Günstige Firewall für das Heimnetz?

[askling]

Ich würde in meinem Heimnetz gerne alle ausgehenden Verbindungen überwachen. Eingehend sollte ja eigentlich durch das NAT (Fritzbox) nicht möglich sein, aber auch hier wäre bessere Übersicht natürlich nett.

Ich finde es irgendwie frustierend nicht überprüfen oder stoppen zu können, welche der diversen Geräte im Wlan nach Hause telefonieren.

Gibt es da bezahlbare Lösungen die für zu Hause taugen?

 

[commandobot]

Eine Möglichkeit ist Pi-hole:
pi-hole.net/
computerbase.de/forum/threads/pi-hole-alltagstauglichkeit.1944709/

 

[Loopman]

Welchen Router setzt du ein?

 

[up.whatever]

Hast du Linux/IPtables Kenntnisse, oder suchst du eine Klickibunti Lösung?

 

[askling]

PiHole ist ein Werbeblocker auf DNS Basis, das hilft denke ich nicht.

Eine FritzBox benutze ich.

Linux Grundlagen habe ich, bin aber kein Netzwerk-Spezialist oder Linux pro. Also eher eine Klickibunti-Dummi-Lösung. Ich will vor allem auch Fehlerquellen minimieren, daher gerne keine Frickel-Lösung. Ich weiß wie gesagt gar nicht ob es sowas erschwinglich und sinnvoll gibt.

 

[commandobot]

PiHole ist ein werbeblocker auf DNS Basis, das hilft glaube ich nicht.

Wie sicher bist du dir?
https://piholenet.b-cdn.net/wp-content/uploads/2018/12/Screenshot-2018-12-19-17.50.40.png

 

[bdb]

Ipfire auf nem alten thin client mit 2 netzwerkanschlüssen.

man sollte immer bedenken das der durchsatz abhänig der eingesetzten leistung der hardware ist.

EDIT

Fujitsu FUTRO ... hatte ich jahrelang im einsatz

 

[DeusoftheWired]

Pi-Hole auf ’nem Raspi, in ’ner VM, auf ’nem NAS o. Ä. Domänen lassen sich komfortabel blocken und werden nach Client aufgelistet.

 

[PERKELE]

Ich nutze OPNSense, wenn du einen "alten" Rechner hast, ne zusaetzliche Netzwerkkarte rein und ab geht es. ;-)

 

[askling]

Wie sicher bist du dir?
https://piholenet.b-cdn.net/wp-content/uploads/2018/12/Screenshot-2018-12-19-17.50.40.png

Wie gesagt, nicht 100%. Aber zu dem Screen steht 'See all the domains being queried on your network, where they originated, and more. '. Für mich ist damit nicht klar ob nicht nur DNS Anfragen gefiltert werden.

 

[DeusoftheWired]

Für mich ist damit nicht klar ob nicht nur DNS Anfragen gefiltert werden.

Daß Anwendungen hartkodierte IPs kontaktieren, kommt zwar vor, ist aber die absolute Ausnahme. Wenn du diese 0,1 % ausschließen möchtest, scheidet Pi-Hole tatsächlich aus, eben weil es auf DNS-Ebene arbeitet. Für das Ausschließen von IPs braucht es etwas wie von bdb in #7 oder Red-John in #9 vorgeschlagen. Alternativ kann man sich auch noch Squid anschauen.

 

[Raijin]

"Überwachung" bringt nur etwas, wenn man etwas mit der "Auswertung" anfangen kann.

Mit pihole dreht man den Spieß einfach um und zieht etwaigen Übeltätern wie allzu herstellertreuen Fernsehern, etc den Boden unter den Füßen weg. Das geht zwar nur solange das nicht direkte IP-Verbindungen ohne vorherigen DNS-Request sind, aber das sind auch Ausnahmen.

Wie gesagt, Überwachung nur der Überwachung wegen, ist einfach nicht sinnvoll, wenn man nichts damit anzufangen weiß.

