Router met goede beveiliging voor een klein bedrijf

[Stvn21]

Hallo beste mede-tweakers.

Ik heb onlangs de opdracht gekregen om voor een net opgezet jeugdzorg inrichting een netwerkje te bouwen.
Het is van essentieel belang dat dit netwerk zeer goed beveiligd wordt. Er komt verder geen server of iets dergelijke in het netwerk dus dit is 1 zorg minder.

De jongeren in deze instelling mogen niet op porno sites en dergelijke komen. Ook is het belangrijk dat ze niet met hun telefoontje of ander mobiel apparaat op het internet kunnen komen. (mac filtering?)

Hebben jullie eventuele tips over een bepaalde manier van aanpak ?

Ook wil ik graag weten weten welke (budget) router ik het beste kan aanschaffen.

Benodigheden:

- Router
- Switch

Wat dus erg belangrijk is:

- Mac filtering
- Goede wifi beveiliging
- Goed bereik wifi
- Woorden blok functie
- Niet al te duur < 200€

Alvast bedankt!

[TECHcrime]

Denk eens aan een Draytek. Deze is daar vrij uitgebreid in.
Verder heeft Cisco ook aardig uitgebreide interface.
Voor goedkoper: Neem een Linksys (weet even niet welke type). De interface mogelijkheden zijn wat minder, maar je kan evt. costom firmware installeren. Op deze manier krijg je toegang tot extra functies die de router wel aan kan, maar de fabrikant heeft uitgeschakeld in de router firmware.

[Spitie]

Mac filtering is onzinnig. Het lijkt een leuke oplossing maar is makkelijk te spoofen. Moet het echt veilig zijn, of veilig genoeg?

[TECHcrime]

Spitie heeft wel gelijk.. Mac filter is te omzeilen.

Ik denk dat het ECHT veilig moet. Ik heb ervaring met jongeren en computers.. geen pretje..

Edit: Moet je per se draadloos gebruiken? Draad is sneller en veiliger

[ Voor 20% gewijzigd door TECHcrime op 29-11-2010 14:10 ]

[CappieL]

Wat dacht je van enkel bedrade computers? Ik ken geen mobieltjes met UTP-poort.

[Stvn21]

Spitie schreef op maandag 29 november 2010 @ 14:07:
Mac filtering is onzinnig. Het lijkt een leuke oplossing maar is makkelijk te spoofen. Moet het echt veilig zijn, of veilig genoeg?

Veilig genoeg idd. het is echt een klein zorginstellingen met maximaal 10 jongeren. enkelen hiervan zijn in het bezit van een laptop oidd.

TECHcrime schreef op maandag 29 november 2010 @ 14:10:
Spitie heeft wel gelijk.. Mac filter is te omzeilen.

Ik denk dat het ECHT veilig moet. Ik heb ervaring met jongeren en computers.. geen pretje..

Edit: Moet je per se draadloos gebruiken? Draad is sneller en veiliger

Wifi is wel noodzakelijk..

CappieL schreef op maandag 29 november 2010 @ 14:11:
Wat dacht je van enkel bedrade computers? Ik ken geen mobieltjes met UTP-poort.

Werknemers moeten wel gebruik kunnen maken van het draadloze internet

[ Voor 47% gewijzigd door Stvn21 op 29-11-2010 14:13 ]

[ajakkes]

Een hele goede oplossing om ervoor te zorgen dat je niet met mobiel op internet kan is geen draadloos internet aanzetten. (ik heb nog geen mobieltjes gezien met een rj45 ingang.)

Waarom mag er niet met mobiel op internet gegaan worden?

Want misschien helpt dat met de keuze voor manier van beperken internet.

Als ik mijn laptop en mobiel hetzelfde mac adres geef valt het volgens mij lastig te blokkeren.

[aZuL2001]

Wat heb je zelf al onderzocht ?

Router hoeft niet hetzelfde te zijn als accespoint.
Bereik wifi valt vrij weinig over te zeggen zonder de locatie te kennen.
Url filtering is onderhoudsgevoelig.
Woord filtering weet ik niet hoe je dat voor je ziet.

[ajakkes]

Als het draadloze netwerk alleen voor werknemers is is dit prima te regelen.

Gewoon een WPA2 beveiliging op je router.

En de code van deze beveiliging alleen aan de medewerkers geven.
Let wel op dat de pc's waar deze code op gebruikt wordt de code niet weergeven aan de jongeren.

[Stvn21]

aZuL2001 schreef op maandag 29 november 2010 @ 14:14:
Wat heb je zelf al onderzocht ?

Router hoeft niet hetzelfde te zijn als accespoint.
Bereik wifi valt vrij weinig over te zeggen zonder de locatie te kennen.
Url filtering is onderhoudsgevoelig.
Woord filtering weet ik niet hoe je dat voor je ziet.

