Gescheiden zakelijk + privenetwerk

[Bisti]

Wij hebben een kantoor aan huis en maken de overstap naar een andere provider (KPN)
Op dit moment hebben we één netwerk waar we zowel zakelijk als prive gebruik van maken.

Door een extra router in te zetten wil ik dit splitsen naar twee netwerken. Dit doe ik omdat dit voor mijn gevoel veiliger is. Van het beveiligen van netwerken heb ik echter weinig kaas gegeten. Ik heb de laatste week uitgezocht hoe ik het op wil gaan zetten, maar ik heb geen idee of mijn inspanningen het netwerk nu feitelijk veel veiliger gaan maken.

Plan:

KPN xperiabox voor zakelijk netwerk:
Het kantoor grenst aan het IS/RA punt, dus fysiek gezien moet de xperiabox op kantoor staan. De router die in de xperiabox zit wil ik daarom gelijk gebruiken voor het zakelijk netwerk. Het netwerk komt er als volgt uit te zien:
- 3 bekabelde aansluitingen (2 PC's + 1 kabel naar de router voor het thuisnetwerk)
- Fixed IP's en Wifi uit

Konig 54M voor prive netwerk: http://www.konigelectronic.com/nl_nl/1023729?tab=downloads
De router hebben we nog staan en wordt op dit moment ingezet als AP. Deze router gaat ingezet worden als een normaal thuisnetwerk.
- 3 bekabelde aansluitingen (Laptop + SmartTV)
- Geen fixed IP's en wifi mag aan (met wachtwoord uiteraard, maar als ik bezoek heb mogen ze wel gewoon het wachtwoord hebben)

Dit is zoals ik het in zou richting, maar Ik vraag mij bijvoorbeeld af hoe groot het effect is van het splitsen van de netwerken als het privenetwerk nog steeds rechtstreeks verbonden is aan het zakelijk netwerk. Is het niet veel veiliger om ook een router te plaatsen tussen de xperiabox en het zakelijk netwerk? Op die manier zijn beide netwerken niet meer fysiek verbonden.

Wat is het praktisch nut van fixed IP adressen mbt. veiligheid? Heeft dit nut of maak ik het mijzelf enkel ingewikkeld?

Zit ik in de goede richting of hebben de bovenstaande veranderingen geen effect op de beveiliging van het zakelijke netwerk?

[Fish]

De Makkelijkste manier voor jou lijkt me om het juist andersom te doen

Dus prive direct op de experia. En daar weer je konig router erop met je zakelijk netwerk
- evt konig in dmz zetten
- wel opletten dat beide subnets niet hetzelfde zijn
Je moet het zo zien. je router "beschermd" het lan tegen het wan.

Vaste ip adressen hebben geen toegevoegd nut tbv veiligheid

Nat achter Nat is niet preferred, maar je huidige hardware en zonder extra invetering is dit wel het beste denk ik. helemaal gezien je ervaring met routers.

[ Voor 5% gewijzigd door Fish op 12-02-2014 11:41 ]

[Miyamoto]

Gooi alsjeblief die oude Koning router weg: We zijn inmiddels ruim 10 jaar verder, ook qua techniek. Beveiliging heeft dus 0,0 nut als je dit beestje er nog tussenlaat. Sowieso ook qua performance enzo, maargoed.

Vaste IP-adressen hebben niets te maken met veiligheid. Ik zou ook niet weten hoe je dat in gedachte had? Ook een wachtwoord dat je vervolgens wel gaat delen, voegt niets toe aan veiligheid.

Verdiep je eens in een gast-netwerk (/subnetten) of in VLANs. Afhankelijk van de exacte wensen, eisen en beschikbare budget. En natuurlijk hoe veilig is veilig?

Bottomline: Je vertelt in je hele verhaal niets over veiligheid.

[Fish]

Bestaat konig al 10 jaar dan het valt iig in het straatje cheap ass routers

Het lijkt wel op een gerebrande icidu welke al aftreksels zijn van bestaande proukten

(deze deed het wireless kwa ontvangst helemaal niet slecht btw)

[Bisti]

Bedankt voor de info ,
Ik moet het netwerk inrichten bij mijn ouders thuis waar ik alleen nog in de weekenden kom. Mijn ouders hechtten weinig waarde aan snel internet, dus vandaar liever geen al te grote investeringen. De vraag van extra beveiliging komt vanuit mij.

