Forestil dig, at du sætter morgenkaffen over, mens robotstøvsugeren drøner afsted, babyalarmen streamer til din mobil, og hundens aktivitetstracker pinger til skyen. Dit hjem summer af Wi-Fi – men hvor mange af de små digitale øjne og ører kan i virkeligheden se og høre mere, end du bryder dig om? Og hvad sker der, hvis blot én af dem bliver kompromitteret?
I takt med at vores boliger bliver smartere, vokser også antallet af potentielle smuthuller for hackere, datasamlere og nysgerrige gæster. Privatliv og sikkerhed handler derfor ikke længere kun om at låse hoveddøren – det handler om at sikre hele det digitale økosystem, fra routeren i bryggerset til stemmeassistenten i stuen.
I denne guide gennemgår vi 7 smarte måder at tage kontrollen tilbage på. Vi starter ved netværkets nervecenter og bevæger os ud til de mest sårbare enheder – undervejs får du konkrete trin-for-trin-anvisninger, typiske faldgruber og hurtige sanity-tests, så du kan sove roligt velvidende, at dit hjem (og dine data) er under din egen nøgle.
Læn dig tilbage, tænd en kop kaffe mere, og lad os gøre dit Hjem & Hale lige så sikkert, som det er smart.
1) Sæt routeren i centrum: sikr grundnettet i hjemmet
Routeren er dørvogteren til alt, der forlader eller kommer ind i dit hjemmenet. Får nogen kontrol over den, er alle opkoblede pærer, kameraer og telefoner reelt deres – derfor begynder et privat, sikkert smart-hjem altid her.
Trin-for-trin: Gør routeren privatlivs-klar
- Skift fabriks-brugernavn og ‑adgangskode
Log ind på routeren, find “Administration” / “System” og lav både brugernavn og kode om. Brug en password-manager til en lang, unik adgangskode.
Fejlkilde: Nogle routere har to logins (web-GUI og SSH/Telnet) – husk begge. - Slå fjernadministration fra
Deaktiver “Remote Management”, UPNP IGD, Cloud-access og globale port-forwardings, medmindre du har et konkret behov.
Fejlkilde: På udbyderbokse hedder funktionen ofte “WAN-administration” eller “TR-069 remote GUI”. - Deaktivér WPS
WPS-knappen er nem for gæster – og angribere. Slå den helt fra i Wi-Fi-indstillingerne. - Vælg stærk kryptering og kode
Sæt WPA3 Personal (eller WPA2-AES som næstbedste) og brug en >20-tegns kode uden personlige referencer. - Brug et anonymt SSID
Navngiv netværket “HjemNet_5G” fremfor “Peters_Hus”.
Fejlkilde: At skjule SSID’et virker ikke – det kan stadig snappes i luften og skaber kun kompatibilitetsproblemer. - Opdatér firmware
Tjek producentens download-side, eller slå “Auto update” til. Gør det også på eventuelle mesh-satellitter. - Begræns adgang til admin-panelet
• Tillad kun kablede enheder eller en bestemt intern IP-range.
• Skift lytteport væk fra 80/443/8080 for at undgå banale scannere.
Bridge-mode: Mere kontrol, færre bagdøre
De fleste internetudbydere leverer en “alt-i-en” boks. Sæt den i bridge-mode, så den blot fungerer som modem, og lad en egen router/mesh stå for alt andet. Fordele:
- Ensartet interface og opdateringer du selv styrer.
- Ingen skjulte fjernstyringsporte fra udbyderen.
- Bedre dækning og flere avancerede indstillingsmuligheder (VLAN, WireGuard …)
Gæstenet med klient-isolering
Opret et separat SSID til besøgende (uddybes i næste afsnit) og aktiver “Client Isolation”/“AP Isolation”, så gæster – og potentielt kompromitterede IoT-gadgets – ikke kan se hinanden eller din primære router.
Hurtig sanity-test (5 minutter)
- Kobl en telefon på Wi-Fi: Kan du ikke nå 192.168.1.1 (router-GUI), når den burde være blokeret? Godt.
- Kør en Wi-Fi-scanner-app: Viser den “WPS: Off”? Hvis ikke, tilbage til menuen.
