05.11.2016, aktualisiert um 18:12:57 Uhr

2815

Dd-wrt Hotspot mit Radius Server und Traffic Volume Limit

Ich möchte eine HotSpot Lösung für unsere Ferienwohnungen einrichten.

Ich habe mich bereits eingelesen und würde folgendes aufbauen:

2x dd-wrt Router (TL-WR740N + Asus RT-N12E) mit Chillispot Captive Portal als Access Point.
FreeRadius Server auf einem RaspberryPi B+, mit Möglichkeit der Ticket Erstellung.

Dazu habe ich bereits Anleitungen gefunden.

Da wir nur eine LTE Verbindung mit Volumenbegrenzung zur Verfügung haben möchte ich ausserdem das Volumen und die Bandbreit pro Nutzer begrenzen.
Dazu habe ich leider noch nichts passendes im Netz gefunden.
FreeRadius ist ja für die Benutzerverwaltung zuständig und kann man damit auch den Traffic überwachen?

Ach ja und eine Log File der Benutzer wäre auch wichtig.

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 320099

Url: https://administrator.de/contentid/320099

Ausgedruckt am: 23.11.2024 um 14:11 Uhr

23 Kommentare

Neuester Kommentar

Den Traffic sollte der Router begrenzen können. Manche APs können das aber auch.

Gruß

Looser

Nimm besser diese Lösung:
WLAN oder LAN Gastnetz einrichten mit einem Captive Portal (Hotspot Funktion)

Erheblich rechtssicherer, erheblich einfacher aufzusetzen und zu administrieren, Voucher Ticket (Einmalpasswort) fähig und gleich onboard, Fernwartung per VPN, Radius nicht erforderlich, Traffic Überwachung ist grafisch gleich mit an Bord, und....
Traffic Limitierung kannst du mit einem simplen Mausklick wahlfrei einrichten ! Sogar pro User und/oder pro Haus oder Wohnung.
Mit einem DD-WRT ist das letztere nicht ohne weiteres möglich.
Wo du 3 Geräte brauchst ist damit nur eine simple Box nötig. Die Captive Portal Seite kannst du sogar frei gestalten mit Werbung für deine Ferienwohnungen.

Informationen zur HW findest du hier:
Preiswerte, VPN fähige Firewall im Eigenbau oder als Fertiggerät

Das klingt sehr vielversprechend.
Wenn ich das richtig verstanden habe richte ich mir diese Firewall z.B. auf einem ALIX Board ein.
Ein WLan könnte z.B direkt auf dem Board genutzt werden, meine vorhanden dd-wrt Router mache ich zu meinen AP.
Der Ansatz gefällt mir.

die WLAN-Karten die man aktuell für die ALIX/APU-Boards bekommt sind von der Technik her sehr veraltet. WLAN AC bekommt man gar nicht. An deiner Stelle würde ich WLAN nur auf den APs zur Verfügung stellen wollen.

Gruß
Kümmel

Ah gut dann mach ich das nur mit APs.

Jetzt hätte ich noch grundsätzlich eine Frage zur Topologie.
Ich kann das Gastnetz "kabeltechnisch" nicht extra fahren.
Möglich wäre die Firewall zwischen FritzBox und LAN einzufügen.
Am einfachsten wäre natürlich die Firewall irgendwo im LAN zu betreiben.
Unter dd-wrt wurde das gastnetz als VLAN mit Firewallregeln vom LAN ferngehalten und direkt ins Internet weitergeleitet.
Zu was ratet ihr mir?

Ich kann das Gastnetz "kabeltechnisch" nicht extra fahren.

Warum nicht ??
Mit VLANs geht das doch problemlos !

Möglich wäre die Firewall zwischen FritzBox und LAN einzufügen.

Sowieso zwingend erforderlich wenn du mit Captive Portal und Co arbeiten willst. Guckst du hier:
WLAN oder LAN Gastnetz einrichten mit einem Captive Portal (Hotspot Funktion)

Am einfachsten wäre natürlich die Firewall irgendwo im LAN zu betreiben.

Genau so ist es und dann die Netzwerk Segmente per VLAN splitten und über ein einziges Kabel übertragen.
Die nötigen ToDos findest du hier in diesem Praxistutorial:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern

Unter dd-wrt wurde das gastnetz

Vergiss DD-WRT für so ein Umfeld. Keine richtigen VLANs, keine MSSID, keinerlei Administration via GUI. kein Captive Portal, Keine Einmalpasswörter.
Fazit: Am besten ganz schnell vergessen und eine pfSense oder einem Mikrotik nehmen !

