Jun 13, 2012, updated at 12:49:32 (UTC)

8094

Internet im Haus mit mehren Leuten

Moin

wir haben ein Haus aus aktuell 4. WG's und es kommen noch mal 4 dazu.
Ich habe unseren Vermieter nun schon davon überzeugt ein zentrales WLAN einzurichten gekoppelt mit einem 100.000 Internet anschluss.

Aber was ist wenn jemand nun verbotenen Sachen über en Inernetanschluss macht? Normalerweise würde ja nun der Anschlussinhaber, in dem Falle unser Vermieter dafür haftbar gemacht weren in der ersten Instanz.
Dieses Risiko möchte er natürlich nicht.

Kann ich das Risiko senken? Wenn ja wie und mit welcher Hardware / Software?

Ausserfrage steht, dass jeder nutzer dafür unterschreiben muss, dass er keinen verbotenen Sachen über den Anschluss machen darf, aber verhindenr kann man es ja doch nicht.

Please also mark the comments that contributed to the solution of the article

Content-Key: 186428

Url: https://administrator.de/contentid/186428

Printed on: April 19, 2024 at 17:04 o'clock

35 Comments

Latest comment

vor den Accesspoint internetseitig einen vernünftigen Router schalten, welcher eine ordnetliche Firewall besitzt in der man Regeln verwalten und erstellen kann.

Zitat von @alexdroid:

vor den Accesspoint internetseitig einen vernünftigen Router schalten, welcher eine ordnetliche Firewall besitzt in der man
Regeln verwalten und erstellen kann.

Regeln ist eine Möglichleit aber nicht die Lösung

Ich dachte mehr daran zu protokolieren wer wan eine Verbindung wo hin aufgebaut hat

High,

Einfach WLAN mit Benutzerauthentifikation machen (e.g. mit RADIUS-Server). und protokollieren.

lks

ich glaube was du bräuchtest ist die möglichkeit nachzuweisen wer (also welche interne IP und MAC adresse) diese verbotene seite angesurft hat. Das erreichst du mit einem Proxy, sämtlicher verkehr geht durch den proxy und kann protokolliert werden.

bedeutet natürlich ein weiterer rechner, zeit zum einrichten und die clients müssen immer speziell angepasst werden.
ist ziemlich lästig, hat mit gewissen programmen einschränkungen und erfordert manchmal mehr know-how als normal, ist aber in vielen firmen total üblich...

alternativ lass die leute was unterschreiben, dann hast du diese wenigstens sensibilisiert.
wenn aber dann doch mal das BKA oder sonst wer vor der tür steht wegen kinderpornos oder exzisivem torrent gebrauch ist trotzdem der anschluss-besitzter der "gearschte" weil er nicht nachweisen kann, wer das wirklich getan hat.

ihr müsstet dann intern den "übeltäter" ermitteln um euren vermieter aus der schuld zuziehen.

mit einer reinen Firewall, die überall vorhanden ist, kannst du zumindest die Torrent, Edonkey ports etc schliesen aber über andere wege kommt man da auch zum ziel.
Außerdem geht es ja auch um ilegale webseiten... meine standard Fritzbox kann zum beispiel nicht bestimmte webseiten verbieten... außerdem willst du ja nicht ständig seiten sperren und die liste pflegen und wer kennt schon die ganzen seiten .... der proxy würde dir wie gesagt ein protokol darüber geben wer wo drauf gegangen ist...
in der größenordnung (also bei so vielen teilnehmern) vielleicht gar nicht mal eine so schlechte idee der proxy...

aber wie gesagt normalerweile muss dann auch jedes andere programm über den proxy kommunizieren: Skype, Teamspeak, dropbox und was es nicht noch alles gibt.
Diese programme können die einstellungen aus den Windows-browser einstellungen übernehmen aber vermutlich wirst du am Proxy und an den Client immer wieder einstellungen manuell anfassen müssen und damit wirst du nicht glücklich zumindest nicht in der betreuung...

gruß
Michael

PS: gute Business firewalls haben proxies integriert..
es gibt auch Opensource firewall aber dann muss du einen kleinen PC dahin stellen und es einrichten..

