Fritzbox 7590 Geräte im Gastzugang sperren

[Intruder_2000]

ich habe ein ähnliches Problem.

Bis jetzt habe ich meine Smart Home Geräte im Heimnetz gehabt und dort auf bestimmten Repeatern bestimmte Geräte von der Liste "bekannte Geräte" raus geworfen und dazu die Option "nur bekannte Geräte zulassen" aktiviert.
Dies hatte zur Folge, das sich die Geräte nicht wild im Heimnetz auf entfernte Geräte verbinden und den nächsten Repeater im Raum nutzen. Dank Mac-Filter funktionierte das wunderbar.

Nun habe ich den Gastzugang für mein Smart Home ausgewählt. Eigenes Netz, welches vom Heimnetz komplett getrennt ist. Falls jemand sich in IOT Geräte hacken sollte, kommt er von dort nicht so leicht ins Heimnetz rein.

Allerdings funktionieren die Mac-Adressen Filter überhaupt nicht mehr. Wenn die Geräte im Heimnetz sind, kommen die nur auf einen bestimmten Router / Repeater und gut ist - im Gastzugang ignoriert er den Mac-Adressen Filter komplett!
Was mich auch nervt ist, das Geräte sich mit einen grottenschlechten 5GHz Netz irgendwo im Haus verbinden, wo der AP ewig weit weg ist anstelle mit einem guten 2,4GHz Netz. Im Gastnetz kann man leider auch das 5GHz Netz nicht deaktivieren.

Weitere Auffälligkeit ist, das ich bestimmte Geräte im Gastzugang auch nicht einfach mal eben rauswerfen oder vom Netz trennen kann.
Entweder alle oder keiner ist von den Einstellungen betroffen!

Also der Gastzugang ist irgendwie...
bescheiden?!?

 

[nik]

Der Gastzugang ist eben nicht für dein Vorhaben gedacht. Macht ja wenig Sinn, in einem Zugang der für Gäste, die sich schnell mal verbinden sollen, MAC-Filter zu aktivieren.
Als Problemumgehung könntest du nen zweiten Router nehmen, mit dem sich die Repeater verbinden und NAT aktivieren, und für den Router an der Fritzbox die Kommunikation mit anderen Clients unterbinden.

 

[Intruder_2000]

Moin Nik.

Mit wie vielen Routern können denn sich die Repeater verbinden?
Es mach ja keinen Sinn, wenn die vorhandenen Repeater sich mit einem anderen Router verbinden und dann das Heimnetz zusammen bricht...

Den Gastzugang für Gäste benötige ich nicht, da meine Gäste entweder keine Internet fähigen Geräte haben oder mehr als genug Datenvolumen im LTE Netz haben. In der heutigen Zeit, wo es schon Datenflat gibt, ist man eigentlich auf Gastzugänge nicht mehr angewiesen - es sei denn Funkloch etc.

Also habe ich einen kompletten Gastzugang ausschließlich für Smart Home zur Verfügung. Eine 3. SSID in einem eigenständigen vom Heimnetz abgetrenntem Netzwerk... eigentlich genau das richtige für IOT Geräte. Wird ja auch sehr oft im Netz vorgeschlagen, für Smart Home / IOT das Gastnetz zu nutzen.

Ich überlege die ganze Zeit, wie Du das mit dem zweiten Router und den vorhandenen Repeatern machen möchtest, ohne das die Repeater für das Heimnetz weg fallen.

Ohne Repeater sind viele Geräte (Smart Home - Gastnetz | Heimnetz) nicht mehr Inet fähig.

 

[nik]

Ich überlege die ganze Zeit, wie Du das mit dem zweiten Router und den vorhandenen Repeatern machen möchtest, ohne das die Repeater für das Heimnetz weg fallen.

Gar nicht, war einfach noch zu früh für mich.

Wird ja auch sehr oft im Netz vorgeschlagen, für Smart Home / IOT das Gastnetz zu nutzen.

Ja, aber die nutzen eben keine MAC-Filter.

 

[Dr.No]

Also ich habe hier eine 7590 mit aktueller Beta-Firmware. Ich sehe jeden einzelnen Gast. Zwar kann man das Zugangsprofil nicht ändern, aber in den Einstellungen des jeweiligen Gerätes unter Kindersicherung den Zugang komplett sperren.

