Gast-Wlan und Drossel

[kamote]

Moin Leute, aktuell lasse ich mir ein paar Gedanken durch den Kopf gehen wie man den lieben Nachbar die eigene Leitung mitbenutzen lässt aber zugleich jenes Netz vom eigenen trennt und ggf ne Drossel einsetzt. Das Ganze sollte wenn möglich mit vorhandener Hardware umgesetzt werden.

Die brennenste Frage vorweg... Ist ein Fritzbox Gastzugang ohne gesetzten Filter ein vollwertiger Zugang zum Internet bei dem alle Dienste funktionieren wie sie sollten?

Folgende zwei Szenarien und Überlegungen gibt es...
1. Verwandtschaft in der Wohnung unterhalb. Ausgangspunkt ist eine Fritzbox 6690 mit 1Gbit Leitung. Derzeit per CAT6 Kabel nach unten verlegt über GastLAN Port angeschlossen.
Auf diesem Port ist der Green Mode aktiv also 100mbit gedrosselt.
Durch das Gast LAN sind die Adressbereiche getrennt und somit ist kein Zugriff auf das HostLAN möglich.
Problematisch waren Dienste wie Whatsapp Anrufe und zb die Spielkonsole vom Junior wollte auch nicht so ganz.
Zunächst wurden dann erstmal alle Standardfilter entfernt. Nun scheint es besser zu laufen. Gibt es da noch etwas zu beachten damit der Gast Zugang (WLAN oder LAN) ein "vollweriger" Netzwerkanschluss ist (s. Frage oben)?

2. Mein Bekannter (Vermieter) Fritzbox 7530 derzeit 50mbit Zugang teilt per WLAN an seinen Mieter. Er möchte nun das Netz auch separieren und evtl. eine Drossel einsetzen, da beim Mieter eine kleine Armada an netzwerkfähigen Geräten zum Einsatz kommt.
Kostengünstige Lösung: Alte 7390 ausm Keller holen und als AP für den Mieter einrichten. 7530 und 7390 per LAN verbinden und ggf, falls man sowas noch bekommt, einen 10mbit Switch dazwischen hängen, um eine Hardwaredrossel einzubauen. Die 7530 hat ja auch die Gastzugang per LAN Option?
Wäre es eine gute Überlegung, mal davon abgesehen dass 10mbit heutzutage recht wenig sind aber für lau doch recht nett.
Kann so ein alter 10mbit Switch (Aktiv) sowas überhaupt händeln?
Kostenintensivere Lösung: Evtl. wäre der Bekannte bereit auf 250mbit upzugraden, wenn der Mieter sich an den Kosten beteiligt, dann wäre im Prinzip ähnliche Situation wie im ersten Fall oben und somit nur noch die Frage mit dem vollwertigen Gastzugang der Fritzbox.

Würde mich freuen, wenn ihr eure Gedanken dazu niederschreibt. )

 

[KunterBunter]

Die brennenste Frage vorweg... Ist ein Fritzbox Gastzugang ohne gesetzten Filter ein vollwertiger Zugang zum Internet bei dem alle Dienste funktionieren wie sie sollten?

Nein. Die Wiedergabe von IPTV und die Nutzung anderer Funktionen der FRITZ!Box (z.B. Portfreigaben, Telefonie) sind über den Gastzugang nicht möglich.

 

[kamote]

Hmm ok dann macht das so ja wenig Sinn.
Wenn ich dann die GastLAN Option raus nehme und stattdessen einen günstigen OpenWRT Router einsetze sollte die Trennung der Netzwerke aber möglich sein indem ich dem zweiten Router einen anderen Adressbereich zuweise zb Fritzbox 192.168,178 und zweiter Router 192,168.0 korrekt?
Gibt es einen günstigen OpenWRT fähigen Router der zufällig auch auf 10mbit beschränken kann?

 

[sonyKatze]

fritz.box → Internet → Filter → (Reiter) Priorisierung → (Geschwindigkeit im Heimnetz) reservieren: Automatisch

Das geht angeblich nur bei wenigen hochwertigen DSL-Boxen (die mit ARM-Chipsatz: 7520, 7530-Serie, 4060; und der FRITZ!Box 7590-Serie) und bei Internet-Anbietern, die die vertragliche Bandbreiten übermitteln (Telekom Deutschland, 1&1, …).

Die 7530 hat ja auch die Gastzugang per LAN Option?

Ja … Nur ganz wenige Boxen wie die FRITZ!Box 5530 haben es nicht.

