Getrenntes WLAN/Netzwerk via FRITZ! Repeater (LAN-Brücke)

[Peter_Lehmann]

Hallo @butterbrotstulle!

Selbstverständlich ist es einzig und allein deine Entscheidung, welche Lösung du letztendlich nutzen wirst. Aber:

1. In der Zeit, in welcher hier diskutiert und nach Lösungen gesucht wird, hast du locker einen evtl. vorhandenen alten Router oder einen in der Bucht gekauft und zum Freifunk-Router umgeflasht.
2. Jeder Billigrouter aus der Bucht, selbst eine der ungeliebten 7412 oder gar ein TP-Link TL-WR841 ist garantiert preiswerter als irgendein zu kaufender Repeater.
3. Mit mehreren derartigen FF-Knoten kannst du durch ein völlig automatisch aufgebautes Mesh auch größere Entfernungen überbrücken oder "raumgreifend" ein Netz bereitstellen. Und wenn dieses zusätzliche Netz gerade nicht benötigt wird, nimmst du dem (speisenden) FF-Router den Strom und Ruhe ist.
4. Und das wichtigste eben, ist die Tatsache, dass beim Freifunk deine eigene IP "nirgendwo" zu sehen ist und du damit sehr gut vor den Auswirkungen behördlich erkannter "Dummheiten" deiner Gäste geschützt bist. Selbstverständlich kooperieren die FF-Communitys mit Ermittlungsbehörden, aber nur dann, wenn es um bestimmte Straftaten geht. Gerade für Ferienwohnungen oder für die Gäste der eigenen Kinder usw. ist deswegen IMHO der FF die beste Wahl.
   

Aber, siehe den ersten Satz.

vy 73 de Peter

 

[NDiIPP]

1. Ist C von (A, B) getrennt (Wodurch? Verhindert etwa die Kommunikationsblockade in den Gast-WLAN settings auch Kommunikation zwischen Gast-LAN-4 und Gast-WLAN?)
2. Können A und B miteinander kommunizieren (Warum? Der AP erzeugt doch auch nur ein Gast-WLAN mit dem gleichen Gast-Subnetz und auch dort gilt die Kommunikationsblockade?)

Zu 1:
Nein.

Zu 2:
Wenn Gerät A und B sich im WLAN des AP befinden ist es davon abhängig wie dieser AP konfiguriert ist (Client-Isolation an oder aus).

 

[Grisu_]

1.) Davon gehe ich aus bzw. hätte es so verstanden
2.) Warum sollte sie dort gelten, kannst ja am AP ohne Einstellungsübernahme (da auch gar nicht im Mesh) ja was anderes einstellen.
Zudem kannst dort ja normales WLAN verwenden und einstellen was du möchtest und nicht Gast-WLAN.
Gilt ja nur für den AP, der seinerseits am Router nur über Gast-LAN angebunden ist und somit gar nicht mehr bereitstellen kann (mehr im Sinne von nur Internet und kein Zugang zum Haupt-WLAN des Routers).

 

[butterbrotstulle]

Hallo @butterbrotstulle!

Selbstverständlich ist es einzig und allein deine Entscheidung, welche Lösung du letztendlich nutzen wirst. Aber:

Hallo Peter, diese Freifunk-Geschichte ist mir ehrlich gesagt ein zu weites Feld, trotzdem danke für den Hinweis

1.) Davon gehe ich aus bzw. hätte es so verstanden

Zu 1:
Nein.

Hier hat der AVM Support jemandem bestätigt, dass Client Isolation für Gast-LAN-4 nicht funktioniert. D.h. "Nein" ist wohl korrekt und in dem ASCII-Setup wäre Arbeit tatsächlich nicht von den Gästen getrennt.

2.) Warum sollte sie dort gelten, kannst ja am AP ohne Einstellungsübernahme (da auch gar nicht im Mesh) ja was anderes einstellen.
Zudem kannst dort ja normales WLAN verwenden und einstellen was du möchtest und nicht Gast-WLAN.
Gilt ja nur für den AP, der seinerseits am Router nur über Gast-LAN angebunden ist und somit gar nicht mehr bereitstellen kann (mehr im Sinne von nur Internet und kein Zugang zum Haupt-WLAN des Routers).

