[Frage] Zugang einschränken, 3 Webseiten erlauben und WLAN AP

blueice_haller · 5 Jun 2013

Hallo,
Ich benötige für einen Sportverein einen Router/WLAN AP z.B. mit OpenWRT.
Das Gerät ist nicht zugänglich, es befindet sich in einem abgeschlossenen Raum. Die Antenne kann man falls nötig nach außen verlegen.
Ein öffentlicher PC soll über LAN verbunden werden und eine beliebige Zahl von Smartphones/Mobile Phones/Tablet über WLAN.

Es sollen 3 Webseiten erlaubt werden und bei jeder anderen muss man auf die Hauptseite (des Sportvereins) umgeleitet werden.
Im Prinzip ein Kiosk System.

Es soll ohne manuelle Eingabe eines Proxy in den Browsereinstellungen realisiert werden.
Ist das mit jedem Gerät auf dem OpenWRT läuft möglich?
Ich habe gesehen dass es verschiedene HW-Versionen von OpenWRT gibt. Manche führen zu einem Brick bei Version 10.03.1

Momentan steht hier der PC mit Windows XP und einer Demo Version einer Kiosk Software.
In der Vergangenheit hat es jemand geschafft das System auszutricksen und der Sportverein bekam eine Rechnung.
Dies muss in Zukunft verhindert werden.

Danke.

informerex · 5 Jun 2013

alternativ:
vielleicht auch mal opendns oä. prüfen

In der Vergangenheit hat es jemand geschafft das System auszutricksen

wie das?

blueice_haller · 5 Jun 2013

Das hat man mir nicht gesagt oder nicht herausfinden können.

Wenn jemand einen anderen DNS einträgt kann er trotz OpenDNS über diesen andere Seiten aufrufen.

andilao · 5 Jun 2013

Es gibt jede Menge Proxies im Internet, mit denen kann man praktisch alles umgehen, auch wenn das eigene System komplett "wasserdicht" ist (auch das Sperren von anderen DNS-Einträgen).

blueice_haller · 5 Jun 2013

Und ich suche jetzt eine wasserdichte Lösung.

koyaanisqatsi · 5 Jun 2013

Tag
Bin jetzt nicht sooo der Profi, aber nur mal so, theoretisch:
Der Router macht kein DNS.
Auf ihn läuft ein httpd (Webserver) der nur Lokal (127.0.0.1) läuft.
Der aber ein reverse Proxy auf die IPs der Vereinsseiten ist/macht.

Wie Wasserdicht wäre denn sowas?

sf3978 · 5 Jun 2013

blueice_haller schrieb:
Es sollen 3 Webseiten erlaubt werden und bei jeder anderen muss man auf die Hauptseite (des Sportvereins) umgeleitet werden.

Sind die 3 Webseiten öffentlich zugänglich oder sind es private Webseiten?

blueice_haller · 5 Jun 2013

Die sind öffentlich zugänglich.

@koyaanisqatsi: Das kann ich Dir nicht sagen. Geht das mit OpenWRT?

Wichtig ist mir dass die Leute sich, wie geschrieben, einfach mit dem WLAN verbinden und diese 3 Seiten aufrufen können. Nicht jeder kann einen Proxy in sein Handy eingeben.

informerex · 5 Jun 2013

blueice_haller schrieb:
... der Sportverein bekam eine Rechnung.

gab es keine Flat oder für was soll der SV zahlen

koyaanisqatsi · 5 Jun 2013

Ein Router würd ich dafür nicht nehmen, sondern einen AP extra dafür an den Router klemmen.
Aber egal, OpenWRT ist nicht meine Baustelle, Da kennen sich mehr die "Berliner Freifunker" mit aus.

sf3978 · 5 Jun 2013

blueice_haller schrieb:
Die sind öffentlich zugänglich.

Du könntest schauen welche ext. IP-Adressen für die 3 Webseiten erforderlich sind und ob diese IP-Adressen statisch sind. Wenn ja, dann diese IP-Adressen freigeben und den Rest umleiten. DNS für die 3 Webseiten machst Du mit dnsspoof auf dem OpenWRT (... der für die user auch als DNS-Server fungiert).

blueice_haller · 5 Jun 2013

@sf3978: Das ist eine Aussage mit der ich etwas anfangen kann.

@koyaanisqatsi: Werden dann zwei Geräte benötigt, 1 als "Filter" und 1 als "WLAN AP"?
Wo wird dann der PC angeschlossen?
Table of Hardware http://wiki.openwrt.org/toh/start

Momentan hängt an dem DSL-Router-Switch auch das Büro des Vereins.
Ich würde im "Filter" VLAN aktivieren, sodass das Büro und das Mitgliedernetz nicht gegenseitig zugreifen können.

koyaanisqatsi · 5 Jun 2013

Ein zusätzlicher AP kann am Switch angeschlossen werden.
Bietet der Router aber zB die Möglichkeit an LAN4 oder so,
einen Gastzugang einzurichten,
würde ich diesen vorziehen,
da der AP dann schonmal vom LAN abgekoppelt wird
und so keine kommunikation mit LAN Geräten stattfinden kann.

