Netzwerk trennen

[wolewo]

Hallo zusammen,

in meinem Netzwerk sind zwei PCs von meinen Kids die viel im Netz Spielen.

Ich möchte diese zwei PCs von meinem Netzwerk trennen.

Wie kann ich das realisieren?

Bei mir läuft die IB2.

Merci für Eure Tipps......

[POGO 1104]

---

@wolewo schrieb:
Ich möchte diese zwei PCs von meinem Netzwerk trennen.

Wie kann ich das realisieren?

---

LAN-Kabel ausstecken ?

Oder wie meinst du das genau ? Erkläre bitte.

-Sollen sie weiter Internetzugang haben? ja/nein
-Sollen die 2 PC's weiterhin miteinander vernetzt sein? ja/nein

Ansonsten verfrachte die beiden PC's einfach ins Gast-WLAN, dann haben sie keinen Zugriff mehr auf dein privates Netzwerk, nur noch Internetzugang. Falls diese 2 PC's per LAN am Netzwerk hängen, brauchen sie einen WLAN-Adapter, das isolierte Gast-Netz gibts nur per WLAN

[cslu]

Zusätzlich zu POGOs Fragen müsste vielleicht noch gefragt werden, WIESO du die PCs vom Netz trennen möchtest, d.h. was du dir davon versprichst?

[WalterB]

Er möchte die MAC Adresse von diesen PC im Netzwerk sperren, das geht nach meiner Meinung nicht mit der Internet-Box 2 weil diese Funktion nicht enthalten ist.

Jedenfalls in diesem Fall werden auch keine Sicherheitupdate und Antivirusprogramme mehr auf den neusten Stand gebracht.

[POGO 1104]

---

@WalterB schrieb:

Er möchte die MAC Adresse von diesen PC im Netzwerk sperren, das geht nach meiner Meinung nicht mit der Internet-Box 2 weil diese Funktion nicht enthalten ist.

---

Im Prinzip macht die "Kindersicherung" genau das. Aber eben, dann gibts auch kein Internet mehr....

[wolewo]

Keine Ahnung was da so passiert mit dem Gamer PCs in meinem Netz und darum möchte ich die von meinem Netz fernhalten. ( Also praktisch in ein eigenes Netz setzen) 

Habe da schon ein wenig im Netz nachgeschaut, aber das scheint gar nicht einmal so leicht zu sein.

Muss wohl oder übel mit dem leben.

[WalterB]

@wolewo

Es gibt viele Eltern welche z.b. beim Windows 10 die vorhandene Einrichtung verwenden wenn die Kinder noch nicht zu den Technik Fan zählen welche dann das manchmal wieder eigenmächtig ändern.

http://www.giga.de/downloads/windows-10/tipps/windows-10-kindersicherung-einrichten-so-geht-s/

[wolewo]

Die Kindersicherung habe ich noch bis vor kurzem genutzt, leider werden die Kids auch langsam erwachsen. Leider sehen sie die Gefahren im Netz nicht so wie ich. Das Gamen kann man ihnen ja nicht verbieten.......

Muss einfach schauen, dass all meine anderen PCs gut abgesichert sind. 

[POGO 1104]

@wolewo

wie gesagt: pack die 2 PC's ins Gästenetzwerk, dann sind sie isoliert von deinem privaten Netzwerk

[cslu · Accepted solution]

Offenbar will der Threadersteller ja wirklich die Netze trennen, (aber nicht etwa, wie WalterB vermutete, die Kinder-PCs vom Internet ausschliessen.)

Der Lösungsvorschlag von Pogo würde wohl funktionieren, sofern die Kinder-PCs via WLAN eingebunden werden. Sofern sie aber via LAN eingebunden sind (und gerade für Gaming möchte man ja tendentiell lieber LAN als WLAN) fällt die Gastnetzwerk-Idee wohl flach, wie Pogo schon selbst angemerkt hat.

