Met deze 7 stappen bouw je een privacyvriendelijk en veilig netwerk

Of je nu een ambitieuze prosumer bent met een serverkast in de meterkast, of een ondernemer die klantgegevens wil beschermen: je netwerk is de digitale fundering van je pand. Tegenwoordig vertrouwen we blind op de cloud, maar wat als je die afhankelijkheid wilt minimaliseren? Steeds meer consumenten en bedrijven zijn bewust bezig met privacy en migreren naar Europese providers. Ook voor je (WiFi-)netwerk en netwerkapparaten zijn er uitgebreide mogelijkheden.

Je netwerk is zo sterk als je zwakste schakel en dat heb je niet altijd in eigen handen, ga maar na:

• Wat als een collega in een phisingmail trapt?

• Of een bedrijf dat jouw bestanden stiekem toch upload of inkijkt?

• Of een simpele storing in de cloud, waardoor al je apparaten niet meer functioneren? 

Hieronder deel ik de cruciale pijlers waar je rekening mee moet houden bij de installatie van je datanetwerk, en hoe je dit in de praktijk brengt.

1. Kijk niet weg: DNS en DNS over HTTPS

Alles begint bij de 'telefoongids' van het internet: de DNS-server. Standaard gebruik je die van je provider (Ziggo, KPN, Odido). Het nadeel? Zij kunnen precies zien welke websites jij bezoekt.

De Oplossing: Stel een Custom DNS in op je router. Diensten zoals Cloudflare (1.1.1.1) of Quad9 zijn sneller en respecteren je privacy beter. Lees HIER precies hoe je dit instelt met UniFi.

Next Level: Schakel DNS over HTTPS (DoH) in. Normale DNS-verzoeken zijn leesbare tekst. DoH versleutelt deze verzoeken, zodat niemand onderweg kan zien dat jij bank.nl probeert te bereiken. Binnen het UniFi-ecosysteem is dit tegenwoordig met een vinkje in te schakelen, maar ook andere moderne routers ondersteunen dit steeds vaker.

2. Virtuele muren: VLANs om je netwerk te segmenteren en isoleren

Het grootste risico in moderne netwerken zijn 'slimme' apparaten. Je slimme stofzuiger of een beveiligingscamera die verbonden is met de cloud heeft wellicht beveiligingslekken. Als die apparaten op hetzelfde netwerk zitten als je laptop, NAS of server, zijn deze ook vatbaar. Je netwerk is dus zo sterk als de zwakste schakel. Vaak worden dergelijke risico's onderschat: 'dat overkomt mij niet'. Maar de nieuwsberichten liegen er niet om: camerabeelden van Eufy werden stiekem toch geüpload en waren zelfs publiekelijk te bekijken. En medewerkers van Ring (Amazon) hadden gewoon toegang tot jouw videobeelden.

Praktijkvoorbeeld: Gebruik VLANs (Virtual Local Area Networks) om verkeer te scheiden. Zie het als volledig afgeschermde en geïsoleerde onderdelen binnen je netwerk. Je kunt precies instellen wie of wat wél toegang mag hebben. 

1. Hoofdnetwerk voor vertrouwde apparaten: Laptops, tablets, telefoons en computers. 

2. IoT-netwerk: Voor slimme apparaten zoals thermostaten, lampen en stofzuigers.

3. Camera-netwerk: Exclusief voor videobewaking.

4. Bestanden-netwerk: Exclusief voor je NAS (Network Attached Storage) of server. 

5. Gastennetwerk: Geïsoleerd van de rest, zodat bezoekers wel kunnen internetten.

Met geavanceerde routers stel je firewall-regels in die bepalen wie met wie mag praten. Zo mag je telefoon wel de Chromecast bedienen, maar kan de Chromecast niet in je boekhouding snuffelen. Wil je apparaten volledige toegang tot internet ontzeggen, maar wel van buitenaf kunnen benaderen? Dan heb je een VPN nodig: lees hieronder wat dat inhoud.

3. Veilig naar binnen: VPN in plaats van poorten openzetten

Vroeger zetten we poorten open (Port Forwarding) om van buitenaf bij de NAS of camera's te komen. Dit is alsof je een raam open laat staan: iedereen kan naar binnen klimmen. Het alternatief: Gebruik een VPN-server op je router. Je maakt dan een versleutelde tunnel naar je thuis- of zakelijk netwerk. Voor de buitenwereld zijn al je poorten dicht, maar jij kunt overal veilig bij je bestanden camera's. De apparaten op je lokale netwerk kan je hierdoor volledig blokkeren van toegang tot internet, zonder dat jij toegang verliest.

