Gast-WLAN nur an 1. Fritzbox möglich? LAN-Client

[koyaanisqatsi]

Abend

Vielleicht kannst du mal deine 3490 an Lan4 mit aktivierten Gastzugang betreiben.
Als IP Router mit Firewall und eigenen Subnetz, bei Einrichtung ist dieses auch ein 192.168.178.0er Netz.
Dann lässt sich (ich kenn die 3490 nicht) auch Gastnetz und/oder Kindersicherung aktivieren, aber damit
kannst du die Erreichbarkeit anderer (WLAN) Gäste oder dem InselLAN (192.168.178.0er Netz) beschränken.

Ich hab hier eine 7113 an Lan4 Gastzugang, alle Gäste verschwinden so in ihrem Subnetz.
Auf dem vorgelagerten Router braucht es dann nur 1 Profil für alle Gäste.
Nämlich den nachgelagerten Router.

 

[Shark88]

Ich hab hier eine 7113 an Lan4 Gastzugang, alle Gäste verschwinden so in ihrem Subnetz.
Auf dem vorgelagerten Router braucht es dann nur 1 Profil für alle Gäste.
Nämlich den nachgelagerten Router.

Kannst du das etwas präzisieren? Wenn ich die 3490 über den LAN4 als Gastzugang an meine Hauptbox anbinde, komme ich unabhängig von dem Subnetz, das die 3490 aufmacht nicht mehr auf die Geräte, die an die Hauptbox angeschlossen sind oder?

 

[HabNeFritzbox]

Richtig, nur Internet.

Ausnahme wäre hier öffentliche Portfreigaben, über diese würdest auch wieder in Heimnetz der 7490 kommen.

 

[koyaanisqatsi]

Richtig, nur über Internetfreigaben (Fernzugang/NAS/My!FRITZ etc).
Kommunikation mit WLAN Gästen: Ja, Einseitig (WLAN Gäste können nicht auf die Subnetzklienten zugreifen)
WLAN Gäste zu den Subnetzklienten: Nein, außer über Portfreigaben des Subnetzrouters
Beachte: Die Subnetzklienten können das Subnetzwebinterface erreichen
Aber dieses "InselLAN" (Subnetz) kann UPnP, DLNA u.s.w.

 

[Shark88]

Da muss man echt aufpassen hier nicht den Überblick zu verlieren! Da ich mit den Geräten im normalen WLAN auch Geräte (AppleTVs) im Kabelnetz an der Hauptbox erreichen will fällt diese Methode wohl für mich raus, da ich auch nicht die Geräte nach außen hin durch Postfreigaben öffnen will. Bonjour würde wahrscheinlich sowieso mit den Subnetzen Probleme bekommen.

Dabei scheint der Repeater als "LAN-Brücke" ja genau mein Use Case abzudecken...

 

[HabNeFritzbox]

Und dass klappt dann wohl nur auf der IP-Client bzw. Repaeter Schiene. Über Repeater scheint ja ganze gesplittet zu werden mit VLAN oder ähnlichem.

So bleibt es dann bei 2 Netzen, deinem Heimnetz und dem Gastnetz jeweils an beiden Geräten.

Kannst ja mal aus Spaß die 3490 als WLAN Repater einbinden und schauen ob der dann Gast-WLAN frisst bzw. übernimmt. Sonst kannst die ja immer noch verkaufen und nen Repeater holen.

Gast an LAN 4, sowie Routerbetrieb an 3490 kommt ja für dich nicht in Frage.

 

[Shark88]

Und dass klappt dann wohl nur auf der IP-Client bzw. Repaeter Schiene. Über Repeater scheint ja ganze gesplittet zu werden mit VLAN oder ähnlichem.

Als Repeater kann sowohl eine Fritzbox als auch der dedizierte Repeater immer nur ein Netz (Gast oder Heimnetz). Allerdings scheint der Repeater wenn per LAN-Kabel mit der Box verbunden ja beide Netze aufbauen zu können und übernimmt dabei gleich die Konfiguration aus der Hauptbox.

Ich gehe davon aus das er das über VLAN Tags und damit eine Art Tunnel löst. Clients aus dem Gastnetzwerk werden direkt bis zum Internet getunnelt und haben sonst keinerlei Zugriff auf andere Geräte. Im Prinzip genau das was ich bräuchte. Werde wohl den Einsatz per Repeater in Erwägung ziehen, da ich die LAN Anschlüsse der 3490 so nicht brauche und sie momentan auch nur als Access Point läuft.

 

[HabNeFritzbox]

Hast es mal Ausprobiert ob 3490 wenn WLAN übernimmst auch Gast WLAN übernimmt?

Habe leider keine zweite FB um es mal zu testen.

 

[Shark88]

Hast es mal Ausprobiert ob 3490 wenn WLAN übernimmst auch Gast WLAN übernimmt?

