[Problem] Fritz!Box 7390 & Repeater - Wie übernimmt man MAC-Filterung

[Der alte Fritz]

Hallo Router-X-perten!

Ich habe mein WLAN dahingehend abgesichert, dass a) die SSID nicht gesendet wird, b) WLAN-Zugang auf "bekannte Geräte" beschränkt werden und c) eine MAC-Filter-Liste geführt wird, um nur die "bekannten Geräte" zu identifizieren.
Mit der Fritz!Box alleine klappt das prima. Auch die automatische Konfiguration der Repeater klappt - so man diese Sicherheitsfeatures abschaltet - gut. Bitte keine Diskussion darüber ob das wirklich sicher ist usw. Dass man das alles umgehen kann, weiß ich.

Ein Thema, welches mich bei jedem neuen WLAN-Gerät, welches ich einbinden möchte, nervt:
Warum wird der MAC-Adressen-Filter nicht in die Repeater übernommen? Oder gibt es dazu eine Einstellung, die ich nicht kenne?

Trage ich das Gerät an der Fritz!Box, kann es sich prima verbinden. Jedoch wird die Liste nicht an die Repeater weitergegeben. Ich muss auch jedes Gerät dort wieder eintragen, wenn es sich dort auch anmelden können soll. Ansonsten geht es nicht. Auch bei einer nachträglichen Neukonfiguration der Repeater werden alle Daten korrekt übernommen - außer der MAC-Filter-Liste.


Weiß jemand da Abhilfe?
Danke für Euren Rat!
DAF

 

[KunterBunter]

Da du keine Diskussion wünscht: Die getrennten Listen sind ein zusätzliches Sicherheitsmerkmal, sodass sich ein Gerät entweder nur an der Basisstation oder nur am Repeater oder an beiden oder gar nicht anmelden kann.

 

[Der alte Fritz]

Ein komisches Sicherheitsmerkmal, dass sich auf Wunsch nicht über alle vertrauten Slave-Geräte durchsetzen lässt. Die sonstige Konfiguration lässt sich ja auch per Auto-Konfig oder WPS übernehmen.
Na ja, wenn es ein Feature ist ....

 

[Novize]

Ich habe mein WLAN dahingehend abgesichert, dass a) die SSID nicht gesendet wird,

Dass das Schrott und kein Sicherheitsmerkmal ist, wissen wir alle, daher braucht man das in der Tat nicht diskutieren. Aber

b) WLAN-Zugang auf "bekannte Geräte" beschränkt werden und c) eine MAC-Filter-Liste geführt wird, um nur die "bekannten Geräte" zu identifizieren.

Wo hier der Unterschied sein soll... :noidea:

Ein Thema, welches mich bei jedem neuen WLAN-Gerät, welches ich einbinden möchte, nervt:
Warum wird der MAC-Adressen-Filter nicht in die Repeater übernommen?

Weil das rein gar nichts mit irgendwelchen WLAN-Parametern zu tun hat. Da ist eine einzelne lokale Filterliste, mehr nicht. Bitte nenne das Teil niemals Sicherheitsaspekt, denn das ist es nicht!
Damit kannst du im Idealfall steuern, dass Gerät A) sich nur an Repeater a), Gerät B) hingegen nur an Repeater b) Gerät C) aber an der Basis, Repeater a) und Repeater b) anmelden darf. Da das - wie gesagt nichts - mit irgendwelchen Sicherheitaspekten zu tun hat sondern nur mit der Netzwerk-Administration, wer von wo aus das WLAN nutzen darf, ist das für mich auch verständlich, warum das nicht einheitlich von der Basis aus gesteuert wird. Sorry, wenn der vermeintliche Pseudo-Sicherheitsaspekt nun doch zur Sprache kam, aber der ist ja bei Dir der zentrale Gedanke für die zentrale Steuerung des MAC-Filters, in Wirklichkeit ja aber eben kein zentraler Sicherheitsaspekt und damit auch unsinnig, diesen zentral zu steuern...

BtW: Da das ein reines WLAN-Thema ist, habe ich auch mal verschoben nach Fritz/WLAN.

