Vraagje mbt. tweede router

[Husky_]

Hey allemaal!

Ik heb een vraagje over de mogelijkheden mbt. het toevoegen van een extra router
Thuis hebben wij een "hoofd router" (deze is door de ISP meegegeven) aan de hoofdrouter is een switch gekoppeld, waarop alle apparaten aangesloten zijn.
Nu wil ik graag (vooral vanwege veiligheid gerelateerde overwegingen) een eigen "sub-router" aansluiten die ik dan zelf kan instellen
Zelf zat ik te denken aan de volgende configuratie;
Hoofd-router >> switch verbonden aan hoofd-router via WAN poort >> mijn router verbonden aan switch via LAN poort >> mijn PC verbonden aan mijn router via LAN poort, maar ik moet eerlijk toegeven dat ik er verder niet zo heel erg veel verstand van heb.
Ik heb het een en ander op het internet gelezen, maar helaas was dit voor mij behoorlijk verwarrend allemaal..

Ik hoop dat iemand mij dit zou willen uitleggen / zijn of haar ideeën met mij wilt delen zodat ik dit voor elkaar kan krijgen

[g1n0]

Leg eens uit wat je wilt oplossen?

Want zolang het verkeer nog via de router van je ISP loopt is de beveiliging zo slecht als de zwakste schakel.

Zelf heb ik alles van de ISP eruit gegooid en eigen hardware weggezet. Zelf in beheer en de ISP kan niet even in je netwerk inloggen. Maar hier heb je enorm veel kennis voor nodig.

[ Voor 3% gewijzigd door g1n0 op 27-10-2021 19:24 ]

[eric.1]

Husky_ schreef op woensdag 27 oktober 2021 @ 19:10:

Hoofd-router >> switch verbonden aan hoofd-router via WAN poort >> mijn router verbonden aan switch via LAN poort >> mijn PC verbonden aan mijn router via LAN poort

Hoe bedoel je die WAN poort? Is dat de WAN poort van de hoofd-router of van de switch?

Trouwens vraag ik me ook wel af wat je doel is. Als je verder niets met VLANs (alle devices) of een VPN (op jouw router) doet dan is dit niets meer dan een subnet-segregatie maar echt veel veiligheid biedt dit niet.

[Husky_]

Binnen ons thuisnetwerk zijn er een aantal computers aangesloten, helaas is niet iedereen binnen het netwerk zich even bewust van de risico's van het willekeurig downloaden van bestanden en dus wil het nog wel eens voorkomen dat er niets vermoedend een virus binnen wordt gehengeld
Ik heb software technisch gezien zoveel mogelijk proberen te doen om mijn PC afteschermen van het netwerk om zo de risico's te beperken, maar toch zit het me niet helemaal lekker en ik zou graag op deze manier een extra stap willen zetten om de risico's nog verder te beperken.
Het doel hiervan was eigenlijk, om een bepaald "subnetwerk" (verbeter mij als ik de verkeerde termen gebruik svp. ben hier niet thuis in) om zo de risico's nog verder te beperken

Toevoeging: Ik probeer hiermee vooral mijn eigen PC te "beschermen" tegen een mogelijk virus van een van de andere PCs binnen het netwerk, aangezien deze met enige regelmaat besmet raken

[ Voor 11% gewijzigd door Husky_ op 27-10-2021 19:33 ]

[Husky_]

eric.1 schreef op woensdag 27 oktober 2021 @ 19:28:
[...]

Hoe bedoel je die WAN poort? Is dat de WAN poort van de hoofd-router of van de switch?

Trouwens vraag ik me ook wel af wat je doel is. Als je verder niets met VLANs (alle devices) of een VPN (op jouw router) doet dan is dit niets meer dan een subnet-segregatie maar echt veel veiligheid biedt dit niet.

De switch is aangesloten op de WAN poort van de hoofd-router (als ik me niet vergis)
Het doel is vooral het beschermen van mijn eigen PC van de PCs binnen het thuisnetwerk
Als er betere manieren zijn om dit te doen, hoor ik het graag!! Ik ben hier helaas niet echt thuis in en zie daarom misschien een simpelere / betere oplossing over het hoofd

[laurens0619]

@Husky_ ja hoor je idee is prima

Extra router neerZetten, kabel van hoofd router naar jouw eigen router in de wan poort. Krijg je wel nat over nat dus even opletten met evt portmappings

[Husky_]

laurens0619 schreef op woensdag 27 oktober 2021 @ 19:54:
@Husky_ ja hoor je idee is prima

Extra router neerZetten, kabel van hoofd router naar jouw eigen router in de wan poort. Krijg je wel nat over nat dus even opletten met evt portmappings

Dank voor je reactie!
Hoe kan ik het "nat over nat" probleem voorkomen of is dat probleem niet te voorkomen?

