Insofern kann hier auch nicht die Sicherheit kompromitiert werden; ein Angriff wäre allenfalls durch physikalischen Eingriff am DSLAM denkbar aber unpraktikabel.
Wieso sehen in dieser "Schaltung" nicht alle an der FRITZ!Box angeschlossenen Geräte alle PPPoE-Pakete ebenfalls? Selbst wenn hier auf L2 dann Pakete mit unterschiedlichem L3-Protokoll unterwegs sind, hat meines Erachtens jeder mit einem LAN-Kabel angeschlossene Client in dieser Konfiguration die Möglichkeit bzw. bei entsprechender Aggressivität die Chance, die Pakete auf L2 auf sich umzuleiten, aufzuzeichnen und ggf. sogar selbstgestrickte PPPoE-Pakete auf L2 zu versenden ... das ist ja im Prinzip das PPPoE-Passthrough, das wäre dann ja nicht automatisch auf einen einzelnen Client - die gewünschte Firewall - beschränkt, wenn alle (LAN-)Ports mit der WAN-Bridge kommunizieren könnten.
Mit der "konterkarierten Firewall" wollte ich nur darauf hinaus, daß dann - solange der Switch nicht gezielt einen einzelnen Port zum WAN (das wäre ja der "Modemport" des Lantiq-7-Port-Switches) bridged - der
komplette Rest des LANs an der FRITZ!Box weiterhin vollständigen Zugriff auf die Pakete von der WAN-Seite hat (oder zumindest theoretisch haben könnte), ggf. eben auch LAN-Clients, die auf der LAN-Seite eigentlich sogar untereinander isoliert sind (auf L3 und darüber). Auf diesem "Umweg" kann dann ein Client wieder den Netzwerkverkehr belauschen, der - mal nur als Beispiel - ansonsten von einem anderen Client, der mit seinem "Gateway" nur über einen GRE-Tunnel mit Verschlüsselung kommuniziert, damit eben niemand im Netz ihn "abhören" kann, versteckt würde.
Die Punkt-zu-Punkt-Verschlüsselung in einem Windows-Netzwerk mit einem gemeinsamen Forefront TMG (das wäre dann der PPPoE-Client) wäre ein weiteres Beispiel, wo die LAN-Kommunikation hinreichend gesichert abläuft, aber der dann mögliche Zugriff auf den WAN-Verkehr des FTMG das Ganze wieder aushebeln würde.
Nun mag man ja unterschiedliche Vorstellungen vom Einsatzzweck der Filter so einer Firewall haben (eingehend, ausgehend, mixed), aber schon wenn dann Pakete (von anderen LAN-Clients) auf L2 "an der Firewall vorbei" wandern können, ist das m.E. nicht Sinn der Sache. Die könnten dann ja auch einfach anstelle der Firewall eine (weitere) PPPoE-Verbindung aufbauen ... vielleicht wird das der neue Trend beim "nach Hause telefonieren" anstatt den eigenen Datenverkehr in TLS-Verbindungen auf dem HTTPS-Port zu verstecken.
Ob da bei einer FRITZ!Box jetzt die MAC-Address-Table des Switches oder das Bridgen über die Software den Vorrang hätten (ich würde die Bridge auf L2 und nicht auf L3 sehen, damit macht dann auch die Frage, ob das PPP oder IP pur ist, nichts mehr aus) und wie kompliziert und unmöglich es wäre, L2-Pakete abzugreifen, die nicht an die eigene MAC-Adresse gehen sollen, kann ich im Moment nicht sauber einschätzen.
Aber wenn ich mal die These aufstellen darf, daß ja der PPPoE-Client auf der LAN-Seite der FRITZ!Box für die Übertragung zur WAN-Bridge resp. Richtung Internet ein Paket auf L2 mit der MAC-Adresse des DSLAM senden muß (hat der CPU-Port des 7-Port-Switches eine eigene MAC-Adresse?), dann geht das ja in jedem Falle an einem LAN-Port dieses 7-Port-Switches ein. Schickt jetzt so ein Switch die Daten tatsächlich auf direktem Weg an den Port, an dem das Modem hängt? Denkbar wäre das sicherlich und dann spielt auch die LAN-Bridge in Software keine wirkliche Rolle, aber wie sieht das dann auf dem Rückweg aus?
Oder hat am Ende das (integrierte) Modem eine eigene MAC-Adresse, dann wäre natürlich dieses Modem das (Zwischen-)Ziel der L2-Pakete. Würde ich eher nicht annehmen, in einem Packetdump (eines "full routers") sind ja Pakete an MAC-Adressen zu sehen, die zum DSLAM gehören. Da das wohl noch "vor" dem Modem ist, wo die Daten für einen Dump ausgeleitet werden, müssten die von der Box kommen und nicht vom Modem.
Damit kommt dann auf dem Rückweg ein PPP-Paket vom DSLAM am Modemport des FRITZ!Box-Switches an, welche MAC-Adresse trägt das jetzt als Ziel? Ist der Switch jetzt so programmiert (im "WAN-Bridge-Modus"), daß der das Paket direkt an den Port weiterleitet, an dem der Rechner hängt, für den das Paket lt. MAC-Adresse gedacht ist und ist das dann tatsächlich der "PPPoE-Client"? Ich weiß es nicht sicher ... würde aber schon aus diesem Grund so eine Konstruktion nicht aufbauen, denn das Paket könnte auch ganz normal vom Modemport zum CPU-Port weitergeleitet werden und dort dann vom System an die LAN-Bridge ausgegeben werden, wenn die wirklich weiter existiert.
