[Frage] Fritzboxen 7530 als Mesh-Repeater in öffentlich zugänglichen Räumen: Beste Konfiguration?

[ibu]

Moin.

In einem kleinen gemeinnützigen Verein habe ich 4 FB 7530 als Mesh-Repeater konfiguriert. Alle Repeater sind per Sternverkabelung an den Meshmaster angeschlossen.

Im Mesh-Master 7590 ist ein Gastzugang eingerichtet, der über diese Repeater zugänglich gemacht werden soll.

Dect-Telefoniegeräte spielen keine Rolle.

Wichtig ist noch die Option, dass bei Videokonferenzen der Nutzer sich auch per LAN-Kabel mit dem Gastzugang verbinden kann.

Was habe ich bisher eingestellt?

1. WLAN > Gastzugang > [x] Gastzugang aktiv > Weitere Einstellungen > [ ]nternetanwendungen beschränken.
   Damit Telefonie über Messenger wie z.B. Whatsapp möglich ist
2. WLAN > Gastzugang > [x] Gastzugang aktiv > Weitere Einstellungen > [ ] WLAN-Geräte dürfen untereinander kommunizieren
3. Internet > Filter > [ ] Internetseiten filtern
4. Heimnetz >Netzwerk > Netzwerkeinstellungen > [x] Gastzugang für LAN 4 aktiv

Welche weiteren Einstellungen empfehlt ihr?

Fragen:

1. Kann man LAN 1-3 sperren, damit nur LAN4 (als Gastzugang) nutzbar ist?
   Das Ziel ist also die Verhinderung der Nutzung des Hauptnetzes per LAN.
   Die Option "Nur bekannte Geräte akzeptieren" im Hauptnetz würde ich sehr ungern wählen, weil dann die Büromitarbeiter bei jedem neuen Gerät bei mir anfragen würden.
2. Zur Diebstahlvermeidung: gibt es eine Wanne aus Kunststoff mit Lüftungsschlitzen, die man über eine an der Wand montierte FB stülpen und dann festschrauben kann?
   Lochband würde ich ungern verwenden, weil dann immer noch jeden sehen kann, dass eine FB an der Wand hängt.

Über euren Rat freue ich mich Danke.

 

[erik]

Wenn Du nun alle Repeaterboxen an LAN 4 der Hauptbox anschließt dürfte dort nur das Gastnetz verfügbar sein. Ob und wie Mesh dann aber funktioniert weiß ich nicht.
Ganz allgemein scheint mir die Fritzbox für den angestrebten Zweck die falsche Hardware zu sein.

 

[eisbaerin]

Alle Repeater sind per Sternverkabelung an den Meshmaster angeschlossen.

An welche Ports sind die an der 7590 angeschlossen?

Mesh wird IMO doch gar nicht benötigt.

 

[ibu]

@eisbaerin
Ich habe keine Ports manuell eingerichtet.
Zur Einrichtung als Mesh-Gerät habe ich jeden Repeater per LAN an den Master angeschlossen und dann über die Tasten an den beiden Boxen verbunden. Das war's.

@erik
Mesh ist schon praktisch, weil die Büromitarbeiter mit Berechtigung zum Hauptnetz auch in jedem Stockwerk über diese Berechtigung Netz haben.

 

[eisbaerin]

per LAN an den Master angeschlossen

An welche von den Ethernet-Ports 1-4?
An jeden einen? Oder alle an einen über einen Switch?

 

[ibu]

Über einen Switch.

Also:
FB 7590 Port 4 -> Switch TP-Link TL-SG108E

Dann vom Switch
-> FB 7530
-> FB 7530
-> FB 7530
-> FB 7530

 

[eisbaerin]

OK, jetzt kann man sich das vorstellen.

Und den Port 4 willst du nicht auf "Gastnetz" schalten.

Dann gibt es noch die Möglichkeit bei den 7530 alle LAN Ports auf Gastnetz zu schalten.
Das geht aber nicht in der GUI, das muß in der Konfig geändert werden.

 

[ibu]

Doch, es ist kein Problem, den Port 4 am Mesh-Master auf Gastnetz zu schalten.

Erik war sich ja nicht sicher, ob Mesh dann überhaupt funktioniert. Bist Du denn sicher, dass Mesh an einem Gast-LAN funktioniert? Klingt doch eher unwahrscheinlich, oder?

Ich bin nachher vor Ort.

 

[eisbaerin]

Bist Du denn sicher, dass Mesh an einem Gast-LAN funktioniert?

Nein.
Ich bin mir aber sicher, daß dein Hauptnetz dann über Port 4 nicht mehr verteilt wird, denn sonst wäre ja der Sinn des Umschaltens weg.