[ Voor 4% gewijzigd door Husky_ op 27-10-2021 20:10 ]

[laurens0619]

Husky_ schreef op woensdag 27 oktober 2021 @ 20:08:
[...]


Dank voor je reactie!
Hoe kan ik het "nat over nat" probleem voorkomen of is dat probleem niet te voorkomen?

Door geen router te kopen maar een firewall
Of een router die je kunt inzetten als firewall. Ik denk dat het met een edgerouter x bijvoorbeeld prima lukt

pricewatch: Ubiquiti EdgeRouter X

[ Voor 12% gewijzigd door laurens0619 op 27-10-2021 20:35 ]

[g1n0]

Welke provider heb je? Bij enkele is de router makkelijk om te wisselen met een eigen router. Kan je VLANs aanmaken (dat zijn jouw subnetwerken) etc zonder dubbele nat

[Husky_]

laurens0619 schreef op woensdag 27 oktober 2021 @ 20:34:
[...]

Door geen router te kopen maar een firewall
Of een router die je kunt inzetten als firewall. Ik denk dat het met een edgerouter x bijvoorbeeld prima lukt

pricewatch: Ubiquiti EdgeRouter X

Dank voor het advies! Hoe moet ik de edgerouter x aansluiten zodat het niet tot problemen komt en het effectief is als firewall? Ik denk dat zoiets beter bij mijn situatie past!
Helaas zit ik op dit moment in het buitenland en daarom met een beperkter aanbod, zou een Ubiquiti Unifi USG Router ook goed zijn?
Nogmaals dank voor het advies en de hulp!

[Husky_]

g1n0 schreef op woensdag 27 oktober 2021 @ 20:37:
Welke provider heb je? Bij enkele is de router makkelijk om te wisselen met een eigen router. Kan je VLANs aanmaken (dat zijn jouw subnetwerken) etc zonder dubbele nat

Dat is goed om te weten, dank voor het advies! Ik zit momenteel in het buitenland en heb nu T-Mobile als provider, heb een beetje rondgekeken in het configuratiescherm van de router maar helaas niks mbt. VLANs kunnen vinden

[laurens0619]

@Husky_
Dat kan ik wel voorkauwen maar je leert er meer van als je er gewoon mee gaat pielen
Let wel op, het heeft een redelijke stijle learning curve. Een usg vind ik een onding, kun je beter een mikrotik overwegen maar ook die heeft een stijle learning curve

Als je iets simpels zoekt dan gewoon nat over nat doen. Daar ga je helemaal niets van merken

[Husky_]

laurens0619 schreef op woensdag 27 oktober 2021 @ 20:50:
@Husky_
Dat kan ik wel voorkauwen maar je leert er meer van als je er gewoon mee gaat pielen
Let wel op, het heeft een redelijke stijle learning curve. Een usg vind ik een onding, kun je beter een mikrotik overwegen maar ook die heeft een stijle learning curve

Als je iets simpels zoekt dan gewoon nat over nat doen. Daar ga je helemaal niets van merken

Ow oké, maar als ik het enkel als extra layer veiligheid wil gebruiken dan moet het in principe goed komen als ik de USG rechtstreeks op een LAN poort van de switch aansluit en vanuit daar mijn PC op de USG en vanuit daar instellen? :'x
Ik ben om eerlijk te zijn een beetje bang om fouten te maken maar hopelijk komt het goed :'D
Is er een specefieke reden om geen NAT over NAT te willen als ik er in de praktijk niets van zal merken?

[laurens0619]

Ja, tenzij de interne ip range die je nu hebt hetzelfde is als de ip range van usg. Om een of andere vreemde reden kan de usg slecht met afwijkende ranges overweg, loopt je controller weer in de soep. Maar dat ik de usg een onding vond had ik al gezegd

Nat over nat is vooral met poort mappings iets waar je rekening mee moet houden, die moet je dan 2x doen. Meeste mensen doen geen port mappings

[Husky_]

laurens0619 schreef op woensdag 27 oktober 2021 @ 21:01:
Ja, tenzij de interne ip range die je nu hebt hetzelfde is als de ip range van usg. Om een of andere vreemde reden kan de usg slecht met afwijkende ranges overweg, loopt je controller weer in de soep. Maar dat ik de usg een onding vond had ik al gezegd

