Internetzugang für bestimmte Rechner sperren

[realdocsnyder]

@wichard

Aber vielleicht solltest Du Dich damit lieber an AVM direkt wenden, als dich bei uns zu "beschweren", daß es zur Zeit nicht geht.

Ich will mich ja garnicht beschweren. Wenn man meinen "Eröffnungsbeitrag" aufmerksam liest, bemerkt man, worum es mir geht: ich möchte einfach nur wissen, was ich tun muss, bzw. welche Files ich wie anfassen muss, um einem bestimmten Rechner den Internetzugang zu verwehren. That's it!

In den "Beschwerde-Modus" bin ich abgedriftet, weil man mir entweder einreden will, daß mein Vorhaben aberwitzig ist, oder man mir pädagogische Ratschläge erteilt. Da wäre ich nie hingekommen, wenn man mir auf meine ursprüngliche Frage geantwortet hätte. Ich denke ein Forum ist dazu da, um von kompetenten Menschen Antworten auf technische Fragen zu bekommen, nicht etwa, um über den Sinn oder Unsinn einer Frage zu diskutieren, die eigentlich nachvollziehbar sein sollte.

------------------
@Peter VoIP

Deine Argumentationen über Deine Tochter - nicht kooperativ, kompromißbereit, lassen vermuten das Du erhebliche Defizite bei der Erziehung Deiner Tochter hast.

Ich denke, es wird nicht viele Kinder geben, die der Versuchung widerstehen würden, ins Internet zu gehen, wenn sie alleine zu Hause sind und ein Internet-fähiger Rechner vor Ihnen steht. Davon auszugehen, daß Kinder sich immer brav an Vorgaben halten, finde ich naiv. Ich würde mir eher Gedanken machen, wenn ein Kind "nicht" seinen eigenen Kopf hätte, bzw. nicht versuchen würde, diesen durchzusetzen, und sei es beim Überschreiten von Grenzen (dies ist sogar ein wichtiger Schritt bei der Persöhnlichkeitsfindung). Daraus abzuleiten, ich hätte Defizite in der Erziehung meiner Tochter, halte ich für genauso naiv.

aber: das ist genau die Art von Antworten, die mir nicht weiterhelfen. ... und so lasse ich es auch, weiter darauf einzugehen ...

------------------
@homedonk

Yep, endlich mal eine Information die Fragen beantwortet!

Danke, werd's auspropieren.

Gruß, Doc

 

[realdocsnyder]

@motzkopf

Ist es denn so schwer zu verstehen: ich will mir weder einen Schrank anschaffen, noch meiner Tochter ihren PC wegnehmen. Ich will einfach nur wissen, wie ich die Fritz!Box entsprechend manipuliere. Warum soll ich irgendwelche Verrenkungen (mit Zeitschaltuhr und wegschliessen und so) machen, wenn die einfachste Lösung auf der Hand liegt. Man könnte meinen, daß derjenige, der mir meine Frage beantwortet anschliessend hingerichtet wird.

Gruß, Doc

P.S. Und die Box Abschalten kommt schon garnicht in Frage. Wie gesagt: Tel. soll weiterhin funzen und wenn ich zu Hause bin, möchte "ich" natürlich auch surfen können und meine Tochter sollte das eben ab 22:00h nicht mehr dürfen.

 

[balingen]

So wie Du das alle schilderst, wirst Du keine Lösung finden. Die einzige, wie ich denke, realisierbare Lösung wäre den beiden MAC-Adressen (Lan und W-Lan) Deiner Tochter ab 22 Uhr den Zugriff zu verweigern.

Aber Du schreibst ja daß sie sich auch ein Laptop ausleihen kann. Dann wirst Du IMHO nie eine Lösung finden.

Gruß,

balingen

 

[realdocsnyder]

@balingen

So wie Du das alle schilderst, wirst Du keine Lösung finden. Die einzige, wie ich denke, realisierbare Lösung wäre den beiden MAC-Adressen (Lan und W-Lan) Deiner Tochter ab 22 Uhr den Zugriff zu verweigern.

Yep, so habe ich das vor. Was ich eben nicht weiss ist, ob es genügt, die entsprechenden Zeilen aus /var/flash/multid.leases zu entfernen (oder andere, nicht existierende MAC-Adressen einzutragen), bzw. was ich ggf. in /var/flash/ar7.cfg ändern muss. Und: kann man das dann durch einen Neustart der Fritz!Box aushebeln?

Aber Du schreibst ja daß sie sich auch ein Laptop ausleihen kann. Dann wirst Du IMHO nie eine Lösung finden.

Das ist eigentlich kein Problem, denn ich kann der Fritz!Box ja sagen, sie soll keine neuen WLAN-Geräte mehr zulassen.

