Meerdere gescheiden netwerken ivm werk is dit nodig?

[Jee-Bee]

Ik heb een probleem en ik vermoed dat hier andere gebruikers zijn die mij tips / richting kan geven voor waar ik zoeken moet. Het zit zo. Zowel ik als mijn partner werken veel thuis, en daarnaast hebben we onze 'huis'computers, etc.
Nu zat ik laatst te denken dat wanneer een van de drie 'gehackt' wordt het waarschijnlijk niet moeilijk is om door te hoppen naar een (andere) organisatie / thuis.

Dus als eerste:

• Wat ik nu bedacht heb, is dat ook daadwerkelijk een risico?(of maak ik er een...)

Vanuitgaande dat het reel is. Wat ik zoek is ongeveer als volgt.:

• Bestaat er voor mij als consument spul dat 3 / 4 netwerken kunnen creëren zodat alles gescheiden is?
• Snappen consumenten accespoints / wifi extenders ook meer als 2 netwerken?
• Indien ik niet met standaard consumenten hardware uit kan, wat dan wel? Ik heb wel eens het idee gehad om te kijken naar OpenWRT, pfsense zitten kijken (Ik heb geen IT achtergrond, maar het lijkt me best interessant wat het kan). Heb ik hier wat aan? waarom wel / niet?
• Mis ik dingen waar ik beter eerst naar kan kijken?

Al vast bedankt

[Microkid]

Je bent op zoek naar VLANs. Je zou bijv een VLAN kunnen maken waar alleen je modem/router in zit, een VLAN voor jouw apparatuur en een VLAN voor je partners apparatuur. Beide mogen alleen naar het modem VLAN, maar niet naar elkaar. Of echt aparte netwerken maken met elk een eigen IP subnet, maar dan moet je zorgen dat er een router in je netwerk zit zodat je van het ene naar andere netwerk kan en ook naar je modem.

[ Voor 109% gewijzigd door Microkid op 05-10-2024 10:21 ]

[jopie]

Plan B, als niet alleen jij maar je werkgever zich hier ook zorgen om maakt is een dongle op je laptop zodat je niet via je eigen netwerk werkt, dan is alles gescheiden en kun je ook overal werken zonder wifi.

[samo]

Ik denk dat veel modems ook wel een "gast-netwerk" aanbieden: hierop zit vaak client isolation en vanuit dat netwerk kom je dus niet bij andere devices. Je zou er voor kunnen kiezen om dat te activeren op je werk-apparatuur waardoor je dit scheidt van je privé-apparatuur. Maar dat houdt ook in dat je vanaf je werkstation niet kan printen, muziek kan streamen etc.

[Sparkiee]

Als je thuis werkt doe je dit dan vanaf een prive pc / laptop? Of heb je dan ook echt een pc / laptop van het werk met daarop de juiste beveiliging enz?

En hoe log je dan in bij je werk?
Collega's die bij ons van thuis willen werken kunnen dat alleen doen als :
- Ze VPN gebruiken
- Ze 2FA gebruiken
- Hun externe IP adres (thuis dus) bij ons bekend is en op de whitelist staat.

Als je thuis een gescheiden netwerk wil gebruiken neem ik even aan dat ze ook echt gescheiden moeten zijn en niet gerouteerd worden.Dus dat je vanaf je werk pc in netwerk A niet naar je prive pc in netwerk B kan.
Met Vlans kun je meerdere netwerken aanmaken met eigen ip reeks en eigen regels. MAar uiteindelijk zijn die niet fysiek gescheiden en voor een hacker al helemaal niet.

Als alles fysiek wil scheiden moet je alles apart uitvoeren. Dus aparte ap's aparte router enz. Want de plekken waar de netwerken samen komen (switch, AP, controller, modem) zijn vatbaar voor hackers en die kunnen dan gewoon over de netwerken heen gaan.
Als het op dezelfde hardware draait is het niet helemaal gescheiden. Als je dat compleet wil scheiden moet je alles ook echt fysiek scheiden. En dat is een uitdaging want dan zou je ook een aparte internet verbinding moeten hebben voor je werk.

