Hoe maak ik mijn netwerk onzichtbaar vanaf internet?

[PeterDeTweaker]

VRAAG 1
Als ik een poortscan laat doen (via GRC.com ShieldsUp) dan geven de eerste 1056 poorten geen TCP packets geven en dat is goed.
Maar er wordt wel een ping-reply gegeven. Volgens GRC is dat niet veilig genoeg.
Hoe kan ik zorgen dat er niet op ping wordt gereageerd?

Ik heb een standaard Ziggo modem-router (SmartWifiModem Sagecom F3896LG).
Hiervan heb ik :
UPNP uitgeschakeld
Firewal ingeschakeld
Blokkeer gefragmenteerde IP-pakketten ingeschakeld
Poortscandetectie ingeschakeld
IP-flood detectie ingeschakeld

Blokkeer gefragmenteerde IP-pakketten en Poortscandetectie waren eerst uitgeschakeld en heb ik zelf ingeschakeld. Dit maakte echter niets uit voor de PING-reply.

VRAAG2
Verder heb ik een Ubiquiti Cloud Gateway Ultra achter de Ziggo modem-router hangen. Dus nat-achter-nat. Dit gaat goed en lijkt me goed als extra beveiliging.

Het beste zou echter zijn om het modem in bridge te zetten. Dat vind ik wel spannend, want dan moet ik de beveilingingsinstellingen in de Ubiquiti zeker goed hebben staan. Welke instellingen van de Ubiquiti zijn dan belangrijk?

[TECHcrime]

Ziggo in bridge zetten en al je firewall rules op je Ubiquiti instellen. ISP Modem firewalls hoef je niet op te vertrouwen.

Double NAT is een management nightmare.

In je Ubiquiti firewall kan je een WAN IN rule maken en ICMP verkeer droppen.

Verder wil je Management GUI op je WAN port uitzetten. Check je WAN IN rules goed.

[Frogmen]

NAT achter NAT hoeft helemaal geen probleem te zijn is verder vooral afhankelijk van wat je doet. Ping staat aan omdat je ISP ook wil kunnen zien of de verbinding ok is. Verder is het een keuze gezien het feit dat je alle poorten dicht hebt staan is NAT achter geen enkel probleem.

[grasmanek94]

Weet wel dat ICMP nodig is voor (goed) functioneren van IPv6.

[RonnieKo]

TECHcrime schreef op woensdag 4 maart 2026 @ 10:44:
Double NAT is een management nightmare.

Hoeft geen probleem te zijn. Jarenlang zelf gehad met UPC-modem en een Apple Airport Extreme. Werkte gewoon goed. Het vervelende is als iemand het allemaal zelf wil regelen het ook moet kunnen. Dus een apparaat moet hebben wat je allemaal goed kan instellen. En weet wat je moet instellen. Anders heb je de boel juist open staan naar het internet.

[Ben(V)]

Die shield up testen zijn antiek.
Geen enkele router reageert daar op tenzij je zelf een port forward hebt ingesteld of uPnP aan hebt gezet.

En reageren op een ping is absoluut geen security risc en daar kun je ook niets aan veranderen.

[FredvZ]

.

[ Voor 99% gewijzigd door FredvZ op 04-03-2026 20:20 ]