 

[Intruder_2000]

@nik früh ist relativ. Hab die ganze Nacht kein Auge zubekommen und kurz nach Deinem Beitrag vor lauter Grübellei glatt weg gepennt

@Dr.No sehen kann ich auch jeden einzelnen "Gast" nur glaube das mit der Kindersicherung funktioniert unter 7.12 nicht so wie in der Beta. Nutzt Du die "7.19" Version?

Würde es eventuell klappen, wenn man eine FB7412 an den LAN-Port 4 im Gastmodus der FB7590 packt, der FB7412 die SSID vom "Gastzugang" verpasst und das WLAN vom Gastzugang auf der FB7412 deaktiviert...

Somit würde eigentlich die FB7412 vom Heimnetzwerk pysisch getrennt sein... die Frage ist nur ob die FB7412 mit eigenem WLAN am LAN Port der FB7590 auf alle Repeater im Heimnetz zugreifen und diese mit nutzen können...


könnte das klappen?

nope... leider nicht. Die FB7412 käme über den LAN-Port 4 im Gastzugang ins INet und alle weiteren verbundenen Geräte im WLAN von der FB7412 nicht mehr... und somit klappt das auch nicht wirklich mit 2. FB am LAN-Gastnetz.

 

[Dr.No]

@Intruder_2000 Nutze die FW 07.19-77569 BETA. Habe aber nicht getestet ob ich jeden einzelnen sperren kann, wenn ich auf "sperren" klicke.

Die Repeater/Access-Points können immer nur auf einer FB verbunden sein. Da braucht es dann mehr Repeater. Es sei denn die FB7412 steht so, das in dem Bereich für die Gäste keine Repeater mehr von Nöten sind.

 

[Intruder_2000]

Ich habe mich bisher immer davor gesträubt, Beta Firmware oder Treiber in produktive Netze einzusetzen. Bei Homeoffice sollte man sich auf die Technik und Sicherheit verlassen können.
Wie gesagt meine "Gäste" bestehen ausschließlich um SmartHome oder IoT Geräte und sind im ganzen Haus verteilt.
Aktuell 1 FB + 2 Repeater. Damit ist der größte Teil des Hauses, wo Internet benötigt wird, abgedeckt.

Na mal schauen. Werde ich wohl erst mal mit der vorhandenen Lösung auskommen müssen.
Habe heute noch mal kurz mit AVM telefoniert und mein Anliegen als Verbesserungsvorschlag eingereicht. Habe auch erläutert, das ohne MAC-Adressenfilter eigentlich sogar eine Sicherheitslücke besteht, wenn man ungewünschte Geräte nicht dauerhaft aussperren kann.

Daumen drücken und abwarten was passiert. Hat schon einmal geklappt, das ein Wunsch von mir aufgegriffen und umgesetzt wurde und mit der 7.19 Labor bereit verfügbar ist

Da freue ich mich schon drauf, wenn 7.19 Final ausgerollt wird und ich wieder tüfteln und weiter mein Heimnetz optimieren kann.

 

[nik]

Die sinnvollere Variante für dich wäre die Neuanschaffung von vlan-fähigen Equipment. Dann müsstest du dir auch nicht mit so einer Notlösung behelfen und könntest das ganze vernünftig umsetzen.

 

[Intruder_2000]

und was für vlan-fähiges Equipment schwebt Dir in dem Fall vor? Kannst Du was empfehlen?

 

[nik]

Kannst dir ja mal die Geräte von mIkrotik oder Ubiquiti anschauen.

 

[Cpt.Yesterday]

Bis jetzt habe ich meine Smart Home Geräte im Heimnetz gehabt und dort auf bestimmten Repeatern

Welche Fritzbox und welche Repeater verwendest du?

Falls jemand sich in IOT Geräte hacken sollte, kommt er von dort nicht so leicht ins Heimnetz rein.

Ich behaupte mal, dass das keine reale Sicherheitsmaßnahme ist.

Was mich auch nervt ist, das Geräte sich mit einen grottenschlechten 5GHz Netz irgendwo im Haus verbinden, wo der AP ewig weit weg ist anstelle mit einem guten 2,4GHz Netz.

Es hängt davon was die Firmware dem IoT-Gerät vorgibt. Die meisten IoT-Geräte haben kaum Durchsatz und benötigen einfach nur eine flotte Verbindung. Wenn im 2,4Ghz-Netz bereits einiges an Geräten rumtummelt und im 5Ghz kaum einer, dann ist auch das vermeintlich "schlechtere" 5Ghz-Verbindung die eigentlich bessere.

