UPnP, WPS og andre routerindstillinger

En ny router virker, så snart du sætter strømmen til og følger guiden. Men fabrikken vælger indstillinger, der virker for de fleste, og ikke nødvendigvis dem, der er sikrest. Nogle funktioner er slået til for bekvemmelighedens skyld og åbner for risici, du ikke behøver at tage. Andre er slået fra, selv om de gør nettet bedre, for eksempel et gæstenet.

De amerikanske myndigheder, blandt andet CISA, påpeger i deres vejledning om netværksudstyr, at ejere ofte ikke ændrer fabriksindstillinger, og at udstyr ikke bliver holdt opdateret. Her gennemgår vi de indstillinger, der betyder mest i et hjem, og hvad du skal vælge. Gør det i ro og mag, og skriv ned, hvad du ændrer, så du kan fortryde det.

Du kommer ind i indstillingerne ved at skrive routerens adresse i en browser. Hvordan du finder den, står i guiden til IP-adresser og DHCP på hjemmenetværket. Hvis du ikke selv har ændret adgangskoden, står den ofte på routerens klistermærke. Det første, du bør gøre, er at ændre den.

UPnP står for universal plug and play. Det er en funktion, der lader programmer på dit net bede routeren om at åbne en port ud mod internettet uden, at du selv skal lave en regel. Spil, videoopkald og fildelingsprogrammer bruger det ofte, fordi det gør tingene nemmere. For dig betyder det, at ting virker uden opsætning.

Problemet er, at enhver enhed på dit net kan bede om en åben port, også en enhed, der er inficeret med skadelig kode, eller et gammelt smart home-produkt med fejl. Så åbner routeren en dør, uden at du ved det. Derfor anbefaler mange sikkerhedsfolk at slå UPnP fra, hvis du ikke har brug for det.

Hvad sker der, hvis du slår det fra? Nogle spil kan få en strengere NAT-type, og multiplayer kan blive vanskeligere, indtil du åbner de rigtige porte manuelt. Det forklares i guiden til bredbånd til gaming. Rådet er at slå det fra, og slå det kun til igen, hvis noget, du bruger, kræver det. Se i routerens oversigt, hvilke porte UPnP allerede har åbnet. Står der noget, du ikke kender, er det et godt argument for at slå det fra.

WPS står for Wi-Fi Protected Setup. Det er en funktion, der lader dig forbinde en enhed til wifi uden at skrive kodeordet. Du trykker på en knap på routeren, og enheden forbinder. Det kan være praktisk til en printer uden skærm.

Der er tre måder at bruge WPS på: knap, PIN på routeren og PIN på enheden. PIN-metoden har en kendt svaghed. CERT Coordination Center beskrev i 2011 i sin sårbarhedsnote VU#723755, at WPS-PIN'en på 8 cifre kan gættes med et brute force-angreb, fordi en designfejl gør det muligt for en angriber at se, om første halvdel af PIN'en er rigtig. Mange routere havde desuden ingen spærring efter for mange forkerte forsøg. Noten anbefaler som afhjælpning at slå WPS fra, nærmere bestemt funktionen med ekstern registrar eller router-PIN.

Mange nyere routere har rettet fejlen, men du har ingen grund til at holde funktionen tændt, hvis du ikke bruger den. Slå WPS-PIN fra under alle omstændigheder. Vil du bruge knappen, så slå den kun til, når du skal forbinde noget. Almindelig forbindelse med kodeord er sikrere og tager kun et øjeblik.

Mange routere kan styres fra internettet, så du eller udbyderen kan komme ind og ændre indstillinger. Funktionen kaldes ofte fjernadministration, remote management eller web access from WAN. Den er sjældent nødvendig i et hjem, og den gør routerens login-side synlig for hele verden.

Slå den fra, medmindre du har en god grund til at have den. Har du brug for at komme ind udefra, så brug en VPN, som forklaret i fjernadgang til hjemmenetværket, i stedet for at åbne routerens menu direkte. Har udbyderen brug for adgang til fejlsøgning, vil de som regel have en separat mekanisme, som ikke kræver, at du åbner for fjernstyring.

Wifi-nettet skal være krypteret. Den bedste mulighed er WPA3, den nyeste standard, som Wifi Alliance indførte i 2018. Hvis nogle af dine enheder ikke kan WPA3, kan du vælge en blandet tilstand, hvor både WPA2 og WPA3 virker. Undgå WEP og den første udgave af WPA, som er gamle og kan brydes.

