Domowy Hot-Spot

[BigBoss.1 0]

WITAM

 

Posiadam Router Linksys WRT610Nv2 na którym śmiga DD-WRT v24-sp2 (08/07/10) mega - build 14896.

Mam utworzoną sieć w której śmiga mi komputer, konsole do gier, Serwer plików, drukarka, telefon, TV i inne badziewia.

Chciał bym utworzyć coś na wzór hot-spotu dla znajomych którzy mnie odwiedzają. Chodzi mi o to by utworzyć wirtualne połączenie które nie będzie udostępniać zasobów sieci Wi-Fi ani LAN w systemie 2.4GHz. Jedyne co będzie to dostęp do internetu i to też z ograniczonym transferem.

 

Próbowałem na różne sposoby i mimo, iż tworze wirtualną sieć to nie potrafię jej odizolować od innych urządzeń ani ograniczyć transferu.

 

Z góry dziękuje za pomoc.

[BigBoss.1 0]

Ktokolwiek?

[dr Bliss 0]

Nie używam DD-WRT, ale skoro to taki mini-linux, to wydaje mi się, że można zrobić tak:

1. W pliku konfiguracyjnym serwera DHCP zrobić dwie przestrzenie adresowe:

a) tą dla komputerów z twojej sieci (np. 192.168.0.x), gdzie każdy będzie miał stały adres IP przydzielany na podstawie MAC;

b) drugą przestrzeń (np. 192.168.1.x) dla pozostałych komputerów i urządzeń - przydzielanie dynamiczne.

 

Wskazówki, który to plik: http://www.dd-wrt.com/wiki/index.php/Static_DHCP

 

2. Dla interfejsu LAN routera założyć alias (192.168.1.1), żeby komputery z drugiej puli adresowej mogły komunikować się z routerem.

Alias zakładasz komendą:

ifconfig nazwa_interfejsuLAN:nr_aliasu 192.168.1.1 netmask 255.255.255.0

 

nazwa_interfejsu, to może być coś typu eth0, albo eth1 (czasem jeszcze inaczej - sprawdź wpisując same ifconfig)

nr_aliasu - dowolna liczba od 0 do 255 (służy tylko do numeracji aliasów)

 

3. Użyj komendy iptables, by zablokować przesyłanie pakietów między sieciami 192.168.0.x a 192.168.1.x:

iptables -A FORWARD -s 192.168.0.0/24 -d 192.168.1.0/24 -j DROP

 

i analogicznie dla komunikacji w drugą stronę - jakbym coś pomieszał w składni polecenia, to sprawdź to w manualu iptables.

 

UWAGA! Metoda jest naiwna, bo ktoś kumaty i tak może to obejść, ale w większości przypadków powinna wystarczyć...

 

 

Jeżeli żadna z powyższych wskazówek nic ci nie mówi, a z Linuksem miałeś niewiele wspólnego - odpuść sobie w ogóle tę zabawę.

[BigBoss.1 0]

dzieki serdeczne za fachową pomoc. A jeśli miałabym udostępnić internet na tylko jeden komputer. Może utworzyć wirtualną sieć i dostęp do niej tylko po mac i wpisać mac tylko tego pc. Odetnie to komunikację wirtualnej sieci z resztą urządzeń z poza niej?

[dr Bliss 0]

Tylko, że musiałbyś znać MAC tego komputera. Problem można oczywiście rozwiązać tworząc VLANy i przydzielając do nich porty, a później separując je z użyciem iptables. Masz tu cały tutorial dla DD-WRT (długo nie szukałem, więc dziwi mnie, że nie znalazłeś): http://www.dd-wrt.com/wiki/index.php/VLAN_Detached_Networks_%28Separate_Networks_With_Internet%29

[BigBoss.1 0]

Z tych poradników wiem jak zrobić oddzielne sieci LAN ale mi chodzi tylko i wyłącznie o osobne połączenie Wi-Fi.

 

Jednakże na ich podstawie udało mi się skonfigurować takie połączenie o które mi chodziło.

