Keine Vorschaltseite / Captive Portal bei WLAN Gastzugang im IP-Client Modus?

Moin


Im IP-Klient Modus gibt es die Vorschaltseite nicht, da das (LAN) Netz des Routers benutzt wird.
Du müsstest sie so wie sie jetzt angeschlossen ist als Router mit eigener Firewall und eigenen Subnetz konfigurieren...
1. Internet -> Zugangsdaten -> Internetanbieter: Weitere Internetanbieter
2. Anderer Internetanbieter
3. Name: Beliebig
4. Anschluss: (o) Externes Modem oder Router
5. Betriebsart: (o) Internetverbindung selbst aufbauen
6. Zugangsdaten: Werden Zugangsdaten benötigt? (o) Nein
7. IP-Einstellungen: (o) IP-Adresse automatisch beziehen
...einen Hostnamen angeben, damit erscheint sie im Router.
8. [Übernehmen]

fredlcore schrieb:

Leider fehlt mir auch in der aktuellen Labor (113.06.69-41049) bei der Einrichtungseinstellung die Möglichkeit, eine Vorschaltseite zu aktivieren oder gar zu konfigurieren. Der letzte Menüpunkt ist die Einstellung der automatischen Deaktivierung nach einer bestimmten Zeit.

Zum Vergrößern anklicken....

Poste doch mal einen Screenshot davon. Du hast eine Fritzbox 7490, egal was in Text und Signatur steht.

Vielleicht kann mir ja mal jemand von den Netzwerkspezialisten hier die Frage beantworten, wie eine solche FRITZ!Box als IP-Client denn beim Betrieb ohne einen entsprechenden Router, zu dem ein L2TPv3-Tunnel aufgebaut werden kann, überhaupt den Traffic der Clients im Gast-WLAN von dem anderer Geräte im LAN trennen kann und/oder will?

Bei einem passenden Router (keine Ahnung, ob der Speedport Hybrid das unterstützt oder nicht) wird dieser Verkehr von der FRITZ!Box im IP-Client-Mode mit einer zusätzlichen Kapselung versehen und an den Router gesendet, der diese "Umverpackung" wieder entfernt und das Paket anschließend so behandelt, als wäre es direkt bei ihm eingeliefert worden. Bis hierhin ist das für mich noch eingängig ... eine passende FRITZ!Box meldet sich auch regelmäßig mit UPnP-Multicasts (Port 1900) als L2TPv3-Gateway im Netz und kann als potentieller Router identifiziert werden.

Was passiert denn nun, wenn es einen solchen L2TPv3-Peer im Router gar nicht gibt?

Die FRITZ!Box als IP-Client mag zwar dann ihrerseits irgendwelches NAT für ein zusätzliches "Gastnetz" machen und die dort verwendeten Adressen auf ihre eigene LAN-Adresse "umschreiben", aber wie verhindert man denn jetzt, daß ein Client im Gastnetz auf andere IP-Adressen im LAN zugreift?

Das mag sogar auch noch gehen, indem man zusätzlich die Zieladressen einer Verbindung entsprechend in der FRITZ!Box ausfiltert (so daß keine Adressen aus der LAN-Seite in den Paketen als Ziel enthalten sein dürfen, die aus dem eigenen Gastnetz kommen) ... aber spätestens bei einem Zugriff auf eine IP-Adresse, die außerhalb des in der FRITZ!Box eingestellten LAN-Segments liegt und trotzdem über das eigentliche Gateway lokal erreichbar ist (also bei mehreren lokalen Netzsegmenten), ist es mit der "Isolation" im Gastnetz dann auch wieder vorbei.

Beispiel: Die FRITZ!Box als IP-Client hat die 192.168.192.10/24, dann ist gerade mal alles in 192.168.192.0/24 "lokal" und parallel verwendete Netze - meinetwegen 192.168.178.0/24 - wären dann (so darf man zumindest annehmen) wieder zugänglich.

Irgendwo sehe ich da ein paar denkbare Security-Probleme und es gibt (soweit ich weiß) wohl keine ausführliche Beschreibung der Einschränkungen und der Risiken/Gefahren, die aus einer solchen Konfiguration erwachsen und was man berücksichtigen muß, wenn man so etwas einrichten will. Gerade hier im Kontext von "Feriengästen" kann das (bei langweiligen Abenden für die Sprößlinge, wenn außer Hacken nichts Interessantes passiert in so einem Urlaub) schnell zu unangenehmen Überraschungen führen.

Ist eine FRITZ!Box (oder ein anderer passender L2TPv3-Server) vorhanden, ist das Problem nicht existent ... hier würde ich aber die Erreichbarkeit dieser Einstellung auch ohne passenden Router (nochmal: keine Ahnung, ob der SP Hybrid dafür herhalten kann, das würde es tatsächlich ändern, dann übernimmt aber auch der die Durchsetzung von Einschränkungen) fast für einen Fehler der Firmware halten.

fredlcore schrieb:

SPH Endgeräte

Zum Vergrößern anklicken....

kann mir jemand sagen was SPH Endgeräte sind ?
meine Suche lieferte mehrere Treffer
o SpeedPort Hybrid
o SmartPHone
...
oder habe ich hier etwas überlesen

Das war ja mein Versuch der Klarstellung, daß diese Lösung ohne passende FRITZ!Box als Router eben nicht funktionieren wird ... soweit ich das überblicke.

Ich finde auch in der verlinkten Seite keine wirkliche Referenz, daß das mit einem anderen Router als einer FRITZ!Box jemals funktioniert hätte - daher ja auch die Überlegungen, wie das wohl funktionieren soll.

Auch die Texte in der GUI-Seite der Box bei der Übernahme des Gastzugangs handeln ja immer nur davon, daß die Einstellungen von einer FRITZ!Box als Router übernommen werden könnten.

Nicht einmal dann, wenn Du die FRITZ!Box nicht als IP-Client, sondern als Router betreibst, sind Deine eigenen Geräte vor einem Zugriff aus dem Gastnetz der FRITZ!Box sicher ... dann ist das LAN hinter dem Speedport für die FRITZ!Box das WAN und bei Kenntnis einer passenden Adresse oder mit einem Scanner ist es problemlos möglich, vom WAN-Interface der FRITZ!Box (nach NAT für den Gast) auf andere Geräte im LAN des Speedport zuzugreifen.

Nur dann, wenn der Border-Router tatsächlich eine FRITZ!Box ist, wird der Verkehr zwischen diesem Router und einer "Verlängerung" des Gastnetzes per L2TPv3 getunnelt und kommt damit niemals mit den LAN-Clients in Berührung.

Meine Behauptung ist also: Das Vorhaben ist schlicht zum Scheitern verurteilt oder von Beginn an unsicher - auf diesem Wege ist kein sicheres Gastnetz zu etablieren. Höchstens noch dann, wenn man in der FRITZ!Box eigene Software installiert, WLAN und LAN auftrennt und den gesamtem WLAN-Traffic nicht zum LAN oder WAN bridged, sondern über eine VPN-Verbindung (und das AVM-IPSec-VPN ist dafür ungeeignet) dergestalt irgendwohin sendet (das kann ggf. wieder der Speedport-Router sein, wenn der das beherrschen sollte), daß auch wieder die Clients im LAN damit nicht in Kontakt kommen können.