Eine tatsächliche Trennung des/der LANs wäre z.B. mit einer Router-Kaskade machbar. Dazu bräuchte man allerdings einen zweiten (wenn man es gut machen will eigentlich sogar einen dritten) Router (kann ein gewöhnlicher Billigrouter sein, also kein Swisscom-Tedil mit integriertem Modem oder so) und ein bisschen Know-How. Ist also vielleicht etwas aufwendiger als der Threadersteller wünscht.

Möglichkeiten sind z.B. hier beschrieben, falls von Interesse:

https://www.heise.de/ct/artikel/Router-Kaskaden-1825801.html

Aber Vorsicht: Falls z.B. Netzwerkdrucker im Spiel sind werden die dann nicht mehr so leicht aus beiden Netzen ansprechbar sein.

Letztlich kann man sich natürlich fragen, ob sich der Aufwand im Privatbereich lohnt.

Das "Zusatzrisiko" besteht hauptsächlich dann, wenn sich ein Kinder-PC aktiv einen Schädling draufholen würde, der sich dann innerhalb des Heimnetzwerkes via ungepatchte Sicherheitslücken weiterverbreiten könnte. Solche Fälle gibt es (WannaCry ist ein Beispiel), aber sie machen wohl einen ziemlich geringen Anteil aller Infektionen aus.

[Tux0ne]

Dafür prädestiniert wären VLAN's. Das Problem ist die Internet Box, welche damit nicht umgehen kann und die Netze sich dort wieder verbinden würden, also für nix. Das Swisscom Universum ist da sehr beschränkt. Womit der Begriff Universum an sich nichtig wäre 😉

Du könntest hier mit einem 2ten Router abhilfe schaffen, was mir hier dir in deinem Setup wohl als zu schwierig erscheint. Bei diesem Router würdest du den Zugriff auf das Subnet in der IB unterbinden und nur das Routing durch das Gateway erlauben. Aber eben, ich denke weiter zu erzählen bringt nichts. Einfacher als via Google wird es nicht...

Mit einer Appliance sind solche Dinge übrigens kein Problem. Geht halt etwas weiter als das Swisscom Gärtchen, äh sorry, Geranien Töpfchen.

[POGO 1104]

VIelleicht kommt ja mal noch die Möglichkeit, einen oder mehrere LAN-Ports der IB dem Gästenetzwerk zuzuordnen, wie hier auch schon gewünscht wurde....
(Afaik ist ja so ein Gästenetzwerk so ein per VLAN abgetrennter Bereich)

Die Software der IB's ist ja noch nicht fertig entwickelt und es kommen auch immer wieder neue Funktionen dazu, wie es die letzten Jahre gezeigt haben - man muss "nur" Geduld haben

[wolewo]

Also würde es mit einer FritzBox gehen wenn man die hinter die IB nimmt und dort auf dem 4LAN Port ein Gäste LAN macht. Ich glaube irgenwo gelesen zu haben, dass dies die FritzBox kann.

[wolewo]

Mist, dort steht:

• Die FRITZ!Box muss den Internetzugang über das integrierte DSL-Modem selbst herstellen

[wolewo]

Werde das mit der Router Kaskade morgen mal versuchen. Evt funktioniert es so wie ich möchte und wenn nicht habe ich es wenigstens versucht. Kann ja zum testen mein Laptop benutzen. Werde berichten ob es funktioniert oder nicht.

Merci für die Tipps.......

[wolewo]

So habe das mal mit einer FritzBox versucht.

Habe sie am WAN Anschluss angeschlossen und die baut auch wunderbar ein eigenes Netz auf und sogar das Internet funktioniert. Aber jetzt kommt das aber !!!!!

Mein Laptop hat nun die IP vom Netz der FritzBox bekommen, aber leider kann ich auch auf die anderen Geräten im anderen Netz verbinden.

Wenn ich dann aber das LAN4 von der Fritzbox aktiviere  ( Gast LAN ) und mich dort anschliesse, dann funktioniert es wunderbar.

Irgendwie stimmen da die Anleitungen nicht ganz.

[Tux0ne]

Ohne das ich jetzt da die Anleitungen lese und in Frage stelle, würde ich doch sagen, dass diese stimmen.

