Welke poorten staan open op mijn netwerk? Zo controleer je het, en welke je sluit
Wat een open poort is, hoe je ziet welke poorten je router, printer, NAS en pc's openzetten, welke riskant zijn op een thuis- of kantoornetwerk, en hoe je ze sluit.
Wat een open poort eigenlijk is
Elk apparaat op een netwerk kan diensten aanbieden: een webpagina om het in te stellen, bestandsdeling, extern bureaublad, printen. Elke dienst luistert op een genummerde poort: het web op 80 en 443, bestandsdeling op 445, extern bureaublad op 3389. Een poort is open als er op het apparaat iets antwoordt.
Een open poort is op zich geen probleem. Je printer moet antwoorden op zijn printpoort, en je router moet antwoorden op 53 om voor iedereen namen op te zoeken. Het probleem is een poort die openstaat terwijl niemand hem nodig heeft, of een die een oude, onversleutelde of makkelijk te raden toegang biedt. De meeste inbraken in thuis- en kantoornetwerken beginnen precies daar: bij een vergeten dienst, nog met de fabrieksinstellingen.
Van binnen of van buiten: twee verschillende vragen
Er zijn twee plekken om vanaf te kijken, en ze beantwoorden verschillende vragen.
- Vanuit je eigen netwerk zie je alles wat elk apparaat aanbiedt aan de apparaten eromheen: de webpagina van de printer, de gedeelde mappen van de NAS, het externe bureaublad van de pc. Dat is wat de telefoon van een gast, of een gehackte slimme stekker, zou kunnen bereiken.
- Vanaf internet zie je alleen wat je router doorlaat: normaal helemaal niets, tenzij iemand port forwarding heeft ingesteld of UPnP heeft aangezet, waarmee apparaten zelf poorten op de router kunnen openen.
Allebei tellen ze. Begin van binnen, want daar zitten de meeste verrassingen, en controleer daarna de router zelf.
Zo controleer je van binnen
Een poortscanner klopt aan bij een reeks poorten van een apparaat en noteert welke antwoorden. Drie keuzes bepalen hoe lang het duurt en wat hij vindt:
- Het doel. Begin bij de router (de gateway, meestal
192.168.1.1of192.168.0.1) en dan de apparaten die je het belangrijkst vindt: de NAS, de pc’s, de camera’s. - Welke poorten. De paar dozijn veelvoorkomende poorten dekken bijna elke dienst die je thuis of op kantoor tegenkomt, en kosten een paar seconden. Het volledige bereik van bekende poorten, 1–1024, is grondiger. Een eigen lijst is voor als je iets specifieks zoekt.
- TCP en UDP. De meeste diensten gebruiken TCP, maar een paar belangrijke gebruiken UDP — DNS, NTP, SNMP, NetBIOS — en veel scanners slaan die over. Een UDP-poort telt alleen als open als het apparaat echt antwoordt, dus een goede scanner stuurt voor elk protocol een echt verzoek in plaats van te gokken.
Welke poorten aandacht verdienen
Op een thuis- of klein kantoornetwerk verdienen deze een tweede blik:
| Poort | Dienst | Waarom het telt |
|---|---|---|
| 21, 23 | FTP, Telnet | Oude protocollen die wachtwoorden onversleuteld versturen. Tegenwoordig zelden nodig. |
| 80 | Web, onversleuteld | Prima voor de statuspagina van een printer; slechter voor de inlogpagina van de router. |
| 445, 139 | Windows-bestandsdeling (SMB) | De klassieke route waarlangs malware van pc naar pc gaat. Beperk het tot computers die echt bestanden delen. |
| 3389 | Extern bureaublad | Voortdurend aangevallen als het vanaf internet bereikbaar is. Binnen alleen op pc’s die het nodig hebben. |
| 5900 | VNC | Bediening op afstand, vaak met een zwak of geen wachtwoord. |
| 1900, 5000 | UPnP | Laat apparaten zelf poorten op de router openen. |
| 161 | SNMP | Handig voor monitoring, maar met de standaardcommunity public kan iedereen op het netwerk het apparaat uitlezen. |
| 554, 8000, 8080 | Camera’s en beheerpagina’s | Goedkope camera’s en gadgets komen vaak met standaardwachtwoorden. |
Wat je zoekt is iets wat niet klopt: een dienst op een apparaat dat geen reden heeft om hem aan te bieden, of een dienst waarvan je niet wist dat hij er was.
Zo sluit je wat je niet nodig hebt
- Zet de dienst uit op het apparaat zelf. Een poort gaat dicht als er niets meer op luistert: zet Telnet op de router uit, bestandsdeling op een pc die niets deelt, de webinterface van een camera die je alleen via de app gebruikt.
- Verwijder port forwarding op de router die je niet meer gebruikt en zet UPnP uit, tenzij een spelcomputer of app het echt nodig heeft.
- Wijzig standaardwachtwoorden van alles wat een beheerpagina of externe toegang openhoudt: router, NAS, camera’s, printers.
- Werk de firmware bij: veel oude diensten worden in nieuwere versies gerepareerd of verwijderd.
- Zet gadgets op het gastnetwerk, als je router er een heeft, zodat een camera of slimme stekker je pc’s helemaal niet kan bereiken.
Scan daarna opnieuw. De lijst hoort korter te zijn, en elke regel erop hoort iets te zijn wat je kunt uitleggen.
Zo doe je het met NetBlade op de iPhone
NetBlade voor iPhone en iPad doet de controle vanuit je broekzak, zonder account:
- het tabblad Poorten scant elk apparaat: typ een adres of tik op Gateway gebruiken voor de router, en kies Veelvoorkomend, 1–1024 of Aangepast;
- elke open poort komt met de dienst, een korte beschrijving en een risiconiveau, TCP en UDP naast elkaar, met echte UDP-tests voor DNS, NTP, TFTP, mDNS, NetBIOS en SNMP;
- CVE zoeken naast een poort opent de National Vulnerability Database voor die dienst;
- op het tabblad LAN maken de details van elk apparaat van zijn open poorten een beveiligingsscore op 100, met een advies bij elke bevinding;
- je kunt het resultaat delen via de bovenste balk.
Poortscans en de beveiligingsscore zijn gratis. Scan je router en je belangrijkste apparaten één keer, sluit wat je niet herkent en houd het netwerk bewaard: de volgende keer dat je de app opent, laat de geschiedenis zien wat er is veranderd.