IP Adressen Fritzbox

[Raijin]

Wenn du nicht mit ganz großen Kanonen auf Spatzen schießen willst, hast du schlechte Karten. Deine Nichte hat gezeigt, dass sie Köpfchen hat und/oder jemanden kennt, der ihr gezeigt hat wie sie solche Mechanismen umgeht.

Mit 08/15 Sperren in einem Router wirst du da schlicht und ergreifend keine Chance haben, weil sie für sowas einfach nicht ausgelegt sind. Das einzige was halbwegs zielführend sein könnte ist die Gast-Funktion. Allerdings funktioniert das natürlich nur via WLAN (gesetzt den Fall sie kenne NUR das Passwort für das Gast-WLAN) und nicht, wenn deine Nichte physischen Zugang zu einem LAN-Kabel hat. Selbst wenn man das Gast-Netzwerk der Fritzbox auf LAN4 legt und dort das Kabel anschließt, muss sie das Kabel einfach nur umstöpseln. D.h. man müsste Fritzbox wegsperren, zB in einem verschlossenen Schrank, Abstellkammer, Technikraum, whatever.

Fortgescchrittene Maßnahmen würden einen (semi)professionellen Router bzw. eine Hardware-Firewall wie zB EdgeRouter, MikroTik, pfSense, etc. voraussetzen sowie VLAN-fähige Switches und Access Points. Damit hast du alle technischen Mittel, um komplett isolierte Netzwerke inkl. eigener WLAN-SSID zu erstellen. Es ließe sich sogar ein Voucher-System in einem Captive Portal umsetzen wie es zB in Hotels zum Einsatz kommt. Das kostet dann neben der nötigen Hardware auch ein gehöriges Maß an KnowHow und Zeit für die Einrichtung.




Vielleicht sollte ich dazu sagen, dass ich in einer ähnlichen Situation war wie du. Mein Neffe hat den gefilterten DNS (pihole mit Jugendschutzlisten) umgangen und ich bin ihm durch Zufall auf die Schliche gekommen, weil er mir etwas unbedarft die Webseite eines Spiels ab 18, die eigentlich gesperrt war, zeigte. Ich habe ihm ins Gewissen geredet und die Situation direkt geklärt, ohne ihn bei meiner Schwester zu "verpfeifen".

Im Gegensatz dazu kam vor einigen Jahren mein Gruppenleiter in der Firma bei mir an und bat mich, doch eine harte Netzwerklösung für das Problem mit seinem Sohn einzurichten - geblockte Seiten + Zeitkonto und das ganze möglichst unumgehbar. Am Ende hab ich ihm tatsächlich einen EdgeRouter mit harter Firewall und einigen zusätzlichen Skripten hingestellt und beim Mittag hat er des öfteren davon berichtet, dass es zu Hause wöchentlich Streit gibt deswegen. Im übrigen hat sein Sohn später rausgefunden, dass man ja auch über das Handy online gehen kann und das ganze ging von vorn los. Solche Maßnahmen sollten meiner Meinung nach das allerletzte Mittel sein, wenn man nicht gar Handy/Tablet/Laptop ganz einkassiert.

 

[Sebbi]

zum Wettrüsten: Das muss nicht sein wenn entsprechende Regeln eingehalten werden. muss es nicht dazu kommen. Und wenn es die Aktionen des Kindes nicht zu Störungen führen sehe ich kein Problem was nichts zu ändern. Hier ist aber genau das Gegenteil der Fall. Es kommt zu Störungen und eventuell sogar zu Kompromitierungen, die auch gefährlich für das Kind sein können (Webcam eine Laptops von Fremden außerhalb eingeschaltet zu beobachten, ist ach nicht so das das nicht schon oft vorgekommen wäre)

Was ist eigentlich, wenn man an der Fritzbox eingibt, dass neue MAC Adressen nicht zugelassen werden?

Dann ist das Ganze doch so gut wie nicht mehr zu umgehen?

