WLAN für Nachbar freischalten

[HansAnd]

Ich möchte mein WLAN dem Nachbar zur Verfügung geben und er ist bereit einen AP zu kaufen. Wir wohnen im gleichen Haus, der AP wird bei mir oben montiert, damit er besseren Empfang hat. Er bekommt alao nur WLAN, keine Steckdose.

Aber nun habe ich bedenken, weil ich eine kleine Netzwerkkamera in der Wohnung habe und ein NAS. wie kann ich sein WLAN einstellen dass er nicht auf meine privaten Sachen zugreift? Reicht es wenn ich eine andere SSID erstelle? Oder Gastnetzwerk? Oder braucht es mehrr? Weiss nicht ob man Gasnetzwerk auf meine Daten zugreifen kann.

 

[SystemX]

Eigentlich kann niemand aus einem Gastnetzwerk auf dein Netzwerk zugreifen . Ein Risiko bleibt aber immer bestehen.

 

[HansAnd]

Also am besten beim AP und Router ein Gastwlan mit dem gleichen Namen "YX" erstellen, dann hat er sein WLAN und Internet aber kein Zugriff auf Standard Gateway und andere Netzwerkgeräte?

 

[Eye-Q]

Reicht es wenn ich eine andere SSID erstelle?

Das reicht auf keinen Fall, da sich die Geräte, die sich mit einer zusätzlichen SSID verbinden, immer noch ganz normal im internen Netzwerk befinden und somit prinzipiell auf alle Geräte im internen Netzwerk zugreifen könnten.

Oder Gastnetzwerk? Oder braucht es mehrr? Weiss nicht ob man Gasnetzwerk auf meine Daten zugreifen kann.

Gastnetzwerk ist nicht gleich Gastnetzwerk, aber die meisten Router, die "WLAN-Gastnetzwerke" anbieten, lassen die Geräte, die sich mit dem Gastnetzwerk verbinden, nur ins Internet und nicht ins interne Netzwerk. Da wir aber nicht wissen, was für einen Router Du besitzt, können wir nicht mit Sicherheit sagen, ob das reicht.

Also am besten beim AP und Router ein Gastwlan mit dem gleichen Namen "YX" erstellen

Soll der Access Point als Repeater dienen oder per LAN-Kabel am Router hängen? Im ersteren Fall reicht das (wobei es Router gibt, wo man keinen Repeater im Gast-WLAN einsetzen kann, auch hier wieder die Frage, welchen Router Du hast), im zweiteren Fall nicht, da der Access Point dann sein eigenes Netzwerk ausstrahlt und die Geräte, die sich an dessen "Gast-WLAN" anmelden, immer noch im internen Netzwerk befinden.

Mal zum Nachdenken: Woher soll der Router denn wissen, an welchem WLAN eines Access Points sich ein Gerät angemeldet hat, der an einem LAN-Port des Routers hängt? Das wird nicht in den TCP/IP-Paketen übertragen.

dann hat er sein WLAN und Internet aber kein Zugriff auf Standard Gateway und andere Netzwerkgeräte?

Auf das Standard-Gateway muss man Zugriff haben, denn sonst kommt man nicht ins Internet. Das Standard-Gateway definiert ja nur, wohin das Gerät die Daten schicken soll, wenn es Pakete gibt, die (anhand der Kombination IP-Adresse und Subnetzmaske) nicht an Geräte im internen Netzwerk adressiert sind.

 

[hominidae]

...zweite Gast-SSID und Gastnetzwerk auf IP-Ebene (zB VLANs).
Das ist mit zwei SoHo Geräten (ein Router und ein AP) aber nicht einfach zu realisieren.
Die meisten Firmwares können Gast-Netze nur "in sich selbst".
Eye-Q hat das Problem ja oben schon formuliert.

Was für ein Gerät wird denn aktuell fürs I-Net als WLAN-Router eingesetzt?

 

[Eye-Q]

Dein Nachbar kauft "Sich/Dir" keinen AP sondern einen Router (ohne Modem).
Dann kannst Du das Signal dieses AP auch NATen...Dein Nachbar hat dann Doppeltes NAT, was aber nur stören würde, wenn er selbst vom I-Net in "sein" WLAN-Netz rein will, zB wenn er auch ein NAS oder eine Kamera hat.

