Hur säkert är ditt hemmanätverk?

mDNS och att tillåta utgående VLAN trafik från "säkrare VLAN" till "mindre säkra VLAN".

Det går inte att ha UPnP exponerat för WAN med den firmware jag använder. Jag har dessutom råkat bricka inloggningen till routern från WAN när jag installerade DDWRT, och inte brytt mig om att fixa det, så har svårt att tro att någon tar sig in den vägen.

Problemet med att stänga av UPnP är ju att jag förlorar en väsentlig funktionalitet varje dag samtidigt som jag skyddar mig mot ett scenario som är ganska osannolikt. Sen ser man ju en och annan rysk IP-adress i loggarna ibland så det är säkert någon bot som försöker, men där känner jag personligen att risken med att ha UPnP igång är värt det alla dagar i veckan eftersom jag har god koll på vad som körs från min dator rent generellt.

Intressant artikel. Har en filosofi att inte krångla till det, tiden är snabb, rimlig hotbild etc. Använder dock inte en smartphone som inte får säkerhetsuppdateringar mer och detsamma med routern, som är en vanlig relativt ny Asus-router. 2 av 7 enheter stödjer wpa3 så kan inte köra det istället för wpa2 men har långa lösen till wifibanden som ändå går att komma ihåg (https://xkcd.com/936/ ) (https://docs.python.org/3/library/secrets.html ) , delningstjänster som inte används är avstängda och de enheter som kan har mjukvarubrandväggar som tillåter det som behövs (och de som går att uppdatera hålls uppdaterade) WPS är avstängt i routern, likaså administration över internet och använder ingen av Cloud-tjänsterna ASUS erbjuder via routern. För sshdna används certifikat.

VLAN ser jag inget alls om i routerns gränssnitt, däremot gästnätverk. "Access Intranet" on/off..hela poängen är off I guess. Iaf om de är de enda valen. Ett par shellys skulle kunna vara där och kanske en pi men jag måste kunna tala med dom vid behov, lär bli varse om det fungerar.

Edit. Och jag är inte säker på att ett gästnätverk för shellys och rpis är en bra idé då de inte gör så mycket mer över internet än ntp eller systemuppdateringar. De är "local network of things" mer och rapporterar inåt. Ett gästnätverk kan isolera en ev attackerare som tar sig in på det men om en ev attackerare gör det vad säger att denne inte tar sig in på huvud-wifit (med liknande säkerhet)?

Har varit lite för lat för att hitta ny router/switch/etc behöver ju klara av mina 1,2Gb så 2,5Gb utrustning är ju minimum och har varit ont om det ett tag.

Men säker de vet jag att det inte är, använder ju Comhems C3 som de har tillgång till och man får inte ändra användarnamn från admin på... Behöver något som jag själv kan administrera utan ISP kan taffsa på för helvete att jag litar på comhem/tele2 efter de återställde routern när det var fel på deras nät, frågade för jag ville inte in och confa om den igen. Gör inte om det misstaget...

Kör med vettiga prylar och konfa skiten rätt så

Hur går detta till rent praktiskt, behöver man ha "specialgrejjer" eller går det lösa på min netgear med två unifi puckar och en kontroller?

Lösenordfras ska vara helt ok. MSB har det t o m i sin termbank (som händelsevis lanserades igår).

Definition
Sekvens av vanliga fraser som används som lösenord

Https://termbanken.informationssakerhet.se/TermadoSearch.aspx...

Jag har haft problem med kontokapning, så jag har lagt till ett alias för inloggning på min webmail. Min gamla epost funkar som den ska, men det går inte längre att logga in med den. Ovanpå det har jag även en lösenordshanterare, med olika lösenord på alla ställen.

Jag blockerar alla 3e parts cookies, har helt slutat "godkänna cookies", utan går nu genom den ibland mödosamma processen och nekar allt utom nödvändigt. Vissa siter är hemska, med lååånga listor, det är uppenbart att jag är produkten, då stänger jag ner fliken och hittar en alternativ site. Tracking har jag också stängt av.

Hårdvara är nyligen uppgraderad till Unify DM Pro med två AP. Har inget gästnät idag, så det ska jag fixa

Noterar glatt att någon mer än mig verkar följa RFC 8375! Yaay!

Känner att jag borde byta ut min router nu inför Black Friday. Någon som kan langa iväg något snabbt tips på någon vettig lätthanterlig router? Smärtgränsen ligger väl runt 1500kr. Ish.

