discussion Switch poort deurbel "beveiligen"?

[niekniek89]

Goedemorgen,

Sinds een aantal weken ben ik trotse eigenaar van een "doorbell lite" .
Deze hangt bij mijn voordeur, en is via PoE verbonden met mijn switch.

Het is een beetje vergezocht, maar in theorie zou iemand de doorbell eraf kunnen schroeven, laptop kunnen aansluiten en zit dan in mijn LAN.
Hij zit nu in een IoT VLAN, maar wellicht is het beter om een CCTV VLAN o.i.d. aan te maken, en dan het e.a. droppen met firewall rules??

Iemand wellicht ooit hetzelfde gedacht, of wellicht een idee om het "moeilijker" te maken?
Hoe groot is de kans dat iemand dat doet? maarja, zolang de kans bestaat....

 

[edwin2019]

Je zou Mac filtering kunnen gebruiken?

 

[niekniek89]

Je zou Mac filtering kunnen gebruiken?

Daar zat ik ook naar te kijken, maar volgens mij ondersteund mijn "flex mini" dat niet.
Middels een PoE adapter zit hij daar op aangesloten.

Edit; die kan idd geen mac filtering

Zal dus iets op een andere manier moeten verzinnen...

 

[ACteZ]

Hoi. Op de lite-16-POE kan je een interface de status 'restricted' geven, en dan kan je MAC filtering toepassen. Volgende stap is 802.1x implementeren. Overigens helemaal geen gek idee om deze aansluiting te willen beveiligen.

 

[niekniek89]

Hoi. Op de lite-16-POE kan je een interface de status 'restricted' geven, en dan kan je MAC filtering toepassen. Volgende stap is 802.1x implementeren. Overigens helemaal geen gek idee om deze aansluiting te willen beveiligen.
Bekijk bijlage 11867

Op de Flex Mini is die functie helaas niet aanwezig.
Op de lite-8-poe en de lite-16-poe wél.

Helaas geen optie voor mij dus.

 

[unipro]

MAC filtering is leuk, maar het MAC adres staat achter op de deurbel. Die hebben ze op dat moment al losgemaakt, dus een koud kunstje om dat dan te over te nemen.
En de Protect devices ondersteunen 802.1x niet.

 

[edwin2019]

MAC filtering is leuk, maar het MAC adres staat achter op de deurbel. Die hebben ze op dat moment al losgemaakt, dus een koud kunstje om dat dan te over te nemen.
En de Protect devices ondersteunen 802.1x niet.

Stickertje weghalen?

 

[dbw]

Stickertje weghalen?

Of niet zo paranoia doen

 

[Wopitop]

Als "ze" binnen willen kan er ook op de bel gedrukt worden....

 

[ACteZ]

OK. poging tot een serieus antwoord. Zo'n 'openbaar' geplaatst Ethernet stekkertje is natuurlijk een beveiligingsrisico. En niet alleen bij een voordeurbel, maar ook bij hekken en slagbomen van afgesloten terreinen. Bij de laatste categorie zijn fors betere fysieke maatregelen genomen om de ethernet aansluiting en de rest van de netwerkinfra (er zit vaak een industriële switch in de zuil) lastig toegankelijk te maken voor onbevoegden. Bij een voordeurbel is dat lastiger. Dan moet je in het ontwerp en de beveiliging er vanuit gaan dat de netwerkaansluiting bij de voordeur misbruikt kan worden: apart vlan in een niet-vertrouwde zone, en alleen verkeer toestaan dat nodig is voor de functie. Zie daarvoor de documentatie.
Wellicht is het ook mogelijk om (bijvoorbeeld met scripting) een interface op de switch die down is gegaan niet automatisch weer actief te laten worden, of met een vertraging van bijvoorbeeld 15 minuten. Maar dat gaat mijn Unifi-kennis te boven

 

[unipro]

In dit geval blijft dat dus over als mogelijkheid. Waarbij je dan via de firewall dit moet regelen:

To ensure proper functionality of the UniFi Protect Doorbell, you need to open the following ports in your firewall:

UniFi Protect Ports:​

Protocol	Port	Direction	Usage
TCP	7441	Ingress	Outgoing RTSPS streams
TCP	7442	Both	WebSocket server for device communication
TCP	7443	Both	REST API (HTTPS)
TCP	7444	Both	WebSocket server for camera communication
TCP	7445	Ingress	Outgoing Protect streams
TCP	7447	Ingress	Outgoing RTSP streams
TCP	7550	Ingress	Camera streams
TCP	7552	Both	SSL camera connections
TCP	7888	Both	TCP Bridge

Additional Notes:​

• These ports are required for communication between the UniFi Protect Doorbell and the UniFi Protect application.
• Ensure that these ports are open in both directions (where specified) to avoid connectivity issues.

Bron: Required Ports Reference

Wil je de verbinding (poort) down brengen als die uitvalt, dan kun je kijken of je iets van Home Automation hebt draaien. Voor diverse soorten is altijd wel een plugin te vinden om te koppelen met de UniFi omgeving. En dan kun je wel iets regelen om dat voor elkaar te krijgen.
Houd er wel rekening mee dat je gaat vergeten dat je dat hebt gemaakt, dus als de deurbel een keer uitvalt en niet automatisch weer in de lucht komt zoek je je helemaal rot. Totdat...