Netwerk afschermen en VPN

[NeutraleTeun]

Ik gebruik al een tijdje smart apparaten thuis.
Denk aan, Hue, KaKu, Google, Nest, CV etc.

Nooit echt bezig geweest met goede beveiliging, maar wil wel graag kijken de wat de opties daarin zijn en of ze redelijk toepasbaar zijn voor iemand met gemiddelde netwerk kennis.

Ik hoor veel mensen praten over je smart apparaten in een apart netwerk zetten om zo ongewenste toegang te voorkomen (is het voorkomen of kans tot minimaliseren?).

En ik heb sinds kort een VPN op mijn telefoon.
Nu heb ik ook geleden dat dit op de router kan, zodat al het verkeer via VPN kan lopen.
(ik kan nu namelijk niet via wifi verbinden en dus niks "smart" meer doen).

Hoe kan ik dit het beste aanpakken?
Ik weet dat een keerzijde van veel beveiligingen is dat iets minder gebruiksvriendelijk wordt.

De wens is namelijk wel om al het smart gewoon via telefoon te kunnen benaderen, zowel binnens- als buitenshuis.

[Frogmen]

VPN gaat je in dit geval NIET helpen het enige wat VPN doet zoals jij het gebruikt is het verkeer tussen jouw telefoon en of thuis versleutelen tot aan de VPN provider en op deze manier je verkeer niet meer zichtbaar maken waar het vandaan komt.
Bedenk alleen wel wie je meer vertrouwd de Nederlandse provider of de buitenlandse VPN provider. Het wordt dan ook vaak gebruikt om het verkeer wat minder legaal is minder traceerbaar te maken.
VPN op je telefoon is handig en inderdaad veilig als je vaak gebruik maakt van openbare Hot spots zoals cafes etc..
IoT apparaten worden nog wel eens in een apart Vlan gezet, maar zolang je geen Ali spul koopt valt dat risico wel mee.

[bananasplit]

Een VPN op je telefoon is een VPN client en kan dus alleen werken als je ergens een VPN server in je lan hebt draaien waar hij mee kan verbinden.
Die server kan op je router draaien als je router dat ondersteund, maar ook gewoon ergens in je Lan en dan moet je in je router de VPN poort forwarden naar het device waar je die Vpn server op hebt draaien.

En uiteraard is het wel heel zinvol je lan vanaf het internet te benaderen via een VPN, het alternatief is namelijk porten forwarden naar je devices wat veel gevoeliger is voor hacking want in tegenstelling tot een VPN server zijn die nauwlijks beschermt tegen hacken..

Aparte netwerken zoals vlan's voor iot zijn niet erg zinvol, voor een hacker is vlan hopping niet erg moeilijk.
vlan's zijn bedoelt voor functionele scheiding, niet als beveiliging.

Waar je zoals @Frogmen wel mee moet oppassen is allerlei "smart" devices die cloud gestuurd zijn en die allerlei data in de cloud opslaan en eventueel vanuit de cloud te beheren zijn.
Daar zitten de grootste risico's

[EverLast2002]

NeutraleTeun schreef op zondag 22 december 2024 @ 12:01:
En ik heb sinds kort een VPN op mijn telefoon.
Nu heb ik ook geleden dat dit op de router kan, zodat al het verkeer via VPN kan lopen.
(ik kan nu namelijk niet via wifi verbinden en dus niks "smart" meer doen).

Bovenstaande over wifi en niks kunnen doen snap ik niet helemaal.

Je verwart een aantal dingen met elkaar.
tip: hou het simpel.

VPN is een techniek om je netwerkverkeer af te schermen en met een ander ip adres dan je originele adres het internet te bewandelen. Tevens kun je met vpn een afgeschermde verbinding maken met apparaten buitenshuis richting thuis.

Wat jij zoekt is VLAN.
Hiermee creeer je gescheiden netwerken.
bijvoorbeeld:
vlan10 = 192.168.10.0/24
vlan20 = 192.168.20.0/24
met de juiste configuratie kunnen deze netwerken elkaar niet zien of benaderen.
je hebt hiervoor een switch nodig die dit ondersteunt.
om het helemaal af te maken eigenlijk ook een modem/router die vlans aan kan,
zodat je alle verkeer netjes kan inrichten.

[ Voor 4% gewijzigd door EverLast2002 op 22-12-2024 17:10 ]

[FreakNL]

bananasplit schreef op zondag 22 december 2024 @ 13:47:


Aparte netwerken zoals vlan's voor iot zijn niet erg zinvol, voor een hacker is vlan hopping niet erg moeilijk.
vlan's zijn bedoelt voor functionele scheiding, niet als beveiliging.

Niet mee eens.

