersteunde technologie; de band, kanaalbreedte, clienthardware en omgeving beïnvloeden wat één apparaat werkelijk bereikt.

Koppel generaties aan banden

Dit zijn ideale totalen over de ondersteunde stromen, geen normale snelheden voor één laptop. Zowel het toegangspunt als de client moet de betreffende band en functies ondersteunen. Een Wi-Fi 6-apparaat krijgt niet zomaar toegang tot 6 GHz omdat het toegangspunt Wi-Fi 6E ondersteunt.

Weeg bereik en beschikbaar spectrum af

De 2,4GHz-band reikt meestal verder door muren, maar deelt druk spectrum met naburige netwerken, Bluetooth en magnetrons. De 5GHz-band biedt meer kanaalkeuze en vaak hogere snelheden over een kleinere afstand. De 6GHz-band biedt extra spectrum en brede kanalen voor compatibele 6E- en Wi-Fi 7-apparaten, met een kleiner praktisch bereik en WPA3-beveiliging voor gewone beveiligde netwerken.

Kanaalnummers op 2,4 GHz liggen slechts 5 MHz uit elkaar, terwijl een gebruikelijk kanaal ongeveer 20 MHz inneemt. Kanalen 1, 6 en 11 vormen het gebruikelijke gescheiden kanaalplan. Kanaal 3 overlapt verkeer bij zowel 1 als 6. Eén gepland kanaal delen kan beter werken dan gedeeltelijke overlap veroorzaken.

Breedtes zijn onder meer 20, 40, 80, 160 en, met Wi-Fi 7, 320 MHz. Bredere kanalen verhogen de mogelijke snelheid, maar nemen meer spectrum in en laten minder onafhankelijke kanalen over. Gebruik 20 MHz op een drukke 2,4GHz-band; 40 of 80 MHz past vaak bij 5 GHz. Kies bredere opties alleen als het beschikbare spectrum en de clients die ondersteunen.

Stel het land of de regio correct in. Toegestane banden, kanalen en vermogen hangen af van de nationale toezichthouder. Sommige 5GHz-kanalen vereisen dynamische frequentieselectie (DFS): het toegangspunt detecteert radar en wijkt uit. Neem geen kanaalplan over van apparatuur die voor een ander land is ingesteld.

Herken de andere radiotechnologieën

Bluetooth vormt persoonlijke netwerken op korte afstand, meestal ongeveer 10 m, via 2,4 GHz. Koppelen omvat detecteren, selecteren en bevestigen. Bluetooth Low Energy ondersteunt kleine apparaten op batterijen.

NFC werkt over enkele centimeters op 13,56 MHz voor handelingen door apparaten bij elkaar te houden, zoals betalen of toegang krijgen. Radiofrequentie-identificatie (RFID) leest labels via radiosignalen over afstanden die door het labelsysteem worden bepaald. Passieve labels gebruiken energie van de lezer en hebben geen batterij. NFC is een gespecialiseerde vorm van RFID voor korte afstanden.

Probeer voor een camera achter buitenmuren 2,4 GHz voor het bereik. Voor een compatibele laptop dichtbij die grote bestanden overdraagt, kan 5 of 6 GHz beter passen. Oordopjes gebruiken Bluetooth; een toegangspas gebruikt een geschikt RFID- of NFC-systeem.

Een router voor een klein kantoor of thuis verbindt het lokale netwerk met de provider en levert vaak wifi, automatische adressering en een firewall. Richt eerst het fysieke traject in, daarna het beheer, de internetinstellingen en het LAN. Leg de configuratie vast zodat een andere technicus die kan onderhouden.

Sluit aan en beveilig het beheer

Sluit het modem of glasvezelaansluitpunt met signaalomzetting (ONT) aan op de WAN-poort of internetpoort. Sluit lokale computers of een switch aan op LAN-poorten. Sommige kabelmodems onthouden het eerst aangesloten apparaat; door het modem na vervanging van de router opnieuw op te starten, kan het de vervanger herkennen.

Open het lokale beheeradres van de router, dat op het label of in de standaardgateway-instelling van een client staat, of gebruik de ondersteunde app. Vervang het standaardbeheerderswachtwoord door een sterk, uniek wachtwoord. Gebruik beheer via HTTPS wanneer dat beschikbaar is en schakel beheer vanaf het internet uit tenzij het nodig is. Werk de firmware bij en schakel automatische updates in als die worden aangeboden. Vervang apparatuur die geen beveiligingsupdates meer ontvangt.

Stem de WAN-instellingen af op de provider

De provider bepaalt de methode. Als je automatische DHCP kiest bij een dienst die PPPoE vereist, kan het lokale netwerk blijven werken terwijl internettoegang mislukt. Een statisch WAN-adres en een statisch LAN-adres beschrijven verschillende kanten van de router.

Kies voor het LAN het routeradres en masker, de DHCP-pool, leaseduur, DNS-opties en reserveringen. Laat bij 192.168.1.1/24 en een pool van .100–.199 buiten de pool ruimte voor vastgelegde statisch geadresseerde apparaten.

Herken adresvertaling eerder in de verbinding

Dubbele NAT ontstaat wanneer een gateway van de provider één privé-LAN routeert en een tweede router daarachter een ander LAN routeert. Surfen werkt vaak, maar inkomende verbindingen en sommige toepassingen worden moeilijker te ondersteunen. Zet de gateway van de provider in brugmodus als dat wordt ondersteund, of gebruik het tweede apparaat als toegangspunt. Een geplande doorschakeling kan via twee lokale routers werken als beide zijn geconfigureerd.