Zu 2:
Wenn Gerät A und B sich im WLAN des AP befinden ist es davon abhängig wie dieser AP konfiguriert ist (Client-Isolation an oder aus).

Ok danke, ich war mir nicht sicher, wozu der Fritz!Repeater als eigenständiger AP überhaupt alles fähig ist und was ihm von der FritzBox
"aufgezwungen" wird, wenn er per LAN-Brücke betrieben wird.
D.h. in der Fritz!Repeater-Benutzeroberfläche gibt es ebenfalls ein Häkchen, um Wireless Client Isolation zu aktivieren?

 

[butterbrotstulle]

D.h. in der Fritz!Repeater-Benutzeroberfläche gibt es ebenfalls ein Häkchen, um Wireless Client Isolation zu aktivieren?

Die Frage hat sich erledigt, habe die Einstellung in einem YouTube-Video gesehen.

Screenshot:

[Edit Novize: Riesenbild auf Vorschau verkleinert - siehe Forumsregeln]

 

[Grisu_]

Hier hat der AVM Support jemandem bestätigt, dass Client Isolation für Gast-LAN-4 nicht funktioniert. D.h. "Nein" ist wohl korrekt und in dem ASCII-Setup wäre Arbeit tatsächlich nicht von den Gästen getrennt.

Genau das Gegenteil hat der AVM Support hier bestätigt!

Alle Geräte hinter dem LAN4 können untereinander kommunizieren.
Aber NICHT zu den am Master Gast-WLAN verbundenen Geräten (welches ja dein Arbeits-WLAN darstellt).

 

[butterbrotstulle]

[Edit Novize: Überflüssiges Fullquote des Beitrags direkt darüber gelöscht - siehe Forumsregeln]
Hmmm vielleicht habe ich was überlesen aber dort steht doch:

laut AVM Support gilt diese Einstellung nur für den WLAN Gastzugang der Fritz Box.
[...]
Für den aktivierten Gastzugang für LAN 4 ist diese Funktion nicht existent.

Für mich klingt das so, dass das Feature "Wireless Client Isolation" nur innerhalb des Gast-WLAN die Weiterleitung von Paketen an andere bekannte Clients im Gast-WLAN verhindert. Eine Weiterleitung zu einem Client, der an Gast-LAN-4 hängt, wird aber zumindest durch dieses Feature nicht blockiert.

Das Verwirrende ist glaube ich der Thread-Titel "WLAN-Geräte dürfen untereinander kommunizieren nicht für LAN4". Man könnte bei der Formulierung meinen, dass im Umkehrschluss gelten müsste "WLAN-Geräte dürfen nicht untereinander kommunizieren für/mit LAN4".
Aber das meinte der Thread-Ersteller IMHO nicht bzw. ist nicht der Fall. Was er meint ist, dass er durch das Aktivieren von "Wireless Client Isolation" bzw. dem Deaktivieren von "WLAN-Geräte dürfen untereinander kommunizieren" NICHT auch an Gast-LAN-4 die Kommunikation untereinander unterbinden kann.

Bedeutet, egal ob ich diese Option aktiviere oder nicht. Alle Geräte die über LAN4 angeschlossen sind, können sich untereinander sehen. (kein Client-Client Schutz)

In kleinen Cafés und Pensionen mit mehreren Access Points die über LAN4 eingebunden sind, kann das zu einem Sicherheitsrelevanten Problem werden.

AVM hat ihm also gesagt: du kannst deine Gäste an LAN4 nicht mit diesem Feature voreinander schützen.
Dieser Schutzmechanismus bezieht sich nur auf das Gast-WLAN und hat darüber hinaus gar keinen Effekt.

