(draadloos) Netwerk beveiligen

[Lucky Luke 008]

Beste Tweakers,

Sinds gisteren heb ik een Sweex LW150N (+LW153, de kit), en ik wil hiermee een (draadloos) netwerkje gaan opzetten.

Wat info:
Internet via de kabel (Ziggo Basis oid, iig goedkoopste/sloomste, voldoet prima). Van het modem (begane grond) gaat een kabel naar de 1e verdieping. Daar staat een router (nu nog een e-tech, dat wordt de Sweex), waarop bedraad een aantal computers zitten, en waarop draadloos een laptop moet komen.

Ik wil alles zo netjes mogelijk beveiligen en dichttimmeren, maar kom nog wat kennis tekort.

Done already:
-Standaard username van Sweex router veranderd (was: sweex)
-Standaard password van Sweex router veranderd (was: mysweex)
-UPnP uitgezet (stond standaard aan maar na o.a. dit stukje wikipedia besloten uit te zetten. Had ook al 's iets gehoord dat Upnp onveilig zou zijn, wist alleen niet waarom, staat op oude router dus ook uit)
-Wireless (standaard onbeveiligd) ingesteld met WPA-2 PSK (dat is VZIW de veiligste optie, maar please CMIIW.) De router ondersteunt ook WPS, is dat beter/veiliger?
Wachtwoord van WPA-2 is nog wel een "bestaand woord", zei het dan een dat niet in het woordenboek staat en er zijn ook nog eens wat letters vervangen door cijfers... Denk aan iets richting sub@0mair3may0naisestructuur (dat is 'm uiteraard niet). Veilig genoeg, of moet het echt random zijn?
-De thuisnetwerken guide van T.net bekeken, maar die is uit 2000 en meer een goede Howto netwerk opzetten dan een Alles Wat Je Wilt Weten (En Meer) Over NetwerkBeveiliging.
-SSID van netwerk ingesteld op iets anders dan de standaard "Sweex 150N" oid, en verborgen.
-Poortscan van ShieldsUp gedaan.

Er zijn in de setup van de router nog wat dingen die ik niet begrijp en die dus nog op standaardinstellingen staan, maar aangezien wireless standaard onbeveiligd was, vertrouw ik de standaardinstellingen niet zo erg...

Vragen over netwerk:
De poortscan van ShieldsUp geeft bij de Sweex router alle poorten "closed", op een paar na die "Stealth" zijn. De router reageert niet op PING vanaf de WAN kant (dat heb ik in de stup uitgezet, als het niet al standaard uit stond), maar is nu toch te detecteren omdat 'ie dus "closed" antwoord, ipv zich stil te houden...
De oude e-tech router geeft alles "stealth" (o 113/IDENT na), een pc direct erophangen geeft alles "Stealth" (met ZoneAllarm firewall).
Is het veilig genoeg dat de poorten dicht zijn, of moeten ze ook echt stealth zijn?

Hoe veilig is WPA-2? Dan bedoel ik vooral tegen "meeluisteren": Stel dat ik de radiosignalen van een WPA-2 beveiligd draadloos netwerk opvang van iemand dit zit te internetbankieren. Kan ik dan daaruit zijn/haar inloggegevens halen? (Of eigenlijk: zou iemand met voldoende technische kennis mijn inloggegevens kunnen achterhalen door mijn netwerkverkeer af te luisteren?). En internetverkeer dat niet via een https verbinding loopt, zoals MSN gesprekken, zijn die leesbaar te maken uit opgevangen draadloos netwerkverkeer? En dingen als FTP/SFTP?

Hoe kan ik veilig bestanden delen via het netwerk, zonder dat het "grote boze internet" daarbij kan? Zorgt de NAT van de router daarvoor? Hoe?

Vragen over router configuratie:
Bij WAN settings kan niet alleen het MAC van de router worden ingegeven/gecloned van PC, maar ook een hostname worden opgegeven. Daar staat standaard SweexLW150N, kan/moet ik dat veranderen (net als de standaard draadloos netwerk SSID) of niet? Waar wordt deze hostname voor gebruikt?

