Kindersicherung / DHCP

[qdnna]

Hallo zusammen,

eine Frage zur Kindersicherung in der Fritzbox und DHCP - es gibt keine Kinder im Haushalt aber noch einen zweiten DHCP-Server. Leider kann man ja nicht sagen welcher DHCP-Server bevorzugt werden soll und so erhält ein NAS (Fehlkauf) mal eine IP von der Fritzbox und mal eine vom geeigneten DHCP-Server.

Weiß jemand ob man die MAC-Adresse des NAS in der Fritzbox eintragen könnte, mit einem Kindersicherungsprofil und dort auf Internetzugang sperren setzen?
Würde das bewirken, dass die Fritzbox an dieses Gerät gar keine IP verteilt? Dann könnte das der richtige DHCP-Server übernehmen und alles wäre super.

Vielen Dank und Grüße
Bertram

 

[schwester]

Hallo,
nein, das funktioniert nicht.
Gib der NAS eine feste IP, und lass die Gatewayadresse weg
Was ist der Grund für die 2 DHCP Server?
Warum nicht einen abschalten?

Gruß S

 

[qdnna]

Gib der NAS eine feste IP, und lass die Gatewayadresse weg

Gibt dieses tolle Gerät nicht her, man möge DHCP nutzen und eine Adresse halt am DHCP-Server fest reservieren.
Das Gerät ist nix, Rückgabefrist ist um und es ist neu, daher zu schade für den Recyclinghof (Western Digital übrigens, spielt aber keine Rolle).

Mit einer IP aus dem 192.168.178.0/24 steht dieses NAS im Heimnetz, da die auch keine Benutzerverwaltung kennen, stünden die Backups dann auf dem Serviertablett im internen Netz, daher ein DHCP-Server in eigenem Subnet auf einem RPi, ist jetzt auch nicht hochsicher aber hinreichend wäre es.

 

[Erforderlich]

Zwei parallele DHCP-Server sollte man unter allen Umständen vermeiden. Die bringen nichts und sind auch nicht beherrschbar.

Die Kindersicherung verhindert allein - dafür aber wirksam - den Internetzugriff, was ich bei mir z.B. generell bei allen Tasmota-Geräten mache, weil die u.a. per TasmoAdmin mit Updates versorgt werden sollen und nicht per Gerät etc. pp..

 

[Grisu_]

Könntest ihn ins Gastnetz verschieben (auch über LAN Port4 falls gewüscht) und den Zugang fürs Gastnetz nicht publik machen, aber Kommunikation zw. Geräten im Gastnetz erlauben.
Dann kannst du oder Geräte ihn übers Gastnetz erreichen, sonst aber niemand.

 

[Erforderlich]

Ein Gerät ins "andere" Subnetz zu legen, ist dann eher der Präsentierteller mit Serviette verdeckt.

 

[Grisu_]

Er kann es auch umgekehrt machen und die Familie ins Gastnetz verlegen.

 

[Ldwg2002]

OT, passt aber thematisch:

Wie / Kann man an der FritzBox den DHCP-Dienst nutzen, aber nur statische (der Haken 'immer gleiche') IP's vergeben?

Kann man [nur] die dynamische IP-Vergabe abschalten?

Ich kann den dynamischen IP Bereich nicht abschalten und nur auf eine einzelne IP (von bis ist gleich) begrenzen.

 

[NDiIPP]

Kann man [nur] die dynamische IP-Vergabe abschalten?

Nein.

 

[Grisu_]

Du könntest vielleicht den DHCP Range auf die Anzahl fix eingetragener IPs begrenzen und jede aus dem DHCP-Range vergeben.
Dann bleibt keine mehr frei zur weiteren Vergabe.

 

[Ldwg2002]

@Grisu_ danke, das ist die einfache kreative Lösung, hätte ich auch drauf kommen können.

Für die eine dynamische IP (im von=bis Bereich) würfel ich eine beliebige MAC-Adresse und trage sie als feste IP ein, damit gibt es nur noch bekannte Netzteilnehmer. Genial einfach

 

[mathew1]

was ist das für ein NAS? Hersteller? Typ?
Wäre evtl. gut zu wissen damit anderen der Fehlkauf erspart bleibt.

Wo liegen denn die Daten die das NAS sichern soll?
Falls die Daten komplett auf nur auf einem Rechner liegen könnte man dort auch mit einem zweiten Netzwerkadapter arbeiten.
So wäre das NAS dann auch isoliert und nur für diesen Rechner erreichbar.

 

[NDiIPP]

was ist das für ein NAS? Hersteller? Typ?

-> https://support-de.wd.com/app/answe...me:-konfiguration-einer-statischen-ip-adresse

 

[Ldwg2002]

den DHCP Range auf die Anzahl fix eingetragener IPs begrenzen und jede aus dem DHCP-Range vergeben.
Dann bleibt keine mehr frei zur weiteren Vergabe.

@Grisu_ es funktioniert, damit kann ich m/eine einfache Konzeptidee für ein Identity and Access Management im Zugangsprofil STANDARD umsetzen und kann auf die zusätzliche Kindersicherung (mit separater Benutzergruppe / Zugangsprofil "UNBESCHRAeNKT"er Internetzugriff, weil STANDARD=kein Internet) verzichten. Das vereinfacht mir die Administration erheblich, siehe Disclaimer, _#10_, _#10_ .

Für die eine dynamische IP (im von=bis Bereich) würfel ich eine beliebige MAC-Adresse und trage sie als feste IP ein, damit gibt es nur noch bekannte Netzteilnehmer.

1. Die FritzBox/FritzOS routet und baut das LAN mit NTP-, DHCP- und DNS-Server auf.
2. Der dyn. Bereich im DHCP-Server wird auf eine einzige IPv4-Adresse begrenzt von=bis
   und diese IPv4 wird im Anschluss einer gewürfelten MAC-Adresse fest zugewiesen, ggfs. ist zuvor ein reboot erforderlich. Dann bleibt keine mehr frei zur weiteren Vergabe.

• Damit ist [nur] die dynamische IP-Vergabe abgeschaltet, es wird ein LAN/Layer3 nur mit festen IPv4 ohne dyn.DHCP aufgebaut und ins Internet geroutet. So lässt sich mit der FritzBox/FritzOS ein einfaches IAM-Konzept realisieren, indem nur bekannte MAC-Adressen (Device-/Hardware-MAC-Adresse) registriert werden und eine feste IPv4 zugeordnet bekommen.

Disclaimer:
Nerds, denen das WLAN-Passwort (als PSK zur Verschlüsselung des Funkverkehrs) durch mündliche Überlieferung bekannt ist oder die LAN-Zugang (in der Wohnung) haben, können ihrem Client eine feste IP mit korrekter subnetmask/broadcast im Betriebssystem zuweisen und damit das _einfache IAM-Konzept_ umgehen. ABER solche Nerds sind eher nicht die typischen Verbraucher in der AVM/FritzBox Kundenzielgruppe.

Evtl. kann @qdnna mit diesem Konzept seine Lösung für zwei DHCP-Server konstruieren.
Zwei parallele DHCP-Server ... sind damit vielleicht beherrschbar,
sofern keine dynamischen sondern nur statische Adressen vergeben werden sollen.

 

[Grisu_]

Kannst ja das Subnet auch noch auf 255.255.255.252 (oder so ähnlich) einschränken, dann fällt jede andere IP aus dem Heimnetz raus und wird nicht geroutet.