Genügt nicht schon eine entsprechende deny-Regel in /var/flash/ar7.cfg? Wie müsste die aussehen?

Gruß, Doc

 

[balingen]

Also zu den Änderungen an den Dateien kann ich Dir leider nix sagen. Da kenn ich mich nicht aus.

Beim W-Lan kannst Du neue Geräte ausschließen, aber so ein Laptop hat ja auch LAN, das kannst Du nicht reglimentieren, also bist Du gleich weit wie vorher.

Gruß,

balingen

 

[dischneider]

Ausser: er hat zwei FBF im Schrank, eine für seinen Rechner und Telefone, die an bleibt und eine, per LAN gekoppelte, die dann Internet für die Tochter regelt.
Dann geht das mit der Zeitschaltuhr.
Aber: Wie verhindert er dann, das die Tochter den LAN- oder auch USB-Anschluss seines Rechners nutzt ...

Dirk

 

[a_schiller]

Eine Variante für eine wirksame Sperre für MAC- und/oder IP-Adressen kann
ein seperater Router ermöglichen.
Ich schlage vor, du hängst an den LAN-Port deiner Fritz!Box einen Linksys
WRT54GL.

Der WRT54GL kann beispielsweise mit der DD-WRT-Firmware eine sehr
praktische "Internet Access Policy" durchsetzen. Damit lassen sich MAC-
und/oder IP-Adressen in frei wählbaren Zeitfenstern vom Internet trennen.

Der WRT54GL übernimmt also die komplette Client-Kommunikation und die
Fritz!Box und der WRT54GL müssen physisch vor dem Zugriff der Tochter
geschützt werden, damit sie sich nicht per LAN-Kabel mit der Fritz!Box
verbinden kann.

Umgehen kann die Tochter die Sperre durch Änderung von MAC/IP-Adresse
ihres Notebooks, sofern Sie die nicht gesperrte IP-Adresse deines PCs erfährt.
Die IP-Adresse lässt sich durch ausprobieren aller 253 Varianten im
class-c-Netz herausbekommen; die MAC-Adresse deines PCs ist vermutlich
irgendwo vermerkt.

HTH
a_schiller

 

[Novize]

@realdocsnyder: Nur noch mal kurz zu meinem Verständnis: Ich habe Verständnis für diesen Wunsch, gar keine Frage. Den Sinn habe ich auch nie angezweifelt. Hier: Wünsche für Features ab Firmware > xy.04.03-Beta habe ich es auch schon lange mal in der "Wunschliste" vermerkt.
Meine Aussage war und ist einfach nur: Es war von AVM so nie gedacht. Denn wenn man bedenkt, welchen Aufwand die Programmierer getrieben haben um diese kooperative Abschaltung zu zaubern, ist es um Längen einfacher zu sagen: Zeitpunkt erreicht, aus mit dem WLAN... Da sind wir uns doch einig, oder?
Und daraus folgernd war es also nie der Gedanke von AVM, das WLAN so hart abzuschalten. Auch da sind wir uns dann einig, ja?
Also ist Dein Wunsch ein Wunsch für zukünftige Firmware, mehr auch nicht
Und mit den bisherigen Boardmitteln ist dies auch nicht machbar. Deshalb greife bitte zu den Alternativen, die wir oben aufgezählt haben.

 

[Telefonmännchen]

Ich habe mir gerade mal diesen Thread zu Gemüte geführt. Auch ich halte diese Problem mehr für eines der Kidware als eines der Firmware. Wenn hier darüber diskutiert wird, einen Rechner von der Nutzung des Internets auszusperren gibt es nur eine ganz harte Lösung -> die Internetverbindung der Box muß getrennt werden (natürlich mit allen Konsequenzen für VoIP-Telefonie und aller anderen angeschlossenen PCs), denn alle anderen Lösungen doktorn nur an den Symptomen rum.

Sicherlich könnte man vieles über eine geschickte Firewalleinstellung erreichen. Aber diese Möglichkeit ist in der modlosen Fritz!Box nun einmal nicht gegeben. Auch ein Editieren irgendwelcher leases-Dateien ist nicht der Bringer. Denn IPs kann man auch manuell vergeben. Die einzige Möglichkeit wäre die Einschränkung des Internets auf nur eine IP-MAC-Kombination auf der LAN-Seite und das harte Abschalten des WLAN zu bestimmten Zeiten. Aber auch das ist mit ein wenig Aufwand und einem LAN-Kabel zu umgehen, wenn man in der Lage ist, dies Kombination zu ermitteln, was nicht wirklich ein Problem ist sobald der berechtigte Rechner in Betrieb und im Netzwerk erreichbar ist. Solange Du die Nutzung des LAN-Anschlussen nicht unterbinden kannst, hast Du halt ein Problem. Alles andere könnte administrativ schon irgendwie gelöst werden.