Problemet med IoT och Guest wifi är när användaren inte riktigt förstår innebörden. Exempelvis om du har din home assistant på ett IoT eller Guest nät och tänker de funkar ju fin fint med dina Zwave och Zigbee enheter men av någon märklig anledning så dyker inte dina chromecast enheter upp längre och du kan inte längre få sensor data från din brandvägg. Såna här saker blir komplexa snabbt och det är i princip svårt att hänga med om man inte har så mycket erfarenhet av det och det gör hela hemnätet mycket svårare att felsöka då det uppstår konstiga saker.

Saken som togs upp där en hackare använder ditt nätverk till ett botnät är ju inte riktigt löst med ett guest nät heller. Hackar de din robotdammsugare så har de ändå ett sätt att använda din internetuppkoppling över ditt guest nät.

Jag säger inte att något är fel i artikeln i sak bara att det skapar en komplexare bild för hemanvändaren, vilket är fine om personen är kunnig men för gemene spelnörd som inte har nätverk på sina fem fingrar så är det lite att be om problem.

Ska man göra skillnad på riktigt så krävs ofta en kombination av många åtgärder men där fysiskt begränsa access är en viktig åtgärd. Inga nätverkskablar som hänger på utsidan av huset. Helst inga wifi-signaler som når ut genom husväggarna (begränsa effekt) och installera en grymt endpoint protection. Det finns flera olika endpoint protections att välja på men SentinalOne är rätt enkel att förstå och erbjuder många steg upp över Windows inbyggda. Men det kostar att vispa grädde

Jo men absolut, det är säkert en väldigt bra setup men 5000 lägger jag inte på dessa prylar tyvärr.

Just nu kör jag en gammal Asus RT-AC66U och har varit väldigt nöjd med den.

Synology Drive är troligen den största risken för mig. Samtidigt är bekvämligheten enorm med att kunna komma åt det från kontorsdatorn eller när man är på resande fot. Att alltid behöva koppla upp sig med VPN för att komma åt den blir snabbt bökigt. Loggar dock in med en väldigt begränsad användare som inte har rättighet till något utanför just Drive-mappen.
Har även SSH öppet mot min Raspberry Pi med SSH-nyckel och Fail2Ban samt en OpenVPN server (också med klientcertifikat istället för bara vanliga lösenord).

Routern i sig känns inte som något jätteproblem eftersom inget exponeras utåt som UPNP eller admin-gränssnittet och jag kör ingen avancerad filtrering.

Kör en enkel lösning idag. En helt ok asus router, två nätverk. Mitt vanliga nät måste man bli whitelistad för att kunna ansluta. Gäst är separerat med annat lösenord. Har bara en smart-hem pryl, sensor/luftrenare. Hade velat ha den på sitt egna nät, men routern jag har tillåter bara vanligt + gäst.

Längre fram när ekonomin tillåter vill jag fixa så jag har en rackserver, cisco hade varit trevligt om man hittar till rätt pris. Mest för att det hade varit kul att lära sig. Men blir kanske något annat om det dyker upp i marknaden. Har redan utsett en plats där den ska stå, och läst mig på en del om olika lösningar. Men har lättare att lära mig om jag pillar med det själv.

Har bara två portar öppnade utåt. 25+ characters pass+whitelist på wifi. Asus-merlin för extra inställningar. Bästa lösningen, vad jag vet, för billig peng.

För den som vill ha smäll för pengarna är ju annars en EdgeRouter-X en fin maskin. Dels kan du konfigurera den med ett webui med guider för att få det någorlunda rätt, men du har även Vyattas CLI som bas om du vill köra finlir, automatisera med exempelvis Ansible osv. När du slår på hårdvaruaccelerationen kommer den även routa gigabit, givet att du inte kastar in allt för mycket regler. Annars är det rätt mycket funktionalitet du får in på maskinen, och då det dessutom är Debian Linux under allt så har du ännu mer valfrihet där.

CPU:n är mager och klarar inte mycket utan HW-accelereringen, men maskinen drar mindre än 5 watt, kostar också 600 kr och är inte mycket större än ett paket cigg. Kombinera detta med några wifi-puckar (jag kör TP-Link EAP-serien) så har du våldsamt mycket funktioner och prestanda till ett relativt magert pris. Det är dessutom lätt att utöka allt eftersom.

Tröttnar du på ubiquiti så går det att installera andra operativsystem på maskinen också. OpenWRT verkar vara ett populärt alternativ, men även OpenBSD ska gå om du kan leva med eländig prestanda.