VLAN
En måde at dele ét fysisk netværk op i flere adskilte netværk, fx til gæster, medarbejdere og kameraer, på det samme udstyr.
Kort svar
Et VLAN (virtuelt lokalnetværk) er et logisk adskilt netværk, der kører på det samme fysiske udstyr som andre netværk. Med VLAN kan én switch og de samme access points bære fx et medarbejdernet, et gæstenet og et net til kameraer, uden at enhederne kan se hinanden. Trafik mellem VLAN skal gennem en router eller firewall, hvor I bestemmer, hvad der er tilladt.
Fladt netværk
- Alle enheder på samme netværk
- Gæster kan se printere og servere
- Én inficeret enhed kan nå alt
- Svært at se, hvad der taler med hvad
Opdelt med VLAN
- Grupper af enheder adskilt logisk
- Gæster får kun internetadgang
- Regler i firewallen styrer trafik mellem net
- Et angreb begrænses til ét segment
Sådan virker et VLAN
Normalt er alle enheder, der er forbundet til de samme switche, på ét netværk og kan i princippet tale direkte sammen. Med VLAN mærker switchen trafikken med et nummer, så den holdes adskilt: Enheder i VLAN 10 kan kun se andre enheder i VLAN 10. Et access point kan tilsvarende knytte hvert Wi-Fi-netværksnavn til sit eget VLAN.
Skal en enhed i ét VLAN nå noget i et andet – fx en medarbejder, der skal printe på en printer i printer-VLAN’et – sker det via routeren eller firewallen. Det er her, adskillelsen får sin værdi: I bestemmer præcist, hvilken trafik der må passere.
Typisk opdeling i en mindre virksomhed
| Netværk | Hvem eller hvad | Hvad må det nå |
|---|---|---|
| Medarbejdere | Firmacomputere og -telefoner | Internet, printere, servere |
| Gæster | Besøgendes udstyr | Kun internettet |
| Printere og scannere | Delt udstyr | Svarer kun medarbejdernettet |
| Kameraer og bygning | Overvågning, adgangskontrol, alarmer | Kun det nødvendige |
| Administration | Styring af switche, firewall, access points | Kun IT-ansvarlige |
Eksempel: En klinik har et gammelt røntgen- eller måleudstyr, der ikke længere kan opdateres. Det placeres i sit eget VLAN, som kun den computer, der henter data, må tale med. Bliver en medarbejders pc inficeret, kan den ikke nå udstyret direkte.
Hvorfor opdeling begrænser skaden
Mange angreb starter på én enhed – via en phishing-mail eller en sårbar enhed – og forsøger derefter at bevæge sig videre i netværket. I et fladt netværk er der intet, der stopper den bevægelse. Med VLAN og regler i firewallen skal angriberen forbi en ekstra barriere for hvert skridt.
Sikkerdigital.dk anbefaler, at systemer, der ikke længere kan opdateres, overvejes adskilt i et lukket netværk. VLAN er en almindelig måde at gøre det på.
Det kræver VLAN – og hvad det ikke løser
- Udstyr: administrerede switche, access points og en router eller firewall, der understøtter VLAN. Billige uadministrerede switche kan ikke.
- Regler: VLAN uden regler mellem netværkene giver kun halv effekt. Det er firewallreglerne, der afgør, hvad der må passere.
- Dokumentation: Hvilket stik og hvilket Wi-Fi hører til hvilket VLAN? Uden overblik opstår fejl ved næste ændring.
- Ikke en erstatning for opdateringer, endpointbeskyttelse og MFA. VLAN begrænser, hvor langt et angreb når – det forhindrer ikke, at det starter.
Spørgsmål I kan stille
- Er vores netværk opdelt, eller er alt på ét fladt netværk?
- Kan gæster eller kameraer nå vores computere, printere og servere?
- Har vi udstyr, der ikke kan opdateres, og står det adskilt?
- Hvem vedligeholder reglerne mellem netværkene, og er de dokumenteret?
Hvornår giver det mening at få hjælp?
Det giver mening at få hjælp, når netværket skal opdeles første gang, når der kommer kameraer, produktionsudstyr eller ældre systemer på netværket, eller når ingen længere har overblik over, hvad der er adskilt fra hvad.
Spørgsmål og svar
Er VLAN det samme som VPN?
Nej. Et VLAN opdeler jeres lokale netværk i adskilte dele. En VPN er en krypteret forbindelse ind til netværket udefra. Navnene ligner hinanden, men opgaverne er forskellige.
Kan vi bruge VLAN med det udstyr, vi har?
Det kræver administrerede switche og en router eller firewall, der understøtter det. Mange access points til erhverv kan det allerede. En gennemgang af udstyret viser, hvad der mangler.
Bliver netværket langsommere af VLAN?
Normalt mærkes det ikke i en mindre virksomhed. Trafik inden for samme VLAN går direkte gennem switchen; kun trafik mellem netværkene går via routeren eller firewallen.
Forbehold: Opdeling af netværket mindsker risikoen for, at et angreb spreder sig, men giver ingen garanti. Effekten afhænger af reglerne mellem netværkene og af, at de vedligeholdes.
Kilder (tjekket 31. oktober 2026)