Nat over nat is vooral met poort mappings iets waar je rekening mee moet houden, die moet je dan 2x doen. Meeste mensen doen geen port mappings

Aah oké ik snap 'm! Dank!
Zodra ik de USG op een lan poort van de switch aansluit zou deze in principe meteen de andere toegewezen ip adressen moeten herkennen toch? (verbeter me svp. als ik er naast zit!)
juist ik geloof dat wij hier thuis niks aan de port mappings gedaan hebben, wanneer deze standaard zijn zal ik waarschijnlijk geen problemen ondervinden toch?
Sorry voor alle vragen trouwens! Ik ben blij dat ik het nu iemand kan vragen, dus ik denk ik sla m'n slag!

[DukeBox]

Anders neem je een router met guest functie en zet je alle PC's die je niet vertrouwd in dat guest netwerk ?

[Husky_]

DukeBox schreef op woensdag 27 oktober 2021 @ 21:13:
Anders neem je een router met guest functie en zet je alle PC's die je niet vertrouwd in dat guest netwerk ?

Ook een goed idee mhm! Helaas kan ik in de main router weinig tot niets aanpassen ook ivm. andere gebruikers die alle functies van de router nodig hebben / bepaalde dingen hebben aangepast in de router waar ik verder niet perongeluk aan wil zitten voordat er dan problemen onstaan :'D

[DukeBox]

Persoonlijk zou ik mij er niet zo druk om maken, als je lokaal je firewall aan hebt staan en niets doorlaat (zoals print/file sharing) kan je niet veel doen vanuit je interne netwerk (en natuurlijk je systeem up-to-date qua security patches).

[ Voor 16% gewijzigd door DukeBox op 27-10-2021 21:20 ]

[laurens0619]

@Husky_
Ik bedoelde het anders
Een router met nat doet het alleen als de ip range aan de lan kant anders is dan de wan kant

De usg heeft 192.168.1.x aan de wan kant. Als je tmobile router een andere range momenteel uitgeeft dan is het plug and play. Anders is het ook wel werkend krijgen maar is met usg wat gedoe

Iets simpeler gesteld: welk lokaal ip heeft je pc nu?

[ Voor 8% gewijzigd door laurens0619 op 27-10-2021 21:21 ]

[Husky_]

DukeBox schreef op woensdag 27 oktober 2021 @ 21:18:
Persoonlijk zou ik mij er niet zo druk om maken, als je lokaal je firewall aan hebt staan en niets doorlaat (zoals print/file sharing) kan je niet veel doen vanuit je interne netwerk (en natuurlijk je systeem up-to-date qua security patches).

Ik heb mij mogelijk ook een beetje bang laten maken van de berichten die ik online heb gelezen over "super virussen", koppelde dit meteen met de situatie hier thuis Ik draai altijd op de nieuwste release van mijn OS, heb standaard een software firewall draaien en mijn internet connecties op "public" ingesteld (met file sharing / printer sharing uit)
Wist echter niet of dat dit inderdaad voldoende is om mijn PC goed te beschermen

[Husky_]

laurens0619 schreef op woensdag 27 oktober 2021 @ 21:20:
@Husky_
Ik bedoelde het anders
Een router met nat doet het alleen als de ip range aan de lan kant anders is dan de wan kant

De usg heeft 192.168.1.x aan de wan kant. Als je tmobile router een andere range momenteel uitgeeft dan is het plug and play. Anders is het ook wel werkend krijgen maar is met usg wat gedoe

Iets simpeler gesteld: welk lokaal ip heeft je pc nu?

Oh zo! Lijkt het je waarschijnlijk dat ik het plug and play krijg of leert de praktijk iets anders?
Ik heb wat zitten kijken naar de MikroTik routers, deze zijn voor mij momenteel helaas erg moeilijk te krijgen..
Maar mocht ik er eentje bestellen en een tijdje kunnen wachten, welke zou je mij dan aanraden als firewall-router?
De USG kan ik eigenlijk direct krijgen, van wat ik heb gelezen lijkt me dit ook een goede router maar ik vertrouw op jouw ervaring wanneer je zegt dat het een beetje een gedoe is om het werkend te krijgen, ben qua kennis een beetje een leek vandaar dat iets dat moeilijk is om goed werkend te krijgen mij ook meteen een beetje afschrikt

[laurens0619]

Als je huidige ip range iets anders ja dan 192.168.1.x dan is het kopen, inpluggen, instellen en klaar

