Telenet thuisnetwerk beveiligen

[koenk1]

Is het mogelijk een Telenet thuisnetwerk zo te configureren dat enkel white-listed toestellen kunnen verbinden op het wifi en bedraade netwerk?

[CCatalyst]

Als je een wireless router koopt die dat ondersteunt is dat uiteraard mogelijk.

Met de router die je van Telenet krijgt kan dat afaik niet, je kan deze opties daarop niet configureren.

[Senne]

Thuisnetwerk > modeminstellingen > macfilter

Daar kun je blacklisten of whitelisten voor draadloos, maar geen idee of het überhaupt werkt.

Bekabeld gaat het telenet gebeuren ontoereikend zijn vrees ik.

[MaT]

@koenk1: beetje een vreemde vraag, je zou moeten verduidelijken wat je precieze bedoeling is.

Om vreemde toestellen van je wifi afhouden is WPA2 beveiliging met een sterk wachtwoord momenteel de beste optie. MAC filtering is af te raden daar het gemakkelijk te omzeilen is door iedereen die wat van IT kent.
Op je bedraade netwerk kunnen buitenstaanders niet op als ze geen fysieke toegang hebben tot een netwerk poortje in uw huis.

Maar het lijkt me dat je een andere bedoeling hebt? Toestellen die wel vertrouwd zijn op uw netwerk maar tijdens bepaalde periodes niet mogen verbinden zoals de spelconsole van de zoon of de smartphone van de dochter tijdens de examenperiode bijvoorbeeld?

[koenk1]

@koenk1: beetje een vreemde vraag, je zou moeten verduidelijken wat je precieze bedoeling is.

Vond het zelf nu niet zo een vreemde vraag. Ik heb de vraag express zo generisch mogelijk gehouden, zodat het voor alle usecases zou gelden, de voorbeelden die je gaf waren zeker goed. Of denk aan een bed-and-breakfast die de bedrade verbindingen in de kamers wil limiteren. En op mijn zolderkamertje laat ik af en toe ook wel eens een buitenstaander binnen en die mag natuurlijk niet aan mijn NAS vol mooie beeldjes kunnen. En zo kan ik nog wel enkele fictieve voorbeelden verzinnen.

Verder is more security ook gewoon more better.

Maar eigenlijk was dus een algemene vraag over het beveiligen van een Telenet netwerk, de conclusie lijkt te zijn dat de Telenet router niet echt voldoet, big surprise.

Hoe staat het eigenlijk met de OpenWRT versie voor de Telenet modem? Ik zal maar niet te hard hopen zeker...

Spijtig voor al die klanten die nu een extra toestel moeten gaan kopen om hun netwerk te beveiligen terwijl het perfect zou moeten kunnen met het toestel dat ze al hebben.

Stiekem was dat gewoon mijn bedoeling, wake up sheeple!

De ultieme droom zou zijn dat je enkel toestellen toelaat die een whitelisted private certificaat hebben, wireless en bedraad, ofziets...

EDIT: ik bedoel natuurlijk gewoon "Bedankt!"

[DarkV]

Of denk aan een bed-and-breakfast die de bedrade verbindingen in de kamers wil limiteren.

Dat doe je niet met je wireless van je provider maar via AP's die vouchers ondersteunen (bv. Unifi al zijn er andere ook).

En op mijn zolderkamertje laat ik af en toe ook wel eens een buitenstaander binnen en die mag natuurlijk niet aan mijn NAS vol mooie beeldjes kunnen.

Heb je op je NAS dan geen paswoord ?

[ITnetadmin]

Mijn advies:
Steek een eigen router, bv pfsense, werk met vlan capable switches, en steek een aparte AP die ook vlans aankan.
Dan heb je flexibiliteit en kan je naar hartelust prullen.
Desgewenst dump je je telenet router en ga je modem only.

[pevepe]

Thuisnetwerk > modeminstellingen > macfilter

Daar kun je blacklisten of whitelisten voor draadloos, maar geen idee of het überhaupt werkt.
Bekabeld gaat het telenet gebeuren ontoereikend zijn vrees ik.

Ik kom aan maximum 10 mac adressen in de whitelist. kan dit nog uitgebreid worden?