En dan het antwoord op de vraag hoe veilig moet veilig zijn, geen idee. De meeste werkzaamheden lopen via een beveiligd programma met dezelfde methode van inloggen als bijvoorbeeld internetbankieren maar dan niet via het WWW, dat is volgens mij redelijk veilig. Daarnaast staan er op de schijf natuurlijk word/excel bestanden met informatie die liever niet in de grote boze buitenwereld terecht komt. Maar om nu te zeggen dat het een bedrijf is waarvan buitenstaanders denken, daar is veel te halen, nee.

Ik dacht dat fixed IP's van impact kunnen zijn op de beveiliging door de 3 aansluitingen alle 3 een fixed IP te geven en daarna de IP range te verkleinen naar 3 IP adressen. Dit in combinatie met MAC filtering lijkt mij ervoor te zorgen dat er niet zomaar andere apparaten kunnen inloggen op het bedrijfsnetwerk.

De code's van de WIFI verstrekken geldt voor het privenetwerk. Doordat dit een ander netwerk is dan het zakelijk netwerk kan het voor mijn gevoel geen kwaad om de wificode's te geven aan mensen die op bezoek komen.


De experiabox moet fysiek op het kantoor komen te staan vanwege het ISRA punt, Het wifi bereik is in het prive gedeelte erg slecht als het wireless punt op kantoor staat. Vanuit kantoor loopt er op dit moment 1 internetkabel naar het prive gedeelte, die aansluiting wilde ik gebruiken om de konig aan te sluiten, op die manier hoeven ze niet te investeren in een accesspoint + hub.
Als ik jullie reacties lees lijkt het volgende me handig icm met de apparatuur die ze op dit moment hebben (we hebben nog een vergelijkbare router als de konig welke precies weet ik zo niet)

,,,,,,,,,,,,,,,,,,,,,,,l--- > Router kantoor (Belangrijkste eis is veilig instellen)
Xperiabox----l
,,,,,,,,,,,,,,,,,,,,,,,l----> Konig prive (Evt upgraden voor snelheid en moderne functies)

Op de router van kantoor schakel ik het liefste zo veel mogelijk functies uit zodat hij zo veilig mogelijk "internet" geeft aan de 2 PC's die ze hebben staan.
Met deze opstelling lijken mij het thuisnetwerk en het kantoornetwerk volledig gescheiden. Hierdoor hoeft het prive netwerk niet veiliger te zijn dan dat van de buren.

Met behulp van de tips op deze link: https://sites.google.com/site/computertip/tweederouter wil ik de verschillende routers op elkaar aansluiten. En met behulp van deze link:
http://www.pcmweb.nl/tips-en-trucs/20-slimme-routertips.html
Wil ik hem zo veilig mogelijk instellen.

Is dit logisch of moet ik me echt gaan verdiepen in VLANS en gaan investeren?

[Miyamoto]

Bisti schreef op woensdag 12 februari 2014 @ 13:46:
Bedankt voor de info ,
Ik moet het netwerk inrichten bij mijn ouders thuis waar ik alleen nog in de weekenden kom. Mijn ouders hechtten weinig waarde aan snel internet, dus vandaar liever geen al te grote investeringen. De vraag van extra beveiliging komt vanuit mij.

Voor 50-100 euro koop je al 1 of 2 routers.

Bisti schreef op woensdag 12 februari 2014 @ 13:46:
En dan het antwoord op de vraag hoe veilig moet veilig zijn, geen idee. De meeste werkzaamheden lopen via een beveiligd programma met dezelfde methode van inloggen als bijvoorbeeld internetbankieren maar dan niet via het WWW, dat is volgens mij redelijk veilig. Daarnaast staan er op de schijf natuurlijk word/excel bestanden met informatie die liever niet in de grote boze buitenwereld terecht komt. Maar om nu te zeggen dat het een bedrijf is waarvan buitenstaanders denken, daar is veel te halen, nee.

