interne Bridge der FritzBox abschalten bzw. umkonfigurieren ?

[Black Angel]

Hallo Leute,

ich hab eine FritzBox 7050 und bin auf der Suche nach einer Lösung mit der ich die beiden LAN Anschlüsse völlig eigenständig betreiben kann.

Die beiden Netzwerke dürfen sich nicht "sehen"

Ich kann zwar die Box so einstellen, daß jeder Anschluss ein eigenes Netz darstellt. Allerdings routet die Box dann fröhlich zwischen den Netzen hin und her.

Damit ist diese Möglichkeit gestorben. Es sei denn irgendjemand weiß wie man dieses Verhalten abschalten kann.



Beim Anschauen der ar7.cfg ist mir eine Idee gekommen.
Allerdings weiß ich nicht ob und wie die sich umsetzen läßt.

Wenn die Box als Bridge arbeitet gilt in der ar7.cfg der Eintrag "brinterfaces" der so aussieht:

brinterfaces {
name = "lan";
dhcp = no;
ipaddr = 192.168.168.254;
netmask = 255.255.255.0;
dstipaddr = 0.0.0.0;
interfaces = "eth0", "usbrndis", "eth1", "tiwlan0", "wdsup0",
"wdsdw0", "wdsdw1", "wdsdw2", "wdsdw3";
dhcpenabled = no;
dhcpstart = 0.0.0.0;
dhcpend = 0.0.0.0;
} {
name = "lan:0";
dhcp = no;
ipaddr = 192.168.178.254;
netmask = 255.255.255.0;
dstipaddr = 0.0.0.0;
dhcpenabled = yes;
dhcpstart = 0.0.0.0;
dhcpend = 0.0.0.0;
}

Wenn ich jetzt im ersten Teil bei den Interfaces den Eintrag "eth1" entferne,
dann müßte doch eigentlich LAN B nicht mehr Teil des Netzwerkes sein, oder

Wenn ich dann zusätzlich noch einen neuen Eintrag mache der als Interface nur eth1 enthält, dann sollte das funktionieren.


Nach der Modifikation würde der Eintrag brinterfaces dann so aussehen:

brinterfaces {
name = "lan0";
dhcp = no;
ipaddr = 192.168.168.254;
netmask = 255.255.255.0;
dstipaddr = 0.0.0.0;
interfaces = "eth0", "usbrndis", "tiwlan0", "wdsup0",
"wdsdw0", "wdsdw1", "wdsdw2", "wdsdw3";
dhcpenabled = no;
dhcpstart = 0.0.0.0;
dhcpend = 0.0.0.0;
} {
name = "lan1";
dhcp = no;
ipaddr = 192.168.170.254;
netmask = 255.255.255.0;
dstipaddr = 0.0.0.0;
interfaces = "eth1";
dhcpenabled = no;
dhcpstart = 0.0.0.0;
dhcpend = 0.0.0.0;
} {
name = "lan:0";
dhcp = no;
ipaddr = 192.168.178.254;
netmask = 255.255.255.0;
dstipaddr = 0.0.0.0;
dhcpenabled = yes;
dhcpstart = 0.0.0.0;
dhcpend = 0.0.0.0;
}

Was meint Ihr?
Funktioniert das oder verwandel ich damit die Box in einen Briefbeschwerer

Viele Grüße
Klaus

 

[Black Angel]

geht nicht.

Hallo Leute,

ich hab jetzt mal rumprobiert. Es funktioniert so leider nicht.

Wenn ich "eth1" entferne, ist LAN B komplett tot. :grab:
Soweit so gut.

Wenn ich jetzt die neue Untergruppe erstelle, dann lebt LAN B zwar wieder mit einer anderen IP. Allerdings routet die Box dann wieder fröhlich zwischen den Netzen.

Hat noch jemand eine Idee

Viele Grüße
Klaus

 

[penkert]

Da noch niemand sonst geantwortet hat...
Das sieht mir nach einem iptables Problem aus. Ich kenne mich damit aber nicht genug aus, um dazu etwas sagen zu können. Die Bridge zwischen den Interfaces muss definitiv weg, und das Routing muss über iptables abgestellt werden, falls die Fritzbox nicht noch irgendwo Einstellungen hat, die wiederum iptables mit Daten füttern. Sorry, dass ich nicht mehr helfen kann... :noidea:

 

[Igi2003]

Ich hätte da evtl. nen Vorschlag. Die Fritzbox hat immer ne zweite IP Adresse, meist 192.168.178.254 damit man die noch bei fehlerhafter konfiguration erreicht.
Falls beide Rechner Internetzugang haben sollen, dann könnte man einen in den IP Bereich 192.168.178.X einstellen, der die 254 als Gateway hat und den anderen Rechner z.B. auf 192.168.2.10, mit der ...2.1 als Gateway. Die Fritzbox dann aber ganz normal auf die Netzmaske 192.168.2. konfigurieren. So können sich die beiden Rechner untereinander "NICHT" erreichen, aber das Internet über die Fritzbox geht trotzdem. Normalerweise sollte die Fritzbox dann nicht zwischen den beiden internen Netzen routen.
Ich selbst hab das noch nie probiert da ich an meiner keine zwei LAN Anschlüsse hab. Hab nur ne einfache SL WLAN.