Du meinst als Repeater im WDS Betrieb? Da geht nur ein Netz gleichzeitig. Zumindest bei meinem aktuellen Setup mit 7490 und 7240. Zwar kann die 3490 auf beiden Bändern senden, das wird sie wohl aber nicht im WDS Betrieb sinnvoll umsetzen können. Leider wäre das aber keine Option für mich an dem besagten Standort, da keine WLAN Verbindung zwischen der 7490 und 3490 besteht, deshalb auch das LAN Kabel zwischen beiden.

 

[andilao]

Du könntest immer noch das LAN-Kabel als 2x 100Mbit-Kabel "missbrauchen" + 2. AP, doch mit den Standardeinstellungen für Router/Gast-WLAN kannst du fast alles in beide Gast-WLANs einsperren.

Eben habe ich das mal mit einer 7390 als "Gast-Box" getestet und das Ergebnis war:

• Alle Pings aus dem 2. Gast-WLAN ins Wirtsnetz kamen an und Netscan zeigte sämtliche DNS-Namen aus der Wirts-Box, aber Zugriffe auf die Geräte incl. Wirts-Box waren unmöglich.
• Ein Drucker aus dem Wirtsnetz war bis zur FW 6.20 ständig erreichbar, mit der 6.23 ging er dann offline, allerdings erschien dessen IP schon mal (ohne Häkchen) in der "Liste erlaubter IP-Adressen". Und nein, WTF, die whitelisted IP für den Drucker funktionierte nicht!

 

[Shark88]

@andilao: Du meinst dieses Setup hier:
http://www.ip-phone-forum.de/showthread.php?t=262510

EDIT: Achse du meinst noch ein AP über LAN4 an die Box anbinden und dafür das LAN Kabel in 2x4 Adern aufteilen.

 

[HabNeFritzbox]

Nen AVM Repeater mit LAN Port ist wohl besser, dort dann mit GBit ran, statt bastelkram mit Adaptern oder Kabel umcrimpen und dann eh noch nen WLAN AP zu holen.

Wenn WLAN Geschwindigkeit haben möchtest wäre wohl 450E (ca. 50€) oder 1750E (ca. 90€) passend.

Notfalls kanns Stromnetz auch noch mit DLAN verseuchen/stören.

 

[Shark88]

@HabNeFritzbox Ja so werde ich es wohl machen!

Aber man darf sicher auch hoffen das AVM die Funktionalität seiner WLAN Repeater vielleicht auch in die Fritzboxen mit übernimmt. Ein technischer Grund, warum dies nicht gehen sollte fällt mir da nämlich nicht ein.

 

[achim1108]

Hast Du eigentlich schonmal probiert, die 3490 als IP-Client zu konfigurieren und mal zu schauen, ob das Gast-WLAN nicht einfach auch vorhanden ist?

So ist es bei mir jedenfalls.
Mit einer alten FW war bei meiner 7330 (IP-Client und AccessPoint) der Gast Zugang vorhanden, Haken hatte ich gesetzt und das Gast WLAN konfiguriert. Nach Update auf 6.20 war die Gastzugang Konfiguationsmöglichkeit nicht mehr vorhanden, aber die 7330 erzeugt als Access Point (Ip-Client über LAN1) mein normales WLAN und das Gast-Wlan aus der Hauptbox 3370.
Wichtig ist natürlich auch, das bei Deiner Hauptbox das Gast WLAN auch aktiviert ist.

Verprechen kann ichs nicht, ich weiß nur das es bei mir so ohne Trickserei läuft und auch nach Ticket bei AVM wissen die nicht warum, oder wollen es nicht wissen...
aber ich würds zumindest mal probieren. Mit einem WLAN Gerät siehst Du ja an der Feldstärke, ob Dein Gast-WLAN aktiv ist. Bei mir ist das gast-WLAN aus dem keller nämlich definitiv nicht erreichbar und mein Gast-WLAN ist in voller Stärke wie das Haupt WLAN im Obergeschoß von der 7330 vorhanden.

Nach Reboot meiner 7330, dauert es aber immer etwas länger, bis das Gast-WLAN da ist, während das Haupt WLAN bereits zur Verfügung steht...

Das es technisch keinen Grund geben sollte, auch beim IP-Client Modus das Gast WLAN aus der Hauptbox zur Verfügung stellen zu können, zeigt ja die Repeater Konstellation als Access Point - da geht es ja auch...!

Und ja: Wenn mein Notebook im Gast-WLAN der 7330 angemeldet ist, kann ich per Ping keines meiner lokalen Geräte erreichen... nur falls das jemand bezeifeln möchte...

Gruß
Achim

 

[Theo Tintensich]

Wie wäre es mit folgender Installation?