"vollweriger" Netzwerkanschluss

Klingt für mich eher nach einem Problem allgemein mit Vodafone Cable. Hast Du die Spiele-Konsole bereits direkt im normalen Heimnetz probiert? Falls auch dort Probleme auftauchen, Dual-Stack buchen, also eine eigene IPv4.

eure Gedanken

Ehrlich? Es ist ist Unfug. Jeweils einen zweiten Internet-Anschluss beantragen. Der Ärger steht in keiner Relation zu den Kosten. Bei 1&1 über Drillisch zahlst Du keine 27 € pro Monat für DSL50.

Durch das Gast LAN sind die Adressbereiche getrennt und somit ist kein Zugriff auf das HostLAN möglich.

In anderen Foren bekommst Du den Trick mittels drei Router spendiert: Gast-Netz nicht nötig, stattdessen bekommt jede Wohneinheit ihren eigenen kaskadierenden Router. Das halte ich für ein rein theoretisches Konstrukt, eine Illusion, weil es im praktischen Alltag an vielen Details scheitert:

• Du hast dann in IPv4 immer Doppel-NAT mit den wildesten Folgen. Maximal eine Router-Kaskade kannst Du davon erlösen.
• IPv6 ist kompliziert einzurichten – hier helfen wir gerne – und geht fast nur dann, wenn auch alle drei Internet-Router eine FRITZ!Box sind. OpenWrt kannst Du knicken. Außer Du machst alle drei Router mit OpenWrt.

 

[kamote]

Danke für eure Antworten.
@sonyKatze
Der Internetzugang über Cable ist auf IPv4 gebucht also kein DSlite.
Ich gehe jetzt mal davon aus die Probleme kommen vom Gastzugang. Also kann man den in jedem Fall nur eingeschränkt nutzen und es ist kein vollwertiger Zugang. Frage mich warum AVM es nicht ermöglicht, gibt ja viele die evtl ihr Internet teilen wollen aber eben nicht ihr Heimnetz.

Hm ok nehmen wir die 7530 und hängen die 7390 per LAN dran und konfigurieren Internet über LAN 1. Dann geben wir der 7390 einen anderen IP Adressbereich und haben zwei getrennte Netze oder läuft das so nicht?
Am Anschluss dort sind leider nur 100mbit WAN machbar. Beim 250er hätte man es sich mit dem 100mbit Switch leicht machen können aber wie bekomme ich jetzt eine zuverlässige Drossel am besten hardwareseitig... Die Frage ob der 10mbit Switch das mitmacht ist noch offen

EDIT: Hab mir jetzt mal den Netgear GS105E ProSafe bestellt und schau mal was ich damit hinbekomme. Der soll ja angeblich die Datenrate managen können und zusätzlich widme ich mich dann dem Thema VLAN...

 

[Novize]

ok nehmen wir die 7530 und hängen die 7390 per LAN dran

Die 7530 ist der Router ins Internet und dort hängt Dein LAN hinten dran? hinter der 7390 das LAN der anderen Wohnung?
Eine schlechte Idee, denn dann kommt jeder aus dem hinteren LAN in das vordere LAN, kann dort auf jedes Gerät zugreifen...
Daher ja die Idee der 3 Router:
1. der DSL-Router, dahinter parallel am selben internen LAN des DSL-Routers
2. die beiden Router für Wohnung 1 und Wohnung 2. Aber egal, wie Du es drehst und wendest, es gibt immer das Doppel-NAT-Problem (bzw kann es geben). Nur so kannst du zuverlässig vermeiden, dass jemand aus einem LAN ins andere LAN kommt, weil da immer ein Router zwischen hängt und das blockt.
Lösen lässt sich das nicht mit Hausmitteln der Fritz, denn die kann keine 2 vollwertigen unabhängigen Netze aufbauen.

 

[sonyKatze]

Frage mich warum AVM es nicht ermöglicht, gibt ja viele die evtl ihr Internet teilen wollen aber eben nicht ihr Heimnetz.

Gute Frage. Keine Ahnung. AVMs aktuelle Gast-Netz-Implementierung ist genial bzw. einzigartig, weil jedem Gast ein VPN über das Heimnetz hinweg gelegt wird. Das bedeutet, ich kann sogar ein Gast-Netz nur in einem FRITZ!Repeater aufspannen und brauche nicht einmal in der FRITZ!Box selbst ein Gast-Netz zu erzeugen. Jeder Nutzer fliegt dann quasi abgeschottet von allen Anderen durch mein Heimnetz. Wollte AVM das aufbohren, müssten sie das Konzept wohl aufgeben und auf Industriestandards wie VLANs setzen. Aber die Hersteller Keenetic und Synology zeigen, wie das über eine Web-Oberfläche auch Normal-Benutzern zu vermitteln ist. Ich denke Du wirst über eine andere Router-Plattform nicht umher kommen. Davor dann ein extra Modem.