[Internet]
|
[Router]<>[Gastzugang]<>[Public-AP]<>[WLAN-Klienten]
|
[Switch]
|
[LAN]

blueice_haller · 14 Jun 2013

Im Falle dass der vorhandene Router keinen Gastzugang besitzt würde ich als "Filter" einen OpenWRT nehmen, VLAN aktivieren und dnsspoof installieren.
Meine Frage ist noch wenn sich jemand im Mitgliedernetz (WLAN) einwählt und in den IP-Einstellungen einen öffentlichen DNS-Server z.B. Telekom, OpenDNS usw. einträgt, ist dann gewährleistet dass er diesen nicht erreicht?

informerex · 14 Jun 2013

out of the box bzw. Services:

WLAN TO GO einrichten und profitieren WLAN TO GO – eine Kooperation zwischen Telekom und Fon (Speedport W724V)
http://www.sorglosinternet.de/
http://start.freifunk.net/
http://www.fairspot.de/

blueice_haller · 14 Jun 2013

@informerex: Danke für die Links. Dabei handelt es sich im Fall WLAN TO GO, sorglosinternet und FairSpot um Möglichkeiten, Gästen Zugriff ins komplette Internet zu ermöglichen und sich dabei rechtlich abzusichern. Dabei können monatliche Kosten anfallen. Ich müsste klären ob der Verein bereit ist, diese zu tragen.
Wie die rechtliche Absicherung bei Freifunk gewährleistet wird weiß ich nicht.

Mein Ziel war es eigentlich nicht dass man jede Webseite aufrufen kann.

Es ist momentan sogar noch ungewiss, ob überhaupt etwas an der Situation geändert wird. Die Gefahr eines Missbrauchs ist gegeben, aber die Wahrscheinlichkeit eines Missbrauchs gering.

informerex · 14 Jun 2013

ich hatte bereits ja weiter oben angefragt welche Missbrauch vorgefallen/Kosten angefallen sind (hierzu gab es ja kein Statement) und ob eine einfach Lösung nicht ausreicht.
zumal ua. 2 Hauptpunkte zu berücksichtigen sind, zum einen der "Admin" auf den Installation, Wartung, Zeit, Ärger/Stress zukommt und auf der anderen Seite der Vorstand, der vom Admin "abhängig" ist und trotzdem die Endhaftung hat.

man könnte die Haftung insoweit eingrenzen, dass User einmalig freigeschalten werden müssen + eine "WLAN Nutzungsvereinbarung" (=Google Suchbegriff). Nachweisbarkeit der WLAN-Nutzung – fehlende Haftung
des weiteren regelmäßige PW Änderung die entweder per Homepage (im geschützten Bereich), Rundbrief oä. bekanntgegeben wird.

bei den og. Alternativen wird die technische+rechtliche Problematik ja ausgelagert, hier fallen für den Verein bzw. halt für die Mitglieder je nach Modell kein/geringe Kosten an, wobei bei diese wiederum teilweise in den Mitglieds-DSL-Tarifen (wenn bei Telekom) inkludiert sind.

inwieweit über den Speedport W724V auch eine Lösung ohne Telekom geschaffen werden kann, ist mir bisher nicht bekannt, wäre aber denkbar

sf3978 · 14 Jun 2013

blueice_haller schrieb:
... und dnsspoof installieren.
Meine Frage ist noch wenn sich jemand im Mitgliedernetz (WLAN) einwählt und in den IP-Einstellungen einen öffentlichen DNS-Server z.B. Telekom, OpenDNS usw. einträgt, ist dann gewährleistet dass er diesen nicht erreicht?

Ja, das ist gewährleistet, denn dnsspoof agiert betr. Port 53 als "man-in-the-middle" und fängt die konfigurierten Anfragen zu einem Port 53, schon zwischen Client und DNS-Server ab. Aber wenn Du Alles, bis auf die 3 Webseiten blockst/umleitest, dann kann er auch keinen öffentlichen DNS-Server erreichen bzw. er kann auch keine Webseiten mit deren öffentlichen IP-Adressen erreichen.

blueice_haller · 14 Jun 2013

Einen öffentlichen DNS-Server brauche ich ja nur für VLAN 1 - Büro.
Läuft dnsspoof als Daemon?

sf3978 · 14 Jun 2013

blueice_haller schrieb:
Einen öffentlichen DNS-Server brauche ich ja nur für VLAN 1 - Büro.

OK, dann kannst Du einen öffentlichen DNS-Server, für VLAN 1 freigeben bzw. dnsspoof so konfigurieren, dass die Anfragen von VLAN 1 an Port 53, nicht abgefangen werden.

blueice_haller schrieb:
Läuft dnsspoof als Daemon?

Ja.

[Frage] Zugang einschränken, 3 Webseiten erlauben und WLAN AP

Neuer User

IPPF-Urgestein

Neuer User

andilao

Guest

Neuer User

IPPF-Urgestein

IPPF-Promi

Neuer User

IPPF-Urgestein

IPPF-Urgestein

IPPF-Promi

Neuer User

IPPF-Urgestein

Neuer User

IPPF-Urgestein

Neuer User

IPPF-Urgestein

IPPF-Promi

Neuer User

IPPF-Promi

Statistik des Forums