Gevaren aan DMZ

[Matthias4]

Hey allemaal,

Ik vroeg aan mijn huurbaas om DMZ te activeren (gemeenschappelijk internetabonnement voor meerdere bewoners waarbij ik mijn eigen router heb geplaatst). Hij heeft dit nagevraagd bij Telenet en zij stuurden dit mailtje terug naar mijn verhuurder:

We raden je dit toch wel af, voor de bescherming van de persoonlijke gegevens.
Stel dat deze persoon zeer informatica gericht is, kan deze je op een veilige manier 'hacken' aanpassingen ongevraagd uitvoeren.
Het vertrouwen moet dus wel bijzonder groot zijn om dit toe te laten.
De andere huurders hun laptops zijn toch nog wel gevoelig indien er kwade bedoelingen zijn op langere termijn.

Heeft er iemand een idee wat ik mis zou kunnen doen, naar andere gebruikers toe? Ik heb het dan niet over mijn eigen netwerk laten hacken door buitenaf, maar ze suggereren hier alsof ik hierdoor mede gebruikers zou kunnen 'hacken'. Of zomaar instellingen in de router zou kunnen aanpassen.

Voor de duidelijkheid, ik ga niet verder in discussie met mijn huurbaas en respecteer uiteraard zijn beslissing. Ik ben gewoon nieuwsgierig wat ze hier bedoelen, want ik snap het niet.

[Sir_Hendro]

Waarom wil je uberhaupt dat het hele netwerk in de DMZ wordt gezet?

[Matthias4]

Sir_Hendro schreef op donderdag 7 mei 2020 @ 12:24:
Waarom wil je uberhaupt dat het hele netwerk in de DMZ wordt gezet?

Ik bedoel wel degelijk DMZ naar mijn subnetwerk openzetten zodat ik zelf poorten kan forwarden.

Voor de rest is denk ik de 'waarom' niet relevant voor deze discussie.

[brambo123]

Volgens mij volledig terecht dat een huurder niet zomaar DMZ krijgt voor een gedeelde internetverbinding.
DMZ betekend dat jouw router voor de firewall in het modem geplaatst wordt en dus al het internetverkeer moet gaan afhandelen.
Dit betekend inderdaad dat jij het internetverkeer van de overige bewoners kan aftappen.
Wat jij wil is poort forwarding van alle poorten naar jouw router, dat is iets anders dan DMZ.

[DiedX]

Matthias4 schreef op donderdag 7 mei 2020 @ 12:26:
[...]

Ik bedoel wel degelijk DMZ naar mijn subnetwerk openzetten zodat ik zelf poorten kan forwarden.

Voor de rest is denk ik de 'waarom' niet relevant voor deze discussie.

Om jouw vraag beter te kunnen beantwoorden is het waarom wel relevant. Vandaar de gestelde vraag.

Een DMZ kan je op verschillende manieren opvatten. Eén foute manier die sommige fabrikanten aanhouden is om alle poorten te forwarden naar één adres. Dat lijkt mij niet wenselijk (ik spreek uit ervaring)...

Maar is het niet mogelijk om énkel de poorten te forwarden die je nodig hebt voor je games of applicaties?

[Matthias4]

brambo123 schreef op donderdag 7 mei 2020 @ 12:29:
Volgens mij volledig terecht dat een huurder niet zomaar DMZ krijgt voor een gedeelde internetverbinding.
DMZ betekend dat jouw router voor de firewall in het modem geplaatst wordt en dus al het internetverkeer moet gaan afhandelen.
Dit betekend inderdaad dat jij het internetverkeer van de overige bewoners kan aftappen.
Wat jij wil is poort forwarding van alle poorten naar jouw router, dat is iets anders dan DMZ.

Ik meen mij te herinneren dat in de huis-tuin keukenroutertjes zoals wij die gebruiken DMZ wilt zeggen dat alle poorten naar het desbetreffence IP wordt doorgestuurd.

[_Dune_]

Matthias4 schreef op donderdag 7 mei 2020 @ 12:32:
[...]

Ik meen mij te herinneren dat in de huis-tuin keukenroutertjes zoals wij die gebruiken DMZ wilt zeggen dat alle poorten naar het desbetreffence IP wordt doorgestuurd.

Dat klopt, maar zal zeker niet wenselijk zijn als daar meerdere personen achter zitten. Ook zij kunnen gebruik maken van verschillende specifieke poorten voor gaming of andere zaken. Als er daadwerkelijk een dergelijke 'goedkope' oplossing ligt zal je specifieker moeten zijn of mogelijk zal blijken dat het gewoon niet kan.

Het gaat hier waarschijnlijk om een studentenhuis met erg goedkope oplossing om met één internet verbinding iedereen te voorzien, verwacht ik...

[ Voor 10% gewijzigd door _Dune_ op 07-05-2020 12:35 ]

[Matthias4]

DiedX schreef op donderdag 7 mei 2020 @ 12:31:
[...]

Om jouw vraag beter te kunnen beantwoorden is het waarom wel relevant. Vandaar de gestelde vraag.

Een DMZ kan je op verschillende manieren opvatten. Eén foute manier die sommige fabrikanten aanhouden is om alle poorten te forwarden naar één adres. Dat lijkt mij niet wenselijk (ik spreek uit ervaring)...

Maar is het niet mogelijk om énkel de poorten te forwarden die je nodig hebt voor je games of applicaties?