IPv4 gebucht also kein DS-Lite

IPv4-only oder auch IPv6?

 

[FlyingToaster]

weil jedem Gast ein VPN über das Heimnetz hinweg

:räusper: Das Gast-LAN/WLAN ist ein VLAN. Gegen VPN per User spricht, dass Gäste an Gast-LAN4 nicht voneinander trennbar sind und die Standardeinstellung im Gast-WLAN wireless client isolation (guest_user_isolation) ist, die für den "VPN-Effekt" sorgt.

Das mit dem VPN für jeden Client gibt es dann beim WiFi Calling, womit AVM dann nur mittelbar zu tun hat.

 

[Peter_Lehmann]

Hallo @kamote!

Du batest um Gedanken …
Ich mache schon seit einigen Jahren Ähnliches, wie du vorhast (in einigen Ferienwohnungen, wo ich gern mal Urlaub mache und etwas für den Vermieter dalasse, in dem Haus, in dem ich wohne, welches mein Vermieter nur ab und an als Ferienwohnung nutzt, sowie in unserem Kirchenbüro).
Allerdings würde ich niemals jemand dauerhaft in mein Netz lassen. Es geht ja nicht nur darum, dass dieser Gast deine eigenen Geräte nicht "sehen" und auch nicht manipulieren sollte, es geht ja auch darum, dass ein Gast über deinen Internetzugang keine "dummen Sachen" machen kann, welche dann erst einmal auf dich zurückfallen. (Ja, das Gastnetz schließt da schon einiges aus - führt aber auch zu ungewollten Einschränkungen. Und alles läuft eben über deine IP)

Meine Lösung ist der sogenannte "Freifunk"!
Du kannst dich gern auf www.freifunk.net informieren.
Letztendlich bedeutet das, dass du (für den von dir beschriebenen Bedarf) fast irgendeinen beliebigen älteren Router (für ~15€nen in der Bucht gekauft) zum Freifunk-Router umflashen kannst und dann hat der Gast einen vollwertigen Internetzugang und deine eigene IP taucht dabei nirgendwo auf. (Außer natürlich bei Straftaten, denn dann kooperieren wir selbstverständlich.)

Das einzige, was nicht deinen "Vorgaben" aus dem ersten Beitrag entspricht, ist der zusätzlich benötigte Router und dessen Strombedarf, aber beides kann ja wohl der Gast bezahlen, wenn er schon bei dir "schnorren" kann.

vy 73 de Peter

 

[sonyKatze]

Das [AVM] Gast-LAN/WLAN ist ein VLAN

Aber dann müsste ich über Wireshark an einem Switch zwischen FRITZ!Box und FRITZ!Repeater den Datenverkehr einsehen können.

 

[FlyingToaster]

Ja, sehr wahrscheinlich.
Im Umkehrschluss, wie sollte eine schwachbrüstige Fritzbox jeweils ein VPN pro Gast bewältigen können?

 

[sonyKatze]

OK. Anders herum: Woher weißt Du, dass AVM „nur“ ein VLAN nutzt?

wie sollte eine schwachbrüstige Fritzbox jeweils ein VPN pro Gast bewältigen können?

Vielleicht kommen daher die maximal 180 Gäste?

 

[FlyingToaster]

Max. 180 Gäste über 180 VPNs? Da fehlt mir der Glaube. VLAN ist eine etablierte Methode zum Trennen von mehren Netzen, wieso sollte AVM da so etwas außerordentlich Absurdes tun?

 

[kamote]

Ok danke Leute erstmal für eure Vorschläge.
Interessant ist tatsächlich wie AVM das mit dem Gastnetz nun löst. Aber unterm Strich ist und bleibt es eine Sache für "nur mal eben den Besuch fix ins Internet lassen"... leider oder zum Glück.
Das mit dem Freifunk ist auch eine gute Idee. Solange verfügbar?

Bei meinem Bekannten haben sie sich jetzt nun doch dazu entschieden einen separaten Anschluss für die andere Wohnung zu buchen. Auch weil ich wohl den passenden Denkanstoß geliefert habe.

