Router und Netzwerkdose physikalisch vor Fremdzugriff schützen

[db13]

Hallo zusammen,
ich hab im Bekanntenkreis das Problem dass ich den Router im Keller und die Netzwerkdose am Schreibtisch (hängt per LAN Kabel ein WLAN AP dran) physikalisch gegen Zugriff schützen muss.
Der Ex kommt dort ab und zu vorbei und ist ein fanatischer Bastler und Saboteur um es mal noch diplomatisch zu formulieren und da mein Vorschlag dem Typen einfach den kompletten Zugang zum Grundstück zu verwehren aus speziellen Gründen nicht möglich ist muss nun das Ganze anders abgesichert werden.

Mein Gedanke war jetzt den Router (leider nur ein DTAG Speedport mit S0 wegen ner alten Telefonanlage) im Keller in einen 10" Metall-Wandschrank zu verfrachten, das Teil so an die Wand zu schrauben dass die Rückwand auch grad die LAN Dose und die TAE mit der TAL abdeckt.
Die Seitenwände zusätzlich vernieten. Somit kann derjenige sich weder per LAN Kabel an den Router stecken noch an die Tasten für WPS etc. kommen um irgendeinen Quatsch zu machen.

Aber was mach ich oben am Schreibtisch wo per LAN Kabel ein WLAN AP angestöpselt ist?
An der Dose in der Wand (UP Dose) steckt ja nun mal ein LAN Kabel drin. Das könnte man ja einfach abziehen und sich anstöpseln per LAN. Wir haben zwar schon DHCP deaktiviert und ein ich nenne es mal "ungewöhnliches" IP Netz vom Range her aufgesetzt sodass der Typ da erst mal nicht so direkt auf irgendwas zugreifen können sollte, aber trotzdem möchte ich das Ganze gern physikalisch vor Zugriff schützen, aber wie?

Wollte jetzt schon mit so Elektriker Gießharz das Kabel an der Dose fest befestigen damit man es nicht mehr abstöpseln kann, aber was mach ich dann mit dem Ende was in den WLAN AP auf dem Schreibtisch geht? Kann ja schlecht den WLAN AP auch mit Gießharz zukippen? Und WLAN AP in nem Metallschrank ist wohl auch eher kontraproduktiv was den Empfang angeht.
Zumal ich da die Befürchtung habe dass der Typ aus Wut vielleicht das LAN Kabel dann direkt am Gießharz-Block abschneiden würde und dann hab ich den Salat das wieder zu zerlegen und neu anzuschließen.

Hab gesehen es gibt auch Patchkabel mit einer Art Verriegelung, sodass man sie nicht so einfach rausziehen kann. Aber wie stabil ist das? Wenn da jemand mitm Schraubendreher dran rum fummelt? Ich weiß ja jetzt nicht wie lange die Zeiträume sind, die die Person da zum rumknoddeln hat. Ob es nur ein paar Minuten "stand halten" muss oder auch einer größeren Bastelsession von einer Stunde. Hab da keine so richtige Aussage bekommen können, nur die Aufgabe abzusichern.

 

[KunterBunter]

Tja, Sorgen gibt's. Ich würde mir an deiner Stelle auch schon mal Gedanken über die weitere Infrastruktur, wie Strom-, Gas- und Wasserversorgung, machen. Da könnten auch noch etliche Kilogramm an Gießharz zusammen kommen. Am besten alle Türschlösser auch noch vergießen, bevor es der Besuch selber macht.

 

[db13]

Tja, Sorgen gibt's.

ich kann da auch nur mitm Kopp schütteln, aber mein Einwand dem Typen den Zutritt komplett zu verwehren fruchtet halt nicht.
Wobei mir ja mittlerweile dank der ganzen Covidioten etc. klar sein sollte dass es doch schon ganz schön seltsame Deppen mitten unter uns gibt......

 

[Kalle2006]

Es gibt die Möglichkeit, in einem Netzwerk Switch die MAC - Adresse fest mit einem Port zu koppeln.

