Is DMZ gevaarlijk?

[Ex-Netweter]

Hallo allemaal,

Ik schets even mijn verhaal.

We zitten hier met een aantal huurders op een gemeenschappelijk Telenet business netwerk. Ik heb binnen dit netwerk een eigen router geplaatst (met vast IP).

Ik vroeg aan mijn verhuurder om DMZ in te schakelen naar mijn subnetwerk. Nu heeft hij dit nagevraagd bij Telenet en kreeg volgende antwoord:

We raden je dit toch wel af, voor de bescherming van de persoonlijke gegevens.
Stel dat deze persoon zeer informatica gericht is, kan deze je op een veilige manier 'hacken' aanpassingen ongevraagd uitvoeren.
Het vertrouwen moet dus wel bijzonder groot zijn om dit toe te laten.
De andere huurders hun laptops zijn toch nog wel gevoelig indien er kwade bedoelingen zijn op langere termijn.

Kan het zijn dat dit niet correct is? Ik zou niet weten welke extra toegang ik zou kunnen krijgen m.b.v. die DMZ om anderen hun PC te gaan hacken of instellingen in router van Telenet te wijzigen enz. Volgens mij verandert op dit vlak niets door het inschakelen van een DMZ en blijft het (even onveilig) als het nu is.

Kan het zijn dat de beantwoorder van deze mail deze vraag heeft beantwoord met de definitie van DMZ zoals ze wordt toegepast in de informaticawereld/bedrijfswereld? In de Telenet modem instellingen heeft deze DMZ namelijk een heel andere functie.

Alvast bedankt voor jullie advies

Matthias

[igvfer]

@Ex-Netweter  Op zich is DMZ niet gevaarlijker dan portforwarding op zich. Ik begrijp dat jullie allemaal aangesloten zijn op een HGW (Telenet modem/router). Dat kan je zien als jou WAN IP adres in de range 192.168.x.x ligt.

Een nadeel is wel als je DMZ laat instellen naar jou router dat je de andere huurders mogelijkheden ontneemt om ook van bepaalde poorten gebruik te maken. Beter zou zijn dat jij een bepaalde range van poorten gebruikt en die laat forwarden naar jou router.

Maar.... Nog beter zou zijn dat de verhuurder een modem only plaatst of laat plaatsen met daarachter een gewone switch met uiteraard meer poorten dan er huurders zijn en elke huurder zijn eigen router daarop aan sluit. Dan krijgt elke huurder een publiek IP.

De verhuurder zal wel moeten navragen hoeveel publieke IP adressen hij krijgt op een aansluiting.

Dat is veel veiliger dan het nu is want het aangehaalde argument voor DMZ niet toe te laten is waardeloos door het feit dat elke huurder nu in hetzelfde subnet zit of in een subnet van dat subnet. Dus elke gebruiker kan een andere gebruiker bereiken en inbreken  zijn laptop als hij slechte paswoorden gebruikt.

[Steven-E]

Dit is op zijn minst kort door de bocht.

Je zou enkel de privacy kunnen schenden van PC's die achter je eigen firewall zijn aangesloten, niet deze die op het outside netwerk zitten (dus rechtstreeks achter de Telenet router).

Maar dat kan ook zonder de DMZ configuratie. De Telenet man is vrees ik "niet echt informaticagericht" 🙂

Los daarvan: als eigenaar van het gebouw vind ik het normaal dat hij hier kritisch tegenover staat.

Stel dat iemand anders dezelfde vraag zou stellen, dan kan dat niet meer.

Ik zou hier als eigenaar zelf weigerachtig tegenover staan.

@igvfer DMZ houdt weldegelijk meer risico's in dan specifieke port forwardings, omdat je met DMZ "alle poorten" forward, ook diegene waarvan je misschien niet weet dat ze openstaan op je toestel en die je niet wil exposen naar de buitenwereld.

[Ex-Netweter]

Bedankt voor jullie antwoord

@Steven-E 

Inderdaad zal port forwarding altijd iets veiliger zijn dan DMZ. Een goede firewell lost dit probleem normaal op. Ik denk dat het risico van de DMZ dan ook enkel voor mijn apparaten is die op het subnetwerk hangen.

Voor de verhuurder zou het denk ik een eerlijkere oplossing zijn om gewoon een willekeurige poort te forwarden. Op die manier kan hij voor elke huurder dezelfde regeling treffen: namelijk een willekeurige poort indien gewenst.

