[Problem] Kindersicherung der FB v6.24 wird umgangen?!

[koyaanisqatsi]

Richtig

Eine Lösung zwischen Router und LAN mit mehreren Netzwerkkarten wäre IPCop.
...so kann WLAN/LAN/DMZ/Router(Internet) sauber getrennt, gefiltert und analysiert werden.

Dafür brauchts dann schon einen PC.
Der Raspberry kann nur 1x LAN und über USB 1x WLAN

Nichtsdestotrotz kann auch so eine Lösung relativ simpel ausgetrickst werden.
Wenn sie nicht richtig konfiguriert wurde.

Jetzt stellt sich die Frage, wer dass dann konfigurieren sollte.
Der Vater oder doch besser der Sohn?

Denn wenn der Sohnemann es schon so gut drauf hat, würd ich mr als Außenstehender doch wünschen:
Arbeitet lieber zusammen, gegen Trojaner, XSS Attacken und alles böse was aus dem Internet kommt.

BTW: Wenn er Nachbars WLAN nutzt, hilft eh garnichts. Dagegen wärst du machtlos.

 

[JohnDoe42]

sudo iptables -I FORWARD 1 -m statistic --probability 0.20 -d <IP-Adresse_PC-Sohn> -m multiport --dports 1:65535 -j REJECT

Prima Idee, nur kurz als Berichtigung:

[/B]sudo iptables -I FORWARD 1 [COLOR="#FF0000"]-p tcp[/COLOR] -m statistic [COLOR="#FF0000"]--mode random[/COLOR] --probability 0.20 -d <IP-Adresse_PC-Sohn> -m multiport --dports 1:65535 -j REJECT

Und noch evtl. als Ergänzung, wenn der Sohnemann-PC per WLAN angebunden ist und das I-Net mal ganz "abgeschaltet" werden soll:

DeAuth-Attacke.

 

[andiling]

Die prima Idee setzt aber voraus, dass der Nutzer bei seiner IP bleibt...

 

[informerex]

bei solchen Dinge denkt man aber auch "ab und zu" zu kompliziert
evtl. ist auch nur ein Fehler in der Konfig? (vielleicht mal screenshots hier hochladen)

+ FW auf letzte final FRITZ!Box 7490 / FRITZ!OS 6.30 bringen.

 

[JohnDoe42]

Die prima Idee setzt aber voraus, dass der Nutzer bei seiner IP bleibt...

Gibt es dazu nicht die feste Zuordnung von MAC zu IP der FritzBox ?
Und darüberhinaus die MAC-Sperre, also Zugang auf die bekannten MACs beschränke ?
Dazu hatte PeterPawn allerdings hier im Forum schon mal was geschrieben ...

 

[sf3978]

... setzt aber voraus, dass der Nutzer bei seiner IP bleibt...

Ja. Der die FritzBox konfiguriert, kann das mit der IP ja festlegen. Sollte der Nutzer das "ändern", kann man das mit entsprechenden tools feststellen. Wenn man die iptables-Regel direkt auf dem Router (ohne arpspoof mit einem externen Gerät) anwendet und man dem Nutzer ein ganzes Subnetz zur Verfügung stellt (z. b. das Gast-WLAN), dann kann man die iptables-Regel auch auf das Subnetz (z. B. 192.168.179.0/24) anwenden.

 

[Leo205]

Danke an alle für die vielen Tips und Antworten.

Ich denke ich bin dem Jungen auf die schliche gekommen. Er hatte unter einem Karton unseren alten Netgear DG834B Router versteckt und diesen zwischen seinen PC und die Fritzbox geschaltet. Das einzige Rätsel für mich ist, wie er mit der Hilfe des Routers die Sperre der Fritzbox umgehen konnte, da ja eigentlich die Fritzbox seinen PC trotz zwischengeschaltetem Router erkennen sollte aufgrund der mitgesendeten MAC Adresse.
Jemand eine Idee?

 

[Benares]

Guter Junge - aus dem wird mal was

 

[leseratte10]

Wenn er einen "handelsüblichen" Router (nicht gerade so einen Cisco-Profi-Router) zwischen Box und PC gehangen hat, wird der wohl im Rouing-Modus inklusive NAT gelaufen sein. Dann sehen Geräte außerhalb des Routers (also die Fritzbox) nur noch ein einziges Gerät - den Router - und nicht mehr die dort angeschlossenen Geräte. Die MAC vom PC wird dann auch nicht mehr an die Fritzbox gesendet, nur noch die des Routers. Das ist das Prinzip bzw. der Sinn von NAT.