Mfg Igi

 

[big-fischer]

iptables

Ich hab mal etwas im Sumpf gestochert...

iptables -L

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
 
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Damit haben alle Netzwerke die die F!B kennt (oder kennen gelernt hat =>Netzwerkeinstellungen -> IP-routen) vollen Zugriff aufeinander.

Achtung! Experimente mit iptables können dich von der Fritzbox aussperren!
_ich glaube man hat noch zugriff über die .254 - selber informieren!_

Zuletzt sollte die Policy geändert werden:
iptables -P INPUT DROP

ähnlich mit OUTPUT und FORWARD

zu den Chains empfehle ich: http://linux-ip.net/nf/nfk-traversal.png

Wenn alle Geräte ein Netz bilden, dann kannst du mit iptables z.B. nach Gerät (eth0, wlan0 usw) und ports (z.B. TCP 22) filtern.

Beispiel um per Port 80 und 22 auf die FB nur über eth0 (LAN1?) Zugriff zu haben (alles andere wird ja geDROPped):

iptables -A INPUT -i eth1 -p tcp -m multiport --dport 22,80 -j ACCEPT

Du kannst unter => Netzwerkeinstellungen -> IP-Adressen auch alle Geräte in eigene Subnetze hängen und den Zugriff dann eleganter verwalten.

Aber sperr dich nicht aus

Ich hab selber vor das WLAN zu entkoppeln, da es mit openvpn abgesichert werden soll. Den Dienst tut noch ein uralt-Laptop mit 11Mbit-Karte.
Mal sehn obs was wird...

Post Scriptum: Es gibt, einfach gehalten, 2 Möglichkeiten
Policy DROP - Nichts annehmen, bis auf die ACCEPT-Regeln => Die "sicherere" Variante, man vergißt keine Lücke. Dafür muss man aber auch alles einzeln freischalten (DNS, SSH, etc, pp, usw)
Policy ACCEPT - Alles Annehmen, bis auf DROP/REJECT - Regeln => Möglichkeit einfach gewisse unangenehme ports "wegzufirewallen"

 

[Black Angel]

vielleicht andere Lösung gefunden.

@Igi2003

Danke für die Antwort.
Es funktioniert leider nicht. Ich habs ausprobiert. Die Box routet trotzdem.

@big-fischer

Ebenfalls danke für die Antwort.
Könnte funktionieren.
Allerdings muß ich zugeben, daß ich bei Deinen Erklärungen irgendwo auf halber Strecke ausgestiegen bin.
Außerdem ist mir das schon fast zu gefährlich.
Elektronische Briefbeschwerer hab ich schon mehr als genug.


Ich hab jetzt noch eine mögliche Lösung gefunden.
In der c't 5/04 "DMZ für wenig Geld"

Das klingt ziemlich interessant und müßte für eine 100%ige Trennung der beiden Netze sorgen.

Oder spricht da etwas dagegen ?

Viele Grüße
Klaus

 

[meimi039]

Ich habe auf der Box verschiedene Netze konfiguriert und trenne die mit iptables:

#!/bin/sh
############################################################################
############################################################################
##                                                                        ##
##   Titel       :   firewall                                             ##
##                                                                        ##
##   Version     :   0.99                                                 ##
##                                                                        ##
##   Date        :   30.06.2006 12:17                                     ##
##                                                                        ##
##                                                                        ##
##   Description :   Trennt LAN_A und LAN_B, blockt LAN_B an FBF7050 Conf ##
##                   Verbietet P2P für LAN_B                              ##
##                                                                        ##
##                                                                        ##
##                                                                        ##
############################################################################
############################################################################

# Maintainance-Slot für debugging schaffen (5min) falls was schief geht
sleep 300

# P2P-Connections werden gedropt und 10 Logeinträge pro Minute gemacht (prevents DoS)
/usr/sbin/iptables -N P2P_LOG_DROP
/usr/sbin/iptables -A P2P_LOG_DROP -m limit --limit 10/minute -j LOG --log-prefix "P2P Filesharing attempt "
/usr/sbin/iptables -A P2P_LOG_DROP -j DROP

# Ferienwohnung darf nicht ins private LAN
/usr/sbin/iptables -A FORWARD -s 192.168.112.0/24 -d 192.168.110.0/24 -j DROP

# Ferienwohnung darf nicht auf die Fritzbox zugreifen
/usr/sbin/iptables -A INPUT -s 192.168.112.0/24 -d 192.168.112.254 -p tcp --dport 20:22 -j DROP
/usr/sbin/iptables -A INPUT -s 192.168.112.0/24 -d 192.168.112.254 -p tcp --dport 80:82 -j DROP
/usr/sbin/iptables -A INPUT -s 192.168.112.0/24 -d 192.168.112.254 -p tcp --dport 5060 -j DROP
/usr/sbin/iptables -A INPUT -s 192.168.112.0/24 -d 192.168.112.254 -p tcp --dport 49000 -j DROP

# Ferienwohnung darf keine Files via P2P/Gnutella tauschen (siehe www.ipp2p.org)
/usr/sbin/iptables -A FORWARD -s 192.168.112.0/24 -m ipp2p --ipp2p -j P2P_LOG_DROP

 

[Black Angel]

Schon gelöst mit 2. Router.

