Met port forwarding laat je verkeer van buiten door naar een apparaat in huis. Dat kan handig zijn als je bijvoorbeeld op afstand bij een eigen server wilt, maar het maakt een dienst ook bereikbaar voor anderen. Hier lees je hoe netwerkpoorten werken, welke risico’s dat oplevert en welke alternatieven je hebt.
Wat is een netwerkpoort?
Een netwerkpoort is een logisch nummer waarmee netwerkverkeer bij de juiste dienst of toepassing op een apparaat terechtkomt. Het is dus geen fysieke aansluiting voor een kabel. Een computer kan bijvoorbeeld tegelijk een website opvragen en berichten ophalen. Poortnummers helpen om die verschillende verbindingen van elkaar te onderscheiden.
Je kunt een IP-adres vergelijken met het adres van een gebouw en een poortnummer met de deur waarachter een bepaalde dienst bereikbaar is. Het adres wijst naar een apparaat of netwerk; de poort geeft aan voor welke dienst het verkeer bedoeld is. Lees meer over IP-adressen.
Bij poorten horen ook protocollen, waaronder TCP en UDP. Dat zijn verschillende manieren om gegevens over een netwerk te versturen. Een poortnummer met TCP is niet automatisch hetzelfde als dat nummer met UDP. Welke combinatie nodig is, hangt af van de toepassing.
Een poort is pas bruikbaar als een programma op die poort luistert en het verkeer onderweg wordt toegelaten. Een open poort betekent daarom niet vanzelf dat een apparaat is gehackt. Wel kan een bereikbare dienst door anderen worden benaderd en onderzocht.
Hoe port forwarding werkt
In veel thuisnetwerken krijgen apparaten een intern IP-adres van de router. Voor communicatie met internet gebruiken ze vaak samen een publiek IPv4-adres. De router houdt bij welk antwoord bij welke uitgaande verbinding hoort, zodat het terug kan naar het juiste apparaat.
Bij een nieuwe verbinding van buitenaf weet de router zonder extra instructie meestal niet naar welk apparaat het verkeer moet. Met port forwarding, ook wel poortdoorschakeling, maak je daarvoor een regel. Die vertelt de router dat verkeer op een bepaalde externe poort en met een bepaald protocol naar een gekozen intern IP-adres en een poort op dat apparaat moet gaan.
Wil je bijvoorbeeld een eigen gameserver bereikbaar maken, dan kan zo’n regel verkeer naar de server in je thuisnetwerk sturen. De externe en interne poort kunnen verschillen, maar dat verandert niets aan de noodzaak om de dienst zelf te beveiligen. Stel voor het doelapparaat bij voorkeur een vast intern adres of een adresreservering in, zodat de regel niet naar een ander apparaat gaat wijzen.
Port forwarding is niet altijd mogelijk of voldoende. Je provider kan een publiek IPv4-adres met meerdere klanten delen, waardoor je router niet rechtstreeks vanaf internet bereikbaar is. Ook een extra router kan in de weg zitten. Bij IPv6 hebben apparaten vaak eigen adressen en werkt bereikbaarheid anders: daar zijn vooral de firewallregels van belang. Controleer na een wijziging vanaf een ander netwerk of alleen de bedoelde dienst bereikbaar is.
UPnP: automatisch poorten openen
UPnP staat voor Universal Plug and Play. Een functie binnen UPnP kan toepassingen op je thuisnetwerk toestemming geven om zelf poortdoorschakelingen op de router aan te vragen. Zo kan een game of andere toepassing van buiten bereikbaar worden zonder dat je zelf een regel toevoegt.
Dat is gemakkelijk, maar je hebt daardoor minder direct zicht op wat er wordt geopend. Ook ongewenste of besmette software op een apparaat kan proberen een doorgifte aan te vragen als de router dat toestaat. Of een aanvraag slaagt, hangt af van de instellingen en ondersteuning van je router. UPnP is niet hetzelfde als een firewall: het kan juist regels laten aanmaken die verkeer doorlaten.
Kijk in de beheeromgeving van je router welke automatische doorgiftes actief zijn en of je ze herkent. Heb je UPnP niet nodig, dan kun je het uitschakelen. Sommige toepassingen kunnen daarna minder goed bereikbaar zijn; controleer daarom of ze nog werken zoals je verwacht.
Moet een dienst toch van buiten bereikbaar zijn, dan geeft een handmatige regel meestal meer controle over het apparaat, de poort en het protocol. Verwijder regels die je niet meer gebruikt en controleer ook later af en toe de instellingen.
