Slimme huizen veiliger maken met VLAN: Stap-voor-stap gids

"Laat je slimme lampen niet de achterdeur worden naar je privébestanden; leer hoe je een beveiligde digitale muur bouwt voor je hele huis."

Je zit aan je bureau, de stilte van de avond is omringd door het zachte zoemen van je pc. Plotseling merk je dat je verbinding traag is. Je controleert je netwerk en ziet dat een goedkope slimme stekker of een goedkope wifi-camera onverwacht veel data verstuurt naar een onbekend IP-adres.

Dit is het moment waarop je beseft dat je netwerk niet veilig is; het is een open terrein waar alles met alles kan praten.

* Segmentatie is de sleutel: Door VLAN's te gebruiken, scheid je kwetsbare IoT-apparaten fysiek en logisch van je laptops en NAS-servers. * Hardware-vereisten: Voor een succesvolle uitvoering heb je een router met firewall-capaciteiten en een managed switch nodig die het 802.1q-protocol ondersteunt. * Beperk de bewegingsvrijheid: Het doel is om IoT-apparaten alleen toegang te geven tot het internet en de noodzakelijke cloud-diensten, terwijl ze geen toegang hebben tot jouw hoofdnetwerk.

Waarom is isolatie van IoT essentieel voor jouw huis?

Je staat in de keuken en terwijl je koffie zet, zie je het kleine blauwe lampje van je slimme koelkast knipperen. Het ziet er onschuldig uit, maar achter dat lampje schuilt een klein computersysteem dat zelden wordt bijgewerkt.

Het probleem met moderne smart home-apparaten is de enorme kwetsbaarheid. Veel apparaten, van slimme lampen tot goedkope wifi-camera's, draaien op verouderde firmware of hebben hardcoded wachtwoorden die nooit veranderd kunnen worden. Dit maakt ze ideale prooien voor botnets.

Een bekend voorbeeld is de kwetsbaarheid die in 2016 werd misbruikt door het Mirai-botnet, waarbij duizenden apparaten tegelijk werden overgenomen om enorme DDoS-aanvallen uit te voeren.

Het grootste risico is echter 'lateral movement' (laterale verplaatsing).

Als een hacker via een kwetsbare slimme thermostaat toegang krijgt tot je netwerk, en die thermostaat staat op hetzelfde netwerk als je werk-laptop of je persoonlijke NAS, dan is de beveiliging van je belangrijkste data direct weg.

Zonder segmentatie is je netwerk als een huis met slechts één slot op de voordeur; als die openstaat, kan de indringer overal naar binnen. Daarnaast kunnen oncontroleerbare IoT-apparaten ook onnodige bandbreedte opslokken, wat je gaming- of werkervaring verstoort.

Maar hoe voorkom je dat een simpel apparaat je hele digitale leven overneemt?

Wat heb ik nodig voordat ik begin? Je kijkt naar je router en de vele kabels die uit je switch lopen. Je vraagt je af of je de juiste gereedschappen in huis hebt om deze digitale muur te bouren.

Voordat je begint met het configureren van VLAN's, moet je je hardware controleren. Een standaard router van je internetprovider is meestal niet voldoende voor deze taak.

Je hebt een router of firewall nodig die 'inter-VLAN routing' ondersteunt, oftewel het kunnen verplaatsen van verkeer tussen verschillende virtuele netwerken. Daarnaast is een *managed switch* essentieel.

Deze switch moet het 802.1q-protocol ondersteunen, wat nodig is voor 'VLAN tagging'. Dit is het proces waarbij data-pakketjes een label krijgen dat aangeeft bij welig netwerk ze horen.

Het concept is simpel: in plaats van één groot plat netwerk waar iedereen met iedereen kan praten, creëer je meerdere afzonderlijke domeinen. Je moet ook vooraf een IP-plan maken. Dit betekent dat je voor elk netwerk een eigen reeks adressen definieert.

Bijvoorbeeld: het hoofdnetwerk voor je laptops en servers krijgt het bereik `192.168.1.x`, terwijl het IoT-netwerk een apart bereik krijgt, zoals `192.168.20.x`. Dit zorgt voor een duidelijke scheiding vanaf de basis.

Toch is het maken van een plan slechts het begin; het echte werk begint bij de configuratie.

Hoe bouw ik stap voor stap een beveiligd IoT VLAN? Je typt de commando's in de console van je router terwijl je de architectuur van je nieuwe netwerk in je hoofd visualiseert. Het is tijd om de scheiding daadwerkelijk aan te brengen.

Toen ik mijn eigen netwerk voor het eerst opschoonde, was het chaos om al die kabels te ordenen. Ik moest echt leren welke poort waarheen ging om het overzicht te behouden.