[ITnetadmin]

Besef dat de telenet router zeeeeer basis is qua settings, en dat telenet dat niet gaat veranderen.

[GuntherDW]

Stiekem was dat gewoon mijn bedoeling, wake up sheeple!

Euh, je verwacht dat de modem die voor iedereen en z'n moeder moet werken ineens volledig enterprise grade is maar tegelijk toch "simpel" moet zijn?
Daarom hebben we net de discussies van "eigen modem/routerkeuze voor de eindgebruiker", al kan je dat ook wel half-half krijgen met een modem-only van TN of PPPoE passthrough op DSL modems. Al blijf je dan inderdaad met meerdere apparaten.
(En TN die meer restricties oplegt als je een modem only hebt, als je die al krijgt...)

De ultieme droom zou zijn dat je enkel toestellen toelaat die een whitelisted private certificaat hebben, wireless en bedraad, ofziets...

Als dat je ultieme droom zou zijn is het wel heel simpel, want dat bestaat al
Alleen niet op huis tuin keuken routertjes zoals je ISP geleverde modems inderdaad.

[MaT]

Euh, je verwacht dat de modem die voor iedereen en z'n moeder moet werken ineens volledig enterprise grade is maar tegelijk toch "simpel" moet zijn?

Dat is perfect mogelijk. Veel software, ook van modems/routers hebben, hebben simpele basisinstellingen als default met meer geavanceerde opties die wat verder verborgen zit. Telenet kan dus technisch gezien ook perfect alle opties die hun HGW te bieden heeft openstellen via een optie die meer geavanceerde functionaliteit zichtbaar maakt. Eventueel met een vinkje waarmee je verklaard akkoord te zijn om zelf verantwoordelijk te zijn en geen support krijgt van telenet zelf en knopje om alles terug standaard in te stellen voor mocht je toch iets om zeep helpen en er niet meer aan uit geraakt.

[ITnetadmin]

Dat is idd perfect mogelijk; een zeer goed vb van deze combinatie is VLC player.
Advanced settings op de achtergrond houden, of zelfs default zetten wanneer simple mode aanstaat, is doenbaar en wordt veel te weinig gebruikt (onder het motto "te moeilijk").
In het ergste geval doe je het op de luie manier, zoals een franse provider, die 1 pagina op hun router heeft die niet gelinked wordt (dus enkel bereikbaar als je weet wat in te vullen als URL), in hun geval de pagina die de lokale IP range verandert.

[CCatalyst]

Telenet kan dus technisch gezien ook perfect alle opties die hun HGW te bieden heeft openstellen via een optie die meer geavanceerde functionaliteit zichtbaar maakt.

Kost geld om dat te implementeren en nadien te onderhouden en te testen telkens er een update is van een ander deel van de software.

Dit voor misschien 3% van de klanten die daaraan nood zou hebben, waarvan de meeste toch bereid zijn een eigen router te kopen.

Eventueel met een vinkje waarmee je verklaard akkoord te zijn om zelf verantwoordelijk te zijn en geen support krijgt van telenet zelf

Mensen vergeten dat ze dit aangeduid hebben, of ze komen een probleem tegen dat daarmee gelinkt is maar op het ogenblik zelf beseffen ze niet dat het daaraan ligt en bellen dan toch support (die ook weer tijd nodig heeft om uit te vinden dat het daaraan ligt, tijd waarbij geen andere klant geholpen kan worden).

Tbh, ik heb liever zoals het nu is dan dat ze zo'n functionaliteit zouden toevoegen en tegelijk de modem-only afschaffen wegens niet meer nodig volgens Mechelen. De Telenet WRT voldoet voor 97% van de residentiele gebruikers, en heeft voor TN het voordeel dat het zodanig locked down is dat ze niets kunnen doen dat het netwerk kan platleggen. De 3% heeft daarentegen alle vrijheid en opties met de modem-only, tot het installeren van eigen Cisco ISR routers toe (ja, dat komt voor).

Die modem-only is een privilege (en geen recht) dat we moeten koesteren en verdedigen.

[MaT]

Kost geld om dat te implementeren en nadien te onderhouden en te testen telkens er een update is van een ander deel van de software.

