Geen admin nog IP-passthrough op modemrouter. Is dit legaal?

[grivy]

Ik ben een klant bij Vodafone Thuis. Van Vodafone heb ik een modemrouter gekregen, maar hierop ben ik zelf geen admin. Vodafone is de admin en heeft daarmee toegang tot een apparaat binnen mijn thuisnetwerk. Dat mijn provider mijn externe internetverkeer kan zien is begrijpelijk, maar in mijn thuisnetwerk hebben ze niets te zoeken. Ik vind het vreemd dat dit zomaar geaccepteerd lijkt te worden. Natuurlijk, zullen de providers nu nog niet mee kijken...maar toch, wat vinden jullie?

Ik zou natuurlijk een eigen router achter de modemrouter kunnen hangen, maar dat levert in het IPv4 tijdperkt allerlei problemen met zich met name verbindingsproblemen ten gevolgen van dubbel NAT en problemen van het linken van een DNS aan het externe IP (router functionaliteit). Vroeger was IP-Passthrough hiervoor de oplossing, maar deze vrijheid is ons ook inmiddels ontnomen. Graag hoor ik of er nog meer zijn die hier tegenaan lopen en of er ontwikkelingen zijn op dit gebied.

[Garyu]

Ik zie het probleem niet hier gewoon een router achter te hangen? Dat Vodafone-apparaat is je modem, je router doet gewoon de routing tussen je modem en je interne netwerk?

Ik vind het overigens nogal vreemd dat je meteen met "illegaal" komt, UPC doet precies hetzelfde, en zet hun modem/router ook in jouw netwerk neer tenzij je er nog een eigen router aan vast knoopt.

[Croga]

Ten eerste:
Jij hebt zelf gekozen voor Vodafone thuis. Als je dit niet wilt kun je altijd gewoon opzeggen. Staat je volledig vrij.

Ten tweede:
Als jij de modemrouter van hen te huur of te leen hebt staan ze volledig in hun recht je geen admin rechten te geven. Ze hebben daarmee nogsteeds geen toegang tot apparaten binnen je netwerk, die controle heb je nogsteeds volledig zelf.

Ten derde:
Hoezo problemen met dubbel NAT? Als je dat goed inregeld is er helemaal niets mis mee. Ik heb het hier ook draaien voor al mijn servers en die lopen al jaren als een zonnetje.

[Fish]

Croga schreef op donderdag 05 november 2015 @ 21:10:
..Ten tweede:
Als jij de modemrouter van hen te huur of te leen hebt staan ze volledig in hun recht je geen admin rechten te geven. Ze hebben daarmee nogsteeds geen toegang tot apparaten binnen je netwerk, die controle heb je nogsteeds volledig zelf.

Mja als ej een huis huurt mag je je huisbaas ook niet zomaar naar binnen zonder jouw toestemming. Maar ik ben het eens dat het een kansloze discussie word tenzij je een proefprocess wil opstarten (als die er al niet geweest is)

Ten derde:
Hoezo problemen met dubbel NAT? Als je dat goed inregeld is er helemaal niets mis mee. Ik heb het hier ook draaien voor al mijn servers en die lopen al jaren als een zonnetje.

upnp gaat iig hardstikke stuk

[luxan]

Ik vind het nogal een grote stap van de constatering "Ik heb geen admin rechten op dit modem" naar "Ze kunnen remote inloggen op mijn modem en al mijn interne netwerkverkeer zien".

Je krijgt van je smartphone toch ook niet het wachtwoord van het beheeraccount? (En trust me, ergens is er een beheeraccount verstopt in bijna alle smartphones). Dat betekend vervolgens niet dat je mobiele provider toegang heeft tot alle gegevens van al je apps op je telefoon. Hier is recentelijk nog een heel gedoe over geweest tussen de Amerikaanse overheid en Apple. Die weten het rootwachtwoord van alle iPhones maar geven aan dat ze de gegevens op een iPhone met iOS 9 gewoonweg niet kunnen decrypten.

[Croga]

Fish schreef op donderdag 05 november 2015 @ 21:14:
Mja als ej een huis huurt mag je je huisbaas ook niet zomaar naar binnen zonder jouw toestemming. Maar ik ben het eens dat het een kansloze discussie word tenzij je een proefprocess wil opstarten (als die er al niet geweest is)

Maar je huisbaas mag je wel zeggen dat je niet in de schuur mag komen omdat dat geen onderdeel van de huurovereenkomst is...... De verhuurder bepaalt wat je allemaal wel en niet mag.

upnp gaat iig hardstikke stuk

Nope. UPNP is geen enkel probleem als je dubbele NAT goed ingeregeld is......
In mijn geval staat een UPC modemrouter die alle poorten forward naar mijn Netgear. Die Netgear heeft slechts beperkte forwarding en regelt UPNP. UPNP doet niets anders dan de router vertellen dat hij graag een port geforward heeft. Die Netgear doet dat zonder problemen en de Cisco van UPC interesseerd het verder niet.

[grivy]

Alle provider die ik ken plaatsen nu modem met routers bij de klanten thuis.