Risico’s van openstaande poorten
Een doorgeschakelde poort maakt een dienst mogelijk bereikbaar voor iedereen die je publieke adres kan vinden. Op internet wordt regelmatig automatisch gezocht naar bereikbare diensten. Een aanvaller kan vervolgens proberen in te loggen, een bekende kwetsbaarheid te misbruiken of de dienst te verstoren. Het risico hangt af van wat er achter de poort draait en hoe goed die dienst is beveiligd.
Een sterk wachtwoord helpt tegen ongewenst inloggen, maar beschermt niet tegen iedere softwarefout. Houd daarom zowel de dienst als het apparaat en de router bijgewerkt. Gebruik waar beschikbaar tweestapsverificatie en geef gebruikers niet meer rechten dan nodig. Meer daarover lees je bij wachtwoorden en tweestapsverificatie.
Let op deze punten voordat je een poort openzet:
- Controleer of toegang vanaf internet echt nodig is en of de dienst daarvoor bedoeld is.
- Zet alleen de benodigde poort en het benodigde protocol door naar het juiste apparaat.
- Beperk toegang tot vertrouwde adressen als dat mogelijk en praktisch is.
- Gebruik versleutelde verbindingen en beveilig alle accounts die toegang krijgen.
- Verwijder de regel zodra je de toegang niet meer nodig hebt.
Een afwijkend poortnummer maakt een dienst niet veilig: scanners kunnen ook andere poorten vinden. De firewall op de router en die op het apparaat blijven belangrijk. Controleer beide, want een regel op de ene plek betekent niet vanzelf dat de andere het verkeer toestaat of tegenhoudt.
Veiligere alternatieven
Vaak hoef je een dienst niet rechtstreeks voor het hele internet open te zetten. Een alternatief is een VPN naar huis: je maakt eerst een beveiligde verbinding met je thuisnetwerk en gebruikt daarna de dienst via die verbinding. Een gewone commerciële VPN voor internetgebruik brengt je niet automatisch bij je eigen thuisnetwerk; daarvoor moet je een passende toegang tot huis instellen.
Een VPN kan de blootstelling beperken, maar is geen vrijbrief. De VPN-toegang zelf moet goed zijn beveiligd, met bijgewerkte software, sterke authenticatie en alleen toegang voor apparaten en personen die je vertrouwt. Bij sommige opstellingen moet je nog steeds een poort voor de VPN-server doorsturen. Andere oplossingen leggen via een bemiddelende dienst verbinding en hebben niet altijd zo’n regel nodig. Welke methode werkt, hangt ook af van je internetverbinding. Lees meer over de werking van een VPN.
Een andere mogelijkheid is een dienst die toegang op afstand regelt via een tussenliggende server. Dan hoef je soms geen inkomende poort op je router te openen. Je vertrouwt daarbij wel op de beveiliging en beschikbaarheid van die dienst; controleer hoe accounts, toegangsrechten en versleuteling zijn geregeld.
Heb je alleen binnen huis toegang nodig, laat toegang van buiten dan uitgeschakeld. Wil je alleen af en toe bestanden delen, dan kan een geschikte clouddienst eenvoudiger zijn dan een eigen server op internet zetten. Ook dan blijven goede accountbeveiliging en zorgvuldig ingestelde deelrechten belangrijk.
Veelgestelde vragen
Is port forwarding altijd gevaarlijk?
Nee, maar het maakt een dienst mogelijk bereikbaar voor anderen op internet. Het risico hangt af van de dienst, de beveiliging en wie er toegang krijgt.
Is een open poort hetzelfde als een gehackt apparaat?
Nee. Een open poort kan gewoon bij een gewenste dienst horen. Wel kan die dienst worden aangevallen als hij van buiten bereikbaar is.
Kan ik UPnP uitschakelen?
Ja, meestal kan dat in de instellingen van je router. Controleer daarna of toepassingen die inkomende verbindingen nodig hebben nog goed werken.
Waarom werkt mijn poortdoorschakeling niet?
Controleer onder meer het interne IP-adres, het poortnummer, het protocol en de firewall. Ook een extra router of een door de provider gedeeld publiek IPv4-adres kan bereikbaarheid verhinderen.
Heb ik voor een VPN naar huis nooit port forwarding nodig?
Dat hangt af van de VPN-opstelling. Sommige VPN-servers hebben een doorgeschakelde poort nodig; andere oplossingen kunnen zonder inkomende poortregel werken.