welcher Router für offiz. HotSpot

[TheSimpsons]

Hallo,

ich habe für meinen Onkel ein WLAN aufgebaut für 3 Ferienwohnungen und derweil einfach nur mit DHCP und WEP versehen

Jetz gibt´s ja so Lösungen wie das Zyxel G-4100 oder das GuestGate von Intellinet, die nicht nur die Kunden vom LAN sondern sogar untereinander abschotten bzw. teilweise sogar mit der Funktion IP-PnP mit jeder statisch eingestellter IP kommunizieren.

Nur die Teile kosten so ~ EUR 700,-- und das lohnt sich für die 5 Gäste die surfen wollen nicht.

Kent jemand eine einfache Methode (z.B. eine ACL) wie zwar die Kunden in das Internet kommen aber untereinander keinerlei Daten austauschen können/dürfen ??? Das mit dem IP-PnP lässt sich sicher nicht so einfach machen aber das wäre nicht so schlimm.

[Air20]

Also laut Anleitung kann das mein WRT54G auch...
hab aber andere Firmware rennen: Firmware Version : v4.30.1, HyperWRT 2.1b1 +tofu13c

AP Isolation:
Creates a separate virtual network for your wireless network. When this feature is enabled, each of your wireless client will be in its own virtual network and will not be able to communicate with each other. You may want to utilize this feature if you have many guests that frequent your wireless network.

HTH

[TheSimpsons]

Cool,

hab irgendwo einen Linksys rumliegen werd das mal gleich probieren

[burnoutberni]

ansonsten gibts auch noch den LaFonera [url]fon.de[/url]

da hast du selbst ein privates wpa2 netz und zusätzlich ein fon netz...keine ahnung ob du sowas gemeint hast

anyway, byebye

berni

[Stefan Hedenig]

Du kannst dir auch ansehen wie die Hotspotlösungen mit Mikrotik Routern/Accesspoints funktionieren.
Eine Basiskonfiguration ist eigentlich mit einem kleinen Setup Wizard schnell gelöst.
Den Gästen wird beim Check-in ein kleines Zetterl/Coupon mit benutzername/passwort für das login gegeben, und gut ist
Hier gibts eine kleine Anleitung dazu: http://wiki.mikrotik.com/wiki/Hotspot_server_setup
Du kannst entweder Benutzer per Hand direkt am Router anlegen, oder den Mikrotik Usermanager (sowas wie ein kleiner Radius server) am Router installieren, der kann dir Benutzer auch generieren.

Solche kasteln kannst du dir zb. bei der Firma Meconet in .de kaufen, in Österreich ist mir soweit kein Retailer bekannt.
Das Routerboard 411AR ( https://shop.meconet.de/artikeldet.php? ... ,2.4GHz,L4 ) mit onboard 802.11g WLAN kostet 61 Euro, Gehäuse, Netzteil und Rundstrahlerantenne dazu noch einmal ca. 30 Euro.

Kreuzschraubenzieher zum zusammenbauen wird vorausgesetzt
Das 411AR hat 1x LAN, 1x WLAN und 1x mini-pci (für eine weitere WLAN karte)
Brettln mit mehr LAN ports sind ein wenig teurer.

Du kannst hier auch Multi-SSID fahren - was dabei recht lustig ist, ist dass jede SSID als eigenes wlan interface betrachtet wird (und daher auch unterschiedliche IP/routing settings haben kann), und dass jede SSID einen anderen verschlüsselungstyp haben kann. Die Gäste-SSID würde ich offen lassen (weil die authentifizierung eh der Hotspot macht) und eben eine zweite SSID für den privaten gebrauch mit WPA/2 verschlüsseln.

[local.host]

Solche kasteln kannst du dir zb. bei der Firma Meconet in .de kaufen, in Österreich ist mir soweit kein Retailer bekannt.

Triotronik in der Steiermark.

[radditz]

Die Gäste-SSID würde ich offen lassen (weil die authentifizierung eh der Hotspot macht)

Ganz ehrlich: Sowas hasse ich. Das Passwort eines WLans war nicht dafür gedacht, dass andere Leute nicht reinkommen... Dafür gibts andere Techniken, wie eben Authentifzierung. Gedacht is es dafür, dass nicht jeder einfach so mitlesen kann.
Wenn das WLan unverschlüsselt is, kann jeder, der sich neben das Häuserl setzt, einfach mal alle Daten mitsniffen (so wie im Internet Cafe mit WLan).

[Stefan Hedenig]

nur mit DHCP und WEP

War darauf bezogen - bevor ich WEP verwende (wo die keys extrem nervig einzutippen sind und eh nix bringen) kann ich das WLAN gleich offen lassen...

Triotronik ist mir übrigens nur als Distributor bekannt, wusste nicht dass die Retail auch machen.

[wicked_one]

Die Gäste-SSID würde ich offen lassen (weil die authentifizierung eh der Hotspot macht)

Ganz ehrlich: Sowas hasse ich. Das Passwort eines WLans war nicht dafür gedacht, dass andere Leute nicht reinkommen... Dafür gibts andere Techniken, wie eben Authentifzierung. Gedacht is es dafür, dass nicht jeder einfach so mitlesen kann.
Wenn das WLan unverschlüsselt is, kann jeder, der sich neben das Häuserl setzt, einfach mal alle Daten mitsniffen (so wie im Internet Cafe mit WLan).