Zu was ratet ihr mir?

Das obige und nichst anderes ! Es sei denn du willst graue Haare haben und Geld verbrennen...

So ich habe mir ein APU2C Bundle zugelegt.
Pfsense ist installiert und ich kann mit mittlerer LAN-Buchse auf die Box zugreifen.
Ich habe nun versucht die WAN Schnittstelle (linke Buchse?) anstatt LAN mit meinem Netzwerk zu verbinden.
IP statisch und entsprechend meinem LAN vergeben und haken bei Block Private Networks entfernt.
LAN Kabel an beiden äußeren Buchsen getestet und ich kann per Browser nicht mehr auf die Box zugreifen.
Was mach ich falsch?

Meinen alten TP-Link WR-740N wollte ich als AP nutzen.
Ich habe dd-wrt darauf laufen und mir wird nur VLAN Tagging angezeigt.
Das ist für diesen Zweck aber nicht ausreichend oder?

Nullmodemkabel dran und assign Interfaces durchlaufen lassen.

Ich habe nun versucht die WAN Schnittstelle (linke Buchse?)

Kann nicht gehen. Im Default ist die WAN Schnittstelle immer in der Mitte. Nur auf der WAN Schnittstelle macht die pfSense im Default NAT (Adresstranslation)
Du hast vermutlich nur die IPs umgesetzt aber dir keinerlei Gedanken gemacht über NAT und Firewalling. Ohne NAT erzwingt das aber statische Routen auf der Box usw.
Frage ist WAS genau du jetzt erreichen willst ???
So einfach mit IP Umbiegen ist es im Setup ncht getan wenn man die Interfaces und deren Funktion wechseln will.

Mach es am einfachsten so wie Kollege Kuemmel dir schon sagt:
Installier dir mit den Klassikern PuTTY oder TeraTerm ein Terminal Programm auf dem Rechner. (Hast du einen Mac dann zTerm) und schliesse über einen USB Seriell Adapter und ein DB-9 Nullmodemkabel die serielle Schnittstelle an und mache ein neues Interface assignement über das serielle Terminal.
Das ist ganz einfach und menügeführt in einer Minute erledigt.
Da weisst du dir dann die WAN Schnittstelle und die beiden LAN Ports so zu wie du es willst und für dich am besten ist.
Den Rest erledigt die pfSense dann für dich.
Geht am schnellsten so...
Anfänger- PfSense auf APU.1D4 installieren

Ich wollte eigentlich nur erreichen die WAN Schnittstelle zu benutzen was ja doch Voraussetzung ist oder?
Ich denke die Mittlere Buchse ist bei mir (ich habe nichts verändert) LAN da unter Interfaces angebeben ist:
WAN: igb0
LAN: igb1
Available network ports: ibg2
Ausser ich habe die Zuordnung missverstanden.
Ändern will ich eigentlich nichts wie gesagt ich gehe davon aus dass ich mich mit WAN in mein LAN einhängen muss.
Putty läuft bereits hab ich zur Installation auf die msata gebraucht.
Die Zuweisung könnte ich damit ändern sehe darin jetzt aber keinen Vorteil oder?

Vll. habe ich ja grundsätzlich was falsch verstanden.
Ich wollte folgendes umsetzen:
LTE --> HeimLAN --> WAN-Buchse FW -->VLAN-->AP
Dann wollte ich eben per Browser aus dem Heim LAN pfsense aufrufen, was dann nicht geklappt hat

wollte eigentlich nur erreichen die WAN Schnittstelle zu benutzen was ja doch Voraussetzung ist oder?

Nicht zwingend. Du kannst auch ohne NAT arbeiten musst dann aber mit statischen Routen arbeiten.
Ohne NAT auf dem WAN Port macht aber nur sinn wenn du bidirektional, transparent routen willst.
NAT bedeutet ja immer eine Einbahnstraße im Routing.
Dieses Forums Tutorial erklärt die Details dazu am Beispile Winblows ICS (Microsoft NAT)
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router

Ich denke die Mittlere Buchse ist bei mir WAN: igb0 LAN: igb1

Jepp, da hast du recht. igb1 (die in der Mitte) ist dann dein LAN Port.
Kannst du ja dann auch einfach sehen, denn das ist der Port an dem du per DHCP IP Adressen bekommst. (jedenfalls im default Setting)

Ausser ich habe die Zuordnung missverstanden.