Een enkele poort zou inderdaad voldoende zijn.

Maar als ik me niet vergis verleg ik met de DMZ gewoon de grens:

Telenet router stuurt alles door naar mijn router, mijn router bepaalt wat naar waar door mag? Nu blokkeert de telenet router gewoon alles ineens. Als ik op de Telenet router 1 poort doorstuur is dit volgens mij equivalent, alleen blokkeert de telenet router nu de overige poorten terwijl anders mijn eigen router dat zou doen.

[brambo123]

Matthias4 schreef op donderdag 7 mei 2020 @ 12:32:
[...]

Ik meen mij te herinneren dat in de huis-tuin keukenroutertjes zoals wij die gebruiken DMZ wilt zeggen dat alle poorten naar het desbetreffence IP wordt doorgestuurd.

Dat het zo wordt genoemd in veel huis-tuin keukenroutertjes betekend niet dat het ook daadwerkelijk DMZ is.
Als Telenet het over echte DMZ heeft, en niet de huis-tuin-keuken versie, dan hebben zij een heel goed punt.

[Matthias4]

brambo123 schreef op donderdag 7 mei 2020 @ 12:39:
[...]


Dat het zo wordt genoemd in veel huis-tuin keukenroutertjes betekend niet dat het ook daadwerkelijk DMZ is.
Als Telenet het over echte DMZ heeft, en niet de huis-tuin-keuken versie, dan hebben zij een heel goed punt.

De DMZ van telenet doet weldegelijk wat ik beschreef: https://www.netweters.be/...-dit-eigenlijk/td-p/39877 (zie tweede reactie)

[Thralas]

Matthias4 schreef op donderdag 7 mei 2020 @ 12:32:
[...]

Ik meen mij te herinneren dat in de huis-tuin keukenroutertjes zoals wij die gebruiken DMZ wilt zeggen dat alle poorten naar het desbetreffence IP wordt doorgestuurd.

Dat klopt inderdaad.

Volgens mij klopt er van de rest van de reacties niet zoveel (zowel Telenet als hierboven). Het doet precies wat je zelf al zegt, het is bovendien een fallback;, als een ander apparaat (via upnp of NAT) een poort mapt dan werkt dat natuurlijk alsnog.

Het enige noemenswaardige praktische gevolg is dat je de DMZ-host natuurlijk wél goed moet firewallen: die staat opeens met al z'n poorten open naar het internet. Dat kan een overweging zijn om er terughoudend mee te zijn, maar daar zie ik in de reactie vanuit de provider geen steekhoudend argument voor.

Maargoed, je hebt al verloren. 'Tis niet anders. Je had wel gelijk.

[Matthias4]

Thralas schreef op donderdag 7 mei 2020 @ 14:55:
[...]
Het enige noemenswaardige praktische gevolg is dat je de DMZ-host natuurlijk wél goed moet firewallen

Uiteraard. Maar zelfs als ik dat niet zou doen, lijkt mij dat het risico vooral voor mij is.

Ik vind het wel vreemd dat Telenet een zo naast de kwestie antwoord geeft. Ik heb bij Telenet ook maar een topic geopend om te kijken wat hun antwoord hierop is.

[ Voor 9% gewijzigd door Matthias4 op 07-05-2020 15:23 ]

[Mijzelf]

Matthias4 schreef op donderdag 7 mei 2020 @ 12:21:
Hey allemaal,
Hij heeft dit nagevraagd bij Telenet en zij stuurden dit mailtje terug naar mijn verhuurder:

Heb je ook de vraag van jouw huurbaas aan Telenet?

[CCJJVV]

Thralas schreef op donderdag 7 mei 2020 @ 14:55:
[...]


Dat klopt inderdaad.

Volgens mij klopt er van de rest van de reacties niet zoveel (zowel Telenet als hierboven). Het doet precies wat je zelf al zegt, het is bovendien een fallback;, als een ander apparaat (via upnp of NAT) een poort mapt dan werkt dat natuurlijk alsnog.

Het enige noemenswaardige praktische gevolg is dat je de DMZ-host natuurlijk wél goed moet firewallen: die staat opeens met al z'n poorten open naar het internet. Dat kan een overweging zijn om er terughoudend mee te zijn, maar daar zie ik in de reactie vanuit de provider geen steekhoudend argument voor.

Maargoed, je hebt al verloren. 'Tis niet anders. Je had wel gelijk.

Echter zou ik de huurbaas ook wel snappen als hij die verantwoordelijkheid voor een goede firewall niet naar TS wil verleggen.

[Matthias4]

CCJJVV schreef op donderdag 7 mei 2020 @ 15:38:
[...]
Echter zou ik de huurbaas ook wel snappen als hij die verantwoordelijkheid voor een goede firewall niet naar TS wil verleggen.

Klopt. Als ik nu vraag om gewoon één poort door te sturen is dit probleem opgelost denk ik hé?

[ Voor 20% gewijzigd door Matthias4 op 07-05-2020 15:45 ]

[Wim-Bart]

Ik snap nog steeds niet waarom niet iedere huurder een eigen extern IP adres heeft in dit soort situaties. Ook niet waarom alle huurders in 1 netwerk zitten. Dan had een dergelijke situatie nooit ontstaan.

Maar ik denk dat je het beste af bent om dan maar een enkele poort te laten forwarden.