Mijn IOT rommel zit ook in een apart VLAN… Er zal maar een exploit op zitten/komen, dan wil je die rommel toch niet in je productie VLAN? Of een broadcast storm vanaf zo’n device…

Het heeft echt wel nut om het te scheiden. Ook op security niveau…

[NeutraleTeun]

Het klopt dat het 2 verschillende zaken (en dus ook) 2 vragen zijn.

Moet ik mijn smart home veiliger opzetten, met als voorbeeld dus in een vlan.

Daarnaast, heb ik nu (via een deal) NordVPN op mijn telefoon.
Met als gevolg, aangezien ik nu niet meer via thuiswifi verbonden ben, ik mijn camera's kan meer kan benaderen, niet kan streamen en geen auto back up telefoonmedia kan doen.

Met als overkoepelende vraag, als ik (vraag 1 smart home in een vlan zet) en (vraag 2 die VPN op mijn router laat lopen), kan ik dan alles in mijn netwerk gewoon benaderen binnen en buitenshuis zonder elke keer te hoeven switchen tussen VPN en/of wifi.

//
Fwiw, ik heb nog een standaard router (welwillend te veranderen als dat nodig is en user friendly in te stellen is) en een USW-Lite-16 PoE.

[ Voor 10% gewijzigd door NeutraleTeun op 22-12-2024 18:39 ]

[laurens0619]

Welk security risico probeer je met nordvpn te mitigeren?

[Sacul]

Wat jij denk ik wilt is een eigen VPN server (WireGuard, OpenVPN) opzetten, bijvoorbeeld door de router dit te laten doen. Dan kun je buitenhuis verbinden met je lokale netwerk en je slimme apparaten gebruiken.

Wat je nu doet is verbinden met een externe VPN server (NordVPN).

[sOid]

@NeutraleTeun Het makkelijkste is om je IoT-spul waarbij het niet noodzakelijk is een (constante) LAN-verbinding te hebben, te koppelen met je gast WiFi. Daarmee is het ook gescheiden van de rest van je netwerk.

@bananasplit VLAN hopping is afaik vrij obscuur in het wild. Al helemaal bij een gewone consument, want daar hebben we het over. Wat @FreakNL beschrijft is een veel waarschijnlijker scenario.

[sOid]

NeutraleTeun schreef op zondag 22 december 2024 @ 18:24:

Daarnaast, heb ik nu (via een deal) NordVPN op mijn telefoon.
Met als gevolg, aangezien ik nu niet meer via thuiswifi verbonden ben, ik mijn camera's kan meer kan benaderen, niet kan streamen en geen auto back up telefoonmedia kan doen.

Ik lees dit alsof je continu verbinding wil hebben met NordVPN op je telefoon. Waarom wil je dat? Vroeger was dat nog wel eens zinvol, omdat versleuteld verkeer toen nog niet standaard was. Nu heeft 99% van de sites die je bezoekt gewoon keurig een https-verbinding (wat ook niet heilig is: via https kun je ook prima op een veilige manier met een cybercrimineel communiceren die een phishing-site heeft opgezet). Een VPN voegt daar nauwelijks iets aan toe. Ja, je provider kan je verkeer niet meer zien. Maar je VPN-provider wel

Ik gebruik ook nog wel eens een VPN om geoblock te omzeilen. En to be fair, ik heb het verkeer van mijn torrents ook getunneld via een VPN ivm toegevoegde privacy. Maar qua security voegt het weinig toe.

[ Voor 7% gewijzigd door sOid op 22-12-2024 21:42 ]

[NeutraleTeun]

sOid schreef op zondag 22 december 2024 @ 21:35:
@NeutraleTeun Het makkelijkste is om je IoT-spul waarbij het niet noodzakelijk is een (constante) LAN-verbinding te hebben, te koppelen met je gast WiFi. Daarmee is het ook gescheiden van de rest van je netwerk.

Moet ik dan zelf ook niet via gast verbonden zijn wil ik iets streamen oid?
En nu heeft (dacht ik) gast netwerk na x tijd een time-out. Dat moet dan ook uit neem ik aan?
Maar, los van waarschijnlijk meest makkelijke, al mijn gasten kunnen het wachtwoord krijgen van dat gast netwerk. Qua inlog is dat dan toch juist het minst veilige?

Voor de reden waarom:
Deels IPTV en deels bedreigingen.

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

Maar dat laatste kan dus niet heb ik begrepen, enkel als je zelf een vpn draait?

[sOid]

NeutraleTeun schreef op zondag 22 december 2024 @ 22:14:
[...]


Moet ik dan zelf ook niet via gast verbonden zijn wil ik iets streamen oid?