PPS:
wie mein nachredner auch schon sagte, wenn du deine leute per Proxy "überwachst" musst die darüber in kenntniss setzten.

Sers,

also ich als Vermieter würde die Finger davon lassen. Soll sich jede WG selbst um ihr Internet kümmern.

Als Möglichkeiten hätte der Vermieter z.B. ne Firewall die Deeppacketinspection macht und ggF. e.g. Tauschbörsenpakete blockt. Das verhindern dann natürlich aber auch die legale Nutzung. Ganz nebenbei würde das die Anschaffung eines einigermaßen leistungsfähigen Rechners bedeuten, da die ganze Sache nicht gerade klein im Performancehunger ist.

Ein Logging der Verbindungsdaten wie es die EU von ISP fordert kann dein Vermieter, auch wenn es ihn absichern würde, nicht tun solange er nicht selbst als ISP auftritt. Was allerdings wiederum mit Pflichten versehen ist. Daneben ist es datenschutzrechtlich nicht ganz trivial das sauber aufzusetzen.

Zusätzlich müssten sich dann auch alle mit den neuen Gegenheiten (e.g. Logging der Verbindungen) einverstanden erklären.

Ganz nebenbei, habt ihr mal hochgerechnet was allein die WLAN-Architektur kosten würde?
Und seid ihr sicher dass hier 8 Parteien im selben WLAN arbeiten möchten? Ist ja schon etwas sehr exponiert wenn man sich nicht auskennt.

Grüße,
Philip

:edit: Das ist keine Rechtsberatung.

Zitat von @psannz:

Ganz nebenbei, habt ihr mal hochgerechnet was allein die WLAN-Architektur kosten würde?
Und seid ihr sicher dass hier 8 Parteien im selben WLAN arbeiten möchten? Ist ja schon etwas sehr exponiert wenn man sich
nicht auskennt.

Also die Infrasturktur ist nicht das Problem, in jede WG kommt ein Access Point

Hallo PowerPan,

das mit der Protokolierung ist ein heikles Thema.
In Firmen darf nicht protokoliert werden wer, wann, welche Seite geöffnet hat.

Ich weiß leider nicht wie das in deinem Fall ist. Ich empfehle dir dich im Vorfeld zu informieren wie es da mit dem Datenschutz aussieht bevor du diesen Weg einschlägst.

Alternativ kannst du einen Proxy ja auch mit Blacklist einrichten.
Allerdings ist das viel Arbeit. Ich hab sowas in meiner Schule mal verwaltet. Man kann natürlich bestimmte Schlüsselworte generell sperren, aber es ist nicht immer alles Schwarz und Weiß ;)

MfG Medusaman

hmm warum dürfen firmen keine proxies einsetzten ? wenn die mitarbeiter das unterschreiben ist doch legitim ?

Zitat von @Medusaman:

das mit der Protokolierung ist ein heikles Thema.
In Firmen darf nicht protokoliert werden wer, wann, welche Seite geöffnet hat.

Jeder wird darüber Informiert, dass es Protokolliert wird und wer das nicht will bekommt halt kein Internet, ganz einfach,

Einen Proxy schon, aber das Protokolieren ist nicht zulassig.
Ich weiß es nicht genau, aber ich glaube nicht das es legitim wird, wenn man dafür unterschreibt. Es gibt Dinge die trotz Unterschrift nicht zulässig sind.

Zitat von @Medusaman:

Und wie machen das dann Studentenwohnheime?

