Säkra upp Google Wifi

Om du har en tjänstefördelare innan Telias router så går det fint att skippa Telias.

Är du med på vad bryggat innebär förresten?

Bryggat innebär att NAT stängs av, så din Google router får publikt IP.

Telia-maskinen hade åtminstonde i tidigare firmware bakdörrar för att släppa in Telia och deras underleverantörer. Du har valt att låta din nätverkstrafik hanteras av det största privata övervakningsmaskineriet världen skådat och bundet det till ett konto som identifierar dig personligen. På den positiva sidan är ju att det borde gå att förbättra säkerheten

Frågan är väl mest om det är nödvändigt, lätt och exakt vad du vill uppnå.

Google-manicken har med största sannolikhet redan en "stateful firewall"/brandvägg och hantering av NAT och DHCP. Brandväggen låser förhoppningsvis ute alla inkommande uppkopplingar, vilket innebär att Telia inte längre har möjlighet att komma åt enheter inne på ditt nät. Att brandväggen håller tillstånd (stateful) innebär att trafik som kommer som svar på uppkopplingar som initierats innifrån kan komma igenom. Du kan alltså surfa eftersom du initierar uppkopplingen, men servrar inne på ditt nät (typ Windows-fildelning) är inte åtkomliga från internet. NAT innebär att du kan ha flera IPv4-baserade enheter på ditt interna nät, med privata (RFC1918) IP-adresser, även om du bara tilldelas en publik adress - Google-enheten sköter översättningen mellan den publika och de privata adresserna. DHCP delar ut de privata adresserna till enheter som kopplar upp sig på ditt nät.

Ditt behov av ytterligare en brandvägg är därför tveksamt, ifall du tror på att Google-enheten beter sig normalt kompetent och i ditt intresse. Det kan vara lämpligt att nämna UPnP i sammanhanget - det är en funktion för att enheter på det interna nätet ska kunna slå hål i brandväggen. Den funktionen är oftast avslagen i brandväggar/routrar som har normalt säkerhetstänk, men kan vara påslaget i enheter som är avsedda att vara lättanvända. Man kan tvista om ifall det är meningsfullt eller inte om att stänga av UPnP, opålitliga enheter som kommit in på nätverket (TV-apparater, IoT-manicker, Windows-maskiner...) har ändå möjligheter att öppna upp för inkommande trafik, till och med till andra enheter, genom hole-punching-tekniker som åstadkommer i princip samma sak som händer när du surfar.

Problem kan uppstå när man börjar dubblera brandväggning, NAT och/eller DHCP. Det är anledningen till att du satt Telia-manicken i bridge mode. Om du ska tillföra ytterligare en pryl så ska du se till att de funktionerna inte dubbleras, eller att du förstår vad som händer när du dubblerar funktionaliteten.

Det verkar inte som om Telia-maskinen tillför något i din nuvarande uppsättning, så den föreslår jag att du börjar med att ta bort och ser om det fortfarande fungerar bra (inklusive eventuella telefoni- och TV-lösningar).

Sedan kan man ju överväga att ha en ny brandvägg/NAT-mojt/DHCP-server ytterst (dvs på samma plats som Telia-manicken nu är inkopplad). I så fall bör du nog sätta Google-manicken i bridge-mode, vilket enligt dokumentationen gör att bara en enhet funkar (mesh funkar inte), så det vill du nog inte... Bridge-mode stänger i så fall av brandvägg, NAT och DHCP.

En annan tanke skulle kunna vara att sätta en ren brandvägg innanför Google-manicken för att upprätta ett inre, mer säkert nät. En sådan grej skulle även kunna routa all trafik över ett VPN (så att inte ens Google-manicken ser vart trafiken är på väg). Men det är inte supersimpelt att sätta upp när den befinner sig bakom Google-manicken. Wi-Fi-skulle så klart inte fungera på ett sådant nät om man inte ser till att lägga till en AP där.

Enklast är nog därför att du skaffar dig ett system som har all den funktionalitet som du önskar och som du litar på. Den senare delen av den förra meningen är nog knäckfrågan... vad anser du är problemet med den nuvarande lösningen?

Ett VPN kommer bara att dölja för din ISP (Telia) vart du skickar din trafik. Du kommer ändå bli igenkänd av tjänster där du är inloggad eller som kan identifiera dig med browser-fingerprinting. Google och Facebook vet med andra ord ändå vad du gör.

Om integritet är viktigt så skulle jag föreslå en open source-brandvägg likt Pfsense tillsammans med accesspunkter från en mindre tillverkare som Ubiquiti, Grandstream, Mikrotik, etc. Då får du ett mer modulärt system med en router du slipper byta ut varje gång du ska byta WiFi-generation.