Dat hangt er dus een beetje van af. Veel IoT werkt namelijk helemaal niet lokaal, maar via een online-server. Communicatie gaat dus zo: telefoon -> server van fabrikant (cloud) > IoT apparaat. En vice versa. Er zijn inmiddels een hoop voorbeelden van fabrikanten die failliet gaan en de servers offline halen. Je kan dan dus niet meer met je IoT-device communiceren. Maar: in dit scenario hoef je dus niet zelf met je gastenwifi verbonden te zijn, omdat alle feitelijke communicatie via internet gaat.

Bij lokaal IoT-spul is dat anders. Als je iets lokaal hebt draaien (een Zigbee-netwerk bijvoorbeeld), is het afscheiden van de IoT-devices in een apart netwerk/aparte VLAN ook meteen een stuk minder relevant. Iemand kan van buiten jouw netwerk daar toch niet bij. Met andere woorden; het risico is nihil.

En nu heeft (dacht ik) gast netwerk na x tijd een time-out. Dat moet dan ook uit neem ik aan?

Dat hangt maar net van je configuratie af. Zou kunnen. Mijn guest WiFi heeft geen time-out.

Maar, los van waarschijnlijk meest makkelijke, al mijn gasten kunnen het wachtwoord krijgen van dat gast netwerk. Qua inlog is dat dan toch juist het minst veilige?

Tja. Mijn gastenwifi wordt eigenlijk nooit door gasten gebruikt; iedereen heeft toch 4G of 5G. En ook al zouden ze wel toegang krijgen, dan vind ik het nog niet zo boeiend. Het zijn mensen die ik ken. Risico's kun je ook accepteren, je hoeft ze niet altijd te mitigeren

Maar mijn Access Point kan meer dan 2 WiFi-netwerken (SSID's) tegelijk uitzenden. Dus ik kan bijvoorbeeld een privé-WiFi, een gasten-WiFi en een IoT-WiFi-netwerk (voor spul dat via de cloud moet) configureren.

Voor de reden waarom:
Deels IPTV en deels bedreigingen.


Maar dat laatste kan dus niet heb ik begrepen, enkel als je zelf een vpn draait?

Vervelend, die bedreigingen. Een commerciële VPN helpt inderdaad wel om je IP-adres te anonimiseren. Maar wat bedoel je precies met je laatste vraag?

Voor de volledigheid; je hebt het over 2 verschillende typen VPN.
1. Een VPN om je verkeer de anonimiseren en om het (al lage) risico op bepaalde aanvallen (zoals MITM) te beperken. Dit is wat je bij NordVPN hebt. Voor veiligheid doet dit verder weinig omdat het meeste verkeer tussen client en server intussen versleuteld is (https bijvoorbeeld).
2. Zelf een VPN-server draaien op je eigen netwerk (zoals bijvoorbeeld Wireguard), waarop je remote kan inloggen (bijvoorbeeld met je telefoon). Op die manier kun je bij devices die je lokaal hebt draaien. Bijvoorbeeld je router. Je kan dan, terwijl je in de trein zit, bij de beheer-interface van je router via het lokale adres 192.168.1.1 (of iets in die richting). Als je terwijl je die verbinding hebt gaat internetten, lijkt het net alsof al je verkeer via je thuis IP-adres komt. Een van de voordelen hiervan is dat je maar 1 poort open hoeft te zetten op je router (voor je VPN) om bij allerlei dingen te komen die je intern hebt draaien. Met tailscale kan het meen ik ook zonder poort open te zetten, maar daar heb ik geen ervaring mee.

(Ik ga hier voorbij aan wat meer specialistische dingen als site-to-site VPN en split tunneling, maar dat lijkt me voor dit verhaal niet zo relevant.)

[ Voor 21% gewijzigd door sOid op 22-12-2024 22:51 ]

[kwibox]

@NeutraleTeun ik krijg beetje klep-en-klepel gevoel van je posts, sorry

Gasten wifi heeft niks te maken met die gratis open wifi netwerken (waar je een x tijd gebruik van kan maken totdat je weer een vinkje moet zetten) waar je op doelt. Met gasten wifi word "peer isolation" van je hoofd network (en soms ook van je met wifi verbonden apparaten onderling) bedoelt. Dat houd in dat ze afscheiden zijn van de rest van je apparaten.

Ook is een uitgaande VPN gebruiken compleet kansloos als je je netwerk beter wilt beveiligen.

