LAN-Client sperren mit Freetz und iptables

[bananarama]

Ich probier schon ne weile und kann nichts dazu im/außerhalb des Forums finden.

Ziel: einem LAN-Klienten den Zugang zum Internet erlauben und alles andere sperren (oder mindestens den Zugriff auf die anderen an die Fritzbox angeschlossenen Klienten).

Problem: Der Klient muss sich im IP-Bereich der Teilnehmer befinden, um geroutet zu werden, allerdings hat er so auch zugriff aus LAN.

In etwa:
192.1.1.1 Fritz
192.1.1.20-30 LAN
192.1.1.31 Klient X (ein zweiter WLAN Router)

Idee: mit iptables (freetz-stable-1.1 und Iptables-CGI 1.0.4) den Zugriff aufs LAN sperren.

Naja und da häng ich. Ich muss allerdings zugeben, dass mein Wissen über iptables noch nicht so groß ist. Hab allerdings viel probiert und auch gelesen.

Ist es denn überhaupt möglich? Habe es beim ausprobieren bisher nur geschafft, dem betreffenden Klienten X das Internet zu sperren, aber nicht auf die anderen Klienten via (network scanner) zuzugreifen.

Gruß
banana

 

[sf3978]

[...]
Ist es denn überhaupt möglich?
[...]

Ja es ist möglich. Gib deinem Klienten nur den FORWARD chain frei und Port 53 zur Box. Besser als iptables-CGI ist ein Skript. Sei bitte vorsichtig, dass Du dich nicht von der Box aussperrst.

 

[RalfFriedl]

Wenn Du das wirklich zuverlässig blockieren willst, mußt Du den Switch umkonfigurieren, so daß er den eine Klient und die anderen nicht mehr miteinander verbindet, sondern eine verbindung nur noch über die Box möglich ist. Dann erst kannst Du mit Regeln auf der Box steuern, was Du zulassen willst.

Schau mal nach cpmaccfg.

 

[bananarama]

Danke für die schnellen Antworten und die Hilfsbereitschaft.

Sei bitte vorsichtig, dass Du dich nicht von der Box aussperrst.

Stimmt, das kann man nicht oft genug sagen. Daher ist das iptables-cgi ganz praktisch, wenn man den Dienst NICHT auf automatisch stehen hat - zur Not den Stecker ziehen. Allerdings zu eingeschränkt für feinere Konfigurationen.

Ich hatte einen äh kleinen Denkfehler drin: die Klienten hingen nämlich nicht direkt ander freetzbox, sonder da war noch ein Switch dazwischen.....
Da kann IPtables ja nicht mehr viel regeln :blonk:
Konnte es aber mit einer Verbindung aus Subnetzmaske-ändern (255.255.255.254 248 im angeschlossenen WLAN-Router) und den genannten Iptables-änderungen (man braucht dann allerdings einen externen DNS, oder man muss auch einen INPUT zur freetzbox freigeben).

Wenn Du das wirklich zuverlässig blockieren willst

Ja, prinzipiell kann man sich jetzt immer noch irgendwie reinhacken, allerdings bin ich fürn Anfang schon mal froh, dass nicht jeder Gast das LAN scannen und auf Netzwerkdrucker und -freigaben zugreifen kann.

Danke Euch
banana

 

[eisbaerin]

dass nicht jeder Gast

Wenn es gedacht ist für Ferienwohnung oder ähnlichem...
Da schau mal auf www.hotsplots.de.
Da kanst du den ganzen Verker deiner Gäste per VPN zu hotsplots schicken,
so daß sie nicht mehr in dein LAN kommen und auch keine Dummheiten mit deiner öffentlichen IP machen

 

[bananarama]

Hi Eisbaer
Ein super Tipp, denke das könnte was für uns sein. Ich wusste nicht, dass es auch Anbieter gibt, die sich auch für kostenlose Zugänge lohnen (da will man ja nicht tausende von ¤ investieren). Und der Sicherheitsgewinn ist aus rechtlicher Sicht ja nicht zu verachten.

Gruß
banana

 

[eisbaerin]

Deswegen fragen wir auch öfters mal: Was willst du denn eigentlich damit machen.
Das ist nicht zum aushorchen, sondern weil es öfters ganz andere Lösungen gibt als derjenige es sich denkt.

Liege ich mit Ferienwohnung richtig?

Ich habe mich gestern bei hotsplots angemeldet und es auch gleich ausprobier. Geht super!
Schau mal bei hotsplots auf die Karte. Da gibt es schon einige Hotels, Cafe's, Campingplätze, Appartments...

 

[bananarama]

Ist ein Campinplatz, aber eher klein und wir wollens weiterhin umsonst anbieten. Wie gesagt läufts ja jetzt prima, allerdings gefällt mir das Modell mit den Gastkonten besser, deswegen werd ich das bald mal antesten.
Nachfragen find ich super, solange aus technischen Fragen keine Grundsatzdiskussionen werden Für den Tipp bin ich aber echt dankbar.
Gruß
banana

 

[eisbaerin]

Ich bin schon lange auf der Suche nach so etwas.
Es gibt da noch mehr Anbieter:

- fon.com/de/
- sofanet.de
- freifunk.de

und andere, aber immer hat mir irgendetwas nicht gefallen.
So gut wie hotsplot hat mir noch keiner gefallen