In diesem Falle sollte das Netzwerk anders aufgebaut werden: das zu schützende LAN sollte dann hinter den zweiten Router, der mit seinem WAN-Port an einem LAN-Port des ersten Routers hängt. Dann kann auch ein Access Point mit dem "Gast-WLAN" per LAN an den ersten Router angeschlossen werden und das LAN hinter dem zweiten Router ist durch die Firewall des zweiten Routers geschützt.

Wenn das "Gast-WLAN" hinter den zweiten Router geschaltet wird und das interne LAN des Threaderstellers hinter den ersten, kann jemand, der sich im "Gast-WLAN" anmeldet, prinzipiell immer noch auf Geräte hinter dem ersten Router zugreifen, weil die Firewall des zweiten Routers nur in eine Richtung blockiert, nämlich vom WAN zum LAN. Von seinem LAN zum WAN wird (bei Home-Routern) normalerweise nichts blockiert, außer man stellt das explizit ein. Deswegen wäre die erste Variante in dieser Hinsicht einfacher.

 

[HansAnd]

Da wir aber nicht wissen, was für einen Router Du besitzt, können wir nicht mit Sicherheit sagen, ob das reicht.

Asus AC87U

Soll der Access Point als Repeater dienen oder per LAN-Kabel am Router hängen?

Geplant war per Kabel am Router als AP. Es ist so, ich werde den AP oder Router nicht in seine Wohnung verlegen sondern er bleibt bei mir. Ich werde ihn nur am Rand der Wohnung aufstellen damit er das WLAN aufgreifen kann. Er braucht keine Ethernet Anschlüsse

Mal zum Nachdenken: Woher soll der Router denn wissen, an welchem WLAN eines Access Points sich ein Gerät angemeldet hat, der an einem LAN-Port des Routers hängt? Das wird nicht in den TCP/IP-Paketen übertragen.

Das habe ich mir auch überlegt. Deshalb auch der Thread.

In diesem Falle sollte das Netzwerk anders aufgebaut werden: das zu schützende LAN sollte dann hinter den zweiten Router, der mit seinem WAN-Port an einem LAN-Port des ersten Routers hängt. Dann kann auch ein Access Point mit dem "Gast-WLAN" per LAN an den ersten Router angeschlossen werden und das LAN hinter dem zweiten Router ist durch die Firewall des zweiten Routers geschützt.

Wenn das "Gast-WLAN" hinter den zweiten Router geschaltet wird und das interne LAN des Threaderstellers hinter den ersten, kann jemand, der sich im "Gast-WLAN" anmeldet, prinzipiell immer noch auf Geräte hinter dem ersten Router zugreifen, weil die Firewall des zweiten Routers nur in eine Richtung blockiert, nämlich vom WAN zum LAN. Von seinem LAN zum WAN wird (bei Home-Routern) normalerweise nichts blockiert, außer man stellt das explizit ein. Deswegen wäre die erste Variante in dieser Hinsicht einfacher.

Das klingt alles sehr logisch. Aber bei mir ist der Internetanschluss im Keller. Laut deiner Theorie müsste ich jetzt ein Kabel vom Keller bis in den ersten Stock zum Rand der Wohnung ziehen und dort den Asus Router aufstellen, damit sich der Nachbar verbindet und dann vom Asus Router ein weiteres Kabel wieder zurück in den Keller um dort einen zweiten Router aufzubauen und NAS, Netzwerkkameras etc. anzuschliessen... so gern ich das verbauen würde, finanziel und praktisch ist die Lösung nicht

Also was bleibt mir jetzt übrig? Zweiten Router hinter dem ersten hängen? Ich habe hier einen billigen Netis Router rumliegen, den ich geschenkt bekommen gabe. Kann ich damit was anfangen? Oder etwas neues kaufen? Wie gesagt, es geht nur um WLAN Erweiterung in die zweite Wohnung und Schutz meiner Netzwerkgeräte vor fremden Zugriffen aus diesem WLAN des Nachbarn.

 

[hominidae]

In diesem Falle sollte das Netzwerk anders aufgebaut werden: das zu schützende LAN sollte dann hinter den zweiten Router, der mit seinem WAN-Port an einem LAN-Port des ersten Routers hängt. Dann kann auch ein Access Point mit dem "Gast-WLAN" per LAN an den ersten Router angeschlossen werden und das LAN hinter dem zweiten Router ist durch die Firewall des zweiten Routers geschützt.