Er zijn toch routers die per definiete een goed bereik hebben of een slecht bereik hebben?
Url filtering heb ik niks over gezegd
Woord filtering -> ik zoek op google op sex-> er komt een pagina in beeld welke mij verteld dat dit niet geoorloofd is

[TECHcrime]

WPA2 beveiliging
(verborgen SSID ?)
MAC filtering

Evt. een beperkte DHCP range..

Het enige wat ik veiliger zou weten is een RADIUS server.. Dan moeten ze inloggen met een eigen account op de wireless..

[Stvn21]

TECHcrime schreef op maandag 29 november 2010 @ 14:19:
WPA2 beveiliging
(verborgen SSID ?)
MAC filtering

Evt. een beperkte DHCP range..

Het enige wat ik veiliger zou weten is een RADIUS server.. Dan moeten ze inloggen met een eigen account op de wireless..

Is dit ook te verkrijgen in opensource? en is dit gekoppeld aan een eventuele server, of zijn hier speciale routers voor?

[CaptJackSparrow]

Er zijn toch allerlei gefilterde DNS opties? Als je de router die laat gebruiken en de toegang tot de router degelijk beveiligt kom je een heel eind lijkt me.

[ajakkes]

Als de draadloze verbinding slechts bedoelt is voor de medewerkers en niet voor de jeugdigen kan je mac filtering dus van je lijstje schrappen.

Volgende probleem is je cybernanny probleem.

Geen idee hoe dit zit maar ik denk dat je in je router een proxy in moet stellen van een cybernanny provider.
Ik denk niet dat het je gaat lukken zelf een blacklist te onderhouden van alles waar ze niet op mogen zoeken dan wel vinden.

Overigens snap ik nog niet helemaal waarom de jeugdigen wel met hun laptop een site mogen zien maar niet met hun telefoon.

[Verwijderd]

Heel lullig een hotspot apparaat met bonnetjes op je eigen buro zetten en die uitdelen aan de personen waarvan jij vindt dat ze mogen internetten voor hoelang (2 uur, 4 uur of 8 uur) .

[TECHcrime]

Ik heb tijdens mijn opleiding (niet zo lang geleden) een router geconfigureerd waarbij er een losse licentie was voor een woord filtering systeem. Volgens mij was dit op een draytek, al weet ik dit niet zeker.

Verder is RADIUS een free-ware / open-source systeem. Alleen het kan zijn dat sommige er een betaalde schil omheen hebben gedaan.
Verder heeft Windows Server onder andere de mogelijkheid om een RADIUS server op te zetten (Weet zeker dat er ergens wel een tut is..
Verder zijn er, zeker voor Linux genoeg applicaties die RADIUS regelen.
Misschien iets minder bekend bij MacOSX..

[Stvn21]

ajakkes schreef op maandag 29 november 2010 @ 14:26:
Overigens snap ik nog niet helemaal waarom de jeugdigen wel met hun laptop een site mogen zien maar niet met hun telefoon.

Normaliter mag geen 1 van de jongeren op het internet, echter worden er in sommige gevallen uitzonderingen gemaakt en mogen enkele jongeren wel op het internet. (dit komt zelden voor).

[swtimmer]

Goingwrong schreef op maandag 29 november 2010 @ 14:17:
[...]


Er zijn toch routers die per definiete een goed bereik hebben of een slecht bereik hebben?
Url filtering heb ik niks over gezegd
Woord filtering -> ik zoek op google op sex-> er komt een pagina in beeld welke mij verteld dat dit niet geoorloofd is

In de EO hoek heb je Filternet, deze doet het filteren van internet voor je (http://www.filternet.nl/). Ik gok dat je op deze manier de meest makkelijke manier van filteren hebt. Daarnaast bied OpenDNS ook dat je kan aanvinken dat bepaalde groepen websites niet bezocht mogen worden, dit is denk ik alleen minder precies dan zo'n EO filter...

/edit, volgens de filternet website kan je zelfs per kind bepaalde websites afsluiten/blokkeren

[ Voor 6% gewijzigd door swtimmer op 29-11-2010 14:35 ]

[Stvn21]

swtimmer schreef op maandag 29 november 2010 @ 14:33:
[...]


In de EO hoek heb je Filternet, deze doet het filteren van internet voor je (http://www.filternet.nl/). Ik gok dat je op deze manier de meest makkelijke manier van filteren hebt. Daarnaast bied OpenDNS ook dat je kan aanvinken dat bepaalde groepen websites niet bezocht mogen worden, dit is denk ik alleen minder precies dan zo'n EO filter...

/edit, volgens de filternet website kan je zelfs per kind bepaalde websites afsluiten/blokkeren

Goede tip, thanks. Hier ga ik me even in verdiepen

[aZuL2001]

Goingwrong schreef op maandag 29 november 2010 @ 14:17:
Er zijn toch routers die per definiete een goed bereik hebben of een slecht bereik hebben?