Dat heet dan een dienst leveren. Niet alles moet gratis zijn voor telenet hoor, je betaald genoeg aan abonnement.
Waarschijnlijk kost het maar een fractie van de kost die ze nu investeren om de interface zo simpel te maken trouwens.

Mensen vergeten dat ze dit aangeduid hebben, of ze komen een probleem tegen dat daarmee gelinkt is maar op het ogenblik zelf beseffen ze niet dat het daaraan ligt en bellen dan toch support (die ook weer tijd nodig heeft om uit te vinden dat het daaraan ligt, tijd waarbij geen andere klant geholpen kan worden).

Dan zet je een banner permanent in beeld dat er functionaliteit actief is waarop geen support word geleverd. Zo werd dat ook gedaan bij mij fritzbox toen ik de config files aanpastte om PPPoE passthrough te activeren.
Voor de helpdesk komt er dan 1 standaard vraag bij: "is de geavanceerde functionaliteit actief? Daar leveren we geen support op, druk op de knop om alles terug standaard in te stellen". Als het toch maar 3% is waarvan een heel kleine minderheid dan nog eens verkeerdelijk support zal vragen, lijkt me dat geen grote bijkomende last.
Je denkt toch niet dat er nu geen telefoontjes gepleegd worden met vragen waar telenet niet verantwoordelijk voor is? Of net vragen hoe je functionaliteit X of Y moet verwezenlijken in de HGW die dat niet kan door zijn beperkingen.

[GuntherDW]

Waarschijnlijk kost het maar een fractie van de kost die ze nu investeren om de interface zo simpel te maken trouwens.

Ik denk dat je dat vrij grandioos onderschat. Het is niet dat indien die settings ineens openstaan het een "volwaardige" cisco, mikrotik of ubiquiti ding wordt he. Al die dingen implementen en zorgen dat het niet bij elke update volledig onderuit gaat zoals CCatalyst zegt is wel iets meer moeite dan "een vinkje zetten".

De enorme changelogs altijd bij mikrotik RB's zegt genoeg .

Akkoord dat die routers/modems die je krijgt niet veel voorstellen, maar om het ineens volledig open te blazen voor mensen vind ik dan weer een brug te ver.

Je denkt toch niet dat er nu geen telefoontjes gepleegd worden met vragen waar telenet niet verantwoordelijk voor is? Of net vragen hoe je functionaliteit X of Y moet verwezenlijken in de HGW die dat niet kan door zijn beperkingen.

Jij wil dus meer werk en stress voor de al hellish job van helpdesk medewerkers?
Moet ik je herinneren aan de "ex-medewerker van scarlet helpdesk" thread van een tijdje terug?
Meeste van die mensen gaan het in keulen horen donderen als je het over wat meer geavanceerde dingen hebt.

Ook nog, wat als er bij een firmware update ineens een bug in die software zit waardoor een bepaalde functionality niet werkt of compleet averechts werkt? Ga je je er dan gewoon bij neerleggen? "Oh maar dat is iets anders"?

Dat maintainen wordt een hel, dan krijg je situaties zoals bij windows 10 waarbij ze de update niet pushen als je externe media aangekoppeld hebt bijvoorbeeld.

Ik zeg niet dat die modem interfaces beter kunnen, maar het gewoon ineens volledig openblazen zodat je via telnet even een ios shell krijgt is me een brug te ver. (want de onderliggende software is volledig anders om te starten)

Ik denk niet dat ze de moeite willen doen om ineens allerhande featuresets zoals je op van die duurdere routers ziet te implementen. Als je al ziet wat voor tijd en moeite het voor hun kost om al die shit te doen werken denk ik niet dat het realistisch is van dat te verwachten op een ISP geleverde modem.
Jij wil ineens allerhande dingen als IPSec, OpenVPN, MPLS supported krijgen op die modems?
Diezelfde modems draaien, met een ander velletje verf en taal, bij vele andere kabelboeren over heel de wereld.

Hetgeen ik wel nog akkoord zou gaan is dat je meer informatie zichtbaar zou krijgen op de modem zoals de bbox2 of de "HGW's" vanin Nederland.
Maar enterprise grade is een brug te ver denk ik. Dat gaat het hoofdbedrijf iets teveel geld (en blijvende moeite) kosten.

