Freifunk-Router in bestehende Netze integrieren

Standard-Installation

Normalerweise wird der Freifunk-Router mit dem Internet-Anschluss an das Internet-Gateway (ADSL- oder Kabel-Modem) angeschlossen. Weitere Rechner können über die verbleibenden 4 Ports am Freifunk-Router angeschlossen werden. Mit dieser Konfiguration haben wir 3 Netze:

• WLAN - Alles was via Wireless mit dem Router verbunden ist
• LAN - Geräte die mit Ethernet an die Ports 1-4 am Router angeschlossen sind
• WAN - Das Netz in Richtung Internet

Damit können alle Rechner im WLAN und LAN auf das Internet zugreifen und Rechner aus dem LAN auch auf Rechner im WLAN.

Freifunk-Router in bestehendes Netz integrieren

Wenn nun ein Freifunk-Router in ein bestehendes Netz integriert werden soll, ohne dort alles umzubauen, muss der Router über seinem WAN-Anschluss mit dem bestehenden Netz verbunden werden. So werden Datenpakete aus dem WLAN via WAN durch das bestehende Netz ins Internet geleitet.

Nun hat man aber das Problem, da sich jedermann mit dem offenen WLAN verbinden kann, auch jeder aus dem WLAN auf das bestehende Netz zugreifen kann. Da man annehmen kann, dass der eine oder andere Rechner im bestehenden Netz keinen ausreichenden Selbstschutz hat, muss man Zugriffe aus dem WLAN auf dem Freifunk-Router abblocken. Dazu muss die Firewall auf dem Freifunk-Router um einige Regeln ergänzt werden.

Anpassen der Firewall auf dem Freifunk-Router

Im File /etc/local.fw können Erweiterungen für die Firewall eingetragen werden:

# Place your firewall addons here

case $1 in
	start)
	## alle Verbindungen vom wifi interface nach 192.168.1.0/24 unterbinden
		iptables -I INPUT   -i eth1 -d 192.168.1.0/24 -j DROP 
		iptables -I FORWARD -i eth1 -d 192.168.1.0/24 -j DROP 
	;; 
	stop)
	## alle Verbindungen vom wifi interface nach 192.168.1.0/24 unterbinden
		iptables -D INPUT   -i eth1 -d 192.168.1.0/24 -j DROP 
		iptables -D FORWARD -i eth1 -d 192.168.1.0/24 -j DROP 
	;; 
esac

Es werden alle Pakete die via Interface eth1, das WIFI-Interface beim Linksys-Router, hereinkommen und eine Zieladresse im Bereich 192.168.1.0/24 haben verworfen. In diesem Beispiel ist das Netz 192.168.1.0/24 der IP-Adressbreich des bestehenden Netzes. Der Weg ins Internet ist immer noch frei, da diese Pakete eine andere Zieladresse haben. Der Zugriff auf den Freifunk-Router aus dem WLAN ist nur noch über dessen WLAN-Adresse möglich.