Så skyddar du företagets nätverk i tre steg

1. Exponera inget på en publik IP-adress

Internetanslutningen har fortfarande en publik adress, men ingenting på kontoret ska svara på den.

• Ta bort alla portvidarebefordringar. Publicera aldrig RDP, SSH, NAS, kameror eller administrationssidor mot internet.
• Stäng av UPnP och fjärradministration (WAN) i routern. Byt standardlösenordet och håll firmware uppdaterad.
• För distansarbete, använd en tunnel eller ett mesh-VPN som bara kopplar upp utåt, till exempel Tailscale eller Cloudflare Tunnel, med tvåstegsverifiering. Personalen kopplar upp sig utan att någon port är öppen hos er.
• Testa: kör vårt porttest från kontorets nätverk. Det ska inte hitta några öppna portar.

Alternativ: be operatören om en privat adress (CGNAT). Operatören placerar anslutningen bakom sin egen NAT, så ingen på internet kan starta en anslutning till er, inte ens om en portvidarebefordran av misstag lämnats öppen. Tänk på begränsningarna:

• Det gäller bara IPv4. Får ni också IPv6 är era enheter nåbara, så routern måste fortfarande blockera all inkommande IPv6-trafik.
• Det stoppar inte nätfiske eller skadlig kod, som börjar med en anslutning inifrån kontoret och ut.
• Ni delar IP-adress med andra kunder, så om de hamnar på en spärrlista kan det drabba er, och ni förlorar en fast IP-adress som leverantörer kan vitlista.

Använd det om operatören erbjuder det och inget ni kör behöver inkommande anslutningar, och låt routerns blockering av inkommande trafik vara på oavsett.

2. Använd stark wifi-kryptering

Använd WPA3 överallt där enheterna stöder det, och aldrig WEP, WPA eller TKIP.

• Bäst: WPA3-Enterprise (802.1X) med personlig inloggning för varje anställd, så att åtkomsten upphör när någon slutar.
• Tillräckligt för små kontor: WPA3-Personal med en slumpmässig lösenfras på minst 20 tecken, som byts när någon i personalen slutar.
• Stäng av WPS och håll accesspunkternas firmware uppdaterad.
• Låt gäster använda ett eget gästnätverk (se steg 3). Ge dem aldrig lösenordet till personalens wifi.

3. Dela upp det lokala nätverket i segment

Placera varje typ av enhet i ett eget VLAN, så att en infekterad telefon eller kamera inte kommer åt företagets datorer.

• Ge varje segment som använder wifi ett eget nätverksnamn (SSID).
• Ställ in brandväggen mellan segmenten så att den blockerar allt utom trafiken i tabellen ovan.
• Klarar utrustningen inte VLAN, placera åtminstone gäster och IoT-enheter i ett eget nätverk, skilt från företagets datorer.