 

[Leo205]

Hallo Leute, ich bins nochmal.

Er kann immer noch spielen Wenn er den NAT Modus in dem Modem, welches zwischen FB und PC ist sollte die FB doch eigentlich neue IP's und MAC Adressen, also z.B. die MAC Adresse des Netgear Modems ebenfalls sperren. Ich habe den Aufbau am Wochenende als er weg war selber nachgebaut, habe das Modem resettet und neu eingerichtet inklusive NAT. Das Ergebnis war, dass ich nur im Surfen&Mailen Modus Zugang zum Internet bekommen habe. Wie gelingt es ihm trotzdem daran vorbeizukommen?

Liebe Grüße!

 

[informerex]

wurde zwischenzeitlich ein Update auf http://avm.de/service/fritzbox/fritzbox-7490/downloads/ bzw. http://avm.de/fritz-labor/ vorgenommen?

 

[PeterPawn]

OpenWRT auf dem Netgear-Router und das Tunneln durch beliebige andere Verbindungen (in Frage kämen DNS (das könnte allerdings blockiert werden, hängt von der konkreten Situation ab), HTTP(S), SMTP, POP3/IMAP) ist auch ohne tiefergehende Netzwerk-Kenntnisse möglich. So ein AR7-Gerät eignet sich eigentlich immer für OpenWRT ...

EDIT:
Tunnelbeispiel: http://linuxwiki.de/HttpTunnel

Um solchen Aktionen auf den Grund zu gehen, hilft nur ein Netzwerk-Mitschnitt, den man dann auf "verdächtige" Serveradressen untersucht. Eine (angebliche) SMTP-Verbindung zu irgendeinem Tunnelbroker wäre z.B. auf diesem Weg zu identifizieren, selbst wenn dabei TLS verwendet werden sollte, da nur der Kommunikationsinhalt, aber nicht die beiden Endpoints, verschlüsselt ist.

 

[MuP]

... Wie gelingt es ihm trotzdem daran vorbeizukommen? ...

Woher weißt du denn, dass ein Online-Game läuft ?

Den Ratschlag von informerex oben solltest du befolgen!

 

[Leo205]

@MuP: Höre ihn immer rufen "Los, Attacke, hinter uns" und so weiter, das macht er nur wenn er mit seinen Freunden übers Internet spielt.

 

[andiling]

Das machen meine Kids auch - wenn sie im Garten sind. Eine gesicherte Erkenntnis ist das nicht.

 

[Kalle2006]

Gesichert ist das nicht, die Wahrscheinlichkeit ist aber hoch - zumindestens wenn er alleine ist.

Mit einer bintec be.IP Plus als Router würden mir da noch ein paar Möglichkeiten einfallen, das spielen zu unterbinden.

 

[qwertz.asdfgh]

Die würden mir auch mit einigen anderen Routern einfallen (u.U. auch mit einer FritzBox). Problem ist und bleibt eben dass es auf dieser Stufe 1. dennoch keine 100% sichere Absicherung gibt (aller spätestens Prepaid-Mobilfunk "löst" das Problem), 2. das auch eingerichtet/konfiguriert werden muss und 3. sollten hier m.E. mehr erzieherische als technische Pkt./Lösungen in Betracht gezogen werden.

 

[Kalle2006]

Das stimmt, die beste Lösung wäre ein Nachwuchs der einsieht das es so nicht weiter gehen kann.

 

[MuP]

... liefere ich mir ein regelrechtes Katz und Maus Spiel mit meinem Sohn ... er darf ... allerdings nicht Computerspiele spielen ...

Bei "Totalverbot" bleibt eine "Totalverweigerung" nicht aus.
Die Lösung liegt in der Mitte > rede mit ihm, falls das noch möglich ist.

Änderungen im Verhalten eines Menschen kommen auch nicht von heute auf Morgen zustande.
Da helfen nur Überzeugungsarbeit und Geduld.

Aber gib auf keinen Fall zu, dass du in Wirklichkeit machtlos bist

 

[Hans Juergen]

Lass ihm die tägliche (eingeschränkte, verabredete) Spielzeit... mit klaren Konsequenzen bei Nichteinhaltung: Völlige Trennung vom Heimnetz (mechanische Trennung der LAN-Verbindung, Änderung des WLAN-Passwortes). Die Trennung mit sich deutlich steigernder Länge bei Wiederholung.
Für die Hausaufgaben gibts ne 1GB-Handykarte über ein Handy-WLAN oder Mobilrouter. Damit macht spielen sicherlich keinen Spaß...