"De printer is weg"
Het is de meest gehoorde klacht na een netjes gesegmenteerd netwerk: de werkplekken zitten in hun eigen VLAN, de printers en slimme apparaten in een ander, en opeens vindt de laptop de printer niet meer. De Sonos-app ziet geen speakers, de Chromecast verschijnt niet in de castlijst. Niets kapot — dit is precies wat segmentatie doet. Apparaten ontdekken elkaar via multicast en broadcast, en dat verkeer stopt bij de grens van een VLAN.
Hoe ontdekking werkt
- mDNS (Bonjour) — Gebruikt door AirPrint, Chromecast, Apple TV, HomeKit en Sonos. Apparaten roepen hun naam om op 224.0.0.251, poort 5353.
- SSDP (UPnP) — Gebruikt door smart-tv's, Sonos en Windows voor het tabblad "Netwerk".
- WSD — Waarmee Windows printers vindt. Werkt alleen binnen het eigen subnet.
- Broadcast — Oudere apparatuur en sommige industriële toepassingen.
Een router stuurt dit verkeer bewust niet door naar andere netwerken. Daardoor hoor je in het kantoor-VLAN niets van wat er in het IoT-VLAN wordt omgeroepen.
De oplossing in UniFi: mDNS-reflector
UniFi Network heeft een ingebouwde mDNS-reflector (Instellingen → Netwerken → Multicast DNS). Die luistert naar mDNS-aankondigingen in het ene VLAN en herhaalt ze in het andere. In recente versies kies je precies tussen welke netwerken dat gebeurt. Kies bewust: neem het gasten-VLAN er nooit in mee, en beperk het tot de VLANs die elkaar écht moeten zien.
Ontdekken is niet hetzelfde als verbinden
Dankzij de reflector ziet je laptop de Chromecast weer in de lijst. Maar zodra je op "Cast" drukt, moet de verbinding zelf nog door de firewall. Daar gaat het vaak alsnog mis.
- Chromecast en AirPrint — De verbinding wordt gestart vanuit de laptop. Een regel die verkeer van het kantoor-VLAN naar het IoT-VLAN toestaat is genoeg; omgekeerd alleen "established/related" toestaan.
- Sonos — Berucht lastig: de speakers maken zelf verbinding terug naar de app. Je hebt dus ook een regel nodig van het Sonos-VLAN naar het kantoor-VLAN, beperkt tot de poorten die Sonos gebruikt (onder andere TCP 1400 en 3400 en UDP 1900).
- Windows-printers — WSD komt niet door de reflector. Voeg printers in Windows toe op IP-adres, of installeer ze via een printserver. Werkt altijd en is nog stabieler ook.
IGMP snooping en multicast enhancement
Multicast-streams (bijvoorbeeld bij gegroepeerde Sonos-speakers of IPTV) kunnen een netwerk, en vooral WiFi, flink belasten omdat ze naar iedereen gestuurd worden. Zet daarom IGMP snooping aan op de betreffende netwerken, zodat switches multicast alleen doorsturen naar poorten die erom vragen. Voor WiFi-netwerken is er "Multicast Enhancement", dat multicast omzet naar unicast. Test het na inschakelen wel: sommige oudere apparaten reageren er slecht op.
Soms is het simpeler
Niet alles hoeft over VLANs heen. Een printer die alleen door kantoormedewerkers wordt gebruikt kan prima in het kantoor-VLAN staan; segmenteer wat écht risico vormt, zoals camera's, slimme thermostaten en gastapparaten. En voor een vergaderruimte met Chromecast en speakers is een apart "media-VLAN" met gerichte regels vaak overzichtelijker dan alles in één IoT-bak.
Segmentatie die veilig én werkbaar is? Neem contact op — wij ontwerpen VLANs en firewallregels die je medewerkers niet in de weg zitten.