Ik raad je aan om eens goed in te lezen wat een vlan nu eigenlijk doet, wat peer isolation is en waarvoor een VPN handig kan zijn, maar niet zoals jij hem nu gebruikt

Betere netwerkbeveiliging begint met de basis voor elkaar hebben:
- voor elk apparaat/service een uniek wachtwoord, die je netjes noteerd in een wachtwoord manager die je op een veilige plek opslaat met een lange wachtwoordzin (en vergeet er geen backup van te maken...)
- wifi netwerk beveiligen met wpa2 (wpa1 uitzetten) met ook een voldoende lange en unieke passphrase
- update je apparaten (dus ook je router, telefoon en tablet), geen end of life meuk (zoals windows 7) op je netwerk
- geen poorten openzetten en al helemaal geen apparaten in de DMZ
- gebruik ook binnen je netwerk bij voorkeur moderne protcollen en beveilingsmethoden (dus scp/ssh boven ftp, https boven http, geen samba legacy)
- nogmaals geen oude meuk aan je netwerk hangen, t zal je verbazen hoeveel iot spul geen updates meer krijgt en vervolgens erg hackbaar zijn (zoals recent met EOL Zyxel NAS'en)

Moet je toch echt poorten open hebben, gebruik dan een VPN (maar dan andersom dan hoe je nu doet ). Toch raad ik dat nu ook af, totdat je wat meer van de hoed en de rand weet.

[bananasplit]

@Frogmen en @sOid
Als een hacker of malware eenmaal access tot een vlan heeft is het extreem simpel om de andere vlan's te bereiken door simpelweg zijn ip packages te "dubbel taggen", dus vlan's gebruiken voor security is niet de de manier.

En als je binnen een vlan een broadcast storm hebt dan ligt de rest van je netwerk ook plat want vlan's voorzien niet in limitering van netwerk capaciteit.

vlan's zijn ontworpen voor functionele afscheiding en niet voor bescherming.

[laurens0619]

Het grootste risico van IoT apparaten is dat ze geinfecteerd worden en hierna worden ingezet als onderdeel van botnet om internet aanvallen uit te voeren. Dat ze vanuit een IoT een ander apapraat over het LAN gaan hacken is vooral een theoretisch risico en is praktisch nooit het doel in consumenten netwerken.

De beste mitigatie is dus om ze af te sluiten van het internet en daarbij is het gemakkkelijk om ze in een VLAN te stoppen zodat je het hele VLAN van internet kan afsluiten.
Ze in een VLAN stoppen maar internet open laten is redelijk zinloos....

VLAN hopping/double tagging is echt niet zo easy, helemaal niet als het untagged vlans zijn (wat je praktisch altijd toepast op een iot netwerk)

[sOid]

laurens0619 schreef op maandag 23 december 2024 @ 10:14:

De beste mitigatie is dus om ze af te sluiten van het internet en daarbij is het gemakkkelijk om ze in een VLAN te stoppen zodat je het hele VLAN van internet kan afsluiten.
Ze in een VLAN stoppen maar internet open laten is redelijk zinloos....

Grotendeels eens met je post, maar dit is wel kort door de bocht. Sommige IoT is nou eenmaal afhankelijk van clouddiensten. Als ik de internettoegang van mijn Nest thermostaat block, kan ik er dus geen gebruik meer van maken. (Ja oke, de fysieke knop wel, maar daar hebben we het nu niet over )

[laurens0619]

sOid schreef op maandag 23 december 2024 @ 10:53:
[...]

Grotendeels eens met je post, maar dit is wel kort door de bocht. Sommige IoT is nou eenmaal afhankelijk van clouddiensten. Als ik de internettoegang van mijn Nest thermostaat block, kan ik er dus geen gebruik meer van maken. (Ja oke, de fysieke knop wel, maar daar hebben we het nu niet over )

Klopt
Internet of Things apparaten van Internet afhalen maakt ze in theorie onbruikbaar
De nuance zit hem dan in:
- Apparaten via lokale interfaces gebruiken ipv internet (bv home assistant)
- Filtering toepassen dat er alleen verkeer van/naar de internet servers mogen die bij het apparaat horen

[Frogmen]

bananasplit schreef op maandag 23 december 2024 @ 09:43:
@Frogmen en @sOid
Als een hacker of malware eenmaal access tot een vlan heeft is het extreem simpel om de andere vlan's te bereiken door simpelweg zijn ip packages te "dubbel taggen", dus vlan's gebruiken voor security is niet de de manier.

En als je binnen een vlan een broadcast storm hebt dan ligt de rest van je netwerk ook plat want vlan's voorzien niet in limitering van netwerk capaciteit.

vlan's zijn ontworpen voor functionele afscheiding en niet voor bescherming.

Is dit niet sterk afhankelijk van de configuratie.

[bananasplit]

Je bedoelt die broadcast storm?
Nee een vlan heeft geen functionaliteit om resources gebruik te limiteren.
Het gaat er niet om dat die storm tot zijn eigen vlan beperkt blijft, maar dat een broadcast storm alle beschikbare netwerk bandbreedte opeet en er ook voor de andere vlan's niets overblijft.

Gelukkig kunnen de meeste managed switches dat wel, dus dat zou een betere bescherming tegen een broadcast storm zijn.