- Prøv at logge ind udefra (mobil-data) på din offentlige IP: Timeout = korrekt lukket.
- Tjek firmwareversion: passer den med seneste changelog på producentens hjemmeside?
Når disse grundtrin er på plads, har du lagt den mest kritiske mursten i et privat og robust hjemmenet – og skabt et solidt udgangspunkt for de mere avancerede netværkszoner, vi bygger videre på i næste sektion.
2) Segmentér netværket: adskil IoT, gæster og arbejde
Når alt fra støvsugeren til dørklokken taler med nettet, stiger risikoen for, at en sårbar IoT-dims bliver springbræt til resten af hjemmet. Derfor anbefaler vi mindst tre logiske zoner:
- Privat/arbejde – pc’er, telefoner, NAS, arbejds-VPN, bank.
- IoT – tv, kameraer, stemmeassistenter, sensorer, smart-pærer.
- Gæster – venner, familie, håndværkere.
Den hurtige løsning: Flere ssid’er
Næsten alle moderne routere/mesh-systemer understøtter flere Wi-Fi-netværk:
- Privat SSID: Dit normale net, ingen begrænsninger.
- IoT SSID: Slå klient-isolering (AP isolation) til, så enheder ikke kan se hinanden. Sørg for stærk WPA2-AES eller WPA3-PSK og en helt anden adgangskode end privatnettet.
- Gæste SSID: Aktivér både klient-isolering og blokering af adgang til routerens lokale net (typisk en afkrydsningsboks “Allow guests to access local network = OFF”). Brug tidsplan eller QR-kode til hurtig deling.
Fordele: Det tager få minutter, og du behøver ingen specialudstyr. Ulemper: Du kan ikke finstyre trafik mellem zoner – enten er der hul igennem, eller også er der ikke.
Den professionelle løsning: Vlan + firewall-regler
Har du en router, der kan håndtere 802.1Q VLAN (Ubiquiti, MikroTik, pfSense, Asus m.fl.), får du detaljestyring og bedre ydelse:
- Opret tre VLAN’er – f.eks. 10 (Privat), 20 (IoT), 30 (Gæst) – og tildel hver deres DHCP-scope.
- Tag et SSID pr. VLAN på dit access-punkt eller mesh. På kablede switche tagger du de relevante porte.
- Firewall-regler:
- IoT ➜ WAN: ALLOW
- IoT ➜ Privat: BLOCK
- Gæst ➜ Privat/IoT: BLOCK
- Privat ➜ IoT/Gæst: ALLOW (valgfrit, ofte nødvendigt for admin-apps).
- Undtagelser laves som snævre huller:
- Tillad mDNS eller SSDP kun mellem bestemte IP’er, så du fx kan caste til et Chromecast-tv i IoT-zonen.
- Brug en mDNS-repeater eller service-proxy, hvis din router har funktionen, frem for at åbne alt broadcast-trafik.
Tip: Sæt logning på reglen BLOCK IoT ➜ Privat. Ser du gentagne forsøg, er det tegn på, at en enhed nysgerrigt scanner dit net.
Standardregler, der virker
- IoT-zonens enheder har kun behov for udgående internet (typisk TCP 80/443). Kun hvis producenten kræver specielle porte, åbnes de – helst som egress, aldrig port-forward ind.
- Gæstezonens klienter må kun ud på internettet, og de skal være isoleret fra hinanden, så Bob ikke kan browse Alices laptop-shares.
- Privatzonen er “borgmuren”; alt udefra blokeres som udgangspunkt.
Praktisk sanity-tjek
- Tilslut en IoT-enhed eller en test-telefon til IoT-SSID’et.
- Kør en netværksscanner-app (fx Fing eller Net Analyzer). Du bør ikke kunne se enheder i 192.168.1.0/24, hvis dit privatnet kører dér.
- Åbn browseren og prøv at gå til routerens admin-IP. Siden skal time-oute.
- Caster eller AirPlay virker stadig? Hvis ikke, åbn kun de nødvendige protokoller som beskrevet ovenfor.