Wenn du einem Gerät misstraust, schmeiß es raus oder nimm ihm das Standardgateway weg und es kann gar nicht mehr ins Internet.

 

[omavoss]

ich habe zur Zeit einen eBlocker DIY auf RasPi2 im Test, so als Pi-Hole-Ersatz bzw. gemeinsam beide zusammen; man könnte ja mal drüber schauen:

https://eblocker.org/

Dort im eBlocker habe ich das DNS-Blocking deaktiviert, weil das der Pi-Hole erledigt. Den "Rest" des Traffics schickt der eBlocker über das Tor-Netzwerk; alles ist sehr einfach über ein GUI einzurichten und auch von Fall zu Fall auszuschalten bzw. zu pausieren.

Das alles hat natürlich nichts mit Überwachung und wenig mit Auswertung zu tun; außer vielleicht, dass man sich grafisch ansehen kann, welche URL geblockt wurden und woher aus dem LAN die Anfragen nach den betreffenden URL kamen. Wenn man diese Anfragen dediziert unterbinden will, kann man entsprechende Blocklisten einpflegen bzw. die durch das Gerät angefragten URL in die Blacklist eintragen.

 

[askling]

Raijin

PiHole scheint tatsächlich sehr viel zu können bei vermutlich geringem Aufwand. Ich muss mir da nochmal genau überlegen, aber eigentlich hätte ich gerne Kontrolle auf IP Ebene.

Du hast natürlich recht was auswerten angeht, aber man könnte sich doch sehr einfach für die jeweiligen Geräte die Logs ansehen, bzw. würde bestimmten IPs komplett den Zugang zum Internet untersagen, so das sie nur lokal ansprechbar sind.

Mich würde z.B. tatsächlich einfach auch mal interessieren was mein Windows PC so alles anfragt.

 

[/dev/tty0]

PiHole ist schon mal ein sehr guter, kostengünstiger Ansatz - benutze ich selbst.

Wenn es wirklich was Ordentliches sein soll und man eine Lösung out of the box möchte, dann ein fertiges pfsense Gerät, ist halt nicht wirklich billig und relativ umfangreich zu konfigurieren - das geht so ab 200 Euro los.
Oder ein ausgedienter PC mit 2 Netzwerkkarten und ipfire bzw. opnsense.

Ergänzung (22. Mai 2020)

Raijin


Mich würde z.B. tatsächlich einfach auch mal interessieren was mein Windows PC so alles anfragt.

Genau das zeigt dir pi-hole an.

 

[omavoss]

Oder ein ausgedienter PC mit 2 Netzwerkkarten und ipfire bzw. opnsense.

Ergänzung (22. Mai 2020)

Dann aber bitte die Stromkosten mit beachten. Wenn so ein teil 24/7/365 läuft, das läppert sich!

 

[askling]

@Raijin Nochmal eine blöde Nachfrage, wie entzieht du irgendwelchen Devices denn den Standardgateway?

 

[bdb]

etwas offtopic, was kann pi-hole eigentlich mehr als https://diversion.ch/ auf nem asus router?

EDIT

@askling nehme an der DHCP server vergibt den neuen Gateway der vom pi-hole kommt.

 

[DeusoftheWired]

@bdb Kannte ich so bisher noch nicht, sieht aber aus wie eine genügsame Variante von Pi-Hole für Asus-Router bzw. generell einen Werbeblocker auf DNS-Ebene. Mit 5.0 beherrscht Pi-Hole u. a. das clientspezifische Blocken: https://pi-hole.net/2020/05/10/pi-hole-v5-0-is-here/

 

[bdb]

Ok, auf clientspezifisches Blocken müsste man bei Diversion verzichten.

Für mich ist der Vorteil eine "Eingerätelösung" mein Router stellt mir einen VPN server zur Verfügung, besitzt eine eingebaute Firewall und blockt Werbung auf DNS Ebene ohne zusätzliche Hardware auf allen Geräten im Netzwerk. Funktioniert bei mir seit ein paar Jahren wunderbar.