is een router in DMZ veilig?

[mrbamelam1]

Hallo allemaal,

Ik heb een vraag wat betreft het opzetten van een DMZ. Ik heb de volgende setup:

telfort xperiabox V8 ---> (DMZ) TP-Link Archer C1200 --> PC

De reden dat ik de TP-link in de DMZ heb gezet is vanwege problemen met online games en browsen (soms hoge ping en langzaam internet). Sinds de DMZ loopt alles als een zonnetje. De dubbele NAT zou de schuldige zijn? Mijn ouders verkrijgen internet via de xperiabox V8 (wifi en bekabeld, beneden) en ik internet via de TP-link op zolder (ook wifi en bekabeld)

Mijn vraag is dus, is deze setup veilig? Op het internet vind ik veel verschillende dingen, de een zegt dat het prima kan omdat de tp-link een eigen firewall heeft, de ander zegt weer dat je snel gehacked kan worden. Ik kom er niet uit

Ik vind het wel fijn dat mijn netwerk gescheiden is van die van mijn ouders. Of is het toch beter om de TP-link in te stellen als AP?

Alvast bedankt!

[MAX3400]

Je zet de TP-Link in DMZ maar je V8 is je WAN-entry en die routeert dus blijkbaar ook. Mogelijk dat ik iets niet snap maar wat probeer je nu te bereiken?

Tenminste, ik denk dat ik weet wat je wil bereiken maar in je andere topic had je het over VLAN's en nu zit je (onbewust) een dubbel-NAT opstelling te maken om netwerkscheiding te verkrijgen zonder je WAN-entry / ouders te willen beschermen?

[Mr_gadget]

Het is veilig. Dmz heeft geen firewall maar dat vangt de firewall van de tp link weer op.

Geen Dmz en een acces point zou makkelijker zijn. Maar wat je hebt zou ook moeten werken

[mrbamelam1]

Oh ik ben niet meer bezig VLAN's en malware! Ik wilde een eigen netwerk op zolder achter die v8. Dat resulteert in een dubbele NAT. Ik begreep dus dat je een eigen router dan in de DMZ kon zetten, en dat blijkt te werken, want alles draait nu als een zonnetje. Mijn enige vraag is nu, is dat wel veilig?

[MAX3400]

mrbamelam1 schreef op zondag 8 juli 2018 @ 14:49:
Mijn enige vraag is nu, is dat wel veilig?

Dan zeg ik: nee.

DMZ betekent, over het algemeen, dat alle verkeer mag worden aangeboden en dat je daarna gaat bekijken of je er iets mee wil (firewall, forwards, etc). Aangezien de V8 ervoor hangt, zal jouw TP-Link alle verkeer krijgen wat door de V8 niet wordt afgevangen. Even back to basics; DMZ is net zo veilig/onveilig als je PC direct op de internet-aansluiting prikken zonder router/firewall ertussen.

In veel handleidingen, zoals https://www.tp-link.com/us/FAQ-28.html staat ook beschreven wat een DMZ doet.

[mrbamelam1]

Bedankt! Dan gaat de DMZ eruit en maak ik een AP van de tp-link!

[Mr_gadget]

MAX3400 schreef op zondag 8 juli 2018 @ 14:52:
[...]

Dan zeg ik: nee.

DMZ betekent, over het algemeen, dat alle verkeer mag worden aangeboden en dat je daarna gaat bekijken of je er iets mee wil (firewall, forwards, etc). Aangezien de V8 ervoor hangt, zal jouw TP-Link alle verkeer krijgen wat door de V8 niet wordt afgevangen. Even back to basics; DMZ is net zo veilig/onveilig als je PC direct op de internet-aansluiting prikken zonder router/firewall ertussen.

In veel handleidingen, zoals https://www.tp-link.com/us/FAQ-28.html staat ook beschreven wat een DMZ doet.

Maar de tp link staat toch ingesteld als router dus dan zit er toch weer een firewall tussen? Dus veilig lijkt me.

[Osiris]

MAX3400 schreef op zondag 8 juli 2018 @ 14:52:
[...]

Dan zeg ik: nee.

DMZ betekent, over het algemeen, dat alle verkeer mag worden aangeboden en dat je daarna gaat bekijken of je er iets mee wil (firewall, forwards, etc). Aangezien de V8 ervoor hangt, zal jouw TP-Link alle verkeer krijgen wat door de V8 niet wordt afgevangen. Even back to basics; DMZ is net zo veilig/onveilig als je PC direct op de internet-aansluiting prikken zonder router/firewall ertussen.

Maar in de situatie van de TS geldt het volgende: "DMZ is net zo veilig/onveilig als de TP-Link router direct op de internet-aansluiting prikken", wat natuurlijk een heel gewone gang van zaken is.

En derhalve ook helemaal niet per se onveilig.

Dat gezegd hebbende is het enorm onhandig om 2 NAT devices in één netwerk te hebben en is het ook vaak helemaal niet nodig.