Håndtering af printere, hubs og andre primadonnaer
Nogle enheder – typisk printere, Philips Hue-broer og gamle Sonos-højttalere – vil absolut “ses” på samme net som din telefon:
- Dedikeret “Home-Automation” VLAN: Placér hubs, og lav enkelte porte åbne til privat-VLAN’et (kun TCP 443 til Hue-broens IP).
- Service-proxy: Mange avancerede routere kan videresende mDNS/SSDP uden at åbne hele subnettet.
- USB- eller AirPrint-gateway: Nogle mesh-systemer tilbyder “printer-server”-funktion, så selve printeren kan blive på IoT-nettet.
Hold øje med firmware: Så snart en enhed får Matter– eller Thread-understøttelse, kan du ofte flytte den over i IoT-zonen uden ekstra arbejde.
Huskeliste før du går videre
- Unikke Wi-Fi-koder til hver zone.
- Klient-isolering ON på IoT & Gæst.
- UPnP OFF på alle VLAN’er.
- Test fra alle zoner efter hver ændring – det sparer fejlfinding senere.
Med solide zoner på plads er der langt færre veje ind til dine mest følsomme data – og du kan trygt lade robotstøvsugeren sniffe sig rundt uden at frygte, at den samtidig støvsuger dine filer.
3) Få overblik og minimér angrebsfladen
Det lyder måske kedeligt, men nøglen til et privat og sikkert smart-hjem er et godt overblik. Når du ved hvad der er koblet på nettet – og hvorfor – bliver det meget lettere at lukke de huller, der ellers står åbne.
- Start med en inventarliste
Notér alle enheder, du kan finde i routerens klient-oversigt, i en delt notesbog eller et regneark:- Navn + producent + model
- MAC-adresse og/eller fast IP (hvis du bruger DHCP-reservation)
- Firmware-/softwareversion
- Tilhørende app og bruger-/cloud-konto
- Hærd udstyret: fjern de oplagte indgange
- Skift alle standardlogins (admin/admin osv.). Brug en password-manager, så koderne stadig er til at holde styr på.
- Slå UPnP fra på routeren og i enhedernes egne menuer. UPnP åbner ellers porte automatisk til internettet.
- Gennemgå eksisterende port-forwardinger og slet dem, du ikke bruger længere.
- Deaktivér unødig fjernadgang, P2P eller cloud-funktioner. Har du virkelig brug for at kunne tilgå kameraet fra stranden, eller er det fint kun på hjemmenetværket?
- Sluk for telemetri og annoncering
Især smart-TV er sultne efter data. Kig under Indstillinger → Privatliv og slå følgende fra, hvis muligt:- “Automated Content Recognition” (ACR) eller “Viewing Info Services”
- Diagnostik & brugerdeling
- Personlige annoncer
- Ned med angrebsfladen – bogstaveligt talt
En enhed, der er slukket, kan hverken dele data eller hackes. Brug derfor:- Tidsplaner på kameraer eller smart-stik, så de kun er tændt, når du har brug for dem.
- Automatiseringer, der slukker f.eks. en smart-højttaler, når ingen er hjemme.
- Funktioner, der bør være slukket som udgangspunkt
- Fjernoplåsning af smartlåse og garageporte
- Live videoafspilning uden adgangskode (nogle babyalarmer)
- “Guest network” på kaffemaskiner og andre kuriositeter
- Direkte styring af varme/AC fra cloud uden ekstra godkendelse
Når du først har været hele listen igennem, føles dit hjemmenet pludselig mindre som et virvar af sorte bokse og mere som et system, du har kontrol over. Og jo færre åbne døre, desto sværere for ubudne gæster at trænge ind.
4) Styr konti og tilladelser: unikke koder, 2FA og app-privilegier
Et opkoblet hjem kan hurtigt betyde 20-50 forskellige konti hos producenter og apps. Genbrugte eller svage koder betyder, at ét datalæk kan kompromittere hele hjemmet. Løsningen er en password-manager (fx 1Password, Bitwarden eller Enpass):
- Installer manageren på alle enheder i husstanden (pc, telefon, tablet).