Wenn das "Gast-WLAN" hinter den zweiten Router geschaltet wird und das interne LAN des Threaderstellers hinter den ersten, kann jemand, der sich im "Gast-WLAN" anmeldet, prinzipiell immer noch auf Geräte hinter dem ersten Router zugreifen, weil die Firewall des zweiten Routers nur in eine Richtung blockiert, nämlich vom WAN zum LAN. Von seinem LAN zum WAN wird (bei Home-Routern) normalerweise nichts blockiert, außer man stellt das explizit ein. Deswegen wäre die erste Variante in dieser Hinsicht einfacher.

JO, total korrekt...ich hatte den Quatsch auch schon wieder 30sec später gelöscht...naja, das I-Net vergisst nix

- - - Updated - - -

Asus AC87U

[...]

Geplant war per Kabel am Router als AP. Es ist so, ich werde den AP oder Router nicht in seine Wohnung verlegen sondern er bleibt bei mir. Ich werde ihn nur am Rand der Wohnung aufstellen damit er das WLAN aufgreifen kann. Er braucht keine Ethernet Anschlüsse

[...]

Dann in dem AC87U ein Gast-LAN aufmachen und den zweiten AP da dran...dann sollte das soweit sicher sein.
Ob das mit dem Asus und normaler FW oder MerlinFW geht, weiss ich nicht. Ne Fritte kann sowas standardmässig, hat aber eben so gutes ein WLAN nicht, wie der Asus.
DD-WRT kann sowar, aber diese FW st nur was für Experten...mit default Einstellungen wird das WLAN schlechter aussehen als mit Stock-FW.

Alternativ Deinen Asus an den "Rand der Wohnung" und in dem Asus dann ein Gast-WLAN aufmachen....dann sucht Du Dir den zweiten AP aus um damit Deine Bude optimaler auszuleuchten....ich würde nen Ubiquiti AP AC LR nehmen

 

[HansAnd]

Ich wollte mir den Unifi AC Lr kaufen. Irgendwo habe ich gelesen dass man dort ein Gast WLAN einrichten kann, woraus man nur Zugriff aufs Internet hat und keine Kommunikation zwischen den Clients im Netzwerk möglich ist. Eigentlich genau das was ich will. Dann muss ich auch den Router nicht verlegen oder mir die teure FB kaufen

Geht das sicher? Dann kauf ich mir sonst die Ware. Was bleibt mir übrig.

 

[Sassicaia]

Soweit du ein wenig intensiver suchst und bereit bist auch mal ein Handbuch/ PDF zu laden und zu lesen, wirst du diverse Geräte finden, die im Access Point Modus auch ein abgetrenntes Gäste-WLAN aufspannen können.

[User-Review] Buffalo WHR-1166D-EU Router-Access Point-Client Bridge-Repeater-Captive Portal

 

[hominidae]

....das allein kann mein Asus AC68R auch, aber ohne zusätzliche VLAN Konfig und Massnahmen im Router/Gateway bringt es nix.
Was macht der Buffalo denn anders?

@HansAnd: Ja , die UniFi APs können dass. aber ich bin nicht sicher, dass es ohne die Controller-SW und ein passendes Gateway geht (also dass es allein mit einem AP funzt).


Edit: Ah, sehs schon...war für meine alten Augen nicht leicht zu finden in dem Post ;-)

Besonderes Feature ist der funktionierende Gastzugang für das 2.4GHz Band, welches zudem getrennt vom Heimnetzwerk im Adressbereich 192.168.31.0/24 läuft.
Mit einer Checkbox "gesonderte Funktion" kann man allen Wlan Clients die Kommunikation mit verkabelten Clients verhindern.

 

[Counted911]

Also den Controller bei den Unifi-Accesspoints musst du nur laufen lassen wenn du etwas ändern möchtest. Das Unifi-Security-Gateway brauchst du dafür nicht, außer du möchtest es zusätzlich mit VLANs abtrennen.

Viele Grüße
Counted911

 

[hominidae]

...und wie stellt der UniFi AP das mit dem Gäste-WLAN sicher? Dann müssten Gäste ne andere IP-Range bekommen und er müsste die NATen, oder?

Edit: Ah, habs gerade mal selbst ausprobiert...stimmt, geht ohne Dauerlauf der Controller-SW und auch ohne VLANs.
Der Gast-PC bekommt ne ganz normale IP vom DHCP-Server, kann übers Default-Gateway auf I-Net, aber eben *nicht* auf andere IPs im Client-Subnet (wenn man es so konfiguriert).
Dann kommt er auch nicht mehr aufs Gateway (zB Router GUI), aber trotzdem gehen DNS-Queries (obwohl das per DHCP-Konfig auch das Standard-Gateway ist)...hmmm.