Beter kun je inzetten op juiste beveiliging. Gebruik maken van 2FA voor gevoelige websites en accounts. Zorgen dat je standaard gebruikers geen volledige admin rechten hebben op de pc en ook niet op je werk PC. De settings van eventuele controllers en ap's afschermen met een sterk wachtwoord en 2FA.

[Marzman]

Voor thuis lijkt me dat niet echt nodig, voor je werk zal je al op een ander netwerk zitten (dat stelt je werk in). Ik zit op meerdere netwerken als ik aan het werk ben (van verschillende bedrijven), maar dan niet op mijn thuisnetwerk (kan dan niet printen bijvoorbeeld).

Voor gasten kun je een gast-wifinetwerk gebruiken. Vaak hebben providers dat standaard al in hun modem voor je ingesteld.

[Jee-Bee]

Microkid schreef op zaterdag 5 oktober 2024 @ 10:19:
Je bent op zoek naar VLANs. Je zou bijv een VLAN kunnen maken waar alleen je modem/router in zit, een VLAN voor jouw apparatuur en een VLAN voor je partners apparatuur. Beide mogen alleen naar het modem VLAN, maar niet naar elkaar. Of echt aparte netwerken maken met elk een eigen IP subnet, maar dan moet je zorgen dat er een router in je netwerk zit zodat je van het ene naar andere netwerk kan en ook naar je modem.

Vlan moet ik me 'even' in verdiepen. Ik neem aan dat hardware / software daar voor geschikt moet zijn? Ergens ga ik er vanuit dat niet alle hardware(oa de standaard odido hardware) de vrijheid hebt om extra vlans te maken...

jopie schreef op zaterdag 5 oktober 2024 @ 10:21:
Plan B, als niet alleen jij maar je werkgever zich hier ook zorgen om maakt is een dongle op je laptop zodat je niet via je eigen netwerk werkt, dan is alles gescheiden en kun je ook overal werken zonder wifi.

Goeie ik kan idd eens overleggen hoe mijn werkgever er tegen aan kijkt.

samo schreef op zaterdag 5 oktober 2024 @ 10:29:
Ik denk dat veel modems ook wel een "gast-netwerk" aanbieden: hierop zit vaak client isolation en vanuit dat netwerk kom je dus niet bij andere devices.

Klopt dat heeft de standaard odido ook maar dan kom ik tot 2 netwerken en niet 3 (of 4) wat ik denk dat wenselijk is.

[Frogmen]

Ga om te beginnen voor jezelf na wat als ik gehackt wordt welke gegevens van mij kunnen ze dan bij en wat is de schade. Welke winst valt er voor een hacker te halen. Is het niet veel waarschijnlijker dat je bedrijfsinformatie eenstuk waardevoller is dan jouw prive foto's en filmpjes.
Anders gezegd laat je niet gek maken, de kans dat je prive gehackt wordt is minimaal.

[Jee-Bee]

Sparkiee schreef op zaterdag 5 oktober 2024 @ 10:31:
Als je thuis werkt doe je dit dan vanaf een prive pc / laptop? Of heb je dan ook echt een pc / laptop van het werk met daarop de juiste beveiliging enz?

En hoe log je dan in bij je werk?
Collega's die bij ons van thuis willen werken kunnen dat alleen doen als :
- Ze VPN gebruiken
- Ze 2FA gebruiken
- Hun externe IP adres (thuis dus) bij ons bekend is en op de whitelist staat.