Nee passt schon wenn es so ist wie du oben schreibst...

ich gehe davon aus dass ich mich mit WAN in mein LAN einhängen muss.

Ja, das ist auch genau richtig so. Du bekommst dann am WAN Port eine IP Adresse per DHCP aus deinem LAN inklusive DNS und Gateway.
Das kannst du ja auch im Dashboard oder in der Interface Übersicht unter Diagnostics wunderbar sehen.
LAN vergibt dir die IPs dann auf die Endgeräte per DHCP Server.
So kannst du in dieser Default Konfig sofort ins Internet ohne weitere Einstellungen.
Ganz wichtig ist hier nur das das LAN Netz an der pfSense niemals mit dem IP Netz am WAN Port identisch sein darf ! Hier musst du sicherstellen das das 2 unterschiedliche IP Netze sind !

Die Zuweisung könnte ich damit ändern sehe darin jetzt aber keinen Vorteil oder?

Nee richtig, das ist rein nur kosmetisch !

LTE --> HeimLAN --> WAN-Buchse FW -->VLAN-->AP
Dann wollte ich eben per Browser aus dem Heim LAN pfsense aufrufen, was dann nicht geklappt hat

Das ist aber auch logisch das das nicht klappt. Denk mal ein wenig nach ! Du hast es hier mit einer Firewall zu tun.
Normal ist der WAN Port der heisse Port der ins Internet geht ! Die FW hat also hier alles dicht gemacht das der Zugriff auf sie verboten ist !
Wenn du aus dem Heim LAN zugreifst auf den WAN Port blockt das die Firewall natürlich was ja aus den obigen Grund vollkommen klar ist.
Um HTTPs Zugriff zu erhalten musst du die WAN Port FW Regel entsprechend anpassen:

Haken bei Block RFC 1918 IP Networks am WAN Interface entfernen
Zugriff aus dem Heimnetz (Beispiel hier 192.168.100.0 /24) auf die FW WAN IP Adresse erlauben mit HTTPS (Browserzugriff):

Eins dieser Anforderungen oder auch beide hast du vermutlich vergessen ?!
Hätte man aber auch sofort selber gesehen wenn du dir unter Status --> System Logs mal das Firewall Log angesehen hättest. Dort zeigt dir die Firewall immer an was sie blockt !!!
Fazit: Fehlkonfiguration der FW Regeln deinerseits

Stell dir immer vor wie sich ein IP Paket im Netz bewegt, dann werden auch die Regeln der FW schnell klar !

Ahh jetz ja

An den Filterregeln liegts die habe ich nicht verändert bzw. angepasst.
Ja im nachhinein vollkommen logisch und einfach.
Würde ich jetzt die Topologie folgendermaßen ändern:

LTE --> WAN-Buchse FW -->VLAN-->AP

--> HeimLAN (nach der FW aufbauen)

wäre das überhaupt sinnvoll oder reicht der Schutz von Außen durch Fritzbox völlig aus?

Und noch mal kurz zu meinem AP
Die Funktion VLAN Tagging reicht nicht aus oder?

Mmmhhh, wenn man es wirklich sicher haben will nimmt man de Firewall dazu.
Über die Firewall hast du ja noch viele andere Option wie ein sicheres Gastnetz, VPN mit flexiblen Protokollen usw. was über die FB nicht gegeben ist.
In so fern macht es Sinn. Muss aber jeder nach deinem Sicherheitsbedürfniss entscheiden

Die Funktion VLAN Tagging reicht nicht aus oder?

Die reicht aus um dein WLAN z.B. in Gast und Privat WLAN zu trennen. Du hast aber dann ja 2 VLANs die du irgendwo, irgendwie wieder routingtechnisch zusammenbringen musst.
Da kommt dann die FW wieder ins Spiel denn die FB supportet ja bekanntlich keine VLANs !

Jetzt hab ich mich wieder schlecht ausgedrückt.

Ich wollte den vorhandenen TP-Link WR-740N ausschließlich als AP für ein Gastnetz verwenden.
Der unterstützt eben nur VLAN Tagging.

Ich erstelle zwei VLANs ausgehend von der FW für:

Gastnetz in Gebäude 1 mit 1x AP
Gastnetz in Gebäude 2 mit 1x AP

Ja das geht natürlich. Du nutzt einfach nur eine SSID. Die Grund SSID arbeitet immer untagged im VLAN 1 wie ein stinknormaler AP.
Wenn du nur die Gast SSID mit dem bedienen willst reicht das vollkommen.