 

[ibu]

Danke. Dann scheidet das aus. Ich werde mal bei AVM anfragen, ob und wie sich auf den Mesh-Repeatern der LAN-Zugriff auf das Hauptnetz sperren lässt.

 

[eisbaerin]

wie sich auf den Mesh-Repeatern der LAN-Zugriff auf das Hauptnetz sperren lässt.

Ich gebe dir jetzt mal schon die Antwort:
FB unzugänglich für Gäste machen.

 

[HabNeFritzbox]

Die LAN Ports lassen sich nicht abschalten, weder an FB noch Repeater, zumindest nicht über Webseite.

LAN 4 als Gast? Dann ist ja ganze Mesh weg und so. Und Heimnetz auch nicht zugänglich.

 

[ibu]

Wirklich schade, dass AVM für Mesh-Repeater keine Deaktivierung von LAN-Ports anbietet.

Der Grund erschließt sich mir nicht.

Gut, also muss ein mechanischer Diebstahlschutz um die Box. Mal sehen, ob es abschließbare Schaltschränke aus Kunststoff gibt.

 

[HabNeFritzbox]

Gibt keinen Grund LAN Ports abzuschalten, wer physischen Zugang hat zum Gerät kann eh FB/Repeater zurücksetzen usw.

LAN abschalten hilft auch nicht gegen Diebstahl.

 

[ibu]

Das sehe ich anders. Zurücksetzen ist etwas anderes als Zugriff zu erhalten.

 

[HabNeFritzbox]

Kannst dir sonst halt nen Plexi Glas um die FB bauen, gibt doch sone abschließbaren Würfel, normal eher als Art Briefkasten (z.B. https://www.amazon.de/dp/B078Y9L5FL), aber kannst da noch nen Loch rein bohren für die Kabel, und Schlitz oben ist halt etwas für Abwärme/Luft.

 

[erik]

Ein verschlossener Kasten mit von außen zugänglicher RJ45 Buchse die intern an LAN4 angeschlossen ist wäre eine Möglichkeit. Die 4 7530er dürfen aber nicht an LAN4 der Router-Fritzbox angeschlossen sein.

 

[ibu]

@HabNeFritzbox
Danke für die Idee. Aber wenn Kasten, dann muss er undurchsichtig sein. wir wollen ja keinen Begehrlichkeiten wecken.

Da die Aufgabe ja nicht völlig exotisch ist, hoffe ich noch, dass ich einen fertigen Kasten finde, wo nicht rumgebastelt werden muss (Schloss, Schlitze, Einbau einer RJ45).

AVM habe ich schon vor Jahren vorgeschlagen (ohne Erfolg : ), dass sie ihre Gehäuse mit passenden Löchern/Gewindebuchsen ausstatten, damit man die Dinger richtig an die Wand schrauben kann.

Genauso wenig Erfolg werde ich wohl mit meinem Vorschlag "Sperrbarkeit von LAN-Ports" haben.

 

[NDiIPP]

Zurücksetzen ist etwas anderes als Zugriff zu erhalten.

Zugriff zu erhalten ist bei physischem Zugriff kein Problem. Das Gerät muss dazu noch nicht einmal zurückgesetzt werden. Kennwörter und komplette Konfiguration auslesen ist möglich (auch ohne Kenntnis der Passwörter). Also wirst du nicht um die physikalisch Abschottung der Geräte umhinkommen.

Aber BTW, selbst dann ist u.U. keine 100% sichere Absicherung gegeben, solange man irgendwie Zugriff (auch indirekt über Switchs oder WiFi-APs) auf einen der LAN-Ports der Fritzbox hat (auch LAN4 ist dazu verwendbar selbst wenn als Gast-LAN konfiguriert, denn der Bootloader interessiert sich dafür nicht, Ausnahme dürfte evtl. nur der blaue WAN-Port bspw. bei der 7590 sein) und bspw. in der Lage wäre, die Stromzufuhr der Fritzbox kurz zu unterbrechen.

 

[HabNeFritzbox]

Weil es keinen Sinn macht, besonders nicht bei Heimanwender, wie AVM immer betont.

Brauchst doch nur nen Loch im Kasten von ca. 2cm damit Stromkabel und Netzwerkkabel durch bekommst.

Wenn so auf Verstecken Wert legst, evt. ne Abschließbare Schublade in einem Holzschrank? Oder hinter einem billigen Gemälde welche so dicken Rahmen haben und hinter hohl sind?

Sind die Gäste da alleine und unbeaufsichtigt? Auf Arbeit wird immer eher Klobrille und so geklaut, Klopapier aber nicht mehr, wo man auf billigste und dünnste mit einer Lage gewechselt ist.

Kannst FB nicht einfach an Decke Hängen mit 2 Schrauben über die Wandmontage?