Veilig netwerk in buurthuis,

[P.C_N00B]

Hallo ik heb een vraag over een onderwerp waar ik echt héél weinig van afweet.
Netwerken.
Ik kan wel een modem en router aan elkaar knopen en het ook wel werkend krijgen, ook lukt het mij (met veel “trial en error”) wel om wat poorten open en dicht te zetten, maar op gebied van veiligheid weet ik er eigenlijk gewoon te weinig van, en zie ik vaak door allerlei verschillende adviezen door de bomen het bos niet meer.

Ik werk als vrijwilliger in een buurthuis voor digitale ondersteuning. We helpen daar (vooral Senioren) met allerhande vragen.
Inloggen huisarts, DigiD, whatsapp, email, etc, etc, etc. En ook af en toe met bankieren.

Nu zijn er in het buurthuis eigenlijk 2 netwerken. 1 voor de werknemers van het beheer, en 1 voor de gasten. Wij zitten op het gasten netwerk. Dit is gewoon het standaard gastennetwerk van het Ziggo-modem.

Maar aangezien dit wachtwoord inmiddels redelijk algemeen bekend is, en er onderhand ook erg veel mensen (ook van buiten onze bijeenkomsten om) op het netwerk zitten, ben ik aan het kijken naar een oplossing die misschien wat meer veiligheid biedt.

In het buurthuis zijn ook nog een aantal vaste LAN aansluitingen. Ook in ons lokaal. Ik zou daar een eigen router voor kunnen kopen en op aan kunnen sluiten om zo ons eigen netwerk te creëren.

Mijn vraag is echter, schiet ik daar wel echt wat mee op. Ik zit dan uiteindelijk via de bekabelde verbinding ook aan het ziggo-modem van het buurthuis verbonden, én zodoende indirect ook aan de andere netwerken.

Of zou ik dit zo af kunnen schermen via een firewall dat de mogelijk minder beveiligde netwerken in het buurthuis geen, of in ieder geval echt minder een risico vormen voor onze verbinding en de apparaten van onze bezoekers.

Alvast bedankt,
Michiel

[Frogmen]

Je grootste risico is een man in the middle attack hierbij zet iemand een AP op met dezelfde wifi gegevens als jullie gastennetwerk. Vervolgens moet je dan nog om het https verkeer te onderscheppen het certificaat accepteren van de attacker (dat lukt hem misschien met een hack) en dan zou die het verkeer kunnen inzien. Ook zou hij je verkeer naar een andere server om kunnen leiden. Kortom het simpelste wat je kan doen, voor iedere sessie het gastennetwerk wijzigen. Aan de andere kant is de moeite en het risico van dit soort operaties niet in verhouding tot de opbrengst. De kans dat het boefje vrijwilliger wordt en zo info verzamelt is relatief gezien groter.

Volgens mij kan je ook op een Ziggo modem gastennetwerk niet de andere clients zien op dat netwerk.

[ Voor 7% gewijzigd door Frogmen op 11-11-2026 15:24 ]

[The_Doman]

P.C_N00B schreef op woensdag 11 november 2026 @ 15:05:
Nu zijn er in het buurthuis eigenlijk 2 netwerken. 1 voor de werknemers van het beheer, en 1 voor de gasten. Wij zitten op het gasten netwerk. Dit is gewoon het standaard gastennetwerk van het Ziggo-modem.

Maar aangezien dit wachtwoord inmiddels redelijk algemeen bekend is, en er onderhand ook erg veel mensen (ook van buiten onze bijeenkomsten om) op het netwerk zitten, ben ik aan het kijken naar een oplossing die misschien wat meer veiligheid biedt.

Wat betreft het WiFi gasten netwerk is dat bij de nieuwe Ziggo modems geheel geïsoleerd voor de gebruikers daarvan.
Zie wat topics daarover:
Ziggo Community: Functionaliteit gastnetwerk Sagemcom versus Arris modem
Ziggo Community: Gastennetwerk werkt niet op WIFI-versterkers. Alternatief?