Controleer het WAN-adres voordat je toegang op afstand regelt. Een privéadres kan wijzen op een lokale router eerder in de verbinding of op adresvertaling door de provider. Het gedeelde bereik 100.64.0.0–100.127.255.255 duidt doorgaans op CGNAT. Bij CGNAT kan de doorschakeling van de klant alleen het gedeelde adres van de provider niet openen. Vraag om een openbaar adres of gebruik een methode voor toegang op afstand die voor die situatie is ontworpen.

Open alleen de bedoelde dienst

Een poortdoorschakeling kan extern TCP 8443 naar 192.168.1.50:443 sturen. Geef het interne apparaat een reservering of statisch adres zodat het doel stabiel blijft. Een doorschakeling stelt die dienst bloot; gebruik bijgewerkte apparaten en geef voor toegang op afstand de voorkeur aan een VPN. Vermijd de ruime instelling voor een DMZ-host. UPnP laat clients automatisch toewijzingen maken; laat het uit tenzij het gemak nodig is.

Leg de WAN-methode, het LAN-bereik, de DHCP-pool, reserveringen, doorschakelingen, netwerknaam en de opslagplaats van inloggegevens vast. Exporteer een back-up van de configuratie als dat wordt ondersteund. Controleer na het opslaan van de instellingen vanaf een client zowel lokale toegang als internettoegang.

Een bruikbare wifi-inrichting heeft passende toegangsbeveiliging en een bruikbaar signaal waar mensen werken. Configureer eerst de netwerknaam en beveiliging, plaats daarna de toegangspunten, kies kanalen en controleer het resultaat op de locaties van de clients.

Geef het netwerk een naam en beveilig de toegang

De netwerknaam (SSID) is de zichtbare naam van het netwerk. Gebruik een neutrale naam die geen huisadres, familienaam of routermodel onthult. Meerdere toegangspunten of meshknooppunten kunnen een SSID delen zodat apparaten ertussen kunnen overschakelen. Het sturen naar een geschikte band helpt compatibele apparaten om onder één naam tussen banden te kiezen.

SAE staat voor gelijktijdige authenticatie van gelijkwaardige partijen. AES staat voor Advanced Encryption Standard, het versleutelingsalgoritme in de optie WPA2-AES.

WPA-modi verschillen van de beheeraanmelding van de router. Stel een lange, unieke wifiwachtwoordzin en een ander beheerderswachtwoord in. Vier of vijf willekeurige woorden of minstens 16 tekens vormen een praktisch uitgangspunt. Wijzig de gedeelde toegang wanneer mensen die de wachtwoordzin kennen geen verbinding meer mogen maken.

Gebruik geen verouderde WEP, WPA met TKIP of een open privénetwerk. Schakel WPS uit omdat de pincodemethode de wachtwoordzin kan blootstellen aan aanvallen waarbij die wordt geraden. Ook als je een SSID verbergt, blijft die in draadloos verkeer vindbaar. MAC-filtering kan worden omzeild door een toegestaan adres te kopiëren en kan apparaten met wisselende privéadressen weigeren. Geen van beide vervangt sterke versleuteling.

Scheid bezoekers en slimme apparaten

Geef gasten en apparaten voor het internet der dingen een afzonderlijk netwerk. Controleer of het toegang tot het hoofd-LAN blokkeert; alleen het label “gast” test de isolatie niet. Clientisolatie verhindert bovendien dat gasten elkaar bereiken. Als een bezoeker wel kan surfen maar de bestandsserver van medewerkers niet kan openen, kan dat de bedoelde scheiding zijn.

Breng het signaal waar het nodig is

Plaats de router of het toegangspunt centraal, verhoogd en in de open ruimte. Muren, metalen kasten, spiegels en water verzwakken signalen. Magnetrons kunnen 2,4 GHz verstoren. Voeg meshknooppunten of toegangspunten toe als één locatie de plek niet kan dekken; ethernetbackhaul vervoert verkeer ertussen zonder dezelfde draadloze zendtijd te gebruiken.

Een bereikvergroter met één radio ontvangt en herverzendt op hetzelfde kanaal, waardoor de beschikbare doorvoersnelheid voor clients vaak ongeveer halveert. Plaats die waar het oorspronkelijke signaal nog bruikbaar is, niet binnen de zone zonder dekking.

Meet en kies kanalen

Een wifi-analysetool toont netwerken in de buurt, kanalen en sterkte in dBm. Minder negatief betekent sterker. Stel dat kanaal 1 vijf netwerken heeft, het sterkste op −48 dBm; kanaal 6 heeft er drie, het sterkste op −62 dBm; kanaal 11 heeft er één op −85 dBm. Kanaal 11 is de beste van deze gescheiden keuzes omdat het concurrerende signaal zwak is. Het aantal netwerken alleen laat het verschil in sterkte niet zien.

Loop door de werkruimtes en streef naar ongeveer −67 dBm of sterker waar gesprekken plaatsvinden. Test op meerdere locaties de bruikbare prestaties van toepassingen en de snelheid. Leg de SSID, kanalen, beveiligingsmodus en AP-locaties vast, zodat latere wijzigingen met de werkende configuratie kunnen worden vergeleken.