 

[Novize]

@butterbrotstulle bitte halte Dich langsam mal an die auch von Dir abgenickten Forumsregeln - wir haben in Deinen Beiträgen lang genug hinterher geputzt und Dir jedes Mal eine Nachricht dazu zukommen lassen - ab jetzt bist du dafür verantwortlich, Deine Beitrag regelkonform zu halten. Also:
Keine Schiebepostings, keine Fullquotes, keine Riesenbilder...

 

[Grisu_]

Es steht doch klipp und klar in deinem Zitat, daß "Alle Geräte die über LAN4 angeschlossen sind sich unterinanderen sehen und kommunizieren können".
Betrifft also nur alles hinter LAN4, daß ohnedies auf einen eigenen AP geht.
Die direkt am Gast-WLAN hängenden bleiben weiterhin isoliert untereinander und auch von allem an LAN4.

Nur bevor du das noch 100x anzweifelst, warum probierst es nicht endlich mal selbst aus, dauert keine 5 Minuten (kürzer als deine zig Antworten) und hast Gewißheit?

 

[NDiIPP]

Hier hat der AVM Support jemandem bestätigt, dass Client Isolation für Gast-LAN-4 nicht funktioniert.

Das kann auch nicht funktionieren. Die Grundalgen dazu hat @PeterPawn in #13 bereits beschrieben. Die "Client-Isolation" bezieht sich immer nur auf das jeweilige WiFi-Netz bzw. WiFi-AP.

Offenbar halten sich hartnäckig Gerüchte, die Client-Isolation würde WiFi-AP bzw. LAN übergreifend funktionieren. Das tut sie nicht. Das betrifft nur die Geräte untereinander, die an einem AP angemeldet sind. Folgend mal ein Beispiel:

Alle aufgeführten Clients befinden sich im Gastnetz, das normale "Heimnetz", bleibt hierbei unberücksichtigt. Das WLAN-Gastnetz, welches die APs 1+2 zur Verfügung stellen (es handelt sich bei den APs ebenfalls um AVM-Produkte), wird per L2TPv3 von der FRITZ!Box realisiert.

                                          +--------LAN1-3---------+---------LAN1-3----------+---...
                +---------LAN4---------+  |                       |                         |
                |                      |  |                       |                         |
          LAN-Gastnetz              FRITZ!Box                 WiFi-AP-1                 WiFi-AP-2
          - Client A                - WLAN-Client 1 (Gast)    - WLAN-Client 2 (Gast)    - WLAN-Client 3 (Gast)
          - Client B                - WLAN-Client 4 (Gast)    - WLAN-Client 5 (Gast)    - WLAN-Client 6 (Gast)

1. Client 1 und 4 sehen sich nicht und können auch nicht untereinander komunizieren (wenn Client-Isolation aktiviert ist). Gleiches gilt auch jeweils für die Clients 2+5 und 3+6 (aber bspw. Client 2+3 können untereinander kommunizieren).
2. Client 1 kann die Clients 2, 3, 5, 6, A und B sehen bzw. mit denen kommunizieren. Nur nicht mit Client 4.
3. Die Clients A und B können mit allen anderen Clients (also 1-6) kommunizieren. Hier wirkt keinerlei Client-Isolation.

BTW:
Dass man mehr als 2 Netze mit einer normalen Fritzbox einrichten kann hatte ich mir übrigens auch schon gewünscht:
https://www.ip-phone-forum.de/threads/wünsche-für-neue-firmware-features.97726/post-2439888

Aber es gibt aber andere Router die das können, sogar mehr als 3 Netze. Und das ganze dann auch an WiFi-APs per VLAN "weiterreichen" können. Setzt natürlich WiFi-APs voraus, die ebenfalls mit VLANs umgehen können (wenn man nicht für jedes Netz einen eigenen AP verwenden möchte). Auch da sind dann die AVM WiFi-Produke raus.

 

[butterbrotstulle]

isoliert untereinander und auch von allem an LAN4.

Eben nicht. Was an Gast-WLAN hängt kann immer mit dem kommunizieren, was an Gast-LAN-4 hängt. Siehe auch die Antwort von NDiIPP.