Enne angsten moet je ombuigen. Maak er nieuwschierigheid van. heel internet staat vol met angstige verhalen, het is als leek alleen lastig om dat onderscheid te kunnen maken

[Husky_]

laurens0619 schreef op woensdag 27 oktober 2021 @ 21:29:
Als je huidige ip range iets anders ja dan 192.168.1.x dan is het kopen, inpluggen, instellen en klaar

Enne angsten moet je ombuigen. Maak er nieuwschierigheid van. heel internet staat vol met angstige verhalen, het is als leek alleen lastig om dat onderscheid te kunnen maken

Ik heb het zojuist even nagekeken, de range is inderdaad 192.168.1.x voor de hoofd-router en alle apparaten die daarop aangesloten staan :'<
Zou ik met een MikroTik dan ook problemen hebben of is het iets USG-specefieks?

Dat is zeker waar, voor mij is het lastig om het onderscheid te kunnen maken en het te kunnen relativeren als in, "hoe groot is het risico echt", "is zoiets makkelijk optelossen?" etc. maar daarom is het zo fijn dat er ook mensen zijn die er verstand van hebben, zoals jij en de andere mensen in deze draad!

[laurens0619]

Hoe complex het is weet ik niet, moet je even in het ubiquiti topic vragen. Een mikrotik is nou ook niet heel easy
Kun je niet een random netgear/asus/tplink ding ergens kopen?

Owja: geinfecteerd worden over het netwerk is een zeer laag risico als je
- patches geïnstalleerd hebt
- firewall aan
- passwords op je accounts die anders zijn dan op lan devices huisgenoten

Dus als dat op orde is, is een aparte hw firewall overbodig. Vanuit security noodZaak dan, vanuit leerzaam is het iets anders

[ Voor 48% gewijzigd door laurens0619 op 27-10-2021 21:39 ]

[Husky_]

laurens0619 schreef op woensdag 27 oktober 2021 @ 21:36:
Hoe complex het is weet ik niet, moet je even in het ubiquiti topic vragen. Een mikrotik is nou ook niet heel easy
Kun je niet een random netgear/asus/tplink ding ergens kopen?

Owja: geinfecteerd worden over het netwerk is een zeer laag risico als je
- patches geïnstalleerd hebt
- firewall aan
- passwords op je accounts die anders zijn dan op lan devices huisgenoten

Dus als dat op orde is, is een aparte hw firewall overbodig. Vanuit security noodZaak dan, vanuit leerzaam is het iets anders

Oké ik zal eens een kijkje nemen in het Ubiquiti topic!
Er zijn een aantal TP-link modelletjes die ik zou kunnen halen, maar heb daarover gehoord dat die nogal te kampen hebben met bepaalde problemen (slechte stabiliteit enzv.? weet niet of dat dit waar is, maar dat is mij verteld vandaar dat ik bij Ubiquiti aan het kijken was)

Oh dat is goed om te horen! Ik denk dat ik aan al van deze 3 punten voldaan heb, is de standaard Windows 10 Firewall goed? Of wordt het aangeraden om een andere firewall te gebruiken?
Bij mij is het altijd een beetje een dilemma, aan de ene kant leer en probeer ik graag nieuwe dingen uit, aan de andere kant dan te angstig dat er dingen mis gaan en dit desastreuze gevolgen met zich mee zal brengen Maar misschien inderdaad een kwestie van ombuigen, zou een leuk projectje kunnen zijn!

[laurens0619]

@Husky_ als je het te doen is om
Security: laat het idee varen Gaat je niet veel extras brengen

Als je wilt nerden: koop een goedkope mikrotik, complex maar leer je een hoop van!

[Husky_]

laurens0619 schreef op woensdag 27 oktober 2021 @ 21:48:
@Husky_ als je het te doen is om
Security: laat het idee varen Gaat je niet veel extras brengen

Als je wilt nerden: koop een goedkope mikrotik, complex maar leer je een hoop van!

Staat genoteerd!
Mijn dank is groot, ontzettend fijn dat je mij hebt kunnen helpen met het beantwoorden van mijn vragen en je adviezen!
Ik wens je nog een heel fijne avond

[Behoorlijk Leek]

Husky_ schreef op woensdag 27 oktober 2021 @ 21:13:
[...]


