42 replies to this topic

[Jan Gruuthuse]

Mocht het zijn dat je toch echt de twee aan elkaar wou hangen, enkel voor bestands overdracht tussen de 2. Dan kan/kon je dit doen met een Ethernet crossover cable . Recht op recht rechtstreeks lukt dit niet.

[linux&os2]

Mocht het zijn dat je toch echt de twee aan elkaar wou hangen, enkel voor bestands overdracht tussen de 2. Dan kan/kon je dit doen met een Ethernet crossover cable . Recht op recht rechtstreeks lukt dit niet.

Dit raad ik echter af voor een beginneling; je moet dan immers zowel PC als Satreceiver een vast IP adres geven.

Wel raad ik aan de Box een vast IP adres te geven.

En nogmaals: beveiligen met een degelijke router tussen internet en eigen lan.

[Tech]

Vast ip is wel leuk maar dan wel een ipadres welke weer buiten de range van ip adressen valt die de router uitdeelt.

 

DHPC is het makkelijkste en in het netwerkinstellingen-menu is het ip makkelijk terug te vinden.

[40H3X]

Ik zou altijd voor IP op MAC address toekennen gaan (mits je DHCP server deze optie heeft natuurlijk). Heeft een aantal voordelen. al was het maar om een overzicht te hebben wie er allemaal toegang heeft tot je LAN/WLAN.

Edited by 40H3X, 17 October 2015 - 11:23.

[Tech]

Ik zou altijd voor IP op MAC address toekennen gaan (mits je DHCP server deze optie heeft natuurlijk). Heeft een aantal voordelen. al was het maar om een overzicht te hebben wie er allemaal toegang heeft tot je LAN/WLAN.

Dat ben ik helemaal met je eens, maar niet iedereen heeft de kennis hoe ze dat moeten doen, dan is DHCP de makkelijkste weg, het ip kan je dan makkelijk via het menu uitlezen.

[Jan Gruuthuse]

Als ze je MAC adres zien in netwerk verkeer en dit klonen kunnen ze dus binnen.

[Tech]

Als ze je MAC adres zien in netwerk verkeer en dit klonen kunnen ze dus binnen.

Ik snap even niet in welke conext je dit bedoelt, je kunt nog zoveel adressen van al mijn STB boxen clonen maar je komt echt niet zomaar bij mij, of anderen binnen.......

 

Het gaat hier om je STB zichtbaar te maken op je pc, je moet dan wel eerst achter het ip adres van je box zien te komen, alvorens je er met je pc mee kunt verbinden, dat gaat over lokaal verkeer.....

[40H3X]

@Jan Misschien had ik het woord "toegang" niet moeten gebruiken, want dat zou kunnen impliceren dat MAC => IP in mijn ogen iets met veiligheid zou hebben te doen. In het LAN moet "veiligheid" m.b.t. de "boze buitenwereld" geen issue zijn. In het LAN is er misschien wel zoiets als toegang cq. het toekennen van rechten.

 

@Tech DHCP met een range aanzetten in je LAN is natuurlijk het eenvoudigste, vraag nl. geen beheer en is voor velen een "zorgeloze" oplossing.

[Erik Slagter]

Jan, laat me dit idee even uit de wereld helpen. Ik weet dat meer mensen dit idee hebben (ook juist in combinatie met WLAN), maar het is fundamenteel fout.

 

Het MAC adres wordt alleen gebruikt op de link access layer (aka OSI laag 2). Dat betekent dat het MAC adres alleen betekenis heeft tussen apparaten en je router onderling binnen je eigen netwerk. Zodra de router het verkeer naar buiten stuurt, komt daar het MAC adres van de router in. De eerstvolgende router van je ISP zet er weer zijn MAC adres in, dus je eigen MAC adressen komen nooit buiten de deur. Je hebt er dus ook niks aan als je niet al op jouw eigen netwerk toegang hebt. En als je dat wel hebt, dan heb je geen MAC adres van een ander apparaat nodig.

 

MAC adressen hebben dus geen enkele rol in netwerk-veiligheid.

Edited by Erik Slagter, 18 October 2015 - 08:33.

[WanWizard]

Tenzij je IPv6 hebt draaien, stateless auto configuration gebruikt ipv DHCPv6 (of een static IP), en geen privacy extensions hebt geactiveerd.

[Jan Gruuthuse]

 

De volgende stap die Garcia adviseert is het aanpassen van de standaard IP-reeks van de router. Bijna elke router heeft een IP-adres dat met 192.168.1.1 begint. Door dit aan te passen kunnen CSRF (Cross-site Request Forgery)-aanvallen worden voorkomen. Verder adviseert de beveiligingsexpert om de MAC-adressen te beperken die toegang tot de router hebben en de naam van het wifi-netwerk niet uit te zenden. Als laatste krijgen gebruikers het advies om diensten als Telnet, PING, UPnP, SSH en HNAP uit te schakelen of dicht te zetten.

bron:  Tips voor een veilige wifi-router: verander de standaard IP-reeks

source:  Tips for Improving Router Security

[Jan Gruuthuse]

Jan, laat me dit idee even uit de wereld helpen. Ik weet dat meer mensen dit idee hebben (ook juist in combinatie met WLAN), maar het is fundamenteel fout.