[Steven-E]

Ik denk dat je vooral de eigenaar moet gerust stellen naar veiligheid toe van de andere gebruikers.

Daar zie ik echt geen probleem, ook niet met DMZ.

Tenzij je eigen firewall gehackt wordt, dan kunnen de boosdoeners in theorie overal naar toe, ook op het externe netwerk.  Maar je weet wel wat je doet denk ik.

[Ex-Netweter]

@Steven-E 

Bedankt voor je reactie.

Klopt inderdaad dat wanneer mijn firewall gehackt zou worden dit een probleem vormt. Als ik me niet vergis is het nog wel een extra stapje om dan van mijn netwerk weer naar het Telenet netwerk te geraken. De firewall van de Telenet modem zou mijn inziens met eenzelfde kans gehackt kunnen worden waarbij ze dan wél direct op het Telenet netwerk zitten.

[igvfer]

@Ex-Netweter  Qua beveiliging vind ik het niet echt een probleem. Dat wordt jou probleem. De anderen zouden zeker al niet bereikbaar zijn omdat alle poorten naar jou router wijzen.

Maar zoals gezegd wat als er anderen dit ook willen. En zoals het nu is, is er intern ook al gevaar want als 1 van de huurders hacker intenties heeft kan hij al beginnen op dit intern netwerk waar iedere huurder op aangesloten is.

Zoals ik eerder zegde is de mooiste oplossing een modem only met achterliggende switch waar iedere huurder op aangesloten is met een publiek IP adres. Ik weet niet over hoeveel huurders het gaat maar als het er minder dan 10 zijn moet dat wel lukken.

[Ex-Netweter]

Ik ben het met de vorige posters eens dat er geen enkel security risico is met DMZ naar jouw eigen router. Het antwoord van Telenet is volledig uit de lucht gegrepen.

Een modem-only met externe IP adressen is waarschijnlijk ook geen oplossing.

Want dan verplicht je iedere bewoner een eigen router te hebben, met een eigen WiFi netwerk (want ik neem aan dat iedere huurder meerdere toestellen heeft die internet nodig hebben).

Wat betreft het "ontnemen van poorten" voor andere huurders ...

Daar ben ik het niet mee eens.

DMZ op een router zoals de HGW opent alleen de poorten die niet gebruikt zijn naar de "exposed host". Poorten die geopend staan (dat kan een ingestelde port forwarding zijn, een UPnP poort of een door uitgaande verbinding) worden niet geforward naar de DMZ host (anders zou surfen, mailen, Voipen, enz … onmogelijk zijn voor de andere gebruikers …).

Het is dus eerder omgekeerd: als iemand anders een poort openzet, dan is die poort "ontnomen" van de DMZ host 😏.

[Steven-E]

---

@Ex-Netweter  schreef:

Wat betreft het "ontnemen van poorten" voor andere huurders ...

Daar ben ik het niet mee eens.

DMZ op een router zoals de HGW opent alleen de poorten die niet gebruikt zijn naar de "exposed host". Poorten die geopend staan (dat kan een ingestelde port forwarding zijn, een UPnP poort of een door uitgaande verbinding) worden niet geforward naar de DMZ host (anders zou surfen, mailen, Voipen, enz … onmogelijk zijn voor de andere gebruikers …).

Het is dus eerder omgekeerd: als iemand anders een poort openzet, dan is die poort "ontnomen" van de DMZ host 😏.

---

@Ex-Netweter Ik vermoed dat je op mijn antwoord doelt.

Je hebt het anders begrepen denk ik. Ik bedoelde: je ontneemt andere huurders om dezelfde functionaliteit te vragen aan de eigenaar. Stel dat een andere huurder ook een eigen router wil met volledige portfardings, dan kan dat niet meer (want maar mogenlijk naar 1 intern IP).

[Ex-Netweter]

Je hebt volledig gelijk: er kan maar één toestel/router in DMZ staan.

Als ik de verhuurder zou zijn, dan zou ik hier ook niet aan toegeven. Als je met een woongemeenschap beslist om één internetverbinding te delen (om kosten te besparen), dan kan je niet één huurder meer privileges geven dan de andere.

Als één van de bewoners hier niet kan mee leven, dan moet hij voor zichzelf een apart abonnement nemen ...

[janne_man]

Het advies voor een modem only houd enkel rekening met internetgebruik. Er moet ook rekening gehouden worden met de set top boxen die de huurders hebben of zullen hebben. Als er huurders zijn met een TV-Box is de goede werking niet gewaarborgd met een moden only.