Das Problem ist hier, das das Tool deiner Nichte das Netzwerk ansich ausließt und die MAC ihres Rechners auf die des Radios ändert. Heißt also das ist eine alte und bekannte MAC, damit hilft dieser Punkt leider nicht.

Darum sagte ich ja, das einzigste was jetzt noch ohne große Kanonen auf Spatzen gemacht werden kann sind halt für alle Geräte feste IP Adressen wenn möglich.
Dazu wenn neuen IPs hinzukommen -> Standardmäßig keine Verbindung ins Internet ohne Gnade.
Ggf solltest du deiner Nichte mal vertraulich ins Gewissen reden.

 

[John Sinclair]

Und was noch wichtig ist, die Geräte dürfen nicht offline gehen, weil dann ja die MAC & IP wieder frei ist.

 

[Raijin]

Und was hindert die Nichte dann daran, ihrem Gerät erneut eine bekannte IP eines anderen Geräts zu verpassen? Wenn sie mit einem MAC-Tool klarkommt, schafft sie es auch, mit AngryIP, o.ä. das Subnetz abzuscannen und sich dann zB die IP vom Netzwerkdrucker zu krallen, der eh nur sporadisch eingeschaltet wird - oder sie probiert einfach in 10 Minuten alle 254 Host-Adressen durch. Mit diesem Vorschlag verlagert man das MAC-Spoofing nur ein Layer weiter nach oben, in die IPs. Hinzu kommt dann aber, dass man sich massiven Verwaltungsaufwand einhandelt, wenn man bei jedem TV, jedem Internetradio, jedem Laptop, jedem Smartphone, jedem Tablet, einfach jedem Gerät im Netzwerk eine manuelle IP einstellen muss....... Auch funktioniert dann größtenteils die lokale Namensauflösung nicht mehr, weil sich kein Gerät mehr beim DHCP meldet - der ist ja ausgeschaltet - und dann wird es noch unkomfortabler. Klar, nu kann man natürlich mit hosts-Dateien anfangen, statischen Einträgen im DNS und und und..

DHCP ist nun mal eine der größten - wenn nicht gar die größte - Komfortfunktion innerhalb eines Netzwerks und die soll man nun für ALLE Bewohner abschalten, weil man ein klärendes Gespräch über Regeln und Konsequenzen scheut?

 

[Evilc22]

Gute Nichte (scheint wohl ein wenig haus verstand zu haben) - Wer glaubt mit einen 0815 Gerät sperren einzurichten hat einfach keine AHNUNG

Ich Feier diese Nichte jetzt einfach mal
(davon gibts zu wenig auf diesen Planeten)

 

[John Sinclair]

Ob Die Nichte nun gut ist oder nicht, ist ein anderes Thema.
Fest steht jedenfalls das die ganze Kindersicherung in den AVM Fritzboxen für den Poppo sind.
Und genau da müste mal AVM was tun, es kann nicht sein das die mit der Kindersicherung werben,
und das diese, ich sage mal ein 6 Klässler aushebeln kann, wenn dieser in der Schule ein bissel aufpasst
in dem Informatik Unterricht.

 

[Sebbi]

@Raijin

das stimmt nicht ganz. das witzige ist, soweit ich es kenne, das wenn man feste Adressen hat, man damit einen Konflikt erzeugt, der aber nicht automatisch gelöst wird, sondern das beide Geräte keinen Zugriff mehr aufs Netzwerk haben. Sprich die macht das ganze 2 oder 3 mal, bekommt immer noch kein Internet und gibt auf bzw wird dann das ganze ggf per Tethering machen. Das ist zwar dann eine Eskalation, aber die stört dann nicht mehr das Netzwerk

AVM Fritzboxen für den Poppo sind

kann man so nicht direkt sagen, denn ohne diese Scriptkiddy tools muss man da schon doch bissl mehr sich einlesen um das zu umgehen OHNE das Netzwerk zu stören. Da aber eine Störung erfolgt, ist das nichts anderes als erlaubte Geräte aus dem Netzwerk zu kegeln mit dem Tool und deren Platz einzunehmen. Oft genug erklärt selbst für absolute Leihen

@Evilc22

siehe oben, es gehört leider heutzutage keine Verstand mehr dazu, es gibt Tool so man einfach nur auf einen "Internet" Button drückt und schon macht das Tool alles von alleine und beim beenden wird die Konfig wieder auf Standard gesetzt.

