Hallo zusammen!
Ich rätsel schon geraume Zeit an folgendem Problem:
Ich habe hier folgendes Netzwerk:
LAN Debian Router WLAN – WLAN DSL-Router Internet
Wobei die WLAN-Verbindung eine Funkstrecke von 3km ist und der DSL-Router irgendsoein Linksysgerät (nein kein WRT54 - is aber auch egal).
Die PCs im LAN bekommen ihre Adressen per DHCP von der Debiankiste, welche sich selbst auch als Gateway einsetzt. Nun könnte ein Benutzer allerdings auch manuell den Linksys als Gateway einsetzten und damit natürlich etwaige QoS- und Paketfiltergeschichten umgehen.
Ist es irgendwie möglich, das zu unterbinden? Also dem Linksys beipulen, daß er NUR mit dem Debian-Router kommunizieren soll, die anderen Rechner aber abweisen soll?
Im Moment befindet sich alles im gleichen Subnetz (192.168.0.0).
Seh ich den Wald einfach vor lauter Bäumen nicht? Oder ist da der Grundgedanke schon falsch und meine Idee funktioniert überhaupt nicht?
Wäre irgendwas mit VLAN’s hilfreich? Dabei wär dann nur das Problem, das das bestehende Hardwaresetup noch zwischen der Debiankiste und dem ersten WLAN-AP noch einen Switch beinhaltet der leider kein VLAN kann…
Bin ziemlich ratlos und hab das Gefühl, das ich alles über Netzwerke vergessen habe…
Irgendwelche Ideen?
Vielen Dank und schönen Tag noch,
malte.
Hi,
LAN Debian Router WLAN – WLAN
DSL-Router Internet
Im Moment befindet sich alles im gleichen Subnetz
(192.168.0.0).
- ist das kein Netz und
- funktioniert routing nur zwischen mehren Subnetzen. Dein „Debian Router“ ist kein router.
Bin ziemlich ratlos und hab das Gefühl, das ich alles über
Netzwerke vergessen habe…
Das bezweifel ich. Die Menge aller lesbarer Dokumentation fuer Netzwerkeln ist, optimistisch geschaetzt, (ueberabzaehlbar) unendlich.
Irgendwelche Ideen?
Fuehre Subnetze ein.
Gruss vom Frank.
Etwas eigenartig die Netzgestaltung.
Eventuell den DSL-Router über MAC-Adressen reglementieren.
cu
Hi,
Moin und vielen Dank für die Antwort.
LAN Debian Router WLAN – WLAN
DSL-Router Internet
Im Moment befindet sich alles im gleichen Subnetz
(192.168.0.0).
- ist das kein Netz und
- funktioniert routing nur zwischen mehren Subnetzen. Dein
„Debian Router“ ist kein router.
-
Wieso soll das kein Netz sein? Bitte um Erklärung. Ich kann aber gerne auch hinter das 192.168.0.0 noch eine /24 hängen… zufrieden? 
-
Ist der „Debian Router“ durchaus ein Router… der LAN-Teil ist derzeit in drei Subnetze unterteilt, zwischen denen der Router eben routet…das ging natürlich aus der „Zeichnung“ nicht hervor, ist aber für mein Problem auch nicht wirklich relevant, daher nicht erwähnt.
Irgendwelche Ideen?
Fuehre Subnetze ein.
D.h. zum Beispiel die beschriebene Strecke nach z.B. 192.168.1.0/24 und das LAN nach 192.168.2.0/24 ?
Problematisch ist, daß auf dem Weg vom Debianrechner zum einen Seite der WLAN-Brücke noch ein Switch dazwischen geklemmt ist (an dem auch noch Rechner aus dem LAN hängen) und da kann sich natürlich jemand einstöpseln und den Linksys direkt als gw angeben. Das könnte ich dann wahrscheinlich nur mit nem 802.1q fähigen Switch an dieser Stelle regeln, oder? Nerviges Hardwaresetup was ich da hab…allerdings noch von meinem Vorgänger und immer etwas schwer die Nutzer von der Sinnhaftigkeit einer Änderung zu überzeugen… naja…
Grüße und bis dann,
malte.
Etwas eigenartig die Netzgestaltung.
Eventuell den DSL-Router über MAC-Adressen reglementieren.
cu
Allerdings eigenartig bzw. eigentlich ziemlich bescheuert. Ich sag da mal „Ich war’s nicht!“ Leider etwas problematisch den Kunden davon zu überzeugen, daß man das eigentlich anders aufbauen sollte…(frei nach dem Motto: „Wieso? Läuft doch irgendwie!“…hrmpf!)…
Ließe sich besser regeln, wenn die damals einfach nicht nur ein Kabel eingebuddelt hätten, sondern gleich noch ein paar in Reserve…
Naja…vielleicht gibt’s ja irgendwo 802.1q fähige Switche unter € 50,- das würde auch helfen…
Grüße und bis dann,
malte.
- ist das kein Netz und
- funktioniert routing nur zwischen mehren Subnetzen. Dein
„Debian Router“ ist kein router.
- Wieso soll das kein Netz sein? Bitte um Erklärung. Ich kann
aber gerne auch hinter das 192.168.0.0 noch eine /24 hängen…
zufrieden?
Warum taucht ein Strick nicht zum Fischernetz? Weil die Verknüpfungen fehlen!
- Ist der „Debian Router“ durchaus ein Router…
Nicht im von dir beschriebenen Szenario. Was das Ding sonst noch treibt, ist herzlichst uninteressant.
Fuehre Subnetze ein.
D.h. zum Beispiel die beschriebene Strecke nach z.B.
192.168.1.0/24 und das LAN nach 192.168.2.0/24 ?
Du wirst den von dir beschriebenen Hardwareaufbau ohne VLANs nicht dicht kriegen. Du kannst mit Subnetzen aber immerhin die Hürde ein wenig höher legen. So hoch, dass der Angreifer, um seinen Rechner an falscher Stelle im Netz positionieren zu können, deine Debiankiste abhängen muss.
Für Debian->Linksys benötigst du im zukünftigen Debian-Router ein zusätzliches Netzwerkinterface. Diesem und dem Linksys vergibst du eine Adresse aus einem bislang nicht genutzten Adressbereich und wählst eine Subnetzmaske, die genau zwei Adressen in diesem Bereich erlaubt. Wer sich jetzt noch dazwischen hängen will, muss die Position eines der beiden Endknoten einnehmen - was nicht lange unentdeck bleiben dürfte.
HTH
Schorsch
P.S.:
Für Debian->Linksys benötigst du im zukünftigen
Debian-Router ein zusätzliches Netzwerkinterface. Diesem und
dem Linksys vergibst du eine Adresse aus einem bislang nicht
genutzten Adressbereich und wählst eine Subnetzmaske, die
genau zwei Adressen in diesem Bereich erlaubt. Wer sich jetzt
noch dazwischen hängen will, muss die Position eines der
beiden Endknoten einnehmen - was nicht lange unentdeck bleiben
dürfte.
Wer hier gezielt angreift und physischen Zugang zu den Switches oder einem der beiden Endknoten hat, hat natürlich keine Probleme, sich als man in the middle zwischen beiden Knoten zu verstecken. Als Sicherheitsfeature taugt diese Lösung somit nix, sie hält lediglich den Hobby-Hacker ab.