Ber der Geschichte mit der 6690 werde ich mich dann die Tage mit dem ProSafe Switch ein bisschen austoben und hoffentlich ans Ziel kommen.
Hier handelt es sich zudem um Familie, deshalb sehe ich die geteilte Nutzung als eher tragbar. Sonst müsste ich meinen Kindern ab jetzt theoretisch auch den Zugang zum Netz verbieten... wäre uU evtl. sogar ganz sinnvoll. ^^

 

[Xantorix]

Hallo, es ist vielleicht nicht ganz passend aber ich habe kürzlich ein Netzwerk aufgebaut um in einem Haus für ukrainische Flüchtlinge Internet zu verteilen.
Es sind dort 3 Wohnungen vorhanden.
Es wurde im EG ein DSL Anschluß geschaltet und per LAN das 1.OG und DG von dieser Fritzbox versorgt.
Ich habe darauf geachtet die Fritzbox und je einen Repeater strahlungsgünstig zentral im Flur hoch an die Wand zu montieren.
Die Repeater laufen als AP mit LAN Bridge.
Momentan mit ca 10 - 20 Geräten ist der Anschluß 50 Mbit noch nicht ausgelastet. Und da geht viel mit streamen, Skype zocken ect.
Alles über Wlan.

Gruß Xante

 

[kamote]

50mbit sind im Normalfall auch recht ordentlich allerdings hat nur einer der Nutzer einen PC oder ne Spielekonsole, dann ziehts dir hin und wieder die komplette Leitung leer wenn Installationen oder Updates durchgeführt werden.
Klar gibts QoS aber wenn der Anschlussbesitzer keine Lust hat oder sich nicht das Wissen aneignen möchte wie man das bei neu hinzugekommenen Geräten konfiguriert aber trotzdem gerne mit Internet aushelfen möchte, dann ist das halt schlecht.
Uff langer Satz ^^

 

[FlyingToaster]

unterm Strich ist und bleibt es eine Sache für "nur mal eben den Besuch fix ins Internet lassen"

Es ist auch eine (bei mir in der Fa.) etablierte Methode, sämtliche BYOD-Smartphones "draußen" zu lassen und IPv4-Adressen zu "sparen".

 

[kamote]

Von mir ein Update.
Mit dem genannten GS105E ProSafe bekomme ich zumindest schon mal eine Drossel auf recht günstige und einfache Art und Weise hin.

Um die zwei Netze zu trennen habe ich mir etwas anderes überlegt.
Und zwar habe ich einen Raspberry Pi 4 als VPN Gateway inkl. Killswitch eingerichtet.
Mit OVPN und UDP bekomme ich recht akzeptable 110-130 Mbit bei aktiven VPN hin. Zusätzlich habe ich das interne WLAN Modul als AP / Hotspot eingerichtet, welcher ein anderes Subnetz nutzt.
Mit den richtigen iptables sollte das Trennen der zwei Netze mit gleichzeitig voller Funktionalität gegeben sein?
Hier bin ich noch nicht weiter zum Testen gekommen, denn ich stehe erstmal vor folgendem Problem, da ich den VPN Gateway unabhängig von der Gast LAN Geschichte in Zukunft so nutzen möchte.
Leider ist die Performance vom internen WiFi Modul nicht so der Hit bzw ist evtl das passive Aluminium Gehäuse schuld. Komme ca auf 30mbit down 7mbit up direkt neben dem Gerät. Ich hätte aber schon gerne die volle 2,4ghz Ausbeute zumal die Hardware es ja hergibt.
Hab mir nun überlegt einen Fritz Repeater 1200ax als LAN Bridge zu konfigurieren aber leider ignoriert der Repeater anscheinend meine Einstellungen.
Habe ihm eine feste IP im Netz der Fritzbox gegeben aber als Gateway den RPI gewählt. Leider wird der Traffic nicht durchgeleitet. Auch mit einem anderen Repeater von TP Link selbes Verhalten. Wo liegt hier mein Denkfehler bzw ist das so ein OSI Ding?
Wenn ich meinen Laptop über LAN mit dem Pi als Gateway betreibe funktioniert es wie erwartet. Der Traffic vom Laptop geht durch den Pi und sobald ich am PI den VPN inklusive passender iptables starte, hab ich am Laptop die IP des VPN und "nur" noch die bereits erwähnten 110-130 Mbit Durchsatz.
Warum klappt das mit den Repeatern nicht?
Dazu habe ich mir überlegt einen USB zu LAN Adapter, als eth1 mit anderem Subnetz als der Heimrouter, am PI zu konfigurieren um dort den 1200ax laufen zu lassen damit dieser nicht im Netz der Fritzbox funkt.
Der Adapter ist noch unterwegs aber denkt ihr das kann so was werden?