Veilig internetten op openbare wifi met een travel router

Waarom openbare wifi riskant is

Op een openbaar netwerk deel je de verbinding met onbekenden, en je weet niet hoe het netwerk is ingericht. De Nederlandse voorlichtingssite Veiliginternetten.nl stelt volgens Radar dat het gebruik van een open wifi-netwerk nooit veilig is. De Consumentenbond waarschuwt dat iemand op een slecht beveiligd netwerk je internetverkeer kan onderscheppen en berichten en inloggegevens kan buitmaken.

De bekendste risico's:

• Meekijken: op een open netwerk zonder wachtwoord is het verkeer tussen jouw apparaat en het toegangspunt niet versleuteld. Ook bij een gedeeld wachtwoord kunnen anderen op hetzelfde netwerk soms meekijken.
• Nepnetwerken: iemand zet een hotspot op met een naam als 'Hotel_Gratis_WiFi'. Het netwerk met het sterkste signaal is niet per se het echte netwerk.
• Man-in-the-middle: een aanvaller plaatst zich tussen jou en het internet en probeert verkeer om te leiden, bijvoorbeeld via gemanipuleerde DNS-antwoorden.
• Andere gasten op hetzelfde netwerk: zonder afscherming kunnen zij je apparaten zien en proberen te benaderen.

HTTPS, dat vrijwel alle websites gebruiken, beschermt de inhoud van je verkeer al goed. Maar welke sites je bezoekt, je DNS-verzoeken en apps die minder zorgvuldig zijn gebouwd, blijven kwetsbaar.

Wat een travel router al oplost

Een travel router verbindt als enige met de hotelwifi en maakt daarna een eigen, versleuteld wifinetwerk voor jouw apparaten. Dat heeft meteen een paar voordelen:

• Afscherming: je apparaten zitten achter de NAT van de router. Andere gasten zien alleen de router, niet je laptop of telefoon.
• Eén plek om te beveiligen: VPN, versleutelde DNS en filters stel je één keer in op de router en gelden voor al je apparaten.
• Je eigen netwerk overal: je apparaten verbinden altijd met hetzelfde bekende netwerk, ongeacht waar je bent.

GL.iNet noemt dit zelf ook als reden om een router voor publieke hotspots te gebruiken: log in op je VPN via de router, en alle apparaten op het lokale netwerk zijn beschermd zonder dat je op elk apparaat apart iets hoeft in te stellen.

Stap 1: de router zelf goed beveiligen

Voordat je op reis gaat:

• Beheerderswachtwoord: in SYSTEM > Security kun je het beheerderswachtwoord wijzigen. GL.iNet vereist 10 tot 63 tekens met minstens twee van de vier soorten: hoofdletters, kleine letters, cijfers en symbolen. Kies liever een lange wachtzin.
• Eigen wifi: gebruik WPA3 of WPA2 met een sterk, uniek wachtwoord. Meer in gastennetwerk en wachtwoorden.
• Beheer op afstand: zet onder Remote Access Control alleen aan wat je echt gebruikt. Op een hotelnetwerk wil je niet dat het admin panel van buitenaf bereikbaar is.
• Force HTTPS: hiermee dwing je een versleutelde verbinding naar het admin panel af.
• Firmware: installeer de nieuwste versie. Zie firmware updaten.

Stap 2: het juiste netwerk kiezen en inloggen

Vraag bij de receptie de exacte naam van het netwerk. Verbind de router in repeater-modus en log in op de captive portal. Lukt dat niet, dan adviseert GL.iNet om tijdelijk:

• alle VPN-verbindingen uit te zetten,
• AdGuard Home uit te zetten,
• de DNS-modus op automatisch te zetten en DNS Rebinding Attack Protection uit te schakelen.

In firmware 4.6 en nieuwer zijn er bij het verbinden twee hulpopties: een automatische inlogmodus voor publieke hotspots en Camouflage, waarbij de router zich voordoet als het apparaat waarmee je het admin panel gebruikt. GL.iNet waarschuwt dat in de inlogmodus de DNS tijdelijk op automatisch gaat, waardoor je netwerkactiviteit zichtbaar kan zijn voor het hotspotnetwerk. Zet je beveiliging dus direct na het inloggen weer aan. Meer tips staan in hotelwifi met captive portal.

Stap 3: VPN aan, kill switch aan

Een VPN versleutelt al je verkeer tussen de router en de VPN-server. Het hotel of andere gasten zien dan alleen dat er een versleutelde verbinding is, niet wat je doet.

• Gebruik bij voorkeur WireGuard; dat is snel en eenvoudig. OpenVPN kan ook.
• Wil je geen VPN-abonnement, zet dan een eigen VPN-server thuis op of gebruik Tailscale met een exit node.
• Zet de VPN kill switch aan. Vanaf firmware 4.8 heeft elke tunnel een eigen kill switch, en met de Enhanced Kill Switch blokkeer je al het verkeer buiten de VPN.

Controleer daarna je publieke IP-adres. Zie je dat van je VPN-server, dan werkt het.

Stap 4: versleutelde DNS

Zonder VPN gaan DNS-verzoeken standaard via de DNS-server van het hotelnetwerk. Met DNS over HTTPS of DNS over TLS op de router versleutel je die verzoeken. Met een VPN gebruikt verkeer door de tunnel standaard de DNS-server van de VPN.

Stap 5: gedrag op het netwerk

Ook met goede techniek helpen een paar gewoontes:

• Gebruik voor bankzaken de officiële app van je bank, zoals Radar adviseert.
• Let op waarschuwingen over certificaten in je browser. Klik ze niet weg op een openbaar netwerk.
• Zet bestands- en printerdeling uit op je laptop en zet je netwerkprofiel op 'openbaar'.
• Gebruik tweestapsverificatie voor belangrijke accounts.

Kabel in de hotelkamer

Heeft je kamer een netwerkaansluiting, dan kun je de router via een kabel op de ethernet-WAN-poort aansluiten. Dat is vaak stabieler dan wifi en je hebt geen last van nepnetwerken met dezelfde naam. Het blijft wel het netwerk van het hotel, dus ook hier geldt: VPN aan en kill switch aan. Lees meer in ethernet in de hotelkamer.

Als er iets niet klopt

Signalen dat er iets mis kan zijn met het netwerk:

• Je browser geeft ineens certificaatwaarschuwingen bij sites die normaal zonder problemen laden.
• Je wordt op een bekende site naar een vreemde inlogpagina gestuurd.
• Een app vraagt onverwacht opnieuw om je wachtwoord.

Verbreek dan de verbinding met dat netwerk, schakel over op mobiel internet en wijzig zo nodig vanaf een vertrouwd netwerk de wachtwoorden van accounts waar je net mee bezig was. Kijk ook in het admin panel van je router welke apparaten verbonden zijn; een onbekend apparaat op je eigen wifi is een reden om direct het wifiwachtwoord te veranderen.

Mobiel internet als alternatief

Een eigen simkaart of eSIM in de router is vaak veiliger dan een open hotspot, omdat je het netwerk niet deelt met andere gasten. Routers als de GL-E5800 Mudi 7 en GL-X3000 Spitz AX hebben een ingebouwd modem. Zie 5G-simkaart in een travel router.

Welke router?

Voor veilig gebruik van openbare wifi wil je een router met voldoende rekenkracht voor VPN-versleuteling, zoals de GL-MT3000 Beryl AX, GL-BE3600 Slate 7 of de GL-E5800. Vergelijk modellen op de vergelijkingspagina.