Wat is MTU? (eveneens bij WAN settings)

Bij Wireless netword basic settings: Wat is Guard Interval? Moet dat op "auto" of op "Long"?
Moet RDG enabled zijn? (Reverse Direction Grant)
Wat is Aggregation MSDU (A-MSDU)? en moet dat aan of uit?

Bij wireless netword/advanced settings:
Wat is BG protection mode? Moet dat op auto, op on of op off?
WMM en APSD staan nu allebij op enable. Is dat ok?
Tx power klinkt als de zendsterkte. Kan ik door deze lager te zetten het bereik verkleinen (lijkt me wel)?

Wat is WDS? Meerdere accespoints in 1 netwerk gebruiken?

Portforwarding/DMZ heb ik al wat over gelezen (op T.net natuurlijk) en begrijp ik voldoende.
Ik zou om de poorten van de router te stealthen een DMZ kunnen aanmaken naar een IP dat niet bestaat, b.v. 192.168.15.201 (ligt buiten DHCP range). Maar dan moet ik wel héél zeker weten dat dat IP niet in mijn netwerk voorkomt...
Is er toevallig een dummy IP dat hiervoor gebruikt kan worden, wat NOOIT/nergens voorkomt?

Zijn er verder nog dingen binnen de routerconfiguratie waar ik naar moet kijken?

Een hele hoop vragen dus, misschien zelfs teveel voor 1 topic. Hopelijk wil toch 1 van jullie ze beantwoorden. Als er meer informatie nodig is: vraag gerust. Maar ik vind dit al een aardig lange startpost

[Lucky Luke 008]

Kleine topickick na een paar dagen.

Misschien had ik het beter kunnen opslitsen over meerdere topics, want nu is het wel een erg lange startpost.
@Moderators: moet ik dat alsnog doen of beter van niet?

[Iekozz]

De poortscan van ShieldsUp geeft bij de Sweex router alle poorten "closed", op een paar na die "Stealth" zijn. De router reageert niet op PING vanaf de WAN kant (dat heb ik in de stup uitgezet, als het niet al standaard uit stond), maar is nu toch te detecteren omdat 'ie dus "closed" antwoord, ipv zich stil te houden...
De oude e-tech router geeft alles "stealth" (o 113/IDENT na), een pc direct erophangen geeft alles "Stealth" (met ZoneAllarm firewall).
Is het veilig genoeg dat de poorten dicht zijn, of moeten ze ook echt stealth zijn?

Closed is dat ze logischerwijs gewoon dicht zijn, en stealth poorten zijn open poorten, maar dan met een rule erachter. De poorten zijn dus gewoon dicht. Zie het als een poort met een wachter erbij.

Hoe veilig is WPA-2? Dan bedoel ik vooral tegen "meeluisteren": Stel dat ik de radiosignalen van een WPA-2 beveiligd draadloos netwerk opvang van iemand dit zit te internetbankieren. Kan ik dan daaruit zijn/haar inloggegevens halen? (Of eigenlijk: zou iemand met voldoende technische kennis mijn inloggegevens kunnen achterhalen door mijn netwerkverkeer af te luisteren?). En internetverkeer dat niet via een https verbinding loopt, zoals MSN gesprekken, zijn die leesbaar te maken uit opgevangen draadloos netwerkverkeer? En dingen als FTP/SFTP?

WPA2 is te kraken, en met behulp van de GPU zelfs zeer snel. Maar als je een wachtwoord hebt met meerdere cijfers,letter en tekens en een woord dat niet in het woordenboek voorkomt dan zit je wel goed. Als jij iemand zijn packets hebt, dan weet je in princiepe alles. Let wel; https:// is wat anders maar gewoon webverkeer is geen probleem.

Hoe kan ik veilig bestanden delen via het netwerk, zonder dat het "grote boze internet" daarbij kan? Zorgt de NAT van de router daarvoor? Hoe?

Gewoon een folder aanmaken en die delen binnen het netwerk.

Vragen over router configuratie:
Bij WAN settings kan niet alleen het MAC van de router worden ingegeven/gecloned van PC, maar ook een hostname worden opgegeven. Daar staat standaard SweexLW150N, kan/moet ik dat veranderen (net als de standaard draadloos netwerk SSID) of niet? Waar wordt deze hostname voor gebruikt?