Wifi bereik is afhankelijk van lokale omstandigheden.
O.a. type gebouw, gebruikte materialen, plaatsing apparatuur, magnetrons, dect telefoons, etc etc.
Wat voor de één goed kan werken hoeft dat voor jullie niet te doen.

Url filtering heb ik niks over gezegd

Maar zoiets zoek je wel. Zie volgende opmerking

Woord filtering -> ik zoek op google op sex-> er komt een pagina in beeld welke mij verteld dat dit niet geoorloofd is

Want ? Het zoeken bij bijv Google naar sex is 1. Het bezoeken van een zoekresultaat is heel wat anders.
Het zoeken op woorden kun je niet tegenhouden.

Zoek maar eens op ebony. Is o.a. een kapper, een band, een keurig wikipedia artikel. Hoe ga je dat onderscheid maken ?

Nadeel van url filtering (dus het daadwerkelijk bezoeken van (zie eerder voorbeeld) ebony dot nl) is dat dat meestal in abonnementsvorm komt, of je het zelf moet onderhouden. Er is zoveel te blacklisten dan, dat je het misschien moet omdraaien (whitelisten), maar dat is ook niet echt handig.

Wie weet kom je met een ClearOS server of device een heel eind.
Daar kun je contentfiltering op activeren (abbo)

[Kompaan]

aZuL2001 schreef op maandag 29 november 2010 @ 14:39:
Wie weet kom je met een ClearOS server of device een heel eind.
Daar kun je contentfiltering op activeren (abbo)

Dan is untangle of pfSense of iets dergelijks misschien ook interessant?

[Stvn21]

aZuL2001 schreef op maandag 29 november 2010 @ 14:39:
[...]

Wifi bereik is afhankelijk van lokale omstandigheden.
O.a. type gebouw, gebruikte materialen, plaatsing apparatuur, magnetrons, dect telefoons, etc etc.
Wat voor de één goed kan werken hoeft dat voor jullie niet te doen.

[...]

Maar zoiets zoek je wel. Zie volgende opmerking

[...]

Want ? Het zoeken bij bijv Google naar sex is 1. Het bezoeken van een zoekresultaat is heel wat anders.
Het zoeken op woorden kun je niet tegenhouden.

Zoek maar eens op ebony. Is o.a. een kapper, een band, een keurig wikipedia artikel. Hoe ga je dat onderscheid maken ?

Nadeel van url filtering (dus het daadwerkelijk bezoeken van (zie eerder voorbeeld) ebony dot nl) is dat dat meestal in abonnementsvorm komt, of je het zelf moet onderhouden. Er is zoveel te blacklisten dan, dat je het misschien moet omdraaien (whitelisten), maar dat is ook niet echt handig.

Wie weet kom je met een ClearOS server of device een heel eind.
Daar kun je contentfiltering op activeren (abbo)

Bedankt voor de tips! ik heb genoeg info om het een en het ander uit te zoeken.. Thanks allemaal

[tweakerharrie]

Ik zou geen router doen maar een proxy server zodat je ook de webpagina's die bezocht zijn kun bekijken. Dat weet je waar ze naar kijken.

Het zoeken naar een technische oplossing vind ik overigens vrij zinloos. Er komen duizenden pagina's bij per dag. China heeft 20.000 mensen op de internet cencuur zitten en zelfs daar werkt het niet. En wil je dat?
Ik zou eerder aandacht besteden aan de jongeren zelf, leer ze de gevaren van internet want dat kun je toch niet tegenhouden. Maak ze sterker in plaats van onwetend.

[aZuL2001]

Goingwrong schreef op maandag 29 november 2010 @ 14:46:
Bedankt voor de tips! ik heb genoeg info om het een en het ander uit te zoeken.. Thanks allemaal

Vraag ook maar vast meer budget aan

[nextware]

Wat je eventueel kunt doen is bijvoorbeeld een Draytek router nemen met Content filtering functionaliteit.

Let op: er is maar een beperkt assortiment Draytek routers die dit nog maar ondersteunen. Er komen binnenkort nog wel een aantal modellen bij die dit ondersteunen. Dit is trouwens ook maar een licentie geldig voor één jaar. Hier heb je dus ieder jaar wel licentie kosten voor.