- Opret en stærk hovedadgangskode (mindst 3-4 tilfældige ord + tal/symboler) og slå 2FA til på selve manager-kontoen.
- Generér unikke, 20+ tegn lange koder til hver producentkonto (Philips Hue, Ring, Sonos osv.).
- Hvis enheden også har en lokal login (fx RTSP-stream på kamera): vælg en anden stærk kode og gem den i manageren.
- Udskift løbende gamle eller svage koder, når manageren markerer dem.
Aktivér 2fa – Og vælg den rigtige metode
Næsten alle større IoT-producenter tilbyder i dag 2FA. Gå ind i kontoindstillingerne og vælg en app-baseret metode (Authenticator, FreeOTP) eller hardware-token (YubiKey) frem for SMS, som kan kapres.
Glem ikke app-butikkerne (Google/Apple). Hvis angribere kan købe apps på din regning, kan de også installere skadelig kode på hjemmets styreenheder.
Brug e-mail-aliasser til at spore læk
Opret en unik alias-adresse pr. tjeneste (philips-hue@ditdomæne.dk). Kommer der spam til aliaset, ved du præcis, hvem der har lækket adressen, og du kan lukke aliaset uden at ændre hoved-mail.
Giv apps mindst mulige privilegier
De mobiler og tablets, der styrer hjemmet, er en kontrolfjernbetjening. De bør ikke selv være datalekkende enheder.
- Gå igennem Indstillinger ▸ Privatliv (iOS) / Indstillinger ▸ Tilladelser (Android).
- Slå kun Lokation, Bluetooth, Mikrofon og Kamera til, når appen “er i brug”.
- Deaktivér baggrundsaktivitet for apps, der ikke behøver push-notifikationer hele tiden.
- Fjern adgang for apps, du ikke har åbnet de sidste 3-6 måneder.
Undgå social login – Eller brug “sign in with apple” med skjult mail
Facebook- eller Google-login kan give producenterne ret til at trække mere data end nødvendigt. Har du brug for single sign-on, er Sign in with Apple bedre: den skjuler din e-mail og giver meget stramme tilladelser.
Del adgange sikkert i husstanden
Et fælles “familielogin” skaber kaos, når nogen skifter kode eller forlader hjemmet. Brug i stedet:
- Underkonti/roller i producentens portal (fx “Household Member”, “Viewer” eller “Child Profile”).
- Password-managerens delte vault til partner eller voksne børn.
- Børneprofiler med begrænset adgang til låse eller kameraer.
Har du håndværkere eller gæster, der midlertidigt skal styre lys eller lås?
- Lav en tidsbegrænset PIN eller engangskode i låsens app.
- Giv adgang via “Guest mode” i assistenten – den gemmer ingen historik.
- Slet eller deaktiver koden igen, når besøget er slut.
Hurtigt månedligt tjek
- Kør password-managerens sikkerhedsrapport: kompromitterede eller dublerede koder?
- Log ind på e-mail-alias-tjenesten og se, om nogen aliaser er begyndt at modtage spam.
- Gennemgå app-tilladelserne på styreenheder og fjern overflødige.
Fem minutter om måneden kan spare timer – og mange bekymringer – hvis (når) én af producenternes databaser bliver hacket.
5) Særlige hensyn til kameraer, babyalarmer og stemmeassistenter
Disse enheder kombinerer:
- Kontinuerlig sensordata – billede, lyd og ofte biometriske mønstre.
- Cloud-afhængighed – standardopsætningen sender alt videre til producenten.
- Fysisk placering i intime zoner – soveværelser, børneværelser og stuer.
Bliver de kompromitteret – eller mis-konfigureret – risikerer du, at hjemmets mest private øjeblikke ender hos fremmede. Derfor skal privacy være udgangspunktet – ikke en eftertanke.
Kameraer: Privacy-first fra køb til placering
- Vælg hardware klogt
• Kig efter ende-til-ende-kryptering (E2EE) og lokal lagring på SD-kort eller NAS.
• Sørg for synligt LED-lys, der kun kan slås fra, hvis kameraet er fysisk lukket med en shutter. - Placer bevidst
• Undgå vinkler mod soveværelser, naboers have eller offentlig vej – det er i strid med loven.