Wikipedia: Domain Name System

Wat is MTU? (eveneens bij WAN settings)

Wikipedia: Maximum transmission unit

Bij Wireless netword basic settings: Wat is Guard Interval? Moet dat op "auto" of op "Long"?
Moet RDG enabled zijn? (Reverse Direction Grant)
Wat is Aggregation MSDU (A-MSDU)? en moet dat aan of uit?

Gewoon op default laten staan. Als je er geen verstand van hebt, gewoon niet aan klooien.

Bij wireless netword/advanced settings:
Wat is BG protection mode? Moet dat op auto, op on of op off?
WMM en APSD staan nu allebij op enable. Is dat ok?
Tx power klinkt als de zendsterkte. Kan ik door deze lager te zetten het bereik verkleinen (lijkt me wel)?

Gewoon op default laten staan. Als je er geen verstand van hebt, gewoon niet aan klooien.

Wat is WDS? Meerdere accespoints in 1 netwerk gebruiken?

Wikipedia: Wireless Distribution System

Portforwarding/DMZ heb ik al wat over gelezen (op T.net natuurlijk) en begrijp ik voldoende.
Ik zou om de poorten van de router te stealthen een DMZ kunnen aanmaken naar een IP dat niet bestaat, b.v. 192.168.15.201 (ligt buiten DHCP range). Maar dan moet ik wel héél zeker weten dat dat IP niet in mijn netwerk voorkomt...
Is er toevallig een dummy IP dat hiervoor gebruikt kan worden, wat NOOIT/nergens voorkomt?

Je kan toch gewoon je poorten forwarden naar je pc?

Zijn er verder nog dingen binnen de routerconfiguratie waar ik naar moet kijken?

Nee, als je gewoon een niet standaard SSID en wachtwoord insteld, en WPA2 gebruikt, dan zit het wel goed.

[Belgar]

Ik ken de Sweex niet maar in princinpe is er hoop wat je noemt wat geen effect heeft op de beveiliging.

-UPnP uitgezet (stond standaard aan maar na o.a. dit stukje wikipedia besloten uit te zetten. Had ook al 's iets gehoord dat Upnp onveilig zou zijn, wist alleen niet waarom, staat op oude router dus ook uit)

UPnP is meestal geen risico van buiten. UPnP is een risico als je intern besmet raakt. Ikzelf gebruik gewoon UPnP omdat veel non-pc wireless apparaten hierdoor gewoon beter werken. Indien het 1 wireless laptop is kan het uit

-Wireless (standaard onbeveiligd) ingesteld met WPA-2 PSK [met moeilijk password]

WPA2 is gewoon veilig. In principe is elk password van 12 karakters en langer met wat moeilijke tekens/cijfers praktisch onbreekbaar

Is het veilig genoeg dat de poorten dicht zijn, of moeten ze ook echt stealth zijn?

Dicht is dicht. Stealth poorten zijn theoretisch wat lastiger voor een aanvaller, voor jezelf maakt het niet uit

Hoe veilig is WPA-2? Dan bedoel ik vooral tegen "meeluisteren": Stel dat ik de radiosignalen van een WPA-2 beveiligd draadloos netwerk opvang van iemand dit zit te internetbankieren. Kan ik dan daaruit zijn/haar inloggegevens halen? (Of eigenlijk: zou iemand met voldoende technische kennis mijn inloggegevens kunnen achterhalen door mijn netwerkverkeer af te luisteren?). En internetverkeer dat niet via een https verbinding loopt, zoals MSN gesprekken, zijn die leesbaar te maken uit opgevangen draadloos netwerkverkeer? En dingen als FTP/SFTP?

WPA2 is net zo veilig als internet bankieren zelf (met een goed password). Mocht je WPA2 gekraakt worden moeten ze alsnog je HTTPS sessie kraken. praktische kans dat dit je overkomt?: nihil.