Vælg et langt kodeord. En sætning på flere ord er bedre end en kort kode med tegn, fordi længde slår kompleksitet, når kodeordet skal gættes. Skift ikke kodeordet, uden at du har en plan for, hvordan du får det ind på alle enheder, men skift det, hvis du har delt det med nogen, du ikke længere vil have på nettet. Læs flere råd i sikkert wifi og gæstenet.

Et gæstenet er et separat wifi, hvor gæster kan komme på internettet, men ikke på dine computere, din NAS og dit kamera. Det er en nem måde at øge sikkerheden på. Brug det også til smart home-udstyr, som du ikke stoler fuldt ud på, for eksempel billige stikkontakter og pærer. Hvis ét af dem er inficeret, kan det ikke nå dine private enheder.

Tjek, at gæstenettet er sat til at isolere enhederne fra hinanden og fra hovedet nettet. Nogle routere tilbyder det som en indstilling, andre gør det som standard. Giv gæstenettet et andet kodeord end hovednettet, og husk at ændre det jævnligt, for eksempel efter en større fest.

Routeren giver dig som regel udbyderens DNS-server, men du kan vælge en anden. Det kan gøre navneopslag hurtigere eller blokere kendte skadelige sider, afhængigt af hvilken tjeneste du vælger. Læs, hvordan og hvorfor, i skift DNS-server.

Tjek også, om routeren har en indstilling, der lader den hente opdateringer automatisk, om den har en firewall, der er slået til, og om loggen er aktiveret, så du kan se, hvad der er sket. Slå funktioner fra, du ikke bruger: gamle fildelingsprotokoller, medieservere, USB-deling og lignende. Hver funktion, der er slået til, er en potentiel indgang.

Ændr én ting ad gangen, og test bagefter. Slå for eksempel UPnP fra, og se, om dine spil, dit videoopkald og dine apps stadig virker. Hvis noget holder op, ved du, hvad der var årsagen, og du kan slå det til igen eller lave en manuel regel for netop det program. Hvis du ændrer fem ting på en gang og noget går galt, aner du ikke, hvilken ændring der gjorde det.

Skriv hver ændring ned med dato og værdi før og efter. Det tager et minut og sparer mange timer, hvis du senere skal fejlsøge. Gem også en sikkerhedskopi af indstillingerne, før du går i gang, hvis din router kan det. Hvis du bruger en udbyderlevet router, kan nogle af menuerne være skjult eller låst, og så skal du bede udbyderen om at ændre indstillingerne eller sætte din egen router i stedet. Se egen router og bridge mode for, hvordan det fungerer.

Mange smarte pærer, stikkontakter, kameraer og sensorer sættes op én gang og glemmes. De får sjældent opdateringer, og nogle bliver ved med at køre, længe efter producenten har droppet dem. Derfor bør de ikke ligge på samme net som dine private computere. Læg dem på et separat net, hvis din router kan det, og giv dem kun adgang til internettet.

Det kan give et par udfordringer. Nogle smart home-apps finder deres enheder ved at søge på det lokale net, og det virker ikke, hvis telefonen og enhederne er på hver sit net. Her må du vælge: enten sætter du telefonen på samme net i den periode, du konfigurerer, eller også bruger du producentens sky til at styre udstyret. Guiden om smart home og wifi beskriver de typiske problemer.

En gang ved opsætning og derefter et par gange om året. Kig efter nye enheder, du ikke kender, i routerens liste. Kig efter åbne porte og regler, du ikke selv har lavet. Tjek, om der er kommet en ny firmware, og om automatiske opdateringer stadig er slået til. Hvis du skifter udbyder eller router, så gennemgå listen igen, fordi fabriksindstillingerne er forskellige fra model til model.

Hvis du har gæster ofte, så kig også på listen over tilsluttede enheder, og fjern gamle navne, du ikke længere bruger. Så er det lettere at se, hvis der dukker noget uventet op.

Skift adgangskoden til routeren. Slå WPS-PIN fra. Overvej at slå UPnP fra. Slå fjernstyring fra. Brug WPA3 eller WPA2. Opret et gæstenet. Hold routeren opdateret. Gem en sikkerhedskopi af indstillingerne, når alt virker, så du kan genskabe dem, hvis noget går galt.