 

[Der alte Fritz]

Danke für's Verscheiben, obwohl ich diese Thema nur von der Fritz!Box kenne. Unsere Netgear, Lancom und LinkSys-WLAN-Router und Reapeater in der 4ma handhaben das anders. Da kann ich angeben, ob ich diese Filter gesamt oder einzlen übernehmen möchte oder nicht.

Nun ja, einzeln für sich sind die einzelnen Maßnahmen mehr oder weniger leicht auszuhebeln bzw. zu umgehen. Aber in der Kombination kann man 98% aller Möchtegern-WLAN-Kiddies draussen, wenn man WPA2-AES mit einem entsprechend komplexen Passwort wählt.

 

[Novize]

Danke für's Verscheiben, obwohl ich diese Thema nur von der Fritz!Box kenne.

Du bist ja weiterhin im Bereich Fritz, nur nicht mehr in der Rubrik DSL/Internet sondern in der Rubrik WLAN.

Unsere Netgear, Lancom und LinkSys-WLAN-Router und Reapeater in der 4ma handhaben das anders. Da kann ich angeben, ob ich diese Filter gesamt oder einzlen übernehmen möchte oder nicht.

Wird da das WLAN per Radius-Server verwaltet?

Nun ja, einzeln für sich sind die einzelnen Maßnahmen mehr oder weniger leicht auszuhebeln bzw. zu umgehen. Aber in der Kombination kann man 98% aller Möchtegern-WLAN-Kiddies draussen, wenn man WPA2-AES mit einem entsprechend komplexen Passwort wählt.

Das ist eine miese Quote:
Ich habe hier ein WPA/WPA2-Netz und halte mit einem vernünftigen Passwort exakt 100% aller Scriptkiddies draußen.
Auch kann es mir nicht passieren, dass durch dieses "undokumentierte" Feature das eine oder andere WLAN-Gerät einfach den Dienst versagt.
Das kann auch irgendwann später mit was auch immer für ein Update passieren. Daher bleibe ich lieber bei den offiziellen Standards und gebe mich auch dem Nachbarn gegenüber zu erkennen, damit man die WLAN-Frequenzen gemeinsam aushandeln kann. Immerhin handelt es hier um ein Shared Medium und das sollte einvernehmlich geteilt werden.
Daher empfehle ich: Nutze diese Filterlisten, um einzelne Geräte in einzelne Netze zu zwingen und damit die WLAN-Netzlast zu steuern, nicht aber, um Dir was vorzugaukeln.

[Edit]
Zum Verstecken der SSID lies mal bitte hier:
http://www.heise.de/newsticker/meldung/Drahtlos-Einbruch-trotz-WPA-dank-WLAN-Automatik-184921.html
http://www.heise.de/ct/hotline/SSID-Broadcast-besser-an-1081978.html
http://www.pcwelt.de/ratgeber/Den-Netzwerknamen-verbergen-Risiko-WLAN-329310.html
oder einfach mal >>hier<<
[/Edit]
Banken werden auch überfallen, wenn das Namensschild gerade wegen einer Putzaktion verhüllt ist.

 

[Der alte Fritz]

Hi!
Ich finde die Quote ganz gut, dass 98% der Leute die wollen, erst mal nix finden, weil keine tiefer Kenne und von den restlichen 2% keiner bisher einen Weg in WLAN gefunden hat, weil kein Angriffspunkt gefunden. Nö, Radius ist nicht notwendig. Ich kann einfach die Konfig per Knopfdruck einzeln oder gesamt im Fontend auf die Repeater übertragen. Das funktioniert dauerhaft störungsfrei und zuverlässig. Solange man die Firmware aktuell hält, hat man wenig Angriffspunkte. Darauf muss man dann schon vertrauen, wenn man nicht alles selber von Grund auf selber programmieren möchte. Kann man machen, habe ich aber bei 38 Routern keine Zeit für. Das beschriebene Szenario wurde in der Firma schon vergeblich versucht.

Die privaten Nachbar-WLANs heißen u.a. "BaengvollindieFresseAlta" und "Krieg ich Dich, fi** ich Dich!". Ich glaube, dass hier eine Verhandlung über die entsprechende Kanal auf diesem Niveau schwierig werden könnte.

Beste Grüße,
DAF

 

[KunterBunter]

Wir wollen doch hier keine Diskussion darüber führen, ob das wirklich sicher ist usw.
Dass man das alles umgehen kann, weiß du ja.