Alles in allem befürchte ich, hast Du einfach die falsche Hardware für Dein Vorhaben. Derartige weitreichende Reglementierungen sind einfach nicht vorgesehen. Ich denke auch nicht, daß AVM so weitreichende Dinge einbauen wird. Die würden sich damit ein großes Supportproblem programmieren und sich selbst einen Bärendienst erweisen. Das Einzige, was ich mir vorstellen könnte, wäre eine Zeitsteuerung auf IP-Basis, wie sie in anderen Routern auch implementiert ist. Diese Zeitsteuerungen sind aber meist durch manuelle Vergabe einer gültigen IP außerhalb den DHCP-Bereiches zu umgehen, bieten also auch keinen vollständigen Schutz. Dort muß man dann auf Administrationsebene auf dem jeweiligen PC die Netzwerkeinstellungen vor Veränderung schützen.

Ein Kollege von mir hat ein ähnliches Tochterproblem und betreibt deshalb einen SMC-LAN-Router hinter den Fritz!Box, mit dem er die entsprechenden Steuerungen programmiert. leider mußte er neulich feststellen, daß das trotzdem noch nicht so ganz funktionierte, und seine Tochter immer noch Messenger nutzen konnte, was er ja eigentlich auch verhindern wollte. Jetzt muß er auch jegliche Neztwerkkommunikation dieses PC abschalten. Somit geht natürlich auch kein lokales Networking incl. Druckersharing (auch doof).


Gruß Telefonmännchen

 

[realdocsnyder]

@Novice

@realdocsnyder: Nur noch mal kurz zu meinem Verständnis: Ich habe Verständnis für diesen Wunsch, gar keine Frage. Den Sinn habe ich auch nie angezweifelt. Hier: Wünsche für Features ab Firmware > xy.04.03-Beta habe ich es auch schon lange mal in der "Wunschliste" vermerkt.
Meine Aussage war und ist einfach nur: Es war von AVM so nie gedacht. Denn wenn man bedenkt, welchen Aufwand die Programmierer getrieben haben um diese kooperative Abschaltung zu zaubern, ist es um Längen einfacher zu sagen: Zeitpunkt erreicht, aus mit dem WLAN... Da sind wir uns doch einig, oder? Und daraus folgernd war es also nie der Gedanke von AVM, das WLAN so hart abzuschalten. Auch da sind wir uns dann einig, ja?
Also ist Dein Wunsch ein Wunsch für zukünftige Firmware, mehr auch nicht

Das alles habe ich nie anders dargestellt.

Und mit den bisherigen Boardmitteln ist dies auch nicht machbar. Deshalb greife bitte zu den Alternativen, die wir oben aufgezählt haben.

"Natürlich" ist es machbar und zwar mit Boardmitteln der Fritz-Box, ohne Zeituhrsbschaltung, ohne verschliessbarem Schrank, ohne extra-Router: man füge in der "/var/flash/ar7.cfg" unter "dlsdpconfig->highoutput->accesslist" die Regel "deny ip <my IP> 255.255.255.0 any" ein.

Das musste ich mir jetzt selbst zusammensuchen, wo ich mir doch erhofft hatte, diesen Hinweis aus dem Forum zu bekommen. Aber nein: man beschränkt sich dort auf andere Ratschläge, das wäre ja nicht so gedacht, das könne man nur mit grösserem Aufwand bewerkstelligen (Schrank, Zeitschaltuhr, Router), das ginge mit Boardmitteln nicht usw. Das ganze gipfelte dann darin, meine Erziehungsmethoden zu problematisieren. HALLOO??? Die Fritz!Box kann so etwas doch! Man muss nur wissen wo, und das konnte mir leider keiner sagen.

Und solange meine Tochter noch nicht den notwendigen durchblick hat, daß Sie ihre IP-Adresse ändern kann und auch no0ch nicht weiss, welche das sein müsste, tut's die deny-Regel voll und ganz.

Gruß, Doc

 

[a_schiller]

"Natürlich" ist es machbar und zwar mit Boardmitteln der Fritz-Box, ohne Zeituhrsbschaltung, ohne verschliessbarem Schrank, ohne extra-Router: man füge in der "/var/flash/ar7.cfg" unter "dlsdpconfig->highoutput->accesslist" die Regel "deny ip <my IP> 255.255.255.0 any" ein.

Und wie erreichst du deine gewünschte zeitliche Sperre?

meine Tochter surft am liebsten rund um die Uhr und ich möchte daher den Internetzugang für ihren Rechner (WLAN) zeitlich begrenzen.