Ik werk thuis op mijn werk laptop. Ik hoef voor mijn werk niet altijd op VPN te zitten, en ook met VPN aan weet ik niet wat wel en niet via VPN gaat. Het is mij wel eens opgevallen dat wanneer ik NIET op VPN zit en mijn IP adres opzoek, dan VPN aan zet en opnieuw kijk wat mijn IP adres opzoek het IP adres niet wijzigt.
2FA / MFA heb ik voor veel dingen wel ingesteld staan.

Mijn partner kan volgens mij alleen via VPN werken. Ik heb nooit bekeken wat wel / niet over VPN gaat. Kan ik wel eens doen!

Sparkiee schreef op zaterdag 5 oktober 2024 @ 10:31:
Als je thuis een gescheiden netwerk wil gebruiken neem ik even aan dat ze ook echt gescheiden moeten zijn en niet gerouteerd worden.Dus dat je vanaf je werk pc in netwerk A niet naar je prive pc in netwerk B kan.

klopt

Sparkiee schreef op zaterdag 5 oktober 2024 @ 10:31:
Met Vlans kun je meerdere netwerken aanmaken met eigen ip reeks en eigen regels. MAar uiteindelijk zijn die niet fysiek gescheiden en voor een hacker al helemaal niet.

Als alles fysiek wil scheiden moet je alles apart uitvoeren. Dus aparte ap's aparte router enz. Want de plekken waar de netwerken samen komen (switch, AP, controller, modem) zijn vatbaar voor hackers en die kunnen dan gewoon over de netwerken heen gaan.
Als het op dezelfde hardware draait is het niet helemaal gescheiden. Als je dat compleet wil scheiden moet je alles ook echt fysiek scheiden. En dat is een uitdaging want dan zou je ook een aparte internet verbinding moeten hebben voor je werk.

Ik voelde halverwege je verhaal al aan waar het heen zou gaan. En dat is niet iets waar ik trek in heb...
Als het gaat om 'over netwerken heen gaan', ik zou denken dat het ingewikkelder(mee voorkennis nodig is) is om van netwerk naar netwerk te gaan als van pc naar pc binnen een netwerk. Is dit onjuist?

Sparkiee schreef op zaterdag 5 oktober 2024 @ 10:31:
Beter kun je inzetten op juiste beveiliging. Gebruik maken van 2FA voor gevoelige websites en accounts. Zorgen dat je standaard gebruikers geen volledige admin rechten hebben op de pc en ook niet op je werk PC. De settings van eventuele controllers en ap's afschermen met een sterk wachtwoord en 2FA.

Oke dit zal meest invloed hebben op de thuis apparaten! De rest heb ik natuurlijk niet / minder controlle op! Zal ik mij iig in duiken welke mogelijkheden ik heb!

[Jee-Bee]

Frogmen schreef op zaterdag 5 oktober 2024 @ 14:02:
Ga om te beginnen voor jezelf na wat als ik gehackt wordt welke gegevens van mij kunnen ze dan bij en wat is de schade. Welke winst valt er voor een hacker te halen. Is het niet veel waarschijnlijker dat je bedrijfsinformatie eenstuk waardevoller is dan jouw prive foto's en filmpjes.
Anders gezegd laat je niet gek maken, de kans dat je prive gehackt wordt is minimaal.

Ik ben minder bang dat ze vanaf bedrijf naar mij komen als van mij naar mijn bedrijf.
wat ik ook meer risico vind is mijn bedrijf naar mijn partners bedrijf(of visa versa)

[Frogmen]

Als ik het zo lees hebben jullie beide apparaten (waarschijnlijk laptops) van jullie bedrijf die jullie niet prive gebruiken. Dan mag je er als werknemer vanuit gaan dat het bedrijf de risico's hebben ingeschat en hun maatregelen hebben genomen. Ik zou mij daar verder niet druk om maken, simpelweg omdat je er geen invloed op hebt.

[FredvZ]

Jee-Bee schreef op zaterdag 5 oktober 2024 @ 10:17:
Nu zat ik laatst te denken dat wanneer een van de drie 'gehackt' wordt het waarschijnlijk niet moeilijk is om door te hoppen naar een (andere) organisatie / thuis.