Ich verstehe deine Aufregung nicht, der Key ist eine Wahnsinns krücke für Leute die solche Hotspots nutzen, oder die benutzung gar verhindern (WPA <> MAC)...

Gegen mitsniffen gibts bei WLAN nur eine einzige wirksame Methode... kein WLAN zu benutzen...

[ANOther]

> Gegen mitsniffen gibts bei WLAN nur eine einzige wirksame Methode... kein WLAN zu benutzen...

naja, man kann sich ja auch eine vipien-berbindung zu einer vertrauenswürdigen gegenstelle aufbauen, dann ist auch über ein ungesichertes wlan sicheres surfen möglich...

nebenbei
wo ist sicheres surfen überhaupt möglich?

[radditz]

Ich verstehe deine Aufregung nicht, der Key ist eine Wahnsinns krücke für Leute die solche Hotspots nutzen, oder die benutzung gar verhindern (WPA <> MAC)...

Gegen mitsniffen gibts bei WLAN nur eine einzige wirksame Methode... kein WLAN zu benutzen...

Wenn es am eingeben eines WPA-Keys scheitert, dann scheiterts auch an der Authentifizierung am Hotspot via browser.

Gegen mitsniffen schützt nix, aber gegen mitLESEN schon... nennt sich Verschlüsselung, und das läuft ganz gut über VPN (zB openvpn).
Einige AccessPoints bieten auch an, die Verbindung zum user eigenständig zu verschlüsseln, weiß aber net wie gut das is und wie das genau im Detail funktioniert...
Sowas wär natürlich OverKill für den 0815-User, aber eine WPA-Verschlüsselung mit nicht so leicht zu ratenden Schlüssel schützt (sofern man den Schlüssel mal alle paar Wochen austauscht);

[Herculess]

Wenn es am eingeben eines WPA-Keys scheitert, dann scheiterts auch an der Authentifizierung am Hotspot via browser.

die auth erfolgt mehr od. weniger automatisch bzw. ist unumgänglich, der user kommt dran nicht vorbei - WEP hingegen ist da schon etwas "komplizierter" für den 0815 user und somit für Gastlans nicht wirklich geeignet.
Wenn man schützenswerte Daten über ein Gastlan versendet ohne selbst zu verschlüsseln, na dann...es gibt auch noch eine gewisse Eigenverantwortung.

Einige AccessPoints bieten auch an, die Verbindung zum user eigenständig zu verschlüsseln, weiß aber net wie gut das is und wie das genau im Detail funktioniert...

Mir ist eine entsprechende Funktion noch nicht untergekommen.
Wenn du da bitte mehr rausfinden könntest oder meinst du die "Enterprise" Lösungen via Radius?

greets

[wicked_one]

[quote="radditz"]
>Wenn es am eingeben eines WPA-Keys scheitert, dann scheiterts auch an der Authentifizierung am Hotspot via >browser.
Muss ich dir widersprechen... aus erfahrung weiss ich, dass die meisten Leute schon mal froh sein müssen, ihr WLAN-Verwaltungsprogramm zu finden... Dann noch einen Key eingeben grenzt meist schon an Wahnsinn, bzw gibts durchaus inkompabilitäten .. Betreue so ein Hotspot Netzwerk, hatte lange Probleme mit Mac Books ... bis ich irgendwann gemerkt hab, dass die Macs mit dem WPA der ZyXEL AP´s nicht klarkam...

Netterweise können die MSSID, daher einfach ein zweites Profil mit WPA2 und dann ging das. (Die eingebaute Auth wollte er nicht benutzen, und ganz unverschlüsselt wollten wirs auch nicht lassen)

Lange Rede kurzer Sinn, eine UserAuth die mir der Browser hinwirft ist weit einfacher für die meisten und funktioniert (keien Verschlüsselung kann jede WLAN Karte

>Gegen mitsniffen schützt nix, aber gegen mitLESEN schon... nennt sich Verschlüsselung, und das läuft ganz gut
>über VPN (zB openvpn).
Jeden User in ein VPN zu schmeissen wäre eine Methode, und man umgeht genau die Schlüssel Problematik. Die ZyAIR G-4100 benutzt eine Funktion die nennt sich Layer2 Isolation ... nach welcher Mechanik das funktioniert weiss ich auch nicht - aber danke für die Anregung, werde mal versuchen da mitzusniffen und das näher anschaun.

[lordpeng]

>Jeden User in ein VPN zu schmeissen wäre eine Methode
eine andere methode wäre es, ein komplett offenes WLAN zu betreiben und die authentifizierung per browser an der appliance durch zu führen (muss die hardware halt können) - in verbindung mit automatisch wechselnden kennwörtern, welche entsprechend komplex sind, eine feine gschicht

das hat sich bei ein paar meiner kunden als sehr praktikabel erwiesen, ma sollt das WLAN allerdings in einer DMZ betreiben und eventuell mögliche unerwünschte inhalte sperren

[Viennaboy]

Ich möchte euch auch darauf aufmerksam machen:
http://de.wikipedia.org/wiki/Vorratsdatenspeicherung

Noch ist es bei uns nicht umgesetzt aber wenn ist der Onkel blöd dran wenn die Polizei vor seiner Türe steht und er nicht beweisen kann wer da was illegales gemacht hat ist er dafür haftbar zu machen und er muss es ausbaden.
Meiner Meinung lohnt sich W-Lan nur bei einer Quersubventionierung oder wenn man den Leuten Mobilfunk Startpakete verkauft (= kein Risiko für den Verkäufer).