Volg deze stappen om je netwerk te segmenteren:

1. Maak het VLAN aan: Log in op je router of switch en maak een nieuw VLAN aan, bijvoorbeeld met het ID '20' voor je IoT-apparaten.
2. Wijs poorten toe: Gebruik je managed switch om specifieke poorten toe te wijzen aan dit nieuwe VLAN. Elk apparaat dat je nu in deze poorten plugt, komt direct in het geïsoleerde netwerk.
3. Stel de gateway in: Definieer het virtuele aanspreekpunt (de gateway) voor het nieuwe subnet.
4. Configureer de firewall-regels: Pas de 'Deny All' regel toe. Blokkeer al het verkeer en voeg alleen noodzakelijke uitzonderingen toe via Access Control Lists (ACL's).
5. Test de isolatie: Controleer of apparaten in het IoT-VLAN wel internet hebben, maar niet kunnen 'praten' met je hoofdnetwerk.

Je staat bijvoorbeeld toe dat apparaten in het IoT-VLAN naar het internet kunnen om updates te downloaden, maar je blokkeert elke poging om verbinding te maken met het IP-bereik van je hoofdnetwerk (`192.168.1.x`).

Maar wat als je beveiliging toch wordt doorbroken?

Ga naar het volgende niveau: Geavanceerde beveiliging

Je zit achter je scherm en controleert de logs. Je ziet dat de regels werken, maar je weet dat een professionele setup nog een stap verder gaat.

Een echt beveiligd netwerk gaat verder dan alleen het scheiden van netwerken. Je moet ook voorkomen dat een apparaat in het IoT-netwerk een aanval kan starten op de router zelf (uplink attacks). Zorg ervoor dat de IoT-VLAN geen toegang heeft tot de beheerinterface van je router.

Een andere pro-tip is het instellen van DNS-controle. Dwing al je IoT-apparaten om een specifieke, gemonitorde DNS-server te gebruiken. Dit voorkomt dat apparaten 'naar huis bellen' naar kwaadaardige servers via onbekende kanalen.

Daarnaast is het verstandig om Quality of Service (QoS) toe te passen. Hiermee kun je prioriteit geven aan kritiek verkeer, zoals een videocall voor werk, terwijl het constante 'gepraat' van slimme apparaten op de achtergrond nooit jouw bandbreedte kan verstikken.

De tabel laat zien dat de complexiteit van een VLAN wordt beloond met veel hogere veiligheid. Maar is het in de praktijk ook echt zo effectief?

Werkt het echt? Controleren en onderhouden

Je voert een ping-test uit vanaf je laptop naar een slimme lamp. De verbinding faalt. Je glimlacht; de beveiliging is succesvol.

Het is niet genoeg om de regels te stellen; je moet ook verifiëren dat ze werken. De eerste test is de connectiviteitstest. Probeer vanaf een apparaat in het IoT-VLAN verbinding te maken met je hoofd-PC of je NAS. Als de verbinding lukt, is je isolatie niet goed ingesteld.

De verbinding moet worden verbroken. Tegelijkertijd moet je kunnen testen of de apparaten in het IoT-VLAN nog wel internettoegang hebben, aangezien dit vaak nodig is voor hun basisfuncties.

Het onderhouden van een VLAN-netwerk betekent ook regelmatig de logs controleren. Kijk naar ongebruikelijke patronen: probeert een apparaat constant verbinding te maken met een IP-adres dat het niet zou mogen bereiken? Dit kan een teken zijn van een gecompromitteerd apparaat.

Zorg daarnaast dat je de firmware van je router en switch altijd up-to-date houdt, aangezien de beveiliging van je hele architectuur afhankelijk is van de integriteit van deze apparaten.

Veelgestelde vragen

Heb ik echt een managed switch nodig? Ja, als je echt fysieke scheiding wilt tussen poorten voor verschillende VLAN's, is een managed switch met 802.1q-ondersteuning noodzakelijk. Een simpele 'unmanaged' switch kan deze tags niet verwerken.

Zal mijn smart home nog wel werken als ik alles scheid? In de meeste gevallen wel, mits je de juiste firewall-regels instelt. Sommige apparaten hebben specifieke toegang nodig tot je telefoon of een lokale hub. Dit moet je handmatig toestaan in je firewall-instellingen.

Is dit te ingewikkeld voor een gemiddelde gebruiker? Het vereist een basiskennis van netwerken, maar met de juiste documentatie is het voor de enthousiaste hobbyist goed te doen. Het is een investering in de digitale veiligheid van je huis.

Je hebt nu de fundamenten gelegd voor een fortificatie van je digitale leven. Door je IoT-apparaten te isoleren, heb je de kans verkleind dat een kwetsbare lamp je hele digitale leven in gevaar brengt.

*Wil je de volgende stap zetten en leren hoe je een volledig gescheiden netwerk voor je beveiligde werkplek en thuiskantoor ontwerpt? Lees dan ons volgende artikel over het bouwen van een professionele VLAN voor werk-van-huis scenario's.*