Gruss
a_schiller

 

[wichard]

"Natürlich" ist es machbar und zwar mit Boardmitteln der Fritz-Box

Du suchtest eine zeitabhängige Lösung... Und gegen das Ausleihen eines anderen Laptops ist auch diese Lösung nicht gefeit.


Gruß,
Wichard

 

[homedonk]

@wichard
nicht so schnell, dass war doch nur das Argument gegen die einfachste Lösung des Problems: dem Kind den verdammten Laptop wegzunehmen.

Schön ist aber, dass er eine für ihn zufriedenstellende Lösung gefunden hat, bei der er nicht zu offensichtlich den bösen Papa raushängen lassen muss.

Jeder wie er mag, mir graut jetzt schon davor sowas auch irgendwann mal in die Welt zu setzen, ich schätze mal, das Kind ist vielleicht auch schon im schwierigen Alter angekommen.

 

[realdocsnyder]

@wichard

Du suchtest eine zeitabhängige Lösung...

Na ja, hat man erst mal die Lösung über /var/flash/ar7.cfg, dann ist es kein Thema mehr, die entsprechende Regel per cronjob an- bzw. auszuschalten (z.B. durch Umsetzen eines Links).

Und gegen das Ausleihen eines anderen Laptops ist auch diese Lösung nicht gefeit.

Dann sperre ich alle IP-Adressen ausser meiner. Ist auch Wurscht, jedenfalls habe ich den Mechanismus gefunden wie's geht. Das jetzt meinen genauen Erfordernissen anzupassen ist jetzt nur noch eine Fleissaufgabe, aber kein "grundsätzliches" Problem mehr.

@homedonk

Danke für den Zuspruch!

In der Tat: meine Tochter ist jetzt 14 (der Beginn des schwierigsten Alters!).

Gruß, Doc

 

[dischneider]

Wenn es ein "deny IP" gibt, dann gibt es vielleicht auch so etwas wie "deny 192.168.178.0/24" + "allow IP" ??
Dann wären _alle_ ausser bestimmten Adressen verboten, das scheint mir sinnvoller zu sein!?

Dirk

 

[realdocsnyder]

@dischneider

Yep, genau das gibt's und so werd' ich's auch machen ;o)

Danke!

Gruß, Doc

 

[dischneider]

Dann aber ggf. auf Reihenfolge achten.
Wenn die Regeln nach "order" abgefragt werden, sollte erst das allow und dann das deny kommen, sonst trifft die IP schon für das deny zu und das allow wird gar nicht mehr beachtet ...

Dirk

 

[realdocsnyder]

@dischneider

Danke für den Hineis, werde drauf achten!

@Novice (Nachtrag)

Nun habe ich die gewollte Lösung ja doch bekommen. Was Dich angeht, trifft eine der beiden Varianten zu (terzium non datur!):

a) Entweder, Du wusstest, wie man per Fritz-Box dedizierte Rechner Internet-mässig sperrt, oder

b) Du wusstest es nicht.

Trifft a) zu, frage ich mich, warum Du mir die Lösung vorenthalten hast und stattdessen versucht hast, mich von meinem Ansatz ("Lösung per Fritz-Box config) wegzubringen. Trifft dagegen b) zu, dann hast Du jetzt ja was dazugelernt, und weisst, wenn wieder mal jemand den Wunsch nach einer "erzwungenen Abschaltung" hat, was Sache ist ;o)

Gruß, Doc

 

[wichard]

Um mich mal mit in deine Kritik einzubeziehen: Ich kannte auch die Möglichkeiten, mittels der ar7.cfg deny-Regeln anzulegen (siehe z.B. http://www.ip-phone-forum.de/showthread.php?t=87835&highlight=ar7*+deny). Aufgrund der Formulierung deiner Anfrage habe ich das allerdings nicht als die von dir gesuchte Lösung angesehen und daher auch nicht geposted - ich nehme an, bei Novize wird es ähnlich sein.

Sorry, daß es so gelaufen ist - war wohl ein gegenseitiges Versändigungs- / Verständnisproblem.

Hauptsache aber, eine zufriedenstellende Lösung ist nun gefunden...


Gruß,
Wichard

 

[realdocsnyder]

@wichard

Ich denke schon, daß meine Anfrage die gefundene Lösung mit einschliesst, denn da heisst es:

Da ich meinen Rechner Paßwort-geschützt habe und meine Tochter nur mit ihrem Notebook versuchen kann, ins Internet zu gelangen, habe ich mir gedacht, ich sperre einfach ihren Rechner.

Aber ist ja jetzt egal, bin ja froh darüber, daß ich jetzt weiss wie's geht ;o)

@ALLE

Ich danke nochmal allen, die mir weitergeholfen haben, bzw. bemüht dazu waren!

Gruß, Doc