Hvad betyder VLAN og VPN – og hvad beskytter de?

VLAN (Virtual Local Area Network) bruges typisk til at opdele et lokalt netværk i adskilte netsegmenter. Formålet er at reducere, hvor frit enheder kan kommunikere med hinanden, selv hvis de fysisk deler den samme router, switch eller kabling.

VPN (Virtual Private Network) bruges til at etablere en beskyttet forbindelse over et andet net (fx internettet). I praksis betyder det ofte, at data i transit krypteres, og at kommunikatonen ledes via en “tunnel” mellem den, der vil forbinde, og det netværk der skal nås.

Sammenfattende: VLAN handler primært om segmentering og adgang internt i et lokalnet. VPN handler primært om beskyttelse og adgang på tværs af netværk, typisk ved fjernadgang eller forbindelser over internettet.

Et enkelt model: VLAN = lokalt hegn, VPN = beskyttet passage

Forestil dig to sikkerhedslag:

  1. VLAN som hegn i huset (lokalt net)
  • Du kan placere enheder i forskellige VLAN’er, så de ikke er i samme broadcastdomæne og ofte ikke kan nå hinanden direkte.
  • Adgang mellem VLAN’er kræver typisk bevidste regler (fx routing eller firewall-politikker), ikke bare “at være på samme net”.
  1. VPN som kontrolleret rute udefra (ekstern adgang)
  • Når en bruger eller en enhed forbinder via VPN, går trafikken normalt gennem en krypteret kanal.
  • Netværket, der modtager forbindelsen, kan kræve autentificering og dermed begrænse, hvem der får adgang.

Det vigtige nuanceringspunkt er, at begge kan være “adgangsbegrænsende”, men de gør det på forskellige steder og med forskellige antagelser: VLAN antager, at problemet især er intern spredning/adgang i lokalnettet; VPN antager, at problemet især er aflytning/manipulation og uautoriseret adgang via en offentlig eller upålidelig rute.

Hvordan spiller VLAN og VPN sammen i praksis?

Der er flere typiske kombinationer, men tænk i formål frem for teknologi:

  • Fjernadgang til et segment: Du kan bruge VPN til at give en fjernbruger en sikker indgang, og derefter lade vedkommende få adgang til bestemte interne VLAN’er via regler.
  • Begrænsning af intern “sideværts bevægelse”: Selvom en enhed er kompromitteret, kan VLAN-segmentering gøre det sværere at hoppe til andre dele af lokalnettet.
  • Adskilning af roller og tjenester: Drift, gæster, IoT-enheder og administrationsudstyr kan placeres i forskellige VLAN’er, mens VPN kun bruges til de dele, der kræver fjernforbindelse.

Nogle gange kan man forveksle begreberne og tro, at VPN “erstatter” VLAN. Det er sjældent hele billedet: VPN beskytter primært forbindelsen “ind til” netværket, mens VLAN begrænser, hvad der kan ske “inde i” netværket efter adgang.

Forskelle, begrænsninger og undtagelser

Selv når både VLAN og VPN er til stede, findes der grænser:

  • VLAN beskytter ikke automatisk trafikken mod aflytning på selve linket VLAN handler hovedsageligt om logisk opdeling og adgang. Hvis nogen kan observere eller påvirke trafik på samme fysiske infrastruktur, kan det stadig være relevant at have kryptering (som VPN kan give på forbindelser uden for lokalnettet). Hvorvidt VLAN i sig selv giver kryptering, afhænger af den konkrete løsning og design—så antag ikke, at segmentering alene erstatter kryptering.

  • VPN kan ikke “redde” dårlig intern adgangslogik Hvis reglerne mellem VLAN’er er for brede, eller hvis der er manglende kontroller efter tilslutning, kan en VPN-bruger i praksis få for meget adgang. VPN er ikke kun en “krypteringsknap”; det skal kombineres med passende adgangspolitikker.

  • Forkert opsætning skaber nye sårbarheder Konfigurationsfejl, uklare regler og overflødige tilladelser er en klassisk årsag til, at sikkerhedsløsninger ikke giver den effekt, man forventer. Tænk derfor i test og verificering: Hvem kan nå hvad—og hvad sker der, hvis en enhed flyttes til et andet VLAN?

  • Brug “mindst privilegium” i stedet for “én løsning til alt” Hvis målet primært er intern segmentering, kan VPN være unødvendigt. Hvis målet primært er sikker fjernadgang, kan VLAN være utilstrækkeligt uden VPN. Den rigtige kombination afhænger af trusselsbillede og adgangsbehov.

Sådan kan du kontrollere, om du rammer det rigtige

Når du vurderer eller planlægger VLAN og VPN, kan du tjekke følgende punkter uden at købe noget bestemt:

  • Adskiller VLAN’erne det, du vil adskille? Vurder om enheder i forskellige VLAN’er faktisk ikke kan kommunikere som før, og om adgang kun findes der, hvor du bevidst har gjort det muligt.

  • Er der klare adgangsregler mellem VLAN’er? Hvis der er routing eller firewall mellem segmenter, bør reglerne afspejle det konkrete behov (fx kun bestemte tjenester/porte og kun bestemte retninger).

  • Giver VPN krypteret transport og stærk adgangskontrol? Se efter, om der kræves godkendelse, og om trafikken over forbindelsen er beskyttet. Uden dette er VPN kun et navnespørgsmål.

  • Matcher funktionerne dine brugsscenarier? Hvis du har brug for fjernadgang, giver VPN mening. Hvis du vil begrænse intern spredning, giver VLAN mening. I de fleste realistiske miljøer er de komplementære snarere end erstatninger.

  • Kan du forklare “hvad beskytter hvad” for dit setup? Hvis du ikke kan beskrive, hvilke dele af netværket der er beskyttet af VLAN, og hvilke der er beskyttet af VPN, risikerer du at overse et hul.

Hvis du vil, kan du beskrive dit netværk på et højt niveau (fx hjemmekontor vs. medarbejderadgang, gæster, IoT, hvor fjernadgang skal ende), så kan jeg hjælpe med at formulere en mere præcis afgrænsning af, hvor VLAN og VPN passer ind—uden at være købsguidende.