 

[kleinkariert]

Wenn man was Idioten-sicher macht, werden bessere Idioten gebaut oder selbige werden idiotischer. Ist der Ex einigermaßen begabt, gibt es fast unzählige Sabotage-Möglichkeiten, die nur wegen des physikalischen Zugriffs existieren.

Ein Metallschrank ist dann eine gute Idee, wenn man kein WLAN und/oder DECT des Routers benutzt. Da muss da aber auch ein richtiges Schloss ran, denn die meisten haben da nur Spielzeug, die quasi nur das "versehentliche Öffnen" verhindern. Für LAN gibt es noch Aufputzdosen mit Schloss.

Abschließend würde ich sagen, dass man mit Hochrüstung wohl keine Rosenkriege beenden kann, das geht anders.

 

[db13]

Abschließend würde ich sagen, dass man mit Hochrüstung wohl keine Rosenkriege beenden kann, das geht anders.

bei mir wär ja die Lösung dass der Typ keinen Fuß mehr ins Haus setzt, aber das funktioniert nicht.

Das nächste wäre eine Kombination aus einem Lancom Router und einer Konfiguration mit VLAN sodass er sich hier zumindest die Zähne ausbeissen würde um irgendwas im Netzwerk zu wuseln, aber die Router sind halt net günstig.

Also war meine Hoffnung jetzt ihm wenigstens den Zugriff auf die Hardware physisch zu vermasseln, aber ich sehe in dem WLAN AP per LAN Kabel an der Dose oben die Schwachstelle in dem Netz.

Im Keller mit dem Metallschrank und nem anständigen Schloss davor wäre ja machbar (dank ISDN Telefonanlage wird ja kein DECT des Routers genutzt und da der vom Keller aus eh keinen WLAN Empfang bis hoch bringt wär das auch kein Problem).

 

[sonyKatze]

hängt per LAN Kabel ein WLAN AP dran

Wie Kalle2006 schon andeutet, kannst Du über einen konfigurierbaren Switch den Zugang zum Heimnetz sperren (Intranet). Entweder direkt die MAC-Adresse. Oder noch besser über eine port-based Zugangskontrolle. Du brauchst dann lediglich noch einen Mini-Computer, der den RADIUS-Server spielt. Manch DSL-Router wie die von DrayTek haben so einen Server bereits an Bord. Aber selbst aufsetzen ist auch nicht so kompliziert. Gibt immer wieder Anleitungen in der Heise Zeitschrift c’t oder im Netz oder einfach uns fragen. Nachteil: Der WLAN-Access-Point muss das können. Aber der ist schnell mit einem gebrauchten Gerät aus einer eBay-Auktion ersetzt.

aus Wut vielleicht

Gegen mutwilligen Vandalismus kannst Du wenig machen. Du kannst es nur hemmen. So könntest Du den WLAN-Zugangspunkt oben an die Wand fest verschrauben. Beispielsweise Lancom bietet den „L-320agn (R2)“. Dessen Reset-Taste ist abschaltbar. Den bekommst Du in eBay-Auktionen nachgeworfen (weniger als 20€). Und dafür existiert ein „Wall Mount“, den Du sogar abschließen kannst. Aber Letzteres ist eigentlich gegen Diebstahl. Diebstahl scheint gar nicht das Thema sondern offenbar „nur“ dass er sich auf das Heimnetz klingt.

aber die Router sind halt net günstig

In eBay-Auktionen bekommst Du (jene ohne Super-Vectoring) ebenfalls nachgeworfen (weniger als 80€), obwohl die noch die neuste Firmware erlauben, z.B. Lancom 1781VA oder Lancom 1784. Aber Du brauchst gar keinen anderen Router. Es reicht bereits ein entsprechender konfigurierbaren Switch neben dem bisherigen Router und einen WLAN-Zugangspunkt, der IEEE 802.1X bietet.

 

[schnurgly]

Bei angemeldeten Besuch könnte man vorher die Netzstecker am Router ziehen, wenn der Router im Metallschrank verschlossen ist.