WLAN-Internet-Zugang kappen bei Fritz!Box 7050

Hallo LeutInnen und Leute,

ich will dem WLAN-Port den Zugang aufs Internet blocken und nur einen Server erreichbar machen, der am Ethernet-Port 1 wohnt. Per telnet komme ich auf den Router (FW .62) und ich denke, die ar7.cfg ist das, was ich modifizieren muß.

Wie erzwinge ich, daß vom WLAN aus nur noch ins Intranet geroutet wird?

Konstellation:

Server: 192.168.100.2

Fritzbox:
IP1: 192.168.100.1
IP2: 192.168.200.1
WLAN: 192.168.3.1

Vielen Dank für Eure Hilfe.

Gruß,
Fant

Und es geht doch!



Nachdem sich keiner fand, der was dazu sagen wollte, habe ich es einfach mal selbst versucht...und es geht:

Die Datei /var/flash/ar7.cfg mit nvi (!) editieren.
Es muß die Rubrik dslifaces gesucht werden. Dann die Unterrubrik
dsldpconfig -> highoutput -> accesslist mit folgendem Eintrag erweitern:

"deny ip 192.168.3.0 255.255.255.0 any"

Das verbietet dem Subnetz 192.168.3.0/24 (das ist mein WLAN) den Zugriff auf alles. Da sich dieses Verbot wohl nur auf das DSL-Interface bezieht, geht das Intranet, jedenfalls bei mir, ganz normal.

Alle Mods, wie immer, ohne Gewähr!!!!!! :twisted:

Gruß,
Fant

Default Route als Sicherheitseinrichtung???

Hallo Herr Nachbar - guten Tag Herr Kaiser... :wink:

Ich würde nicht einfach per Default-Route versuchen, Sicherheit zu gewährleisten. Die Frage ist, inwiefern der PC, der nicht ins Inet soll, "lieb" ist. Gehen wir mal davon aus, er ist lieb - dann kann das funktionieren, getreu dem Motto "Ohne Default Route - kein Inet." Jetzt stellt Dir mal vor, irgendein Proggy installiert sich, sei es mal ein Wurm oder Virus. Das Proggy schaut sich den Netzwerkverkehr an und denkt sich: SubNet 192.168.133.0, das sind nur 254 Möglichkeiten. Vielleicht ist ja einer der anderen in meinem Netz der Gateway ins Netz. Also flugs durchprobiert und siehe da: der Wurm telefoniert nach Hause.

Ich weiß, daß das nach Paranoia klingt. Aber der Eintrag für die Default Route kann von jedem Admin geändert werden. Wenn also der Admin will, dann kommt die Kiste auch Netz. Natürlich kann auf dem selben Wege die IP-Adresse 192.168.133.5 auf einen Wert geändert werden, mit dem der Inet-Zugang möglich ist. Also auch nix...

"Sicherheit" kann meines Erachtens nur durch Abblocken eines kompletten Subnetzes, also einer Gruppe von Rechner, deren IPs in den ersten drei Blöcken übereinstimmen, so einigermaßen hergestellt werden. Es ist nicht so einfach, in ein Netzwerksegment zu routen, das eine andere SubNetMask hat. Also hänge die Rechner, die ins Netz dürfen, an den einen Anschluß der Fritzbox und die, die nicht lieb sind, an einen anderen und blocke das böse Netz im Router.

Gruß,
Fant

Feste Ips

Hallo Nachbar,

die FritzBox hat ja ohnehin feste IPs, das ist also kein Problem. Und unter Windows feste IPs zu vergeben, sollte auch kein Problem sein. Du gehst einfach in die Eigenschaften der Netzwerkumgebung (Windows XP/2000) bzw. Systemsteuerung -> Netzwerkeinstellungen (Windows 98/ME) und trägst im Reiter TCP/IP die Adressen, Netmask und Default Gateway ein. Du mußt darauf achten, die die ersten drei Blöcke der Adressen immer übereinstimmen und die vierte Zahl bei allen Rechner unterschiedlich und keine 0 oder 255 ist. Die Netmask, die Du eintragen mußt, ist üblicherweise 255.255.255.0, Dein Netzwerk ist hinreichend einfach.

Wieso steckst Du die Linkstation nicht auch auf den Switch?

Mir ist nur nicht ganz klar, wieso Du feste IPs haben willst. Der DHCP-Server der Fritzbox sollte im Subnetz ab der letzten Zahl 20 einfach die Rechner durchnummerieren. Und da wahrscheinlich die Linkstation immer an ist, wird sie, soweit ich das überblicke, auch immer die gleiche IP haben (..20). Bei den anderen PCs sind dann nur noch die IPs 21 und 22 zu haben, dann paßt das. Also wieso unbedingt fest?

BTW: Ich habe hier auch feste Adressen, die aber von einen DHCP-Server auf meinem Linux-Server stammen und für den entsprechenden Rechner immer gleich ist.

Gruß,
Fant

Hallo Nachbar,

alles klar mit der LinkStation. Das ist klar.

DHCP und feste IPs können in einem Netzwerk friedlich koexistieren. Es ist nur so, daß man die Bereiche nicht überlappen sollte. Wenn also das DHCP der FritzBox die Adressen ab 20 aufwärts vergibt, dann solltest Du mit den festen Adressen zwischen 1 und 20 bleiben, jeweils exklusive den Grenzen, weil 1 die Box selber und 20 der erste DHCP-Client ist. Außerdem hat DHCP eigentlich nix mit Routing ins Inet zu tun, außer der Default Gateway wird per DHCP vergeben.

Wenn Du dem Spiele-PC eine feste IP aufdrückst und keinen Gateway einträgst, dann kann der PC nicht ins Netz, solange keiner (also kein Mensch und kein Proggy), dann kann der PC nicht ins Netz. Das ist klar, und wenn Du nur Software installierst, deren Herkunft Du kennst, dann sollte das keinen Ärger machen.

Gruß,
Fant

Hallo Marco,

tut mir leid, aber dazu weiß ich leider gar nix, da ich das Problem hier nicht habe. Allerdings interessiert es mich schon, wieso Du einen separaten WLAN-AP nimmst, um Deinen Nachbarn anzubinden.

Eventuell könnten Dir die Mods weiterhelfen, die iptables in die Box einbasteln. Damit kannst Du dann den Verkehr recht feinfühlig steuern.

Gruß,
Fant