Handige tip: zorg er ook voor dat in een dergelijke situatie je apparatuur achter slot en grendel ligt. Er zijn genoeg "handige" personen die even een router resetten en hierdoor onbeperkt toegang kunnen krijgen tot alle mogelijkheden op internet. Maar dit is wellicht overbodige info

[Marchel]

http://www.zyxel.nl/web/p...58-4FDD-BA2D-6404D45BB7EA

Ik denk dat dit product perfect past.
Heb niet alle reacties gelezen maar het voldoet wel aan de meeste eisen:

Content Filtering

Social networking control
Web security - ZyXEL safe browsering
URL blocking, keyword blocking
Profile base setting
Exempt list (blacklist and whitelist)
Blocks java applet, cookies and active X
Dynamic URL filtering database (powered by BlueCoat)
Unlimited user licenses support
Customize warning messages and redirect URL

€219.- Exclusief BTW bij ACES Direct
http://www.acesdirect.nl/...121/zyxel_zywall_usg_20w/

[wagenveld]

Of een Sonicwall TZ 100, ook ongeveer in dezelfde prijs en feature categorie.

[Sylvesterb]

Ik weet niet of het iets is maar heb een tijdje geleden iets gehoord over OpenDNS. Het leek best makkelijk alleen weet ik niet of het alleen gratis is voor thuisgebruikers.

succes!

[aZuL2001]

Marchel schreef op maandag 29 november 2010 @ 15:53:
<knip>

€219.- Exclusief BTW bij ACES Direct
http://www.acesdirect.nl/...121/zyxel_zywall_usg_20w/

De Zyxels zijn inderdaad ook goed.

Als TS daar wat mee wil kan ik hem daar mee helpen. _{(scherper dan Aces)}

[Reptile209]

Sja, als het maar om enkele personen van max 10 jongeren gaat, zou ik bijna zeggen: laat ze los op het net, maar geef aan dat *alles* gemonitord wordt. En doe dat ook. Dan kan je er nog therapeutisch nut in stoppen, door het goed omgaan met de vrijheid of ze aanspreken op 'missers'. Of zijn dat soort zaken al een gepasseerd station bij deze kids?

[Verwijderd]

Sylvester89 schreef op maandag 29 november 2010 @ 16:00:
Ik weet niet of het iets is maar heb een tijdje geleden iets gehoord over OpenDNS. Het leek best makkelijk alleen weet ik niet of het alleen gratis is voor thuisgebruikers.

succes!

Inderdaad met OpenDNS kun je ook sites filteren. Schijnt best aardig te werken heb ik gehoord

[johnkeates]

Als je echt veilig moet, heb je geen drol aan DNS filtering, MAC filtering, DHCP-limits enz enz. Dat is allemaal in 5 seconden te overriden. Het enige wat je kan doen is een accesspoint maken waar je al dan niet met RADIUS belist of mensen kunnen inloggen e.d., waar DHCP en monitoring verzorgd wordt en dan een WAN link naar een firewall met deep packet inspection (outgoing). Dan zorg je er voor dat je een interne proxy gebruikt in je WAN-apparaat, daar ook meteen je blacklist voor woorden en sites parkeert voor handmatige blokkering, en je neemt ook meteen toegang op alle poorten in beslag, zo dat alleen 80 open staat. Dan kan niemand SSL gebruiken, en alleen HTTP-applicaties werken dan. Daarna zorg je dat je deep packet inspection firewall ook een protocol detectie component heeft om te zorgen dat er alleen maar HTTP verkeer over poort 80 kan, en de rest er uit gesloopt wordt.

Op het moment het je het veiligste wat je blacklist-based kan configureren.


Een andere stap is whitelist configuratie gebruiken, gewoon alles blokkeren en alleen een selectie toestaan.

Verder moet je denken aan proxies, google's cache en sharing sites enz. want daar kan je dan juist veel probeersels naartoe verwachten.

Misschien is het beste om gewoon geen internet aan te bieden.

[DukeBox]

Ik denk dat het goedkoper is om de security e.d. niet in de router te hebben maar via een qsuid proxy o.i.d.
Als je een AP neemt met meerdere VLAN's kan je zo ook makkelijk gastgebruikers en vaste gebruikers scheiden.

[Marchel]

aZuL2001 schreef op maandag 29 november 2010 @ 16:08:
[...]


De Zyxels zijn inderdaad ook goed.

Als TS daar wat mee wil kan ik hem daar mee helpen. _{(scherper dan Aces)}

Ik geloof niet dat het de bedoeling is dat we aanbiedingen maken voor andere forum gebruikers. Ik heb het linkje van ACES puur ter informatie gebruikt.

[ Voor 34% gewijzigd door Marchel op 29-11-2010 16:50 ]

[Killerbert]

Marchel schreef op maandag 29 november 2010 @ 16:47:
[...]


Ik geloof niet dat het de bedoeling is dat we aanbiedingen maken voor andere forum gebruikers. Ik heb het linkje van ACES puur ter informatie gebruikt.

Mee eens.
je kan natuurlijk ook een linkje geven naar de PW
pricewatch unsorted: ZyXEL Switch ZyXEL ZyWALL USG 20W Firewall Appliance