Zitat von @uLmi:

ein zusätzlicher Rechner ist nicht zwingend notwendig!?
es gibt sehr gute proxies auf Softwarebasis... um eine paar namen zu nennen : IPCOP und jana proxy! Super programme

Zitat von @PowerPan:

Also die Infrasturktur ist nicht das Problem, in jede WG kommt ein Access Point

Was ist dann das problem einfgach einen Mietvertrag formulieren und schon ist das gegessen. Dann ist Euer Vermiter ein provider für euch und nicht selbst der Anschlußinhaber.

lks

Zitat von @PowerPan:

> Zitat von @psannz:
> ----
> Ganz nebenbei, habt ihr mal hochgerechnet was allein die WLAN-Architektur kosten würde?
> Und seid ihr sicher dass hier 8 Parteien im selben WLAN arbeiten möchten? Ist ja schon etwas sehr exponiert wenn man
sich
> nicht auskennt.
>

Also die Infrasturktur ist nicht das Problem, in jede WG kommt ein Access Point

ok, und wie werden die gemanaged? Suchen die sich alle ihr eigenes Netz, oder optimiert ihr z.B. die Frequenzbereiche von Hand? Wie sind die APs untereinander verbunden? Via LAN? Oder auch via WLAN? Bedenkt dass ihr wahrscheinlich nicht die einzigen Funker in der Gegend seid.

Ausserdem, wie wird der Zugriff kontrolliert? Die Idee von LKS mit dem Radiusserver ist an sich die beste Lösung. Wie gesagt, datenschutzrechtlich problematisch wegen Verbindungslogging, aber die beste Lösung.

Radius ist streng genommen sogar die einzige Möglichkeit hier. Weil: Es soll ja genau nachgewiesen werden können wer hier den Traffic verursacht hat. Persönliche Benutzernamen und Passwörter sind schon sehr eindeutig und es gibt auch keine Streiterei innerhalb der Bewohner wer denn nun dran ist.
Wer seine Logins an Dritte weitergibt ist in dem Fall mit dem Risiko vertraut.

Zitat von @psannz:

ok, und wie werden die gemanaged? Suchen die sich alle ihr eigenes Netz, oder optimiert ihr z.B. die Frequenzbereiche von Hand?
Wie sind die APs untereinander verbunden? Via LAN? Oder auch via WLAN? Bedenkt dass ihr wahrscheinlich nicht die einzigen Funker
in der Gegend seid.

Ausserdem, wie wird der Zugriff kontrolliert? Die Idee von LKS mit dem Radiusserver ist an sich die beste Lösung. Wie gesagt,
datenschutzrechtlich problematisch wegen Verbindungslogging, aber die beste Lösung.

Radius ist streng genommen sogar die einzige Möglichkeit hier. Weil: Es soll ja genau nachgewiesen werden können wer
hier den Traffic verursacht hat. Persönliche Benutzernamen und Passwörter sind schon sehr eindeutig und es gibt auch
keine Streiterei innerhalb der Bewohner wer denn nun dran ist.
Wer seine Logins an Dritte weitergibt ist in dem Fall mit dem Risiko vertraut.

Also die AP sind untereinander mit LAN verbunden

Protokolliert ein Radius Server automatisch alle Verbindungen?

Hallo,

eine Möglichkeit wäre einen Wifidog Authentifizierungsserver zu installieren. Auf die Access Points z. B. open-WRT installieren und dort den Wifidog-Server eintragen.

Dort können sich nun die Benutzer registrieren und mit ihren Zugangsdaten surfen.

Damit hättet ihr die Möglichkeit, die MAC-Adresse, den Benutzernamen und den Zeitpunkt zu protokollieren. Alles Andere sollte im schlimmsten Fall die Staatsanwaltschaft in die Hand nehmen. Wichtig für den Leitungsinhaber ist es, dass er beweisen kann, dass er es nicht war.

Generell gibt es auch AP's mit Bondrucker. Diese Bons können an der Rezeption (oder Hausmeister) gekauft werden. So könntet ihr jeder WG einen Bon (oder jedem Benutzer) zur Verfügung stellen, auf diesem steht der Zeitpunkt und eindeutige Benutzerdaten die verwendet werden müssen.

Aber auch hier keine Rechtsberatung o. Ä.

Gruß

==NACHTRAG==
Oder eine externe Hotspot-Lösung bestellen, z. B. hier:
http://www.hotsplots.de/

Zitat von @PowerPan:

> Zitat von @Medusaman:
> ----
> Einen Proxy schon, aber das Protokolieren ist nicht zulassig.
> Ich weiß es nicht genau, aber ich glaube nicht das es legitim wird, wenn man dafür unterschreibt. Es gibt Dinge
die
> trotz Unterschrift nicht zulässig sind.