Wenn du den TP-Link mit MSSID in geschützten WLAN und GAST VLAN arbeiten lassen willst, also 2 WLANs aufspannst dann musst du eine der SSIDs in ein VLAN taggen.
Mit einem VLAN Switch ist das aber auch kein Thema. Wenn du es nicht musst umso besser, dann ist einfacher.
Dann hättest du aber ja gar keinen MSSID AP benötigt und ein simpler 15 Euro TP-Link 841N hätte doch dann völlig gereicht ??!

Also wie gesagt ich habe den alten TL-WR740N noch rumliegen.
MSSID kann der nur weil ich dd-wrt aufgespielt habe.
Habe jetzt testweise einfach doch zwei WLAN aufgezogen.
ath0.1 würde ich gerne mit dem VLAN10 der FW verbinden.

Ich habe aber das Gefühl dass mein AP das gar nicht ünterstützt da der VLAN Reiter fehlt.
Gibts eigentlich eine Liste mit VLAN fähigen Routern ich finde nichts anständiges oder aktuelles.

Hier steht wie es geht:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Aber versprich dir nich allzuviel davon, denn die VLAN Funktion auf den embeddeten Miniswitches ist nur sehr rudimentär umgesetzt.
Man kann im Grunde nur eine Port zu VLAN Zuordnung machen:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern

Also dann verstehe ich das so:
Es hängt von dem embedded Switch ab ob VLAN unterstützt wird oder nicht.
Wie gesagt es gibt bei mir kein VLAN Menü/Reiter wie hier:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Jetzt habe ich mir das Datenblatt des Atheros AR9331angeschaut.
Demnach müsste er portbasiertes VLAN unsterstützen.
Wo ist mein Fehler

Entschuldige wenn ich mich so anstelle des wird mir jetzt dann selbst peinlich aber ich dreh mich hier irgendwie im Kreis.

Die Frage ist warum du nicht ganz einfach mal den SSH oder Telnet Zugang auf deinem DD-WRT aktivierst, PuTTY oder TeraTerm anschmeisst und mal ein:
root@OpenWrt:~# swconfig dev switch0 show
engibst ??

Das sagt dir doch dann sofort ob du einen embedded Switch in der HW hast der VLANs kann...aber wenigstens bedingt kann.
Dann würdest du dich auch nicht im Kreis drehen.
Wenn die HW das nicht kann...wegschmeissen und einen 35 Euro Mikrotik kaufen. Das erspart dir ne Menge grauer Haare !!

So ich habe mir einen mikrotik hAP lite besorgt.
Grundkonfig gelöscht VLAN mit bridge Virtual AP und ether4 aufgezogen.
An Firewall VLAN, DHCP und FW Scheunentorregel eingesetzt.
Mit meinem PC an ether4 des mikrotik wird per DHCP die IP vergeben und ich komme ins Internet.
Nun habe ich mein Smartphone am VirtualAP verbunden es erhält eine IP aber ich komme NICHT ins Internet.
Gateway und DNS werden entsprechend dem VLAN vergeben.
Wie kann das sein.

Welche IP bekommt es ?
Betreibst du den AP in einem eigenen IP Netz oder ist der per Bridge an das VLAN angekoppelt ? Screenshot des Winbox Setups oder GUI wären hier hilfreich gewesen.
Wenn letzteres der Fall ist kannst du mit den WLAN Clients die ja dann gleiche IPs haben wie die Kabelclients diese pingen und vice versa ?

Ohne die Grundkonfig könntest du direkt mit dem MT dann eh nicht mehr ins Internet, denn auf dem Internet Port macht der MT dann kein NAT mehr !
Hast du das nachträglich neu konfiguriert oder ist vor dem MT noch ein anderer Internet Router in einer Router Kaskade ??
Lieder ist deine technische Beschreibung des Designs hier mehr als oberflächlich für einen zielführende Hilfe

Sorry aqui wegen der schlechten Fehlerbeschreibung.
Einige Details stehen schon weiter oben im Thread.

Der AP hängt an einer pfsense FW, momentan nur am VLAN10
Ich habe meinen Fehler gefunden, ich habe unter IP/Adresses 192.168.10.1 stehen gehabt und das meiner VLAN bridge zugewiesen.
Ich habe das entfernt nun läufts.
Warum war das falsch, darf hier nur was eingetragen werden wenn der AP auch Router ist?

Da das hier mit dem ganzen hin und her der eingesetzten Geräte zu unübersichtich wird mache ich hier anschließend zu.

Danke aqui für Deine Hilfe und Deine Geduld.