Aah oké ik snap 'm! Dank!
Zodra ik de USG op een lan poort van de switch aansluit zou deze in principe meteen de andere toegewezen ip adressen moeten herkennen toch? (verbeter me svp. als ik er naast zit!)
juist ik geloof dat wij hier thuis niks aan de port mappings gedaan hebben, wanneer deze standaard zijn zal ik waarschijnlijk geen problemen ondervinden toch?
Sorry voor alle vragen trouwens! Ik ben blij dat ik het nu iemand kan vragen, dus ik denk ik sla m'n slag!

Mijn usg is totaal geen onding, draait al bijna 4 jaar. Dat afwijkende ip adressen niet werken heeft enkel te maken dat sommige merken isp modem/routers een lan range uitdelen aan je eigen router in de 192.168.1.x, en laat de usg nou ook toevallig deze range standaard tot zich nemen, en dan gaat het vreselijk fout.

*Tmobile geeft een wan ip aan modem/router, die deelt via dhcp lan ip uit aan usg, maar dat is dan ook gelijk weer het wan ip van de usg, en die deelt ook weer lan adressen uit, en de beide lan reeksen mogen niet!! hetzelfde zijn.

[Verwijderd]

Oplossing:

- Voedt de andere gebruikers op (altijd een goed plan!)
- Router direct achter het modem (deze door provider in bridge laten zetten)
- Zowel je router als switch configureren met VLAN's (trunk tussen de 2 in)
- Firewall op de router zo instellen dat de vlan's niet met elkaar kunnen praten, wel naar internet kunnen.
- Je eigen spul in een ander VLAN plaatsen als de rest van het huis.

Klein nadeel is dat mogelijk je huidige switch geen managed switch is, je gaat uitdagingen krijgen met mediastreamers en dat soort zaken die zowel jij als je huisgenoten zullen willen gebruiken.
Door hier extra VLAN's (mogelijk ook SSID's voor wifi) voor aan te maken kun je het wel volledig gescheiden krijgen, maar je bent een mooie poos zoet met uitpluizen hoe en wat...

Dus nogmaals: begin met stap 1 En voor je aan stap 2 begint, leren, oefenen etc.
Zelf heb ik alles in huis van Mikrotik, dit kan alles wat je nodig hebt, maar je moet wel even de leercurve door.

[Husky_]

Vriendelijk bedankt voor jullie beide reacties @Verwijderd @Behoorlijk Leek

Update; Ik wilde vandaag een beetje prutsen en proberen maar ben daarbij tot een (op z'n zachts gezegd) "nadelige" ontdekking gekomen en wel dat ik niet meer bij de hoofd-router kan ivm. verandert wachtwoord (zal tevens ook niet veranderen zoals het er nu naar uitziet
Valt daarmee mijn hele plan in duigen? In de zin van; zal het nu onmogelijk zijn om een setup als deze aan de praat te krijgen omdat ik niet meer in de hoofd-router kan of moet zoiets ook geheel te doen zijn via de tweede router? Is voor mij handig om te weten voordat ik vooralsnog de tweede router aanschaf
Helaas kan ik bij de Tmobile router geen VLANs configureren ook een bridge mode optie lijkt er niet te zijn, maar misschien inderdaad als ik de ISP bel dat ze dit voor mij zullen doen!
Ik hoor en lees trouwens veel goede dingen over Mikrotik routers! Geldt dit voor alle modellen van Mikrotik of zijn het specifieke modellen die geliefd zijn?

Dank nogmaals aan iedereen die hier gereageerd heeft!

[Verwijderd]

MikroTik heeft jaren lang de 2011 als standaard voor thuis gehad, gebruik ik hier nog altijd. Als ik nu zou beginnen zou het een 4011 worden.

[Husky_]

Verwijderd schreef op donderdag 28 oktober 2021 @ 20:50:
MikroTik heeft jaren lang de 2011 als standaard voor thuis gehad, gebruik ik hier nog altijd. Als ik nu zou beginnen zou het een 4011 worden.

Heel hartelijk dank voor je aanbeveling!
Twee vraagjes had ik nog als 't mag!
1. Is het opzetten van een MikroTik router voor een extra layer aan veiligheid zinvol als ik hem op een switch aansluit die weer deel uitmaakt van het "onveilige" netwerk? Moet ik hem dan niet eigenlijk op de hoofd-router aansluiten?
2. Kan ik een MikroTik router naar mijn wensen instellen wanneer mij toegang tot de hoofd-router ontzegd is? Weet niet precies tot hoe ver de instellingen in het MikroTik configuratiescherm reiken, heb een aantal video's gekeken maar daar werden gevoelsmatig niet alle opties getoond, daarom hoop ik dat jij dit als "ervaringsdeskundige" mij zal kunnen verhelderen