Bij Vodafone is het zo dat je deze router niet uit kan zetten. En bij mij is het zo dat het plaatsen van een router achter de router voor problemen zorgt. Hierdoor wordt ik geforceerd om de router van Vodafone te gebruiken. Dit is op zich niet heel problematisch, maar het blijft wel in mijn achterhoofd knagen.

Dat we op andere platformen deze vrijheid nooit gehad hebben betekend niet dat het niet jammer is als we dat hier ook verliezen. Toegegeven de titel neigt misschien wat veel naar click-bait..

Croga schreef op donderdag 05 november 2015 @ 21:18:
[...]

Maar je huisbaas mag je wel zeggen dat je niet in de schuur mag komen omdat dat geen onderdeel van de huurovereenkomst is...... De verhuurder bepaalt wat je allemaal wel en niet mag.

Goed punt. Zolang het maar niet toegestaan is dat die huisbaas mee gaat kijken vanuit die schuur.

Nope. UPNP is geen enkel probleem als je dubbele NAT goed ingeregeld is......
...

Dit geen enkel probleem vereist dan wel een behoorlijke kennis van zaken. Dit samen met wat andere problemen maakt het voor mij en ik denk voor velen geen optie.

[ Voor 36% gewijzigd door grivy op 05-11-2015 21:31 ]

[luxan]

grivy schreef op donderdag 05 november 2015 @ 21:21:
Alle provider die ik ken plaatsen nu modem met routers bij de klanten thuis.

Bij Vodafone is het zo dat je deze router niet uit kan zetten. En bij mij is het zo dat het plaatsen van een router achter de router voor problemen zorgt. Hierdoor wordt ik geforceerd om de router van Vodafone te gebruiken. Dit is op zich niet heel problematisch, maar het blijft wel in mijn achterhoofd knagen.

Dat we op andere platformen deze vrijheid nooit gehad hebben betekend niet dat het niet jammer is als we dat hier ook verliezen. Toegegeven de titel neigt misschien wat veel naar click-bait..

Ik heb nog nooit een modem van een provider ontvangen waar ik toegang had tot het beheeraccount waardoor ik alles kon instellen. Ik heb al mijn modems via handleidingen op internet moeten hacken om bij het beheeraccount te kunnen komen. Ik heb echter geen provider kunnen betrappen op het afluisteren van mijn lokale verkeer. Ik heb er ook nooit iets over gelezen op internet.

Het feit dat een provider een apparaat aflevert waar je vervolgens maar een beperkt aantal dingen op kunt instellen betekent nog niet dat ze dus ook toegang hebben tot je lokale LAN.

En niet om het een of ander maar als je de gegevens van het beheeraccount hebt en het wachtwoord veranderd, betekend dat niet dat je provider geen ander account met dezelfde rechten heeft om alsnog in te loggen (en eventueel je lokale LAN verkeer te bekijken).

[grivy]

luxan schreef op donderdag 05 november 2015 @ 21:36:
[...]


Ik heb nog nooit een modem van een provider ontvangen waar ik toegang had tot het beheeraccount waardoor ik alles kon instellen. Ik heb al mijn modems via handleidingen op internet moeten hacken om bij het beheeraccount te kunnen komen. Ik heb echter geen provider kunnen betrappen op het afluisteren van mijn lokale verkeer. Ik heb er ook nooit iets over gelezen op internet.

Het feit dat een provider een apparaat aflevert waar je vervolgens maar een beperkt aantal dingen op kunt instellen betekent nog niet dat ze dus ook toegang hebben tot je lokale LAN.

En niet om het een of ander maar als je de gegevens van het beheeraccount hebt en het wachtwoord veranderd, betekend dat niet dat je provider geen ander account met dezelfde rechten heeft om alsnog in te loggen (en eventueel je lokale LAN verkeer te bekijken).

Apple, Facebook etc. moesten toch allemaal backdoors inbouwen, waarom providers niet? Zou het je echt verbazen als dit wel op die manier gebruikt zou worden? Had ik een paar jaar geleden ook niets over gelezen..

De eventuele aanwezigheid van een 'ander' beheer account lijkt mij inderdaad des te meer reden om het voor gebruikers een recht te maken om met niet te veel gedoe een eigen router er achter te kunnen plaatsen.

Bedankt voor de reacties. Ik denk dat ik mijn tinnen hoedje terug in de kast leg

[Quas]

Even eerlijk. Al jouw internetverkeer gaat toch over het netwerk van je provider. Als ze willen weten wat jij doet dan komen ze daar wel op een andere manier achter dan via de modem/router.

Officieel mag het niet want deeppacketinspection ofzo. Volgensmij dan.

Al dat gedoe over routers van providers enzo. Ga er maar gewoon van uit dat jij niet belangrijk genoeg bent om jouw internetverkeer te monitoren. En als je dat wel bent, dan doen ze dat, ondanks of je een router van je provider hebt of niet.