• Brug privatlivszoner/masker i appen til at sortmale områder, der ikke må optages. - Konfigurer sikkert
• Slå fjernvisning fra, hvis du sjældent har brug for den.
• Roter stream-nøgler (RTSP/ONVIF) hver 3.-6. måned.
• Isolér kameraerne på dit IoT-SSID/VLAN, så de ikke kan tilgå husstandens filer. - Lovkrav
• Du må kun optage din egen grund, og optagelser med personer kræver et sagligt formål.
• Sæt tydelig skiltning, hvis kameraet peger mod hoveddøren.
Babyalarmer: Ingen grund til at sende sut og søvn ud i skyen
- Vælg en model med krypteret digital DECT eller lokal Wi-Fi, ikke analoge 433 MHz-sendere.
- Skift standardadgangskoder til app og enhed straks efter unboxing.
- Deaktiver alle cloud-funktioner (”se barnet fra kontoret”) hvis du ikke absolut behøver dem.
- Sørg for, at streamen kun er tilgængelig fra det isolerede IoT-net, og brug VPN til fjernadgang ved ferie.
Stemmeassistenter: Hold styr på husets ører
- Mikrofon på en kontakt
• Sæt hardware-knappen i ”mute” som standard – især om natten og ved gæster. - Dataminimering
• Aktivér automatisk sletning af stemmehistorik (f.eks. hver 3. måned).
• Slå personlige resultater, indkøb og kalendersøgning fra, medmindre nødvendigt. - Gæstetilstand & rettigheder
• Brug enhedens ”guest mode”, så besøgende ikke kan høre dine personlige beskeder.
• Gennemgå og fraslet tredjeparts-skills, du ikke bruger – de er ofte dataslugere.
Syv hurtige tjek før du læner dig tilbage
- Kontroller, at LED-indikatoren tænder ved optagelse.
- Test med telefon på gæste-Wi-Fi: Kan du ikke nå kamera-admin? Godt.
- Åbn producentkontoen: Er 2FA slået til?
- Gennemgå tilladelser i telefonens indstillinger: Har babyalarm-appen virkelig brug for GPS?
- Skift stream-nøgle, og bekræft, at den gamle ikke længere virker.
- Aktiver ”mute” på assistenten og forsøg en stemmekommando – ingen respons er det, du vil have.
- Sæt en kalenderpåmindelse om halvårlig kontrol og nulstilling.
Informer – Både lovpligtigt og høfligt
Dansk lov (Kameraovervågningsloven og Databeskyttelsesloven) kræver, at du:
• Skilter tydeligt, hvis du filmer.
• Undlader at filme offentlige arealer uden tilladelse.
• Sletter optagelser, når formålet er opfyldt.
Derudover er det god stil at fortælle familie, gæster og håndværkere, at der er aktive assistenter eller kameraer – og hvor mikrofonen kan slås fra.
Vil du dykke endnu dybere ned i, hvorfor digitalt privatliv er blevet en hverdagskompetence, så læs artiklen Privatliv – fra teknisk specialområde til almindelig viden.
6) Opdateringer, vedligehold og enheders livscyklus
Forældet firmware er en af de hyppigste årsager til kompromittering af smart-hjem. De fleste nyere enheder kan opdateres uden manuelt at hente filer – det kræver blot, at funktionen er slået til:
- Router/mesh: Log ind i web- eller app-interfacet, find sektionen Administration > Firmware eller System > Update og aktivér Auto-update. Nogle producenter kalder det “Auto-upgrade” eller tilbyder planlagte tidsrum (vælg en natlig tidsplan, hvor familien sover).
- Hubs og bridges (Philips Hue, Homey, IKEA m.fl.): Åbn den tilhørende app > Settings/Opdateringer > slå automatisk opdatering til. Bekræft, at hubben får lov til at hente opdateringer på IoT-VLAN’et – ellers kommer de ikke igennem.
- Enkeltstående IoT-enheder: Kig efter menupunktet Device Info eller About i appen. Sæt Check for updates automatically til og noter versionsnummeret – det bliver dit pejlemærke til næste eftersyn.
