Standard-Installation
Normalerweise wird der Freifunk-Router mit dem Internet-Anschluss an das Internet-Gateway (ADSL- oder Kabel-Modem) angeschlossen. Weitere Rechner können über die verbleibenden 4 Ports am Freifunk-Router angeschlossen werden. Mit dieser Konfiguration haben wir 3 Netze:
- WLAN - Alles was via Wireless mit dem Router verbunden ist
- LAN - Geräte die mit Ethernet an die Ports 1-4 am Router angeschlossen sind
- WAN - Das Netz in Richtung Internet
Damit können alle Rechner im WLAN und LAN auf das Internet zugreifen und Rechner aus dem LAN auch auf Rechner im WLAN.
Freifunk-Router in bestehendes Netz integrieren
Wenn nun ein Freifunk-Router in ein bestehendes Netz integriert werden soll, ohne dort alles umzubauen, muss der Router über seinem WAN-Anschluss mit dem bestehenden Netz verbunden werden. So werden Datenpakete aus dem WLAN via WAN durch das bestehende Netz ins Internet geleitet.
Nun hat man aber das Problem, da sich jedermann mit dem offenen WLAN verbinden kann, auch jeder aus dem WLAN auf das bestehende Netz zugreifen kann. Da man annehmen kann, dass der eine oder andere Rechner im bestehenden Netz keinen ausreichenden Selbstschutz hat, muss man Zugriffe aus dem WLAN auf dem Freifunk-Router abblocken. Dazu muss die Firewall auf dem Freifunk-Router um einige Regeln ergänzt werden.
Anpassen der Firewall auf dem Freifunk-Router
Im File /etc/local.fw können Erweiterungen für die Firewall eingetragen werden:
# Place your firewall addons here case $1 in start) ## alle Verbindungen vom wifi interface nach 192.168.1.0/24 unterbinden iptables -I INPUT -i eth1 -d 192.168.1.0/24 -j DROP iptables -I FORWARD -i eth1 -d 192.168.1.0/24 -j DROP ;; stop) ## alle Verbindungen vom wifi interface nach 192.168.1.0/24 unterbinden iptables -D INPUT -i eth1 -d 192.168.1.0/24 -j DROP iptables -D FORWARD -i eth1 -d 192.168.1.0/24 -j DROP ;; esac
Es werden alle Pakete die via Interface eth1, das WIFI-Interface beim Linksys-Router, hereinkommen und eine Zieladresse im Bereich 192.168.1.0/24 haben verworfen. In diesem Beispiel ist das Netz 192.168.1.0/24 der IP-Adressbreich des bestehenden Netzes. Der Weg ins Internet ist immer noch frei, da diese Pakete eine andere Zieladresse haben. Der Zugriff auf den Freifunk-Router aus dem WLAN ist nur noch über dessen WLAN-Adresse möglich.
Alternatives Anpassen ohne Firewall auf dem Linux-Router
Alternativ kann man ohne Firewall das weiterreichen der Pakete in das eigene Heimnetzwerk unterbinden. Der Effekt ist der gleiche wie beim Firewall Eintrag.
Dazu wird die Datei /etc/rc.local erweitert nach dem allgemeinen Routing und vor dem end.
## alle Verbindungen vom wifi nach 192.168.1.0/24 unterbinden
iptables -I INPUT -i eth1 -d 192.168.1.0/24 -j DROP
iptables -I FORWARD -i eth1 -d 192.168.1.0/24 -j DROP
Die verwendete IP Adresse sollte deinem Netzwerk angepasst werden.