Und wie machen das dann Studentenwohnheime?

Mir sind Wohnheime bekannt die das ganze via Deeppacketinspection lösen. Ein anderes hofft und bangt (und würde selbst haften). Viele binden sich direkt an die Uni/FH/Dingens-Netze an.

Und wieder andere treten als Provider auf und loggen mit.

also der Radius (userbasiernde anmeldung = jeder user bekommt ein eigenes kenntwort) ist natürlich sehr geil aber ich glaube zu komplex für deine anforderung. außerdem kann er damit immer noch nicht nachweisen wer wo drauf gesurft hat wenn es vor gericht geht.

über die infrastruktur wird er sich schon seine gedanken gemacht haben.

ich denke es geht hier wirklich um den rechtlichen aspekt.

wie gesagt, proxy mit protokolierung, informier die leute, dass im fall eines falles die ermittler einsicht in diese logs bekommen aber du dich ja nicht darin austoben darfst.

du könntest auch die vordefinierten passwörter pro accesspoint einfach jedes quartal ändern und alle "noch aktiven" bewohner informieren und noch mal sensibilieren(das password nicht weitergegeben usw.)
aber das ist nur zusätzlich um "zombie"-user zuvermeiden, das mit dem proxy ist ja eigentlich was du willst, zum nachweisen der angesurften seiten...

Zitat von @PowerPan:
Und wie machen das dann Studentenwohnheime?

Da ich kein Student bin kann ich dir das leider nicht sagen

Zitat von @PowerPan:
Also die AP sind untereinander mit LAN verbunden

Protokolliert ein Radius Server automatisch alle Verbindungen?

Nein, das tut er nicht. Geloggt wird von dem nur wer (Benutzername) sich wie (über welchen Knoten) von welchem Gerät (MAC Adresse) im (WLAN-)Netz anmeldet.

Das mittloggen der Verbingungsdaten müsste der Router oder die Firewall tun. Der Radiusserver erlaubt nur Zutritt zum Netzwerk.

Guter Guide zum Radiusserver aufsetzen.
Sichere 802.1x WLAN-Benutzer Authentisierung über Radius

ansonsten: http://de.wikipedia.org/wiki/RADIUS

Zitat von @uLmi:

also der Radius (userbasiernde anmeldung = jeder user bekommt ein eigenes kenntwort) ist natürlich sehr geil aber ich glaube
zu komplex für deine anforderung. außerdem kann er damit immer noch nicht nachweisen wer wo drauf gesurft hat wenn es
vor gericht geht.

über die infrastruktur wird er sich schon seine gedanken gemacht haben.

ich denke es geht hier wirklich um den rechtlichen aspekt.

wie gesagt, proxy mit protokolierung, informier die leute, dass im fall eines falles die ermittler einsicht in diese logs bekommen
aber du dich ja nicht darin austoben darfst.

du könntest auch die vordefinierten passwörter pro accesspoint einfach jedes quartal ändern und alle "noch
aktiven" bewohner informieren und noch mal sensibilieren(das password nicht weitergegeben usw.)
aber das ist nur zusätzlich um "zombie"-user zuvermeiden, das mit dem proxy ist ja eigentlich was du willst, zum
nachweisen der angesurften seiten...

Eine eindeutige Form der Zuordnung zum Bewohner abgesehen von der verwendeten MAC Adresse wird aber auf jeden Fall benötigt. Sonst könnte es ja auch ein Kumpel gewesen sein, der zu Besuch war und das WLAN-Passwort bekommen hat. Spricht, solang der Vermieter nicht als ISP auftritt wäre dann er am Sack.

ja klar der proxy wird ja auch sicherlich zu der IP auch die MAC aufnehmen...

Zitat von @d4shoerncheN:

==NACHTRAG==
Oder eine externe Hotspot-Lösung bestellen, z. B. hier:
http://www.hotsplots.de/

Jo ich glaube, dass ist das Richtige danke für den Tip

Ich würde einfach einen Vertrag erstellen und sich dort ausschliessen und alle Bewohner diesen vertrag unterschreiben lassen. Wer nicht Unterschreibt bekommt kein Internet.. das geht natürlich nur wenn der Vermieter nicht dort wohnt wo das Wohnhaus ist.