Nee, laat het bij eigen modem/routerkeuze IMO. De mensen die wat meer fancy rommel willen draaien installeren dan dingen als OpenWRT of installeren een iets geavanceerdere router, maar om dezelfde "service" van je ISP te verwachten is me wat teveel.

[ITnetadmin]

Voor de duidelijkheid:
Mijn kleine bijdrage ivm een "advanced" button was niet om van de hgw een mikrotik te maken.
Maar de toestellen van telenet kunnen belachelijk weinig.
Iirc kan je niet port forwarden naar een andere port.
Dhcp afzetten ging ook niet?
Laat staan de dhcp range aanpassen (zowel de range voor eigen device als die voor telenet toestellen).
Kan je uberhaupt je interne lan subnet aanpassen?
Of het host IP van de router zelf?

Ik had het dus over settings die elke fatsoenlijke consumentenrouter heeft.

[GuntherDW]

Dat bedoelde ik ook met "ze mogen iets minder locked down zijn maar enterprise grade is een stap te ver".
Als je dezelfde routers in NL gaat bekijken zie je dat je wel wat meer instelmogelijkheden hebt mbt al die dingen. Het lijkt daar meer op de bbox2 qua instelmogelijkheden en zichtbaarheid van lijnwaarden e.d.
Niet perfect, maar a heck of a lot better dan de huidige HGW's inderdaad.

Hetgeen ik van MaT versta echter is dat hij wel zoiets wil, laat staan bijna eist, "omdat je toch oh zoveel betaalt".

[MaT]

Ik eis helemaal niets, ik zeg dat het technisch perfect mogelijk is zonder af te doen aan het simpele voor de gemiddelde klant en dat de support argumenten pure drogredenen zijn.
Enerzijds hoor je steeds het argument dat het zo'n kleine minderheid is die dat wil, maar anderzijds zou de helpdesk blijkbaar wel ontploffen van alle extra telefoontjes met support die 'moet' gegeven worden. Zeer vreemd..

[GuntherDW]

Ik zeg niet dat de helpdesk gaat ontploffen ik zeg dat de nu al overwerkte helpdeskmedewerkers die vaak 0 kennis hebben nog meer op hun boterham gaan krijgen. Die gaan ook gewoon zeggen dat je de modem moet resetten en meer niet.

Als het vinkje er ineens komt gaan meer mensen dat proberen doen aangezien de optie er staat, om te kijken wat er allemaal kan. Voornamelijk de """handige neefjes""" en dat soort mensen dat dat doen. Vaak prullen ze er dan mee en als het kapot is steken ze het wel op iets anders.

Al glans je vrij snel over al de rest wat ik zei .

[MaT]

Ik zeg niet dat de helpdesk gaat ontploffen ik zeg dat de nu al overwerkte helpdeskmedewerkers die vaak 0 kennis hebben nog meer op hun boterham gaan krijgen. Die gaan ook gewoon zeggen dat je de modem moet resetten en meer niet.

Met alle begrip voor de helpdeskmedewerker, maar dat is niet het probleem van de klant. Het is aan de werkgever om voldoende capaciteit en opleiding te voorzien. Niet vergeten dat de werkgever, telenet in dit geval, zelf verantwoordelijk is voor vele helpdesktelefoontjes net door hun eigen ecosysteem te creëren. Als telenet domme pijp speelt kan het veel eenvoudiger.
De oplossing die je zegt zou inderdaad voldoende moeten zijn: als het geavanceerde spul niet werkt, doe dan een reset.

Als het vinkje er ineens komt gaan meer mensen dat proberen doen aangezien de optie er staat, om te kijken wat er allemaal kan. Voornamelijk de """handige neefjes""" en dat soort mensen dat dat doen. Vaak prullen ze er dan mee en als het kapot is steken ze het wel op iets anders.

En daarvoor zijn er dus oplossingen:

1. Steek het wat verder weg zodat enkel diegenen die weten wat ze doen het vinkje vinden.
2. Bij het aanzetten van het vinkje geef je een duidelijke uitleg dat dit niet ondersteunt word door de helpdesk.
3. In de interface steek je een permanente herinnering dat het vinkje actief is en er dus geen ondersteuning kan gegeven worden.