[luxan]

grivy schreef op donderdag 05 november 2015 @ 21:50:
[...]
Bedankt voor de reacties. Ik denk dat ik mijn tinnen hoedje terug in de kast leg

Indien je zeker wil zijn dat mensen je interne verkeer niet af kunnen luisteren zul je je eigen router moeten bouwen. En daarmee bedoel ik vanaf het begin, hardware ontwerpen, software schrijven (of een open source OS nemen en volledig doorlichten) want zelfs van OpenBSD, een van de meest veilige open source systemen, werd een aantal jaar geleden bekend dat delen van de broncode zo was aangepast dat het voor de NSA mogelijk werd om delen van het systeem te hacken.

Maar zoals je zegt, dat is tinnen hoedjes denken en niet praktisch. Je kunt uiteraard zelf een router kopen en die achter je modem hangen. Zelf heb ik het modem van mijn provider in de kast liggen. Dit heeft echter praktische redenen, er is geen provider in Nederland die een modem levert dat alles kan wat ik wil.

Quas schreef op donderdag 05 november 2015 @ 21:58:
Even eerlijk. Al jouw internetverkeer gaat toch over het netwerk van je provider. Als ze willen weten wat jij doet dan komen ze daar wel op een andere manier achter dan via de modem/router.

Officieel mag het niet want deeppacketinspection ofzo. Volgensmij dan.

Al dat gedoe over routers van providers enzo. Ga er maar gewoon van uit dat jij niet belangrijk genoeg bent om jouw internetverkeer te monitoren. En als je dat wel bent, dan doen ze dat, ondanks of je een router van je provider hebt of niet.

Daar heb je helemaal gelijk in en, zoals je zegt, daar is niets aan te doen. Dat is echter niet het onderwerp dat hier ter discussie staat. Het gaat hier om de mogelijkheid van providers (in dit geval Vodafon) om op afstand in te loggen op het modem en vervolgens intern verkeer (bijvoorbeeld tussen je computer en je NAS) te kunnen inspecteren. Ik kan me voorstellen dat je daar iets aan wil doen.

[prein2]

Er zijn hier op tweakers genoeg manieren t vinden om de draytek modem niet te hoeven gebruiken. (wel geen telefoonfuncties meer, maar daar zijn genoeg VOIP oplossingen voor).

Ok, het is niet standaard, maar als je er echt een probleem mee hebt dan koop je een managed switch met een sfp poort en kun je daarna je eigen router gebruiken. Bij mij werkt dit al maanden perfect en ik ben inderdaad blij dat ik niet afhankelijk ben van Vodafone voor mijn thuisnetwerk. Je zult vast geen support meer hebben of zo, maar als ik dat nodig heb kan ik de draytek altijd nog terug hangen tijdelijk.

[u_nix_we_all]

Waar ik niemand over hoor, is het feit dat een modem/router überhaupt toestaat dat er van buitenaf op ingelogd wordt. Als Vodafone dat kan, wie kan er dan nog meer bij ? Dat gecombineerd met het feit dat in het verleden veel van die dingen een standaard admin password hadden (ik weet niet of dat nog zo is), maakt dit alles natuurlijk niet echt veilig.

Wat je misschien zou kunnen doen, is de poort die ze voor configuratie gebruiken (zou dat nog steeds telnet zijn ?) te NAT-ten naar een niet bestaand intern adres. Zo kan niemand van buitenaf iets met die poort.

[Gomez12]

u_nix_we_all schreef op vrijdag 06 november 2015 @ 12:26:
Waar ik niemand over hoor, is het feit dat een modem/router überhaupt toestaat dat er van buitenaf op ingelogd wordt. Als Vodafone dat kan, wie kan er dan nog meer bij ? Dat gecombineerd met het feit dat in het verleden veel van die dingen een standaard admin password hadden (ik weet niet of dat nog zo is), maakt dit alles natuurlijk niet echt veilig.

Wat je misschien zou kunnen doen, is de poort die ze voor configuratie gebruiken (zou dat nog steeds telnet zijn ?) te NAT-ten naar een niet bestaand intern adres. Zo kan niemand van buitenaf iets met die poort.

Waarom zo moeilijk doen? Zet dan gewoon een eigen modem neer.

In principe blokkeer je hiermee iedere support van ziggo als je internet niet werkt. Als je daaraan begint zou ik zeggen neem dan wel een modem waarmee je externe support kan krijgen ipv dat je geen support van Ziggo krijgt maar zelf ook maar een halve admin-inlog hebt.

[MMaster23]

Ze kunnen ook vrijwel ieder stukje unencrypted traffic zien wat over jouw WAN gaat. Mogen ze daar zomaar iets mee doen? Nee, dat is strafbaar.
Ze kunnen (met wat moeite) op je interne LAN. Is dit privacy schending en strafbaar? Jup, behoorlijk.

Gaan ze het ooit in hun hoofd halen om het te doen? Nee, natuurlijk niet.
Sommige zaken moet je gewoon accepteren in je het leven omdat je anders vrijwel nergens iets af kunt nemen. Denk aan OV chipkaart, connected-GPS systemen, mobiele telefoons, je pin pas, etc.

Een telecom provider mag net zoveel met jouw data als dat jouw bank mag doen met jouw geld. Zijn gewoon wetten voor, is toezicht op en overtreding hiervan is mega-rechtzaak die nog niet is voorgekomen in Nederland.