Thuiswerken voor bedrijven: Zakelijk is dit de veiligste methode om medewerkers die thuiswerken toch toegang te verlenen tot het lokale netwerk. Zo kan men gewoon bij bestanden, zonder dat de NAS verbonden is met het internet.

UniFi Tip: UniFi maakt dit zeer gebruiksvriendelijk met WiFiman (Teleport) of UniFi Identity. Zonder complexe configuraties heb je met één druk op de knop een veilige verbinding, alsof je gewoon op kantoor zit. Ook WireGuard en OpenVPN zijn uitstekende, universele standaarden.

4. Onafhankelijk van de cloud: Een NAS gebruiken en afschermen

Je Network Attached Storage (NAS) bevat vaak je meest waardevolle data. Persoonlijke foto's, gevoelige bedrijfsinformatie of informatie van klanten. Deze mag nooit direct via het internet te benaderen zijn, maar je wil er wél altijd bij kunnen. Heb je geen NAS? Dan raad ik je zeker aan om er een aan te schaffen. Zo maak je jezelf onafhankelijk van internet voor de opslag van bestanden en videobeelden. 

Beveiligingsstrategie: Plaats je NAS in een apart VLAN of stel strenge firewall-regels in. Blokkeer de internettoegang voor de NAS en bepaal welke devices of personen mogen verbinden met de NAS. Wil je bij je bestanden terwijl je onderweg of thuis bent? Dan gebruik je de hierboven genoemde VPN-verbinding.

Ransomware preventie: Zorg dat alleen specifieke apparaten of gebruikers toegang hebben tot de NAS. Als een gast-laptop besmet raakt met een virus, kan deze door de netwerkscheiding niet overslaan naar je back-ups.

5. De digitale beveiliginsmedewerker: IPS en IDS

Een goede firewall doet meer dan alleen de deur dicht houden; hij kijkt wie er voor de deur staat. Wat betekent dat? Intrusion Detection (IDS) en Intrusion Prevention (IPS) Systemen scannen het verkeer op herkenningspunten van malware, virussen en hackers.

Hoe het werkt: Ziet je router dat een apparaat binnen je netwerk opeens communiceert met een bekende 'kwaadaardige' server in het buitenland? Dan blokkeert deze de verbinding direct. Veel moderne gateways (zoals de UniFi Dream Machines) kunnen dit real-time doen zonder je internetsnelheid te vertragen.

UniFi tip: UniFi biedt een functie genaamd 'CyberSecure'. Daarmee kan je eenvoudig verschillende niveaus van bescherming inschakelen. 

6. Cloud-onafhankelijk: volledig lokaal beheren

Wat als er een internetstoring is of de fabrikant van je netwerkapparaat failliet gaat? Bij veel consumentenproducten (zoals Google Nest of Eero) ben je de controle kwijt zodra de cloud-verbinding wegvalt. Maar ook zakelijk is dit een risico, zeker wanneer je beveiligingscamera, EV-laadpaal, NAS of andere apparaten zonder cloudserver niet werken. 

Volledig lokaal: Kies voor apparatuur die je lokaal kunt beheren. Bij een professionele installatie draait de software (de controller) op een apparaat in je eigen pand, niet op een server van de fabrikant. UniFi biedt hiervoor verschillende opties: je kan simpelweg gebruik maken van een Gateway product of je kan de software zelf op een (lokale) server installeren. 

Zekerheid: Je kunt nog steeds inloggen op je router, NAS of beveilingscamera, zelfs als de internetkabel is doorgeknipt. Dit is essentieel voor bedrijfscontinuïteit en privacy. Je netwerkconfiguratie is van jou, niet van de leverancier.

7. Fysieke veiligheid en updates

Tot slot, vergeet de basis niet. Een netwerk is zo veilig als de zwakste schakel.

Updates: Zorg voor een strikt updatebeleid. Firmware-updates dichten lekken. Update je apparaten niet direct, maar wacht een aantal weken zodat de kinderziektes eruit zijn. 

Fysieke toegang: Hang je switches en routers in een afsluitbare kast. Als iemand fysiek een kabel in je router kan steken, zijn veel digitale beveiligingen te omzeilen.

Conclusie

Een veilig en privacyvriendelijk netwerk is geen kwestie van "stekker erin en klaar". Het vereist nadenken over segmentatie, toegang en beheer. Door te kiezen voor apparatuur die VLANs, VPNs en lokaal beheer ondersteunt, bouw je een digitaal fort waar jij de sleutels van in handen hebt.

Wil je sparren over hoe we jouw thuis- of bedrijfsnetwerk naar dit niveau kunnen tillen? De Netwerkmonteur denkt graag met je mee.