Hi !

Du kannst nicht verhindern, dass jemand in so einem Netzwerk illegale Dinge tut und überwachen darfst Du nur wenn jeder der Mitbewohner informiert wurde und damit einverstanden ist. Also entweder das Risiko eingehen oder es komplett lassen, ansosnten müsste sich halt wieder jede Wohneinheit seinen eigenen Internetzugang vom Provider einrichten lassen. Was Du auch unbedingt beachten solltest, dass die einzelnen Rechner/Notebooks voneinander getrennt sind (mittels AP Isolation und private VLAN), die Rechner sich also nicht "sehen" können, denn wenn einer der Mitbewohner einmal (unbewusst) Malware einschleppt, dann springt die im "worst case" - Szenario von Rechner zu Rechner und infiziert quasi das ganze "Haus"...

Ansonsten hilft aqui's Tutorial zum Captive Portal der Monowall bzw. PfSense. Das findet man über die Suchfunktion des Forums!

mrtux

Wenn er als Anschlussinhaber rechtlich sauber bleiben will braucht er zwingend 3 Dinge:

Eine unterschiebende Erklärung der User (und auch deren Besucher) für die Eigenhaftung
Eine Captive Portal Lösung wie SOWAS hier o.ä um die Benutzer zu authentifizieren und die Urhzeit ihres Zugriffs mit einem Syslog Server und /oder Radius zu protokollieren.
Einen Squid_Server als Proxy der besuchte seitens der Nutzer nachweist um eine eindeutige Identifizierung zu gewährleisten wenn es zu einer Abmahnung oder anderen Straftatbeständen kommt.

Zusätzlich wäre es noch sinnvoll von vor herein gewisse Dienste in der Captive Portal Firewall zu sperren und das Straftat Risiko weiter gering zu halten.
Einen WLAN Authentisierung hilft auch um Besucher oder andere nicht autorisierte Personen vom WLAN fernzuhalten.
Wer das nicht will muss dann ins Uni Netz gehen oder Internet Cafe. Und diese Policy muss man auch durchsetzen und vor allen Dingen leben in der WG.
Eine andere Option ist die o.a. Firewall als zentrale PPPoE Server Instanz laufen zu lassen was diese auch supportet. Jeder der WG Parteien kann dann einen eigenen WLAN Router betreiben und die PPPoE Authentisierungen werden dann zentral erfasst um wieder eine Benutzer Authentisierung zu machen. Einen Proxy benötigt man aber weiterhin um die besuchten Seiten nachweisen zu können, denn die gesamte WG taucht ja immer nur mit einer Provider IP im Internet auf.
Alles andere ist planlose Bastelei und löst das Problem nicht wirklich umfassend.

Hey.
Nun mal im Ernst:
Technisch sind die genannten Lösungen ja alle sehr interessant und auch möglich.
Aber realistisch?
Wenn jemand, ohne großes IT Wissen, so eine Lösung aufbaut ist es doch vermutlich mehr schlecht als recht.
Und wo ist dann der Mehrwert?
Zumal die Hardware teils auch nochmal Geld kostet.

Einen WLAN AP pro Wohngemeinschaft und alles ist gut halte ich auch nicht für unbedingt realistisch.
Denn irgendwo müssen die aufschlagen.
Und wenn der AP mit 100 MBit am Switch hängt, pro AP aber bis zu 4 Bewohner plus vielleicht zwei Gäste surfen wollen ist das doch nicht das wahre.
Und dann sollen sich 8 WG´s das noch teilen?
100.000 durch 8 macht 12.500 für jede WG.
Wenn man in der WG von 4 Leuten ausgeht macht das im worst case unter 3.000 für jeden.....
Will man surfen oder kriechen?