Erfahrungsgemäß sind sehr viele IoT-Geräte was die Programmierung im Netzwerk-Bereich angeht ... na, sagen wir mal, "verbesserungswürdig". Da kann man am Router und den Repeatern rumdocktern wie man möchte, am Ende wirds meist nur schlimmer

Folgendes zu bedenken: WLAN/Wifi ist ein "shared medium". Solange nicht alle Geräte im Netz MU-MIMOfähig sind (und bei vielen IoT-Geräten will bezweifeln, dass dieses das sind), funken alle nacheinander und nicht alle gleichzeitig.

Wenn du einen MU-MIMO-Router mit MIMO-Repeatern kombinierst, ist es am Ende nur noch ein reines MIMO-Funken. Genauso verhält es sich anders herum.

Würde es eventuell klappen, wenn man eine FB7412 an den LAN-Port 4 im Gastmodus der FB7590 packt, der FB7412 die SSID vom "Gastzugang" verpasst und das WLAN vom Gastzugang auf der FB7412 deaktiviert...

Somit würde eigentlich die FB7412 vom Heimnetzwerk pysisch getrennt sein... die Frage ist nur ob die FB7412 mit eigenem WLAN am LAN Port der FB7590 auf alle Repeater im Heimnetz zugreifen und diese mit nutzen können...

Du z.B. eine günstige Fritzbox wie die 4040 besorgen (oder die 7412) und diese mit den Repeatern verbinden. Du stellst diese dann auf den Betrieb "IP Client" ein, damit ist diese faktisch nur noch ein gemanagter Switch inkl. WLAN-Modul. Routing geschieht dann nur noch auf dem jetziger Router und damit ist das Thema doppel-NAT vom Tisch.

Die zweite Fritzbox dann am "Gastnetz-Port" des jetziger Routers betreiben.

In dem Fall kannst du an der zweiten Fritzbox regulieren wer rein kann und wer nicht.

"Physisch" ist diese nicht vom Heimnetz getrennt, sondern nur virtuell.

Hierbei bedenken, dass die zweite Fritzbox nicht mehr über "fritz.box" erreichbar ist, sondern nur noch über die von dem eigentlichen Router zugewiesene IP.

Mit wie vielen Routern können denn sich die Repeater verbinden?

Bei den Fritz-Repeatern kann man je eine 2,4Ghz und 5Ghz-Quelle auswählen. Ich bezweifle aber, dass die damit zurecht kommen wenn es jeweils verschiedene Router sind.

 

[Dr.No]

@Intruder_2000 Hilft dir vlt. das hier weiter:

Pi-Hole 5.0 veröffentlicht

Was ist neu in Version 5.0? Es können Gruppen erstellt und Block-, Black- und Whitelist-Listen auf Gruppen angewendet werden. Blocklisten, Blacklist und Whitelist können einzeln aktiviert oder deaktiviert werden. Bedeutet, dass ihr Smart-Home-Geräte in eine Gruppe werfen könntet und nur diese daran hindert, nach Hause zu telefonieren. Pi-hole setzt ja für gewöhnlich auf umfangreiche, vorgefertigte Blacklisten, die ab Werk von Smart-Home-Geräten erhobene Metriken blocken, beispielsweise die von Amazon, Google und anderen.

 

[Dr.No]

@cop Schon etwas her, aber in der aktuellen 7.20 sollte es evtl. gehen?

AVM: Die Gerätesperre von FRITZ!OS 7.20 erklärt

Zur Gerätesperre gelangt ihr, wenn ihr in der Benutzeroberfläche eurer FRITZ!Box im Menü auf Internet -> Filter wechselt. Die dortige Tabelle listet alle Geräte, die aktuell an der Box angemeldet sind. Wählt ihr dort ein Gerät aus und klickt auf „Sperren“, verliert dieses Gerät umgehend den Zugriff aufs Internet. „Entsperren“ schaltet dieses dann wieder frei. Das funktioniert wie bereits erwähnt auch über den Dienst My-FRITZ! und die My-FRITZ!-App auf eurem Smartphone.

 

[MuP]

Vor dem Einspielen der 7.2x unbedingt die damit in Kauf zu nehmenden Nachteile gegenüber der 7.1x in Erfahrung bringen.