Fritz!Box als Socks 5 Proxy?

Marky · 18. November 2021 um 03:20

Hallo Ihr Voll-Profis,

wie kann ich es umsetzen, dass keine Computer, die an Netzwerk-Buchsen (die sich in verschiedenen Räumen befinden) angeschlossen werden, ins Internet gehen können? Solch ein Szenario habe ich bei einigen Firmen bereits gesehen. Es musste in der Browserkonfiguration ein Proxy Socks v5 ausgewählt, die Adresse des Routers und natürlich das Kennwort eingegeben werden. (Alle Inhalte im Lokalem Netz standen immer zur Verfügung.)

Kann man ohne teure Business-Hardware (Router) nur mit Fritz!Box sowas einzurichten?

Ich möchte jegliche Kommunikation über Port 80, 443 nach Außen unterbinden! Kein Programm soll ohne Erlaubnis ins Internet gelangen - außer Browser mit entsprechender Proxy-Konfiguration. Schon klar, dass für Softwareupdates die Ports kurzfristig frei gemacht werden müssen.

Für Tipps bedanke ich mich im Voraus. Danke!

Gruß TH

marco1 · 25. November 2021 um 19:35

hey,

wenn ich das richtig verstehe was du vor hast, dann möchtest du nur eine interne Kommunikation im LAN, richtig?

D.h. die Geräte sollen zwar vernetzt sein, aber keine Internetseiten im Internet aufrufen können. Bei Bedarf aber Softwareupdates machen können…

Wenn ich dein Vorhaben so richtig kapiert habe, dann müssten eigentlich die Zugangsprofile der FritzBox das ermöglichen, was du möchtest.
Du könntest z.B. ein Profil anlegen, in dem du festlegst „Internetseiten filtern“ und Internetseiten erlauben. Dann werden alle Seiten gesperrt und es sind nur die aufrufbar, welche du in der Liste definierst. Hier könntest du evtl. sogar Update-Server o.ä. eintragen, damit Updates immer möglich sind, aber das aufrufen von Webseiten nicht.

Des weiteren kannst du unten noch Netzwerkanwendungen sperren. Das sind im prinzip Ports. Du kannst bei der FritzBox nicht einfach den Port reinschreiben, sondern du musst unter Listen vorher den Port als sogenannte „Netzwerkanwendung“ anlegen. Die Standards sind da aber auch schon werksseitig vorhanden.

Ich weiß nur, dass es damit jede Menge Möglichkeiten gibt. Da ich bei mir im Heimnetz aber nach draußen mich nicht selbst einschränken will hab ich diese Beschränkungen noch nicht konfiguriert bisher. Das sollte aber eigentlich den Zweck erfüllen.

LG

Marky · 26. November 2021 um 03:32

Vielen herzlichen Dank Marco1 für Deine Bemühungen, ich versuche mein Vorhaben nochmal zu beschreiben, ohne gleich auf Technologien bzw. Umsetzungsmöglichkeiten zu spekulieren.

Ich möchte mein lokales Netzwerk (kabelgebundenes LAN) so konfigurieren, dass niemand ohne Erlaubnis (Kennwort) ein Netzwerkkabel an Steckdose anschließen und Internet nutzen kann. Sollte es jemand tun, soll er keinen Zugriff ins Internet und auf vorhandene Geräte im LAN bekommen. Leider ist für das lokale Netzwerk weder eine Verschlüsselung, ein Kennwortschutz noch eine Liste der erlaubten Geräte vorgesehen (basierend auf der MAC-Adresse der Netzwerkadapter).

Zum Vergleich: eine ähnliche Umsetzung für WLAN (Funknetz) Geräte ist immer gegeben, da WLAN kennwortgeschützt und verschlüsselt ist (WPA2/WPA3), zudem kann die Verfügbarkeit des WLANs auf einzelne Hardwareadressen der Netzwerkadapter eingeschränkt werden.

Gibt es etwas Ähnliches auch für kabelgebundene Geräte? Leider kommt kein VPN in Frage, da viele Geräte wie Überwachungskameras keine VPN-Verbindungen kennen. Ich brauche „etwas“, vermutlich eine Firewall ähnliche Struktur, die jeglichen Zugriff aufs Netz verweigert und ihn erst erlaubt, wenn ein Kennwort eingegeben wurde. (Um Updates und Ausnahmen werde ich mich später kümmern.)

Ich habe bei verschiedenen Firmen und Bildungseinrichtungen eine derart konfigurierte Umgebung gesehen, die meinen Anforderungen entsprechen würde. Dort wurde ein Proxy-Server verwendet, welcher eine Fehlermeldung anzeigte, anstatt die entsprechende Seite anzuzeigen, wenn aufs Internet zugegriffen wurde, z.B. https://startpage.com/ , die Meldung lautete ungefähr so: „konfiguriere den SOCKS 5 Proxy zuerst“.

Bei mir sind (zum Glück) überall Netzwerksteckdosen verfügbar (für RJ-45 Stecker), welche perfekte Internetqualität überall garantieren. Es fehlt leider nur noch ein Schutz für die praktisch öffentlich zugänglichen Stecker in der Garage, Keller, Terrasse.

Aktuell muss ich zum Switch laufen und das Kabel einstecken und später herausziehen, wenn eine Netzwerksteckdose verwendet werden soll. Das vergesse ich auch gelegentlich. Zudem muss ich daheim sein um den Zugang (temporär) zu erlauben. Ich stelle das Internet gerne meinem Schwager und Nachbarn zur Verfügung, z.B. wenn eine Überwachungskamera angeschlossen oder eine Online-Fahrzeugdiagnose durchgeführt werden soll.

Problematisch wird es, wenn ein Fremder sich einfach einklinkt und eventuell etwas Illegales verübt! Das würde auf meine Kappe gehen, da meine Internetadresse verwendet wird. Ganz zu schweigen von der nicht vorhandenen LAN-Sicherheit.

Nachtrag:

Nun zu dem Vorschlag die Fritz!Box Profile zu nutzen: die einzelnen Seiten zu sperren oder zu erlauben, würde sich nur auf TCP/IP Port 80 und 443 beziehen. Aber der Tipp Profile zu nutzen war echt Gold wert, es war eine richtig gute Idee. Danke dafür! Mir gelang es auf ähnliche Weise sogar alles zu sperren. Mit Fritz!Box lässt sich tatsächlich eine White-List auf Umwegen realisieren, indem der Zugang für das Standardprofil komplett deaktiviert wird und für die bekannten Geräte im Netz ein anderes Profil (Uneingeschränkt) gewählt wird.

Sollte ich mal nicht daheim sein, kann ich immer noch angerufen werden und über die Fritz!Box Fernsteuerung (über das Internet) das unbekannte Gerät einem Onlline-Profil ohne Einschränkung zuordnen. Idealerweise wäre ein Passwortschutz gewesen, aber diese Lösung ist ein großer Sprung nach vorne. Vielen Dank dafür!

Gruß TH