Die Routerkaskade wie sie da so vorgeschlagen ist, setzt voraus, dass die DMZ Zone sich im LAN des ersten Routers befindet. So wie du das beschreibst ist das immer noch die Internet Box. Ergo dürften sie die Geräte, welche man vom schützenswerten Netz trennen möchte, sich nur noch im Netz dieser Internet Box befinden.
Wenn du jetzt aber einen zweiten Router einfach dahinter schaltest und von dessen LAN prüfst ob du keine Verbindung mehr zu Geräten in LAN der Internet Box hast, scheitert dies natürlich. Das default Gateway ist die LAN IP der Internet Box. Ergo hast du eine funktionierende Route in dieses Netz. Umgekehrt von der Internet Box aber keine in das Fritzboxen LAN (sofern du da keine Route erstellst). So funktionieren eigentlich die Kaskaden.
Das Fritz Gäste LAN wird einfach den Zugriff auf private Adressranges unterbinden nehme ich an. Darum funktioniert es da dann trotzdem.

Der umgekehrte Fall, dass man ein Gerät hinter dem eigentlichen Hauptrouter einsetzen möchte, welches ein zweites dirty Netz vom Hauptnetz abdichtet, müsste mit einer anderen Lösung erstellt werden .
Als Idee zB mit einem Router auf den man openwrt knallt. Dann kannst du dort mit NAT Masquerading, iptables usw. auch die entsprechende Lösung hinbringen.

Aber eben, eine Aplliance würde das etwas zentralisieren.

[Werner]

@wolewo

Wenn Du die Fritzbox hinter der Internetbox angeschlossen hast, dann ist das IB-Netz das hierarchisch höherstehende Netz und dessen IP‘s sind über die Gateway Funktion der Internetbox (ähnlich wie das Internet, welches das hierarchisch höhere Netz zur Internetbox darstellt) immer erreichbar.

Die Abschottung durch die reine NAT-Funktion funktioniert also nur vom hierarchisch höheren Netz zum nachgelagerten Netz, nicht umgekehrt.

Wenn Du also deine Kids durch einen eigenen Router abschotten willst, musst Du ihre Geräte ins IB-Netz anmelden und Deine eigenen (zu schützende) Geräte alle  an der nachgelagerten Fritzbox.

Habe selbst einen ähnlichen Kaskadensetup, allerdings nicht um Kids, sondern die Swisscom selbst und Gäste aus meinem internen Netz auszusperren.

Im Netz der IB sollten sich dann nur noch gemeinsam zu nutzende Ressourcen, wie z.B. Swisscom TV, und allenfalls Drucker und gemeinsames NAS befinden.

Falls Du zwei völlig getrennte Teilnetze haben möchtest („dann würden auch Deine Kids vor Dir geschützt“) brauchst Du insgesamt 3 Router:

• Internetbox für Internetzugang, Netz für gesharte Ressourcen und als Gateway für die Subrouter, allenfalls auch für Gast-WLAN
• Subrouter 1 nachgeschaltet zur Internet-Box für Benutzergruppe 1 (z.B. Eltern)
• Subrouter 2 nachgeschaltet zur Internet-Box für Benutzergruppe 2 (z.B Kids)

[wolewo]

Hey merci euch beiden für die Infos. Jetzt habe ich es auch begriffen. (also nur teilweise)

Wenn ich jetzt aber meine Geräte an die Fritz anschliesse, ist es dann auch noch möglich via Port-Weiterleitung meine Geräte von aussen her anzusprechen (Syno, Webcam, Wetterstation usw....) ??

[Tux0ne]

Ja du hast dann einfach doppeltes NAT. 

Am einfachsten du schaltest auf der Internet Box den DMZ Modus auf die Fritz. Damit musst du die Portweiterleitungen wie gewohnt nur noch in der Fritz vornehmen.

Übrigens könnte man spätestens jetzt merken, dass die Bezeichnung DMZ in der Internet Box absoluter Bullshit ist 😄 Die Bedeutung ist eigentlich NAT Standard Ziel.