[ResuCigam]

P.C_N00B schreef op woensdag 11 november 2026 @ 15:05:
Maar aangezien dit wachtwoord inmiddels redelijk algemeen bekend is, en er onderhand ook erg veel mensen (ook van buiten onze bijeenkomsten om) op het netwerk zitten, ben ik aan het kijken naar een oplossing die misschien wat meer veiligheid biedt.

Elke paar maanden het wachtwoord veranderen?

[ewoutw]

Er bestaat niet zoiets als: "als je dit doet, ben je veilig". Eerst moet je eigenlijk weten waartegen je het netwerk wilt beveiligen. Als ik je bericht lees, lever je geen digitale diensten aan in de vorm van servers. Naast kennis lever je vooral een internetverbinding via een gedeelde aansluiting.

Eigenlijk wil je dan juist dat gebruikers zo snel mogelijk naar het internet wil hebben en niet kunnen rondneuzen binnen het lokale netwerk.
In dat geval is client isolation een optie die je zou moeten inschakelen. Dat zorgt ervoor dat apparaten op het netwerk elkaar niet kunnen zien of benaderen. Ik vermoed dat als je een gasten netwerk aanzet in het Ziggo modem dat die wel doet.

Daarnaast bestaat het risico op een man-in-the-middle-aanval. Hierbij zet iemand een eigen access point op dat dezelfde wifi-naam (SSID) en hetzelfde wachtwoord gebruikt, zodat gebruikers ongemerkt verbinding maken met het verkeerde netwerk. Diegene zou vervolgens het verkeer kunnen afluisteren. Om daadwerkelijk gevoelige gegevens te onderscheppen, moet ook het versleutelde SSL/TLS-verkeer worden gekraakt of omzeild.

De enige effectieve bescherming hiertegen is het gebruik van authenticatie op basis van certificaten of een externe authenticatiemethode, zoals RADIUS of TACACS+. Voor een buurthuis lijkt mij dat echter overdreven.

[EverLast2002]

Is er een interne ict beheerder die alles in beheer heeft? Die LAN poorten waar je over spreekt, zijn die wel aangesloten (lijkt me dat er port security opzit zodat niet de eerste de beste client daar een utp kabel inprikt) en zoja waar komen die ergens samen, in een server ruimte/kast?

[FredvZ]

P.C_N00B schreef op woensdag 11 november 2026 @ 15:05:
Mijn vraag is echter, schiet ik daar wel echt wat mee op.

Recht voor zijn raap antwoord: nee, eigenlijk helemaal niks.

Als je zelf geen verstand hebt van onderwerp, is vaak een slecht idee om dit voor anderen te gaan doen.

Kortste klap: verander het password van de gastenwifi maandelijks. Dan leert de terugkerende senior ook gelijk dat het ook thuis een goed idee is om af en toe je wifi wachtwoord te veranderen.

Moeilijker zou ik het niet maken, tenzij vanuit het buurthuis budget beschikbaar is om een professional in te schakelen.

[P.C_N00B]

Hallo,

Bedankt voor de vele reacties.
Gisteren werd mij bij verder onderzoek ook al een beetje duidelijk dat in principe het gastennetwerk al veel van mijn risico wegneemt. En dat sommige onderdelen toch iets minder complex zijn dan ik dacht.

Maar er is helaas is er in het buurthuis geen ict-er verantwoordelijk voor de aansluiting.
Het wachtwoord van het bestaande gastnetwerk veranderen is helaas niet aan ons, én heeft weinig zin aangezien ze in het buurthuis juist graag iedereen internet willen bieden en het wachtwoord daarom erg makkelijk gedeeld wordt.

Om die reden zat ik te denken; er zijn in ons lokaal LAN aansluitingen aanwezig, welke verbonden zijn aan het netwerk. Als ik daar dan een eigen router op aansluit waarop ik enkel een gastnetwerk maak, en hiervan regelmatig het wachtwoord wijzig, dan denk ik dat ik de risicos al wel kleiner maak, en de situatie in ieder geval beter is dan een netwerk waarvan iedereen het wachtwoord in de hal ziet hangen.