Hallo Meimi039,

danke für die Antwort. Damit würde es auch gehen.

Ich habs allerdings schon mit einem 2. Router gelöst, den ein Freund noch rumliegen hatte. (siehe c't 5/04)
Funktioniert perfekt.

Viele Grüße
Klaus

 

[7050Chris]

Hi zusammen!

Passend zu dem Thema hätte ich gleich eine ähnliche Frage, allerdings in die andere Richtung:

Ich würde gern die Subnetze von WLan und Ethernet trennen, aber die Buchsen im gleichen Netz lassen. Die "normale" Fritzbox bietet im Menü an, einzelne Subnetze zu vergeben, dann müssen aber auch die Ethernet-Buchsen getrennt werden. Gibt es eine Möglichkeit, das doch irgendwie hin zu bekommen?

Ich habe eine Fritzbox 7050 Fon & WLan, Firmware-Version 14.04.25ds-0.2.9.

Allerdings bin ich in LINUX nicht soo sehr fit. Wenn mir jemand einen Hinweis geben könnte, wo man die Konfiguration der Interfaces anpacken muß, find ich mich aber vielleicht selbst durch.

Schönen Gruß und herzlichen Dank im Voraus!
Christoph,
ziemlich neu hier und hofft, keine doofe Frage gestellt zu haben

 

[Black Angel]

Hi 7050Chris,

wenn ich Dich richtig verstehe willst Du das WLAN komplett vom LAN abschotten, damit ungebetene Gäste nicht ins LAN kommen.

Ist das richtig?

Wenn ja, dann wäre eine Möglichkeit die Konfiguration von Iptables wie von meimi039 vorgeschlagen. Die setzt allerdings schon Linux Kenntnisse voraus.

Die andere Möglichkeit ist ein zweiter Router hinter der FritzBox.
Das hab ich gemacht.

Beide Lösungen haben Vor- und Nachteile.


Iptables:
Vorteil: Nur ein Gerät, der Basteltrieb ist befriedigt, kostenlos.
Nachteil: Zeitaufwand (zum Einarbeiten in Linux), Gefahr von Fehlkonfigurationen.


2. Router:
Vorteil: Fehlkonfiguration produziert keinen Briefbeschwerer, einfach zu realisieren
Nachteil: 2 Geräte stehen rum. Kosten für zweite Box.


Bei der 2-Router-Methode kann ich Dir bei Bedarf helfen.

Viele Grüße
Klaus

 

[7050Chris]

Hi Klaus!

Nicht komplett abschotten.
Es geht mir nur darum, daß das Kabelnetz und das WLan getrennte IP-Bereiche haben. Das macht vieles leichter, wenn man ein Notebook hat, das manchmal am Kabelnetz hängt und manchmal (u.U. auch gleichzeitig) am WLan (ergäbe sonst zwei Netzwerkinterfaces im gleichen IP-Bereich und eine Menge Ärger).

_Im_Prinzip_ täte es dazu die erweiterte Netzwerkkonfiguration der "ungemoddeten" Box, wenn die das zulassen würde, Routing zwischen den Netzen darf dann sein.

Die Zugangsbeschränkung ins WLan passiert auf Basis Mac-Filter, unbekannte SSID und Verschlüsselung.

Linux-Grundkentnisse: wenn mir jemand den passenden Befehl oder Konfig-Datei nennt, finde ich mich schon selbst weiter, ich weiß nur nicht, wo es anzupacken gilt.

Schönen Gruß,
Christoph

 

[Black Angel]

Hi Christoph,

ich fürchte da kann ich Dir nicht mehr weiterhelfen.
Das übersteigt meine Fähigkeiten.

Ich würde das Problem aber sowieso mit einem Switch lösen.

Unterschiedliche Netze für jeden Anschluß.
LAN B frei lassen und an LAN A einen Switch hängen und an den dann das Notebook und die anderen Rechner.

Oder gibt es etwas was dagegen spricht?

Viele Grüße
Klaus

 

[ilmtuelp0815]

Hi 7050Chris!
Wenn Dich das Routing der Box ansich nicht stört, dann kannst Du doch unter der erweiterten Einstellungen unterschiedliche IP-Adressen für LAN (A/B) und WLAN auf der Weboberfläche eingeben. Dazu sind keine LINUX-Kenntnisse erorderlich.