 

[Evilc22]

Ob Die Nichte nun gut ist oder nicht, ist ein anderes Thema.

"Fest steht jedenfalls das die ganze Kindersicherung in den AVM Fritzboxen für den Poppo sind."

Ach was


.. Ich habe vor 20 Jahren mit 15 ein Kabel eingegraben (über 100 meter) um den Telefon Anschluss der Großeltern anzuzapfen (56k Modem)

Das war noch ARBEIT

Und da soll mir jemand erzählen jemand kann (heute) keine 0815 Fritz austricksen

 

[John Sinclair]

Ja weil ich es nicht wuste, weil ich mich nie damit Beschäftigt habe, ich habe keine Kinder bin Solo.

Für mich gilt nur Erkans Spruch, Ihr kommt hier nicht rein.

Damit meine ich Meine Wohnung.

 

[Raijin]

das stimmt nicht ganz. das witzige ist, soweit ich es kenne, das wenn man feste Adressen hat, man damit einen Konflikt erzeugt

Und wie das stimmt. Nur dann, zwei Geräte gleichzeitig eingeschaltet sind und dieselbe IP verwenden, gibt es Konflikte. Ein findiges Mädchen kann also easy die IP von Mamas Laptop raussuchen und wenn der aus ist, geht's los. Eine IP einzustellen ist doch noch einfacher als eine MAC zu ändern.........

 

[Sebbi]

ja mag sein, aber dann sagt die Box soweit ich weiß, du darfst dennoch nicht surfen, weil du der und der rechner bist (nur mit ner anderen IP)

Idendifikation erfolgt nach meinen Wissensstand via MAC, und wenn man in den Filterregeln einstellt, das neuen Benutzer standardmäßig keinen Internet Zugriff erhalten, dann war es das.

allerdings bringst du mich da auf das Problem, wenn die ihre MAC auf die von Mamis Laptop ändert, ja das ist dann problematisch.
Allerdings verrät sie sich damit dann selbst sobald Mami den Laptop einschaltet, ich denke mal das nicht ohne Grund das Online Radio genommen wurde. Aber wenn das daueronline ist mit fester IP kann das eben nicht mehr verwendet werden.

Wie schon gesagt wurde, es ist schwierig das ganze so zu händeln das es den Zugang komplett verwehrt mit der vorhandenen Technik
Feste IPs sind aber auf jeden Fall ein Hemmschuh, wenn man Geräte aus dem Netzwerk zu kegeln will, um sich an deren Stelle im Internet zu bewegen.

 

[Borderland555]

Meine Eltern stecken den Radio überigens immer aus.

Vermutlich was das der Grund, warum die Fritzbox die IP Adresse nochmals vergeben hat.

 

[Sebbi]

ok, dann isses natürlich doof .... da wird wohl wirklich nur ein Gespräch helfen.

 

[Raijin]

Idendifikation erfolgt nach meinen Wissensstand via MAC

Ja wat nu? MAC oder IP? Das sind zwei komplett verschiedene Dinge. Wenn man eine IP blockt, ist es Jacke wie Hose welche MAC das Gerät hat. Blockt man eine MAC, ist die IP egal. Lediglich der DHCP stellt eine Beziehung zwischen MAC und IP her, weil der DHCP tatsächlich anhand der MAC identifiziert und dann auf Basis dessen eine neue oder eine reservierte IP rausgibt.

 

[tollertyp]

=Sebbi]Idendifikation erfolgt nach meinen Wissensstand via MAC, und wenn man in den Filterregeln einstellt, das neuen Benutzer standardmäßig keinen Internet Zugriff erhalten, dann war es das.

Wie gesagt, übertragen auf eine Altersverifikation ist es schlicht nach dem Alter zu fragen und nicht nach dem Ausweis.