Tip: Hvis en firmwareopdatering virker mistænkeligt længe om at installere, så tjek producentens status-side eller sociale medier, før du afbryder strømmen – halvopdaterede enheder kan ende i “boot-loop”.
Indfør et kvartalsvist “serviceeftersyn”
Sæt et tilbagevendende møde i kalenderen – fx den første søndag i januar, april, juli og oktober – hvor hele opsætningen får et sikkerhedstjek. Brug nedenstående mini-tjekliste:
- Log ind på router/mesh, hub og de vigtigste apps. Notér versionsnumre og bekræft, at seneste firmware ligger installeret.
- Tjek adgangsrettigheder i apps: Har den smarte pære virkelig brug for lokalitetsdata? Fjern unødvendige tilladelser.
- Kør en hurtig netværksscan (fx med Fing eller NetAnalyzer) og se, om nye MAC-adresser er dukket op. Ukendte enheder → identificér eller blokér.
- Gennemgå Event logs på routeren. Uforklarlige login- eller trafikforsøg er et faresignal.
Køb med fremtiden i tankerne
Når du investerer i nyt udstyr, så vælg mærker der lover – og dokumenterer – minimum fem års sikkerhedsopdateringer. Kig efter:
- Matter eller Thread-kompatibilitet: åbne standarder, der gør det lettere at køre samme enhed videre, selv hvis du skifter hub.
- Offentligt changelog og sikkerhedsrådgivning (producerens CVE-historik siger en del om, hvor alvorligt de tager patches).
- Mulighed for lokal styring uden cloud, så enheden ikke bliver ubrugelig den dag serverne lukkes.
Backup af konfigurationer
Før store ændringer – og mindst én gang om året – bør du tage backup:
- Router/mesh: Advanced > Backup/Restore → download konfigurationsfil (ofte .cfg eller .zip). Gem to kopier: én offline (USB-stick i pengeskab) og én krypteret i skyen.
- Hubs: De fleste apps har “Eksportér indstillinger”. Hvis ikke, så tag screenshots af automatiseringer, VLAN-regler, Zigbee-bindinger osv.
- Lav et simpelt regneark med Enhedsnavn, IP, MAC, login-mail, sidste firmware. Det koster 10 minutter, men sparer timer ved nedbrud.
Sikker bortskaffelse, udlån eller salg
Når en enhed forlader hjemmet – permanent eller midlertidigt – skal alle spor slettes. Følg denne rækkefølge:
- Fabriksnulstil via hardwareknap eller app (hold ofte RESET 10-15 sek.). Vent på bekræftelse.
- Fjern fra cloud-kontoen: Log ind på producentens portal → My devices > Delete / Unlink. Tjek også eventuelle integrationer (Google Home, Alexa, HomeKit).
- Slet lokalt lager: Formater SD-kort, intern eMMC eller tilhørende NAS-mappe.
- Nulstil adgangs-tokens: Er det en smartlås, så slet digitale nøgler, PINs og API-tokens. For kameraer: regenerér stream-URL’er.
- Dokumentér serienummer og købsdato, hvis garantien skal følge med til ny ejer.
Udlejer du midlertidigt (f.eks. håndværkere), så opret gæsteprofiler i appen og sæt en tidsgrænse, i stedet for at dele dit hovedlogin.
Med faste opdateringer, planlagt vedligehold og korrekt end-of-life-håndtering holder du privatlivsrisikoen nede – og slipper for panik, når producenten udruller næste store sikkerhedspatch.
7) Filtrér og krypter trafikken: DNS, tracker‑blokering og sikker fjernadgang
Den hurtigste måde at lukke noget af den datalækage, som mange smart-enheder konstant laver, er at udskifte internetudbyderens DNS-servere.
- Vælg en udbyder der respekterer privatliv: eksempelvis Quad9 (9.9.9.9), NextDNS eller Cloudflare (1.1.1.1). Tjek deres politik for logopbevaring – flere nulstiller IP-logs på få døgn eller anonymiserer dem helt.