Hoe kan ik veilig bestanden delen via het netwerk, zonder dat het "grote boze internet" daarbij kan? Zorgt de NAT van de router daarvoor? Hoe?

dit is eigenlijk een OS vraag. met een homegroup en win7 erg veilig met de juiste instellingen

Vragen over router configuratie:
Bij WAN settings kan niet alleen het MAC van de router worden ingegeven/gecloned van PC, maar ook een hostname worden opgegeven. Daar staat standaard SweexLW150N, kan/moet ik dat veranderen (net als de standaard draadloos netwerk SSID) of niet? Waar wordt deze hostname voor gebruikt?

naam van het apparaat op het netwerk. afgezien van oude @home configs maakt dit weining uit. noem hem gewoon "router" of zo

Wat is MTU? (eveneens bij WAN settings)

Bij Wireless netword basic settings: Wat is Guard Interval? Moet dat op "auto" of op "Long"?
Moet RDG enabled zijn? (Reverse Direction Grant)
Wat is Aggregation MSDU (A-MSDU)? en moet dat aan of uit?

99% kans dat dit standaard goed staat

Bij wireless netword/advanced settings:
Wat is BG protection mode? Moet dat op auto, op on of op off?

ligt eraan welke adapter je hebt op je wireless kant. auto zou moeten werken

WMM en APSD staan nu allebij op enable. Is dat ok?

automatische support voor streaming binnen je netwerk. mocht je dat niet gebuiken kunnen ze uit, scheeld een klein beetje processorkracht op je router

Tx power klinkt als de zendsterkte. Kan ik door deze lager te zetten het bereik verkleinen (lijkt me wel)?

ja, meestal niet handig als je een "N" aansluiting wil gebuiken

Portforwarding/DMZ heb ik al wat over gelezen (op T.net natuurlijk) en begrijp ik voldoende.
Ik zou om de poorten van de router te stealthen een DMZ kunnen aanmaken naar een IP dat niet bestaat, b.v. 192.168.15.201 (ligt buiten DHCP range). Maar dan moet ik wel héél zeker weten dat dat IP niet in mijn netwerk voorkomt...
Is er toevallig een dummy IP dat hiervoor gebruikt kan worden, wat NOOIT/nergens voorkomt?

klinkt leuk, maar vergeet niet dat die routes wel in je router komen te staan. Daarmee veranderd een portscan van buitenaf ineens heel makkelijk in een DoS aanval omdat je routingtabel/nattabel is volgelopen.

[Nivk]

Belgar schreef op woensdag 07 april 2010 @ 14:35:
automatische support voor streaming binnen je netwerk. mocht je dat niet gebuiken kunnen ze uit, scheeld een klein beetje processorkracht op je router

WMM 802.11e is een vereiste voor 802.11n en WMM is hier een subset van, zet je het uit dan kun je alleen met 54Mbps snelheid verbinden wel eens het probleem hebben dat je alleen kunt verbinden op 54Mbps.

WPS is trouwens een manier om gemakkelijk maar toch beveiligd apparaten toe te voegen aan je netwerk, gebruik je het niet dan kun je dat net zo goed uit zetten.

[ Voor 7% gewijzigd door Nivk op 07-04-2010 19:33 . Reden: Zie ook Belgars post! ]

[Belgar]

Nivk schreef op woensdag 07 april 2010 @ 18:49:
[...]


WMM is een vereiste voor 802.11n, zet je het uit dan kun je alleen met 54Mbps snelheid verbinden.

WPS is trouwens een manier om gemakkelijk maar toch beveiligd apparaten toe te voegen aan je netwerk, gebruik je het niet dan kun je dat net zo goed uit zetten.

interessante link die ik nog niet kende. Ik heb hier echter een D-link met WMM disabled en haal 270mb/s link speed. D-link gebruikt echter geen atheros, zover ik weet, dus misschien is dit ook implementatie specifiek

*edit*

even WMM aangezet link speed blijft 270 mbit/s. throughput gaat wel iets omhoog (10%) misschien inderdaad maar aan laten staan

[ Voor 8% gewijzigd door Belgar op 07-04-2010 19:15 ]

[Nivk]

Wellicht is dit inderdaad meer een probleem bij Atheros chipsets en/of Intel WiFi-Link adapters. Zie bijvoorbeeld hier bij packet burst modes. Bij mijn Intel 5300 kaartje had ik nog eerst de optie voor "Intel Throughput Enhancement" ik zie deze echter nu niet meer bij de configuratie opties erbij staan.
Net nog even getest met mijn WNDR3700 en TL-WR1043ND (ook Atheros), zet ik WMM uit dan kan ik alleen connecten op 54Mbps met het Intel kaartje. Zal eens kijken of ik ergens een ander wireless kaartje vind om mee te testen.
Met een Linksys WUSB600N of Belkin N1 adapter krijg ik wel een verbindingssnelheid hoger dan 54Mbps. Blijkbaar ligt het WMM-probleem dan meer bij Intel...