Zrobiłem to następująco:

 

1. W ustawieniach routera w zakładce Ustawienia -> VLANs ustawiłem tylko jeden z portów (4) do VLAN3 pozostałe 3 porty pozostawiając wspólnie na VLAN1. Potem trzeba zmienić zakładkę przy VLAN3 z ,,Brak" na ,,LAN". / Klikam ,,Zapisz ustawienia"

2. Wirelees -> Podstawowe Ustawienia i dodaję Wirtualne Połączenie. Zmieniam ,,Konfiguracja sieci" na ,,Niezmostkowany" i wpisuje mu adres ip. 192.168.2.1 mask 255.255.255.0. / Klikam ,,Zastosuj"

3. Ustawienia -> Tworzenie sieci dodaje jeden serwer DHCP i przyznaje go do połączenia uprzednio utworzonej Wirtualnej sieci. / Klikam ,,Zastosuj"

 

Po takim zabiegu wszystko działa. Powstaje odrębna sieć z brakiem dostępu do zasobów innej sieci i z dostępem do internetu.

I tu pojawia się problem, bo gdy zrestartuje router wyłączając mu na chwile zasilanie to po ponownym uruchomieniu nie mogę połączyć się z tą siecią? Tak powtarza się za każdym razem, nie wiem czemu.

 

Mam 4 pytania:

1. Co robię źle że po restarcie sieć przestaje działać prawidłowo.

2. Czy tak stworzona sieć wystarczy do zablokowania komunikacji z innymi sieciami jeśli w tym nowo utworzonym połączeniu nie widać innych urządzeń w otoczeniu sieciowym. Czy jest konieczna konfiguracja firewall'a routera?

3. Jak ograniczyć prędkość łącza internetowego dla takiego wyodrębnionego VLAN'a.

4. Czy bezpieczniej jest stworzyć sieć znając adres MAC komputera któremu chcę udostępnić tylko i wyłącznie internet aby mieć spokój że nie dorwie się do zasobów sieci? Jeśli tak to jak to zrobić.

[dr Bliss 0]

Ad 1.

Najprawdopodobniej nie zapisują się ustawienia. Powinieneś sprawdzić na stronie DD-WRT, co z tym zrobić. Ewentualnie wszelkie ustawienia dla iptables i ebtables można zapisać do skryptu, a ten skrypt dodać do listy automatycznie wykonywanych po starcie systemu routera. Ale nie jestem pewny, czy przypadkiem gdzieś jeszcze coś nie jest pomijane... Także najlepiej pytaj na forum DD-WRT.

 

Ad 2.

Dla sieci WiFi nic w 100% nie zablokujesz. Można tylko to utrudnić, dlatego że komunikacja nie idzie bezpośrednio od urządzenia A do urządzenia B (jak ma to miejsce w przypadku miedzianego kabla), ale jest wysyłana w powietrze przez A, a każde inne urządzenie może sobie to odebrać.

 

Ad 3.

Sprawdź: http://www.dd-wrt.com/wiki/index.php/Quality_of_Service

 

Ad 4.

Korzystając z iptables i znając MAC komputera, można mu różne wymyślne blokady pozakładać w łatwy sposób - w regułach dla pakietów wychodzących od niego należy dodać zapis: -m mac --mac-source adres_MAC

Dodatkowo warto sprawdzić, czy w ebtables też czegoś nie trzeba przestawić (o ile w DD-WRT w ogóle jest załadowany moduł jądra z ebtables...)

[BigBoss.1 0]

Dzięki za wszystkie odpowiedzi. Nie wiem dlaczego wcześniej na to nie wpadłem, przeniosę ten temat na forum stricte dd-wrt.

Pozdrawiam

[BigBoss.1 0]

No i wszystko się wyjaśniło. dd-wrt ma problemy z nie zmostkowanymi połączeniami. Trzeba było innaczej uzyskać ten sam efekt i wszystko działa .

 

Dla zainteresowanych tym tematem podaje link do strony z opisem krok po kroku jak utworzyć taki odizolowany VLAN .

 

http://www.dd-wrt.com/wiki/index.php/Multiple_WLANs

 

Jeszcze raz wielkie dzięki dla wszystkich za pomoc:).