 

Het MAC adres wordt alleen gebruikt op de link access layer (aka OSI laag 2). Dat betekent dat het MAC adres alleen betekenis heeft tussen apparaten en je router onderling binnen je eigen netwerk. Zodra de router het verkeer naar buiten stuurt, komt daar het MAC adres van de router in. De eerstvolgende router van je ISP zet er weer zijn MAC adres in, dus je eigen MAC adressen komen nooit buiten de deur. Je hebt er dus ook niks aan als je niet al op jouw eigen netwerk toegang hebt. En als je dat wel hebt, dan heb je geen MAC adres van een ander apparaat nodig.

 

MAC adressen hebben dus geen enkele rol in netwerk-veiligheid.

nou ja:

MAC addresses are easy to get, too. They’re sent over the air with each packet going to and from the device, as the MAC address is used to ensure each packet gets to the right device.

source: MAC Address Filtering Provides No Security

Edited by Jan Gruuthuse, 19 October 2015 - 11:17.

[WanWizard]

Hetzelfde met de SSID niet meer broadcasten. Zodra het eerste device een connectie maakt met de SSID kun je het alsnog uit de lucht plukken...

[Erik Slagter]

Tenzij je IPv6 hebt draaien, stateless auto configuration gebruikt ipv DHCPv6 (of een static IP), en geen privacy extensions hebt geactiveerd.

Kans is niet zo groot he

[Erik Slagter]

 

MAC adressen hebben dus geen enkele rol in netwerk-veiligheid.

nou ja:

MAC addresses are easy to get, too. They’re sent over the air with each packet going to and from the device, as the MAC address is used to ensure each packet gets to the right device.

 

En wat klopt daar precies niet aan? Ik zeg nergens dat MAC adressen "nergens" voor gebruikt worden. Alleen dat ze geen rol spelen in netwerk-veiligheid. Degene die denkt dat dat wel zo is, en MAC-authenticatie/filtering aan gaat zetten en denkt daarmee veilig te zijn, tsja, dat moet diegene zelf weten. Als het goed is gebruik je netjes WPA (met CCMP cipher) of WPA2 en dan voegt filtering op MAC adres helemaal niks toe.

 

BTW WanWizard en ik hebben hier wat opleiding in en wat professionele ervaring mee

[WanWizard]

Tenzij je IPv6 hebt draaien, stateless auto configuration gebruikt ipv DHCPv6 (of een static IP), en geen privacy extensions hebt geactiveerd.

Kans is niet zo groot he

 
Weet ik niet.
 
Als je een Draytek hebt zoals ik, dan moet je daar RA aanhebben staat anders krijgen je devices geen routing/next-hop info  binnen. Maar om die binnen te krijgen moet je als client stateless autoconfig aan hebben staan, en daarmee krijg je dus ook een IPv6 adres met MAC kado. Nu draai ook ook DHCPv6, en dat adres heeft blijkbaar voorrang, want dat zie ik online overal gemeld worden. Dus mijn systemen hebben nu allemaal 3 IPv6 adressen: een link-local, een stateless, en een DHCP adres.
 

BTW WanWizard en ik hebben hier wat opleiding in en wat professionele ervaring mee

 

Och, je moet wat doen om de dag door te brengen...

[Erik Slagter]

Ja maar, dan kun je dus inderdaad je MAC-adres achterhalen. Net zoals je dat kunt als je bij iemand in de straat bent met een WLAN. Maar dan kun je er nog niks mee, dat is mijn punt. Beveiliging doe je niet op MAC-adres. Als je dat toch doet, ben je eehhhh niet zo slim bezig. Mijn MAC-adressen mag iedereen weten. Mijn IP-adressen ook. Je kunt ze via DNS ook gewoon opvragen, ipv4 en ipv6. Ik doe niet aan security-by-obscurity. Net zoals het (inderdaad) totaal geen zin heeft om je SSID te verbergen.

[WanWizard]

Bij mij niet, want hij gaat wel met zijn DHCPv6 adres naar buiten toe, niet met zijn stateless geconfigureerd IPv6 adres, dat gaan dan wel weer goed.

 

Ik vind het alleen nog een beetje jammer dat je nog niet per interface die security extensions kunt configureren, maar alleen op systeem niveau. Want niet overal is dat handig en/of wenselijk.

 

Als dat zou kunnen zou ik niet eens DHCPv6 hebben draaien, dat is dan volledig overkill.

[Erik Slagter]

Ik gebruik geen dhcpv6. Om de simpele reden dat het geen IPv6-versie van DHCP is, ze hebben het compleet ver*****, waardoor je op server en clients een token moet delen. Token weg = geen leases meer. Token op de server weg en je kunt alle clients gaan aflopen. Het is nog niet eens simpel (op Linux) om dat token van de server op een zodanige manier te achterhalen dat het eenvoudig op de clients gezet kan worden. Ik ben er een beetje klaar mee. Terwijl ik DHCP op zich perfect vind. Ik draai dus wel DHCP en IPv6 doe ik statisch. En dan gewoon oplopend, ::1/64, ::2/64 etc. Daar zitten dus óók geen MAC adressen in. En dat zonder "privacy extensions"

Tegen de tijd dat DCHPv6 een keer echt lekker en goed werkt op linux ga ik het wel weer overwegen.

[WanWizard]

Hier werkt het tot op heden zonder problemen. Ik kan op de Draytek ook alleen maar een range invullen, en verder niks. Ik hoop dat dat zo blijft, static IP's op een laptop die nogal mobiel is is verre van handig...