    7390(k)       7390(eg)
o----[___]---------[___]~~~~~ WLAN (gast)
       |             +-~~~~~~ WLAN
      TFE            +-------- LAN

Die erste 7390 terminiert die Telefongespräche und die TFE der Haustür.
Die zweite 7390 ist als extra Router mit eigenem Netz an der ersten 7390 angeschlossen und nutzt die in der ersten terminierten Telefonnummern per SIP, um sie internen Geräten anzubieten. damit könnte auch die TFE-Verbindung von der Haustür an alle Telefone weitergeleitet werden.
Dadurch dass die zweite 7390 als Router arbeitet, wäre das Gast-LAN und Gast-WLAN an ihr verfügbar.

Alle Portfreigaben die im 'echten' LAN benötigt werden, werden 1:1 von der ersten auf die zweite 7390 weitergereicht.
Auf der ersten kann weiterhin OpenVPN laufen, man könnte, mit dem Durchreichen des Ports 1194 dieses auch auf der zweiten laufen lassen.

Die Mitglieder des Gast-LANs kämen zwar in das 'zwischen-LAN', da dort aber keine Systeme hängen, können sie dort keinen Unsinn anstellen.

Wenn man will könnte man das LAN der ersten 7390 auf zwei Geräte einschränken (/30) und die IPs fest vergeben, so das auch jemand, der dort einen Rechner einstöpselt nichts erreichen könnte.

 

[PeterPawn]

[...] nutzt die in der ersten terminierten Telefonnummern per SIP, um sie internen Geräten anzubieten.

Warum dann nicht gleich die SIP-Accounts in der zweiten FRITZ!Box einrichten? Es handelt sich ja - meines Wissens - nicht um irgendwelche automatisch konfigurierten Nummern, die nur auf der ersten Box eingerichtet werden. Wenn die ohnehin 1:1 an die zweite Box weitergereicht werden, braucht es die erste Box an dieser Stelle nicht. Auch die in der ersten Box angeschlossene TFE kann (wieder nur in der Theorie, das kann nur der Eigentümer selbst testen) eine interne SIP-Registrierung als Ziel für den "Anruf" verwenden. Dann einfach einen SIP-Account in der ersten für die zweite Box anlegen und diese - nur für die TFE - an der ersten als SIP-Client registrieren. Das erspart - für SIP-Telefonate - eine zusätzliche SIP-/RTP-Umsetzung in der ersten Box, die in diesem Fall meines Erachtens nichts bringt.

Alle Portfreigaben die im 'echten' LAN benötigt werden, werden 1:1 von der ersten auf die zweite 7390 weitergereicht.

Auch hier wieder die Frage, warum dann nicht gleich die zweite Box als "exposed host" an der ersten betreiben. Das spart die doppelte Konfiguration von Portfreigaben.

Wenn man will könnte man das LAN der ersten 7390 auf zwei Geräte einschränken (/30) und die IPs fest vergeben, so das auch jemand, der dort einen Rechner einstöpselt nichts erreichen könnte.

Das ist zwar OT, aber so etwas ist nur ein sehr begrenzter Schutz, der eigentlich nur das "versehentliche Verbinden" eines Rechners mit den LAN-Ports der ersten 7390 verhindert.

Das könnte man auch auf anderen Wegen erreichen (die nicht benötigten LAN-Ports in eine andere Bridge stecken, z.B. mit einer Dummy-VPN-Konfiguration) ... wenn man dann noch die physikalische Verbindung des LAN-Kabels an der ersten Box irgendwie absichert (von Heißkleber bis Plombe), ist das (imho) ein besserer Schutz; ich habe es bei einem Kunden so gemacht, damit da niemand ein per VPN-Tunnel angeschlossenes Kartenterminal an einen anderen Port stecken kann.

Bei einer /30-IP-Konfiguration kann ein Angreifer immer noch etwas erreichen ... zumindest das Sniffen auf Layer2 bleibt ihm weiterhin möglich, dafür braucht er keine IP-Adresse und wenn er wirklich irgendwo eindringen will, ist der LAN-Zugang die Voraussetzung, um den (verschlüsselten) WLAN-Verkehr eines Clients mitzuschneiden.

 

[achim1108]

Hab mich nun gewagt, meine 7330 - die per IP-Client das Gast-WLAN aus der 3370 propagiert - von 6.20 auf 6.21 zu aktualisieren. Hatte eigentlich Angst, das meine angeblich nicht funktionierende Gast-WLAN Konstellation danach wieder weg ist.

Beschreibung meiner Konstellation: http://www.ip-phone-forum.de/showthread.php?t=275953&p=2067378&viewfull=1#post2067378

Aber Glück gehabt, mein Gast-WLAN ist an der "IP-Client-7330" immer noch sauber verfügbar und funktioniert auch.
Witzig...

Gruß
Achim

 

[willie]

Also bei mir zumindest nicht....

Ich kann den Gastzugang nur über das ruKernelTool aktivieren und konfigurieren.

Ich habe das selbe Problem! gibt es eine Anleitung wie man dan mit dem ruKernelTool ändert!?