[ Voor 7% gewijzigd door Osiris op 08-07-2018 15:37 ]

[Ben(V)]

Tjonge wat is lezen moeilijk.

Die tp-link router in de DMZ van de experiabox zetten is een prima oplossing.

Dat is net zo veilig als zonder die tp-link achter de experiabox te zitten.
En als je DMZ gebruikt hebt je helemaal geen dubbele NAT dus ook dat is onzin.

En hij wil juist graag afgescheiden zitten van de het "normale" lan van de experiabox.

Wel even opletten dat je niet het hele lan in de DMZ zet maar alleen de WAN poort van je TP-link router.

[Osiris]

Ben(V) schreef op zondag 8 juli 2018 @ 18:59:
Tjonge wat is lezen moeilijk.

Als je mensen aanvalt, is het wel zo handig om te taggen of te quoten, want nu heb ik geen idee of je mij beschuldigt van niet lezen of iemand anders

[valkenier]

Ben(V) schreef op zondag 8 juli 2018 @ 18:59:
Tjonge wat is lezen moeilijk.

Die tp-link router in de DMZ van de experiabox zetten is een prima oplossing.

Dat is net zo veilig als zonder die tp-link achter de experiabox te zitten.
En als je DMZ gebruikt hebt je helemaal geen dubbele NAT dus ook dat is onzin.

En hij wil juist graag afgescheiden zitten van de het "normale" lan van de experiabox.

Wel even opletten dat je niet het hele lan in de DMZ zet maar alleen de WAN poort van je TP-link router.

Tjonge wat is helder nadenken moeilijk. Als hij DMZ op zijn experiabox naar de TP-link gooit heeft hij wel degelijk nog steeds NAT achter NAT, een experiabox kan immers niet in bridge, en zal aan de TP-link een intern IP uitdelen en niet het WAN IP. Om het veilig te houden moet de TP-link in router modus, en dat is dus nog een keer NAT.
Echter, omdat alle poorten van de experiabox open staan naar de TP-link heeft hij in de praktijk geen last meer van dubbel NAT, en lost het zijn game problemen op. Geen schoonheidsprijs, maar het kan wel.

[Ben(V)]

Weet niet wat een schoonheidprijs er mee te maken heeft, we hebben het hier over technische functionaliteit.
Schoonheid is een subjectief begrip waar niet over te discussieren valt (net als smaak).

Een DMZ is gewoon een standaard prima oplossing en Nat achter Nat is alleen maar lastig omdat je dan dubbele poortforwarding moet doen en dat hoeft dus niet bij een DMZ.
Verder is er helmaal niets mis met dubbele Nat.

Het feit dat het ipadres twee keer verandert in plaats van een keer zal iedereen worst zijn.

[WCA]

Ben(V) schreef op maandag 9 juli 2018 @ 09:09:
Weet niet wat een schoonheidprijs er mee te maken heeft, we hebben het hier over technische functionaliteit.
Schoonheid is een subjectief begrip waar niet over te discussieren valt (net als smaak).

Een DMZ is gewoon een standaard prima oplossing en Nat achter Nat is alleen maar lastig omdat je dan dubbele poortforwarding moet doen en dat hoeft dus niet bij een DMZ.
Verder is er helmaal niets mis met dubbele Nat.

Het feit dat het ipadres twee keer verandert in plaats van een keer zal iedereen worst zijn.

Bij een DMZ doe je nog steeds dubbele port forwarding. Alleen doormiddel van DMZ in te stellen, forward je gewoon alle poorten naar 1 IP (dat van je tweede router). Dan moet er dus nog steeds twee keer gerouteerd worden. Daar is niets 'mis' mee, maar het is wel onnodig en er zijn betere oplossingen voor te maken.

(die V8 kan met een omweg ook in bridge dacht ik, is niet officieel maar toch)

[Ben(V)]

Ik heb nergens beweerd dat er geen dubbele Nat is alleen dat er niet het nadeel van een dubbele Nat is.
En die experiabox in Bridge zetten is nu juist wat TS niet wilde dus misschien eerst de vraag lezen voor je zomaar niet gevraagde oplossingen geeft.

Em wat er mis is met dubbele Nat behalve dat het lastiger is als je moet portforwarden (wat niet zo is bij een DMZ) snap ik niet.
Voor zijn situatie is een DMZ juist ideaal.

[mrbamelam1]

Iedereen bedankt voor het meedenken! De TP-link blijft in de DMZ staan. Werkt prima!

[valkenier]

Ben(V) schreef op maandag 9 juli 2018 @ 10:18:
Ik heb nergens beweerd dat er geen dubbele Nat is alleen dat er niet het nadeel van een dubbele Nat is.

En wat lezen we dan hier?

Ben(V) schreef op zondag 8 juli 2018 @ 18:59:
Tjonge wat is lezen moeilijk.

En als je DMZ gebruikt hebt je helemaal geen dubbele NAT dus ook dat is onzin.

Je komt steeds nogal fel uit de hoek, maar bent alweer vergeten je zelf hebt beweerd.