Zitat von
Lookbehind
Mit klassischem NAT? Oder wie hast du die Anbindung gelöst?
Hi!
Soweit ich das sehe, ja.
Ich habe wie erwähnt, OpenWRT auf dem Router installiert. Es gibt standardmäßg WAN und LAN als (Firewall)Zone. Die WAN-Zone habe ich gelöscht, denn die habe ich faktisch auf dem Router/AP nicht.
Ich habe ein zusätzliches Interface erstellt und dem Interface eine eigene Firewall-Zone gegeben. Dann musste ich eigentlich nur noch das Masquerading und MSS clamping beim LAN aktivieren und die LAN-Zone als erlaubte Forward-Zone für das IOT-LAN einrichten.
[Bild: iotlanz.JPG]
Da ich langsam Freund von "Cat" geworden bin, hier mal zur Übersicht die vermutlich relevanten configs:
Code:
root@OpenWrt:/etc/config# cat network
config interface 'loopback'
option ifname 'lo'
option proto 'static'
option ipaddr '127.0.0.1'
option netmask '255.0.0.0'
config globals 'globals'
option ula_prefix 'fdd4:c92d:a8fc::/48'
config interface 'lan'
option type 'bridge'
option ifname 'eth0.1'
option proto 'static'
option netmask '255.255.255.0'
option ipaddr '192.168.10.253'
option gateway '192.168.10.254'
option dns '192.168.10.254'
config switch
option name 'switch0'
option reset '1'
option enable_vlan '1'
config switch_vlan
option device 'switch0'
option vlan '1'
option vid '1'
option ports '0t 1 2 3'
config interface 'iotlan'
option proto 'static'
option ipaddr '10.10.10.254'
option netmask '255.255.255.0'
option gateway '192.168.10.254'
option dns '192.168.10.254'
Code:
root@OpenWrt:/etc/config# cat firewall
config defaults
option syn_flood '1'
option input 'ACCEPT'
option output 'ACCEPT'
option forward 'REJECT'
config zone
option name 'lan'
option input 'ACCEPT'
option output 'ACCEPT'
option forward 'ACCEPT'
option network 'lan'
option masq '1'
option mtu_fix '1'
config include
option path '/etc/firewall.user'
config zone
option name 'iotlanz'
option input 'ACCEPT'
option forward 'REJECT'
option output 'ACCEPT'
option network 'iotlan'
option family 'ipv4'
config forwarding
option dest 'lan'
option src 'iotlanz'
Code:
root@OpenWrt:/etc/config# cat wireless
config wifi-device 'radio0'
option type 'mac80211'
option hwmode '11g'
option path 'pci0000:00/0000:00:00.0'
option channel 'auto'
option country 'US'
option legacy_rates '1'
option htmode 'HT40'
config wifi-iface 'default_radio0'
option device 'radio0'
option network 'lan'
option mode 'ap'
option ssid 'Lummerland'
option encryption 'psk2+ccmp'
option key '<secret>'
config wifi-iface
option device 'radio0'
option mode 'ap'
option ssid 'Gastzugang'
option encryption 'psk2'
option key '<secret>'
option network 'iotlan'
Interessanterweise steht in der config das WLAN-Kennwort als Klartext drin. Habe es mal entfernt und die config etwas gekürzt^^
Der aktuelle Zustand funktioniert zumindest so, wie ich mir das vorgestellt habe. Das WLAN Gastzugang hat einen eigenen IP Adressbereich und kann surfen.
Nur ein Problem habe ich, aber ich weiß nicht, ob ich das in dieser Konfiguration ändern kann: Das "IOTLAN"-Netzwerk kann (zumindest per Ping) auf mein internes Netzwerk zugreifen. Und wenn ich eine Firewallregel erstelle allá "allen Hosts im IOTLAN von Zone 'iotlanz' zu jedem Host in 'lan' verbieten", kann das IOTLan auch nicht mehr surfen. Ich habe versucht, den Zugriff auf das Gateway als erste Regel zu erlauben, um danach alles weitere zu verbieten, aber das hat auch nichts geholfen.
Aber wenn ich das richrig sehe, wäre das gleichzusetzen wie mit dem "Internet" (also WAN) von meinem Rechner aus, der ja im internen Netzwerk ist.
Vielleicht könnte ich mit expliziten Whitelists arbeiten? Also z.B. alle TCP/UDP Verbindungen über Port 53 von 'iotlanz' zu 'lan' erlauben, damit DNS aufgelöst werden kann oder alle HTTP/HTTPS Verbindungen erlauben o.ä.? Viel Freiheiten braucht ein IOT Gerät ja nicht, wenn es unbedingt ins Internet telefonieren muss. Andererseits ist ja eh alles noch hinter der Firewall der FritzBox und grundsätzlich ist von außen nichts im internen Netz erreichbar.
Mal schauen. Falls du/ihr mir da einen Firewalltipp habt, gerne rausrücken damit 
Danke!
MfG
World of Players
WLAN Gastzugang DD-WRT
![[Bild: Signatur_DS2.jpg]](http://upload.worldofplayers.de/files9/Signatur_DS2.jpg){kind=link}
![[Bild: iotlanz.JPG]](https://upload.worldofplayers.de/files11/iotlanz.JPG){kind=link}