[ITnetadmin]

Of verberg de knop met het vinkje op een pagina die nergens gelinked wordt, en zet de url online zodat mensen die weten wat ze doen hem kunnen vinden en copypasten.

[CCatalyst]

Enerzijds hoor je steeds het argument dat het zo'n kleine minderheid is die dat wil, maar anderzijds zou de helpdesk blijkbaar wel ontploffen van alle extra telefoontjes met support die 'moet' gegeven worden. Zeer vreemd..

Het is niet over de 3% dat ik bezorgd ben. Dat zijn wellicht de mensen met gemiddeld het minst aantal supportinterventies, temeer omdat zij het beter kunnen uitleggen aan de supportmedewerker dan omgekeerd.

Wel over zij die in zo'n menu zouden prutsen zonder te weten wat ze doen. Die heb ik niet in die 3% gerekend.

Soit, ik ben er niet tegen in principe, maar let op met Mechelen een reden te geven om de modem-only af te schaffen. Want zo gaat dat dan, investering in het ene, besparing op het andere.

[DarkV]

Enerzijds hoor je steeds het argument dat het zo'n kleine minderheid is die dat wil, maar anderzijds zou de helpdesk blijkbaar wel ontploffen van alle extra telefoontjes met support die 'moet' gegeven worden. Zeer vreemd..

Een kleine groep kan inderdaad soms voor veel overlast zorgen... persoonlijk heb ik geen probleem met het feit dat TN zich richt op de 99% (op zich niet meer dan logisch) zolang de modem-only maar blijft bestaan.

[Stroper]

Het meest logische lijkt mij dat Telenet(en elke ISP) verplicht wordt om het mogelijk te maken dat hun HGW in Bridge modus gezet kan worden.

Want nu is het absoluut een zootje. Een modem-only is eerder een gunstmaatregel dan een recht.

[philippe_d]

Het meest logische lijkt mij dat Telenet(en elke ISP) verplicht wordt om het mogelijk te maken dat hun HGW in Bridge modus gezet kan worden.

Dat zou inderdaad een ideale oplossing zijn, en technisch volledig mogelijk.

Bij "Kabel Deutschland" kan de klant dit doen via de klanten webinterface.
Het proces duurt enkele dagen, en gedurende die tijd wordt er nog wel gepoogd om je van gedacht te doen veranderen .

• - Eerst moet je (via de portal) jouw WiFi op de modem uitzetten.
  - 24 uur later kan je dan de aanvraag voor de bridge modus starten. Je krijgt dan een 3-tal schermen waar je doorheen moet, en waar je tekens moet bevestigen dat je ermee wilt doorgaan.

Na de laatste bevestiging wordt je modem herstart, en staat deze in bridge. De aangesloten router krijgt nu een extern IP adres.

Je kan deze toestand op ieder moment herroepen.

[ITnetadmin]

Op voorwaarde dat het verplicht is, want anders met men het willen onderhouden en daar steekt tijd en geld in.
SFR in Frankrijk heeft zo op een dag beslist om bridge mode uit hun nieuwe software update te halen (met alle gevolgen voor bedrijfjes die ineens down gingen), Orange hier had op zijn eerste router een passthrough (niet hetzelfde ma kom) en was te lui om dit ook op de volgende modellen te implementeren, ...

[DarkV]

Het meest logische lijkt mij dat Telenet(en elke ISP) verplicht wordt om het mogelijk te maken dat hun HGW in Bridge modus gezet kan worden.

Van die oplossing ben ik niet echt fan... zoiets kan men ieder moment herroepen !

Maar ik krijg de indruk dat dit niets met het topic meer te maken heeft en de zoveelste HGW versus modem-only discussie aan het worden is

[philippe_d]

Inderdaad, je hebt 100% gelijk. Laat ons niet de zoveelste HGW versus modem-only discussie houden .

Wat de originele vraag betreft: die werd eigenlijk al correct beantwoord in de 2de post door CCatalyst:
Je hebt gewoon een eigen router nodig die dit ondersteunt (en die kan je zowel achter een HGW als een modem-only aansluiten).