- Aktivér DoH eller DoT: I de fleste moderne routere kan man under “Internet / WAN” vælge DNS over HTTPS (DoH) eller DNS over TLS (DoT). Kan routeren ikke selv, kan du i stedet lade et lokalt filter (se næste afsnit) terminere forbindelsen krypteret.
- Gem ændringen, skyl cache og test: Skriv nslookup hjemogdyr.dk fra en pc. Feltet “Server” skal nu vise den nye DNS-udbyder.
Netværksbaseret annonce- og tracker-blokering
Apps på tv, højttalere og robotstøvsugere har ingen browser-udvidelse til adblock. I stedet kan du sætte et filter ind mellem dem og internettet:
- NextDNS (cloud + apps): Opret gratis konto, vælg bloklister (f.eks. Energized eller OISD) og peg dit hjemnets DNS mod den tilpassede Anycast-adresse. Fordel: ingen hardware. Ulempe: koster lidt pr. måned over 300.000 forespørgsler.
- AdGuard Home: Kører lokalt på f.eks. en Raspberry Pi eller NAS. Giver DoH/DoT, statistik og muligheden for at have forskellige regler til IoT og børneværelse.
- Pi-hole: Minimalistisk open-source løsning – perfekt til et ældre Pi Zero eller container på din router.
Whitelist med omtanke: Nogle enheder nægter at opdatere, hvis deres telemetridomæner er blokeret. I loggen kan du se, hvad der fejler, og tilføje lige præcis disse domæner til en tilladeliste i stedet for at åbne hele enheden via UPnP eller port-forward.
Trim trafikken: Egress-regler og porte
Har din router/firewall mulighed for policy based routing eller en simpel udgående ACL, kan du sætte stikket i endnu tættere:
- Kend behovet: Et Hue-bridge skal kun kontakte *.meethue.com på port 443. Et kamera med lokal NVR behøver typisk slet ikke udgående adgang.
- Lav reglen: “VLAN 20 (IoT) → WAN kun TCP 443 + UDP 123 (NTP)”.
- Test: Brug PCAP på routeren eller appen Packet Capture på Android til at se, om enheden forsøger nye, uautoriserede domæner.
Husk klassikerne: Dns-rebind & upnp
- DNS-rebind-beskyttelse: Slåes til i de fleste firmware som “Prevent DNS Rebind” – forhindrer, at en ondsindet DNS-svar sender dit smart-tv til 192.168.0.1 (din router) i stedet for Netflix.
- UPnP = slukket: Kun ganske få spil eller videokonferencer kræver det, og de kan som regel bruge NAT-PMP eller manuelt forward alligevel.
Sikker fjernadgang uden skybagdøre
Mange IoT-producenter tilbyder “nem adgang udefra” gennem deres egne servere. Det er praktisk – men du giver samtidigt en tredjepart permanent adgang til dit hjemmenet.
- Kør din egen tunnel: Installer WireGuard på routeren eller en lille VPS. Appen på mobilen forbinder med én tryk, og du ser hjemmenettet som om du sad på sofaen.
- Luk cloud-back-door: Deaktiver fjernadgang i kamera-/router-apps, når din egen tunnel fungerer.
- Vær varsom med “alt-gennem-VPN” på routeren: Streamingtjenester kan blokere IP-omrader, og hele husstanden vil brokke sig over langsom hastighed. Brug i stedet policy-routing – kun pc’en med torrents ryger gennem kommerciel VPN.
Let, men målrettet overvågning
Privatliv betyder også, at du har indblik – ikke at du gemmer store bunker persondata:
- Slå trafiklogs til på routeren (destination, domæne, tidspunkt). Gem højst 30 dage eller eksporter til syslog-server og kør automatisk sletning.
- Tjek en gang om måneden: ukendte kinesiske domæner fra robotstøvsugeren? Plug-and-play integreret babyalarm der pludselig chatter til 8.8.8.8 hele natten? Reager – blokér eller opdater firmware.
- Undgå DPI eller pakkelogning af indhold, medmindre du er fuldt klar over de juridiske krav for databehandling i husstanden.
Med krypteret DNS, målrettet blokering og din egen sikre tunnel får du et netværk, der både er hurtigere, roligere – og langt mindre snage-venligt.