1. Die Clients A und B können mit allen anderen Clients (also 1-6) kommunizieren. Hier wirkt keinerlei Client-Isolation.

Ja genau, so sehe ich das auch! Und danke für die zusätzliche ASCII-Darstellung.

 

[Grisu_]

Und was haltet ihr davon, den Bug an AVM zu melden, damit sie diesen Mißstand endlich mal beheben?
So ist das "Feature" ja unbrauchbar, wenn es nicht wirkt!

 

[Zwanzigeinundzwanzig]

Wo steht denn, dass das abwählbar wäre? Es steht nur beim Gast-WLAN, dass sich die Geräte auf Wunsch nicht sehen könnten.

 

[NDiIPP]

Und was haltet ihr davon, den Bug an AVM zu melden, damit sie diesen Mißstand endlich mal beheben?

It's not a bug, it's work as designed.

Ist halt nur die AP basierte Client-Isolation, wird i.d.R. direkt vom jeweiligen WiSoC umgesetzt bzw. dessen Firmware und nicht von den Diensten/Services die für das Routing verantwortlich sind.

Es steht nur beim Gast-WLAN, dass sich die Geräte auf Wunsch nicht sehen könnten.

Und beim normalen WLAN ebenso. Wie schon in #15 erwähnt.

 

[Grisu_]

Wäre jetzt aber denk ich nicht die große Kunst die Cleints im Gast-WLAN (sofern isoliert eingestellt ist) vom Gast-LAN4 zu isolieren, oder siehst du da anders?
Und erst so wäre es brauchbar umgesetzt, alles andere macht keinen Sinn oder Nutzen.

 

[Deleted member 273463]

Natürlich lässt sich sowas einbauen, nennt sich Private VLAN.
Sobald das drin ist, geht es aber weiter: "Wenn ihr sowieso schon VLAN implementiert habt, dann gebt das doch für die anderen Ports auch frei"

Die Fritz!Box ist und bleibt aber ein Gerät für Consumer und in meinen Augen ist die Nutzung des Gastnetzwerks an Port 4 ein zusätzliches Angebot zum Gast-WLAN.

 

[Multireed]

Hallo.
Das wäre doch so wie Du es willst. Aber vielleicht hab ich in 30 Beiträgen mit geballtem Wissen nicht alles verstanden oder überlesen.
Hab hierzu schon mal geschrieben. Bei mir wie #11 geht das mit dem Devolo als AP und seinem Gastnetz.
Zum Nachbarhaus bei meiner Schwester geht Lan3 von meiner FB. Da hängt der besagte Devolo auf dem Flur für Ihr Wlan. Beim Devolo ist Gastnetz eingeschaltet. Die sich da einbuchen dürfen können nur Internet und haben kein Zugang zum anderen Lan oder WLan Netzen.
Im WLan Deiner FB und dem Gastnetz Deiner FB könnte dann alles so bleiben wie Du es jezt hast.

 

[Deleted member 465500]

Hat der Devolo für sein Gastnetz eine Firewall, wo man den alleinigen Zugriff auf das Gateway deiner FB zulässt?

 

[Multireed]

Hallo.
Wie so oft muss ich etwas zurück rudern. Ist halt nicht meins und in der FB Box läuft er unter Anbindung Lan. Hab halt in der FB nicht genau geschaut wie im Bild.
Der Devolo ist nicht direkt mit Lan3 verbunden sondern über Powerline zu einem Partner im Keller und der dann an Lan 3.
Aber Funktion ist so wie beschrieben.
ich habe das selbst nicht eingesteckt aber was ich so in der Oberfläche sehe ist die einzige Einstellung das man das Gastnetz zeitlich schalten könnte.

 

[Zwanzigeinundzwanzig]

Der Devolo ist nicht direkt mit Lan3 verbunden sondern über Powerline zu einem Partner im Keller und der dann an Lan 3.

Das war doch klar, anders kann es doch gar nicht gehen. Aber welche Technik wendet er an, um von LAN 3 nicht auf die restlichen Geräte zu schauen? Oder sind nur die direkt am Devolo angemeldeten Geräte untereinander nicht sichtbar?