--- title: "Breng je thuisnetwerk in kaart voor je het beveiligt" date: 2026-09-11 author: "Rik Hoogland" featured_image: "https://humanfirewall.nl/wp-content/uploads/2026/09/screenshot-scaled.png" categories: - name: "Technologie" url: "/category/technologie.md" --- # Breng je thuisnetwerk in kaart voor je het beveiligt Open eens het klantenscherm van je router. Daar staat een lijst met apparaten die op dit moment aan je netwerk hangen, en de helft heet iets als `esp32-8f3a`, `android-9x2` of `ubuntu-server`. Welke daarvan van jou zijn? Dat ene apparaat dat je niet kunt plaatsen, is óf de ESP32 die je zelf aan de muur schroefde, óf iets heel anders. Zonder lijst weet je dat niet — en dat is precies de plek waar thuisbeveiliging begint. Er is deze week een gratis tool in het rond gegaan die daar iets aan doet — een [post op X](https://x.com/tom_doerr/status/2098258500673495355) erover werd in een dag ruim 12.000 keer bekeken — en hij heeft een eigenaardige dubbelrol: hij helpt je netwerk in kaart te brengen, maar de standaardversie kent zelf nog geen inlogscherm. Daarover straks meer. ## Beveiligen wat je niet kent, kan niet In de CIS Controls — een veelgebruikte richtlijn waarmee organisaties hun beveiliging opbouwen — staan de eerste twee maatregelen niet over firewalls of virusscanners. [Maatregel één](https://www.cisecurity.org/controls/inventory-and-control-of-enterprise-assets): maak een inventaris van je apparaten — met als expliciet doel onbevoegde en onbeheerde apparaten op te sporen. Maatregel twee: maak een inventaris van je software. Pas daarna volgt alles waarvan je misschien dacht dat het voorop stond. De logica is hard: een patchbeleid, een gastnetwerk, een firewallregel — het werkt alleen op spullen waarvan je weet dat ze bestaan. Thuis is dat niet anders. De vergeten Raspberry Pi onder het bureau, de test-VM die nooit werd weggegooid, de oude smartplug: geen van die dingen is een probleem tot er een lek in zit en niemand ze meer updatet omdat niemand ze nog kent. Zo’n apparaat is geen risico omdat het zwak is, maar omdat het onzichtbaar is. ## Home Lab Hub: een inventaris die zichzelf tekent Daar valt [Home Lab Hub](https://github.com/RaidOwl/homelab-hub) mooi in. Het is een opensource-webapp (MIT-licentie) waarin je vastlegt welke hardware, VM’s, apps, opslag, shares en netwerken je hebt — inclusief de relaties daartussen. Op het tabblad Map tekent die invoer zichzelf als interactieve graaf: je ziet welke app op welke VM draait en welke VM op welke host. Je kunt er markdown-documentatie bij houden, en alles exporteer je met één knop als JSON. De database is een SQLite-bestand op je eigen machine. Draaien doet hij het makkelijkst met Docker, ook op een Raspberry Pi 4: ``` docker run -d --name homelab-hub -p 8000:8000 -v ./data:/data --restart unless-stopped raidowl/homelab-hub:latest ``` Invoeren is handwerk — de app zoekt niets zelf en meet niets live. Zie het als de plattegrond van je netwerk, niet als een alarmsysteem. Maar juist dat handwerk dwingt je om elk apparaat een keer bewust te benoemen, en dat benoemen is het beveiligingswerk zelf. ## De gewoonte is de beveiliging, niet de kaart Een interactieve netwerkkaart klinkt als iets voor mensen met drie servers in de woonkamer. Toch is dit waar we het nut ook voor een gewoon thuisnetwerk zien: het levert een plek waar de lijst leeft in plaats van verstofft. Documentatie werkt alleen als verdediging wanneer hij klopt — een inventaris van vorig jaar die zegt dat alles veilig is, is erger dan geen inventaris, want hij geeft schijnzekerheid. Wie dit soort tooling installeert en nooit bijhoudt, koopt een rookmelder zonder batterij. Onzichtbare apparaten zijn het thuis-equivalent van shadow IT: niet kwaadaardig, maar onbeheerd. Wat op een kaart staat, kan afwezig opvallen. Wat nergens staat, nooit. ## De inventaristool zonder eigen inlog Home Lab Hub heeft in de standaardversie — het docker-image met tag `latest` — geen authenticatie. Iedereen die de pagina kan bereiken, ziet je hele inventaris. Voor een aanvaller is zo’n app letterlijk een voorgesneden kaart van je netwerk: welke machines je hebt, welke diensten waar draaien, welke shares bestaan. Het verzoek om een inlogscherm ligt sinds 6 maart op GitHub ([issue #29](https://github.com/RaidOwl/homelab-hub/issues/29)), en maker RaidOwl bouwde op 14 maart inderdaad een eenvoudige login in een testimage met tag `dev`: read-only voor bezoekers, een adminwachtwoord via de omgevingsvariabele `ADMIN_PASSWORD`. Lees die read-only goed: ook de versie mét login sluit alleen het aanpassen af — wie de pagina bereikt, ziet je hele kaart nog steeds. Bovendien waarschuwt de maker dat de dev-image onafgemaakte functies en bugs kan bevatten en niet voor serieus gebruik is bedoeld. En sinds die maart-update is de repository stil. De status van `latest` is dus: aannemen dat iedereen meekijkt. Concreet: niet achter een kale reverse proxy naar buiten zetten, niet op een publieke poort draaien, alleen binnen je LAN of achter je eigen VPN zoals Tailscale. Wil je de versie mét login, dan draai je `raidowl/homelab-hub:dev` en zet je meteen een eigen `ADMIN_PASSWORD` — de standaard is letterlijk “admin”. Dezelfde redenering als bij [je smart-tv op een apart netwerk](https://humanfirewall.nl/smart-tv-gastnetwerk-isoleren/): de vraag is niet of het apparaat kwaad wil, maar wie erbij kan. ## Leg vanavond je routerlijst naast je kaart Eén concreet halfuur: open de apparaatlijst van je router en de kaart of lijst die je hebt — en zo niet, vul er dan in Home Lab Hub net genoeg in om die routerlijst te kunnen afvinken. Elk apparaat op de routerlijst dat je niet kunt benoemen, is je actielijst: uitzoeken wat het is, of van je netwerk af. Het is hetzelfde principe als bij [shadow AI op de werkvloer](https://humanfirewall.nl/shadow-ai-werkvloer/) — het probleem is niet dat mensen iets geks doen, maar dat niemand meer weet wat er allemaal aanstaat. ## Stil op GitHub, nuttig op je LAN De hoofdversie van Home Lab Hub is sinds februari niet bijgewerkt en het project telt 27 openstaande issues en pull requests. Of er nog een release komt waarin de login standaard wordt, is een open vraag. De verdediging begint daarom niet bij de tool: die begint op het moment dat jij voor elk zoemend kastje in huis kunt zeggen wat het is en waarom het aanstaat.