[ Voor 18% gewijzigd door Nivk op 07-04-2010 20:14 ]

[Lucky Luke 008]

Dank voor de reacties.

Eldariel schreef op woensdag 07 april 2010 @ 14:23:
WPA2 is te kraken, en met behulp van de GPU zelfs zeer snel. Maar als je een wachtwoord hebt met meerdere cijfers,letter en tekens en een woord dat niet in het woordenboek voorkomt dan zit je wel goed. Als jij iemand zijn packets hebt, dan weet je in princiepe alles. Let wel; https:// is wat anders maar gewoon webverkeer is geen probleem.

Om iemand zijn packets te hebben moet dan eerst WPA gekraakt worden? Moet dat per packet opnieuw?

Gewoon een folder aanmaken en die delen binnen het netwerk.

Ja, daar zijn goede howto's voor. Maar ik vraag me dus af hoe het beveiligd is tegen toegang van buitenaf.

[...]

Gewoon op default laten staan. Als je er geen verstand van hebt, gewoon niet aan klooien.

Dan vraag ik me alsnog af wat de termen betekenen...

Je kan toch gewoon je poorten forwarden naar je pc?

Om ze te stealthen? Uhm, ja, alleen blijft 'ie poort 0 als closed weergeven omdat de router weigert die te forwarden. Wat op zich logisch is als ik de uitleg op grc doorlees.
Ik denk dat ik maar niks forward en ze dus gewoon als "dicht" laat weergeven. Als dat gewoon veilig genoeg is is het goed.

Ook dank voor de wikipedialinks, legt het goed uit.

Belgar schreef op woensdag 07 april 2010 @ 14:35:
UPnP is meestal geen risico van buiten. UPnP is een risico als je intern besmet raakt. Ikzelf gebruik gewoon UPnP omdat veel non-pc wireless apparaten hierdoor gewoon beter werken. Indien het 1 wireless laptop is kan het uit

UPnP is dus niet te gebruiken vanaf "het grote boze internet" richting mijn router, maar alleen vanaf mijn eigen netwerk?

Ik gebruik het niet dus ik laat het uit (er zit niks dat geen computer is op het netwerk).

dit is eigenlijk een OS vraag. met een homegroup en win7 erg veilig met de juiste instellingen

Het zou dan gaan tussen Ubuntu en WinXp, maar idd gaat dat niet over de beveliging (al ben ik benieuwd hoe het delen van bestanden veilig gedaan kan worden, hoe ervoor gezorgd word dat alleen de computers in het interne netwerk erbij kunnen).

naam van het apparaat op het netwerk. afgezien van oude @home configs maakt dit weining uit. noem hem gewoon "router" of zo

Kan ik 't ding dan ook met z'n naam benadere ipv met zijn IP?

99% kans dat dit standaard goed staat

Ik laat het zo staan, maar wat is het?

ligt eraan welke adapter je hebt op je wireless kant. auto zou moeten werken

Die die bij de kit zat, maar wat is bg protection mode?

klinkt leuk, maar vergeet niet dat die routes wel in je router komen te staan. Daarmee veranderd een portscan van buitenaf ineens heel makkelijk in een DoS aanval omdat je routingtabel/nattabel is volgelopen.

Dan laat ik ze dus gewoon closed. Maar wat heeft een aanvaller aan een portscan die alleen maar dichte poorten laat zien?

Over WMM en APSD: Ik hoef niet per ze maximale snelheid uit het netwerk te halen, maar laat maar aan dan.

Nieuw probleem is om het wireless USB stickje onder Ubuntu werkend te krijgen. Maar dat hoort in een nieuw topic denk ik. (Ik ga ook eerst nog even zelf prutsen daarmee).