Dat is nog een stuk moeilijker dan je zou denken. De meeste werk-laptops zijn óf helemaal dicht getimmerd óf er wordt gebruik gemaakt van cloudoplossingen die hun eigen beveiliging kennen.

Ik zou me er als werknemer geen zorgen om maken. Als je het hobbymatig leuk vind om met verschillende VLAN's aan de slag te gaan moet je het zeker doen, maar anders zou ik het lekker zo laten.

[ChaserBoZ_]

Hier de boel gescheiden, prive apparatuur, devices van kinderen, IoT/domotica en gasten. Vlans op ap's en switches, firewall reguleert het verkeer tussen de (ip reeksen van de) vlans.

Apparatuur van werkgevers komt in het gastennetwerk terecht. Geen toegang tot nas of infra. En zo dus een policy per 'groep', met verschillende bandbreedtes (console van kids kan de boel niet dichttrekken etc).

[emielbf]

een werk-laptop moet zichzelf beschermen, want hoe doe je dat met publieke internet hotspots? mag dat niet?

Nergens voor nodig om je prive netwerk op te delen in vlans met als doel het beschermen van je werk laptop.

[laurens0619]

Nee heeft absoluut geen nut om je netwerk op te knippen. Laptop zou vanaf netwerk niet infecteerbaar moeten zijn.

Grootste risicos van infectie tussen elkaars laptop is wss als je beide met elkaar mailt via die laptops oid. Groter dan verbonden via zelfde lan

[FrankHe]

Als je beide werknemer bent en beide bedrijven stellen geen expliciete voorwaarden aan 'extra' beveiliging van het thuisnetwerk en stellen geen apparatuur of geld beschikbaar voor de additionele beveiligingsmaatregelen, dan zou ik me er niet druk om maken.

Tenzij die privé PC specifiek is opgezet als honeypot wat volgens mij hier niet het geval is. Kortom, ik zie zo niet direct de noodzaak van extra maatregelen.

[Jee-Bee]

ChaserBoZ_ schreef op zaterdag 5 oktober 2024 @ 23:44:
Hier de boel gescheiden, prive apparatuur, devices van kinderen, IoT/domotica en gasten. Vlans op ap's en switches, firewall reguleert het verkeer tussen de (ip reeksen van de) vlans.

Apparatuur van werkgevers komt in het gastennetwerk terecht. Geen toegang tot nas of infra. En zo dus een policy per 'groep', met verschillende bandbreedtes (console van kids kan de boel niet dichttrekken etc).

Wat voor Hardware gebruik jij? niet standaard Odido kastje neem ik aan...

[digibaro]

Zakelijke werkplekken gaan steeds meer uit van zero trust. Hierbij wordt het thuisnetwerk ook per definitie als onveilig beschouwd, net zoals werken vanaf een hotspot op hotel locatie.

[ChaserBoZ_]

Jee-Bee schreef op zondag 6 oktober 2024 @ 15:57:
[...]


Wat voor Hardware gebruik jij? niet standaard Odido kastje neem ik aan...

Nee, Ziggo kastje is puur modem, daarachter firewall, switches en accesspoints.

[FrankHe]

digibaro schreef op zondag 6 oktober 2024 @ 16:02:
Zakelijke werkplekken gaan steeds meer uit van zero trust. Hierbij wordt het thuisnetwerk ook per definitie als onveilig beschouwd, net zoals werken vanaf een hotspot op hotel locatie.

Zo niet dan verwacht ik dat de werkgever een mobiele router beschikbaar stelt waarmee voor de laptop een veilig netwerk kan worden gemaakt. Biedt de organisatie dat niet aan dan zie ik niet in waarom je als werknemer daarvoor kosten zou moeten maken? Kortom, ik zou alles houden zoals het is.