Nouja, als dat programma online draait, loopt het dus wel via het 'www'. Als het lokaal draait, is het vrij onveilig als je de buitendeur (of je wifi-netwerk) open zet.

Als je toch bezig bent, denk ook even aan backups. Ook een onderdeel van 'beveiliging' (tegen falen van de gebruiker of apparatuur).

Bisti schreef op woensdag 12 februari 2014 @ 13:46:
Ik dacht dat fixed IP's van impact kunnen zijn op de beveiliging door de 3 aansluitingen alle 3 een fixed IP te geven en daarna de IP range te verkleinen naar 3 IP adressen. Dit in combinatie met MAC filtering lijkt mij ervoor te zorgen dat er niet zomaar andere apparaten kunnen inloggen op het bedrijfsnetwerk.

En als ik mijn laptop aan je netwerk hang en zelf een IP opgeef? Je kunt alleen de DHCP range verkleinen. Daarbuiten heb ik redelijke vrijheid om te doen wat ik wil.

Bisti schreef op woensdag 12 februari 2014 @ 13:46:
De code's van de WIFI verstrekken geldt voor het privenetwerk. Doordat dit een ander netwerk is dan het zakelijk netwerk kan het voor mijn gevoel geen kwaad om de wificode's te geven aan mensen die op bezoek komen.

Klopt, maar als je deze twee niet goed gescheiden hebt kan iemand via het privé netwerk alsnog bij het zakelijke netwerk.

Bisti schreef op woensdag 12 februari 2014 @ 13:46:
De experiabox moet fysiek op het kantoor komen te staan vanwege het ISRA punt, Het wifi bereik is in het prive gedeelte erg slecht als het wireless punt op kantoor staat. Vanuit kantoor loopt er op dit moment 1 internetkabel naar het prive gedeelte, die aansluiting wilde ik gebruiken om de konig aan te sluiten, op die manier hoeven ze niet te investeren in een accesspoint + hub.

Een router kan ook als Access Point (en hub of eigenlijk switch) dienen. Zonder verdere eisen ben je voor 50 euro klaar: pricewatch: TP-Link TL-WR1043ND Voor 65 euro heb je wat meer apparaat en kun je ook een gastnetwerk instellen pricewatch: TP-Link TL-WDR4300

Dat laatste is een erg goedkope en redelijk voldoende beveiliging voor je ouders. Je wilt niet zozeer privé en zakelijk scheiden, maar buitenstaanders op het privé netwerk weren op het zakelijke netwerk. Een gast-netwerk voldoet hieraan.

Deze router(s) kun je eenvoudig instellen als Access Point: [HOWTO]Draadloze Router gebruiken als Access Point

Bovendien heb je dan 802.11n, evt. 5GHz, WPA2/AES beveiliging en bovendien een sneller apparaat.

Bisti schreef op woensdag 12 februari 2014 @ 13:46:
Met behulp van de tips op deze link: https://sites.google.com/site/computertip/tweederouter wil ik de verschillende routers op elkaar aansluiten. En met behulp van deze link:
http://www.pcmweb.nl/tips-en-trucs/20-slimme-routertips.html
Wil ik hem zo veilig mogelijk instellen.

Die slimme routertips zijn niet echt slim of voegen niets toe in het geheel.
Natuurlijk moet je het wachtwoord van je router niet op de default waarden laten staan en je WPA2 key ook iets moeilijker maken dan "Bisti".

Maar datzelfde geld voor de wachtwoorden op de programma's die je ouders gebruiken. Als je je netwerk veilig hebt, maar het wachtwoord van hun online boekhoudingpakket is '123456' dan houdt het alsnog op

Bisti schreef op woensdag 12 februari 2014 @ 13:46:
of moet ik me echt gaan verdiepen in VLANS en gaan investeren?

Nee waarschijnlijk niet. Maar je huidige setup is niet veilig. Ik denk dat een gast-netwerk al voldoet aan je wensen en eenvoudig en relatief goedkoop is op te zetten.