Hemnätverket, genomlyst

Jag har ett litet... zoo av uppkopplade prylar hemma. Wifi-mesh, smarta högtalare, smarta lampor, en robotdammsugare, till och med ugnen och spisen — och ingen riktig aning om vad som faktiskt pratade med vad. Det är knappast unikt: de flesta svenska hushåll har i dag en uppsjö uppkopplade enheter, oftast utan att någon i huset har full koll på vad som faktiskt är anslutet. Och vem som kan komma åt det?

Poängen med det här projektete var inte att mata min paranoia, tvärtom. Det var att få tre saker klara: en överblick över vad som faktiskt finns på nätet, en lista på vad som bara kan bli lite bättre, och — viktigast — en tydlig linje mellan det och vad som faktiskt är en säkerhetsfråga.

Så jag bad Claude Code bygga en genomlysning: kartlägg allt, mät vad nätet faktiskt levererar, och gräv i säkerheten. Med tydliga spelregler — rör ingenting, gissa aldrig ett lösenord, skicka aldrig data någonstans utöver en MAC-adressuppslagning och min egen publika IP.

Resultatet blev en egen liten dashboard i ren Python utan ett enda extra beroende, som bara lyssnar mot min egen dator. Den kartlägger varje enhet, mäter genomströmning och svarstid live, och håller koll på om något dyker upp som inte borde vara där. Man framförallt ger den råd om vad jag kan göra.

Råden skiljer på tre nivåer: vad som faktiskt behöver åtgärdas nu (en backup som aldrig varit inställd, en avstängd brandvägg), vad som bara kan bli bättre (WPA2 istället för WPA3, inget gästnätverk), och vad som redan är bra som det är. Just den uppdelningen — inte bara en lång lista på saker som låter läskiga — det är poängen..

Roligast var när jag testade internethastigheten tre gånger på en kväll och fick tre olika svar — 15, 94 och 805 Mbit/s nedladdning, på samma linje, samma kväll. Facit visade sig vara abonnemanget jag faktiskt betalar för, inte något av testerna rakt av. Bra påminnelse om att inte lita på den första siffran som dyker upp, hur potent den än är.

Sidan uppdaterar sig i realtid, har ett delningsläge som maskar allt känsligt när jag vill visa upp den, och säger alltid tydligt vad som är en färsk mätning och vad som bara är en bedömning.

Det är ingenting jag bevakar, men jag kör den fortfarande, mest för att dubbelkolla att jag verkligen fixat det den hittade.

Vill du testa något liknande hemma? Här är prompten jag faktiskt använde, förkortad och generaliserad så den funkar för vilket hemnät som helst — samma säkerhetsregler och struktur, bara utan allt som var specifikt för just mitt hus.

Kopiera nedan och fire away.

Regler (viktigast — läs innan du börjar)

• Endast mitt eget hemnät. Ser du tecken på ett företags-/skolnät (domäninloggning, hanteringsprofiler, hundratals enheter) – stanna och fråga innan du fortsätter.
• Read-only. Ändra ingen konfiguration. Skriv ingen fil utanför projektmappen.
• Inga lösenordsförsök, ingen inloggning, inga exploateringsförsök. Att konstatera att något svarar utan autentisering är rekognosering och okej. Att logga in är det inte.
• Ingen sudo/root.
• Skicka ingenting utanför maskinen förutom MAC-tillverkarslagning och uppslag av min publika IP.
• Var skonsam mot nätverket — enstaka förfrågningar, inte fullständiga portsvep. Vissa IoT-prylar kraschar av hårdhänt skanning.
• Berätta vad du gör medan du gör det, med ungefärlig tidsåtgång.

Vad som ska undersökas

1. Nätverket: gränssnitt, IP, gateway, DHCP, DNS, publik IP, CGNAT, IPv6 (skilj länklokal/ULA/global åt). Pinga hela subnätet för att få med tysta enheter i ARP-tabellen.
2. Enheterna: slå upp MAC-tillverkare, fråga mDNS/Bonjour efter många tjänstetyper (två rundor — enheter som sover hinner svara på den andra), SSDP/UPnP-beskrivningar, lätt webbportsknackning på okända enheter. Flagga slumpade (privata) MAC-adresser som just det, inte som okända enheter.
3. Prestanda: mät vilolatens FÖRE du mättar länken (annars mäter du bufferbloat och tror att det är vila). Sedan genomströmning upp/ner, latens under belastning, paketförlust, traceroute. Wi-Fi: kanal, bandbredd, signal/brus, och en jämförelse med grannarnas nät på samma kanal.
4. Säkerhet: segmentering (kan enheterna nå varandra fritt?), enhet-för-enhet-bedömning av hur länge den får uppdateringar, IPv6-brandväggsstatus, UPnP och öppna portar, tjänster utan autentisering, DNS (krypterat? filtrerat?), rogue DHCP/ARP-avvikelser, Wi-Fi-säkerhet (WPA-version, WPS, dubbla accesspunkter med samma namn).
5. Datorn du kör ifrån: brandvägg, diskkryptering, vilka portar den lyssnar på mot nätverket, delningstjänster, automatiska uppdateringar, och om backup faktiskt är konfigurerad (inte bara "verkar finnas").

Vanliga fällor

• Matcha tillverkarnamn med ordgränser, annars matchar "ring" i en sträng en tvättmaskin och du flaggar den som kamera.
• Koppla varje fynd till de specifika enheter det gäller.
• Skilj "inte mätt än" från "svarar inte" i gränssnittet.
• Flagga aldrig något ofarligt som ett hot — delade MAC-adresser är ofta ett legitimt mesh-system, inte ett intrång. Kolla innan du larmar.

Dashboarden

• Ett enda språk, bara standardbibliotek, inga externa beroenden.
• Lokal server som ENDAST lyssnar på 127.0.0.1, aldrig 0.0.0.0. Avvisa förfrågningar med fel Host-header.
• Live-uppdatering (t.ex. Server-Sent Events), allt inbakat, fungerar offline.
• Märk varje del av gränssnittet som live, ögonblicksbild, eller bedömning — aldrig otydligt vilket.
• Hitta aldrig på rörelse eller data du inte faktiskt mätt.
• Ett delningsläge som maskar publik IP, MAC-adresser, SSID och enhetsnamn med en knapptryckning.

Analysen

Färgkoda fynd (rött = åtgärda, gult = kan bli bättre, grönt = bra som det är — och säg varför). Varje fynd: rådata som bevis, vad det betyder i praktiken, exakt vad jag gör åt det. Lägg till en egen sektion för sånt jag inte frågade om men borde tänka på (enpunktsfel, vad som händer vid strömavbrott), en åtgärdsplan sorterad efter nytta per insats, och en sista sektion om vad du INTE kunde se härifrån (routerns fulla config, enheter som var avstängda, etc).

Ton

Förklara facktermer kort första gången de dyker upp. Var rak med vad som är dåligt utan att överdriva. Utgå från att jag inte är nätverkstekniker.

Starta servern och verifiera att den faktiskt fungerar innan du säger att du är klar.