Ob da ein "geswitchtes Netzwerk" seine Vorteile ausspielt oder ob da die Software-Bridge des Systems gewinnt und solche Pakete auf alle (LAN-)Ports dupliziert werden, weiß ich schlicht nicht ... ich würde vorsichtshalber den "worst case" annehmen und das hieße für mich, daß eine Konfiguration einer WAN-Bridge vom integrierten DSL-Modem der FRITZ!Box zu einem beliebigen LAN-Port, der sich mit anderen LAN-Ports in einem gemeinsamen "brinterface" aus der ar7.cfg befindet, nicht dafür sorgen kann, daß die eingehenden PPPoE-Pakete für einen Netzwerk-Client nicht von anderen LAN-Clients abgefangen oder mitgelesen werden können.
Den qualitativen Unterschied zu einem "gewöhnlichen Angriff" im LAN, dem natürlich jedes Gerät in einem LAN auch ausgesetzt wäre, habe ich versucht oben zu verdeutlichen (so wie ich ihn sehe) - die LAN-Kommunikation kann ich verschlüsseln, dank gemeinsamer Kenntnisse benötigter Schlüssel-"Rohstoffe" (egal ob Zertifikate, PSK, Kerberos, usw.) ... das ist mir bei der WAN-Kommunikation in aller Regel nicht möglich (zum BRAS des Providers), weil es an diesem "shared secret" mangelt.
Ist diese Kommunikation also offen und kann ein LAN-Client den Switch ausreichend verwirren (welche Möglichkeiten da bereits ettercap bietet, kann jeder nachlesen - falls das Spoofen auf L2 überhaupt notwendig sein sollte), dann kann er den eigentlich für die WAN-Bridge gedachten Verkehr auf sich umleiten und ihn nach Belieben manipulieren. Das passiert bei einer sauberen Trennung der "Verkehrswege" eben nicht, wäre sicherlich auch bei entsprechender Programmierung der Settings-Register des Switches in der FRITZ!Box denkbar, würde aber eben nicht dazu passen, daß da der PPPoE-Client für den BRAS an irgendeinem beliebigen Port von den vieren auf der LAN-Seite zu finden sein kann.
Beim Rest stimme ich Dir schon zu ... aber das bringt (nach meinem begrenzten Verständnis, das ist so viel CS, daß man teilweise ja auch raten muß und sich das mit den Grundprinzipien des Netzwerkens erklären muß, da kann man auch mal etwas übersehen, ich lasse mich also gerne überzeugen, wo mein Denkfehler liegt) eben auch nur dann einen Sicherheitsgewinn, wenn da ganz klar ist, wer Koch (WAN) und wer Kellner (LAN) ist. Wenn der Traffic "gemischt" wird, spielt die unterschiedliche Kapselung der Nutzlast keine Rolle mehr, solange da nicht noch etwas verschlüsselt wird.
Das mit der Verkabelung der FRITZ!Box habe ich aber auch nicht richtig verstanden:
Insofern kann ein Router durchaus einfach mit zwei Kabeln angeschlossen werden, einer am WAN-Port des Routers, einer am LAN-Port.
Hier meinst Du hoffentlich dasselbe wie ich ... in meinem ersten Beitrag dazu habe ich die Ports an der FRITZ!Box "LANx" und "LANy" genannt. Nach meinem Verständnis wäre dann der WAN-Port der FRITZ!Box mit der TAE-Dose verbunden, der WAN-Port der Firewall meinetwegen mit LAN2 der FRITZ!Box und der LAN-Port der Firewall mit LAN4. Nur als Beispiel, die FRITZ!Box hat natürlich dann auf LAN4 kein Gastnetz aktiviert, es könnte auch jeder beliebige LAN-Port der FRITZ!Box sein, ggf. sogar noch ein Switch zwischen der FRITZ!Box und der Firewall, wo dann an der FRITZ!Box nur ein einzelner LAN-Port belegt wäre von diesem Switch, die Firewall wäre dann ihrerseits mit beiden Kabeln an diesem Switch angeschlossen. Die synonyme Verwendung von "Firewall" und "Router" unterstelle ich hier auch. Und genau in dieser Konstellation wäre dann wieder die Trennung des Verkehrs zwischen LAN und WAN der Firewall nur noch durch unterschiedliche L3-Protokolle gewährleistet, auf L2 ist das "eine Brühe" (im Rahmen des Üblichen innerhalb eines geswitchten Netzwerks), die mit bekannten Angriffen auf L2 wieder konfrontiert wäre. Meine Überzeugung ... Feuer frei für Gegenargumente oder abweichende Thesen.
EDIT:
VLANs bieten dann natürlich diese Trennung auf L2 theoretisch schon wieder, wobei auch da eine solche Trennung in der FRITZ!Box ja nichts bringt, wenn sowohl der Modem-Port des 7PS (ich hab' die Nase voll vom Ausschreiben) als auch alle vier LAN-Ports zu derselben VLAN-ID gehören (nehmen wir die 7 vom Telekom-VDSL), weil nicht vorher geklärt ist, wo der PPPoE-Client (es muß ja auch nicht zwingend ein einzelner sein) angeschlossen ist. Mit diesen VLANs kann man dann eben ein gemeinsames Ethernet-Kabel wie zwei getrennte Kabel behandeln (nicht als Erklärung für Andre, mehr im Allgemeinen), dazu braucht es aber an beiden Kabelenden ein Gerät (einen VLAN-fähigen Switch), der das irgendwann wieder auf zwei physikalische Kabel auftrennt - auch ist das nicht auf zwei "virtuelle Kabel" beschränkt, so ein VLAN-Tag kann knapp 4100 unterschiedliche Werte annehmen.
Ich werde es gleich aber auch nochmal ausprobieren und dann hier berichten.