Zudem halte ich dieses ganze rechtliche Thema nur über einen Anwalt für lösbar.
Denn würdet ihr euch so kastrieren und überwachen lassen? Da doch lieber einen WLAN Stick.
Denn im worst case hat einer der Mieter Besuch und gibt das Kennwort raus, der Besuch macht Unfug.
Was hat man dann? Eine IP und eine MAC die keiner im Haus kennt.
Also ist der Vermieter unter Umständen wieder dran.
Und will denn jeder Mieter, dass der Vermieter (oder gar ein betreuender Mitmieter) weiß, auf welchen Seiten er rumsurft? Will die Mieterin dass der Vermieter genau weiß, welchen Vibrator sie sich angeguckt hat?
Wenn man sowas wirklich anbieten will dann halt über einen Dritten, so machen es Wohnheime teils auch schon.

Wobei ich nicht mal weiß, ob die nicht sogar durch ihren Status besondere Rechte haben.
Zum Beispiel innerhalb der Hochschulen ist das so, denn man kann nicht jede Schandtat verhindern.....

Gruß

Zitat von @MaikHSW:

Einen WLAN AP pro Wohngemeinschaft und alles ist gut halte ich auch nicht für unbedingt realistisch.
Denn irgendwo müssen die aufschlagen.
Und wenn der AP mit 100 MBit am Switch hängt, pro AP aber bis zu 4 Bewohner plus vielleicht zwei Gäste surfen wollen ist
das doch nicht das wahre.
Und dann sollen sich 8 WG´s das noch teilen?
100.000 durch 8 macht 12.500 für jede WG.
Wenn man in der WG von 4 Leuten ausgeht macht das im worst case unter 3.000 für jeden.....
Will man surfen oder kriechen?

Das ist eine Milchmädchenrechnung. Genauso wie man auf einer zweispurigen Autobahn mit 50 dahinkriechen kann oder mit 200 dahinbrausen, je nachdem, wieviele leute gleichzeitig das Netz nutzen wollen.

lks

PS: Es gab mal zeiten, da waren 64kbps für eine Firmenanbindung mit 50-100 Leuten ausreichend und wären es vermutlich immer noch, wenn da nicht soviel Rauschen zwischen den Daten wäre.

Hey lks.
Milchmädchenrechnung?
Es sind ja nur zwei Faktoren die nicht wirklich passen.....
Denn einerseits kriegt er keinesfalls 100.000 denke ich.
Theoretisch ja, praktisch eher selten wegen der Anschlussstelle.
Und andererseits werden nicht zwingend alle parallel surfen und Daten benötigen.
Aber das ist eine worst case Rechnung und spätestens wenn ich nicht schnell genug surfen kann nervt es mich....
Denn je nachdem gibt es durchaus auch Leute, die geregelt stundenlang Dinge herunterladen (ja, legal) und damit wunderbar viel Bandbreite fressen.
Der nächste spielt online und braucht dafür eine niedrige Latenzzeit und so weiter....

Sicher, Firmen schaffen es auch.
Aber da ist es auch ein ganz anderer Anspruch.
Oder spielt die ganze Firma WoW?

gruß

Am fehlenden Feedback von PowerPan kannst du ja auch ablesen das er vermutlich jegliches Interesse an einer sinnvollen Lösung verloren hat.
Kann man nur hoffen das es dann für
How can I mark a post as solved?
hoffentlich wenigstens noch reicht...?!

Auch wenn es etwas spät ist:
Bei uns im privaten, nicht uni-geführten, Studentenwohnheim haben wir es so geregelt, dass die Firewall nur vpn-Verbindungen zur Universität durchlässt. Hier authentifiziert sich jeder User dann bei der Uni und die wird sicher loggen.

Für wie sicher haltet Ihr diese Lösung?

Zitat von @MaikHSW:

Oder spielt die ganze Firma WoW?

Auch das ist etwas spät:

Um die Jahrtausendwende habe ich mal bei einer größeren Firma in der Nähe von Frankfurt eine Firewall installiert. Die hatten damals 64kbps (X25!). Es war den Admins dort wichtig, daß bestimmte Ports nach außen hin offen waren, weil die ganze Adminmannschaft (ca 12 Leute) damals irgendwelche online-shooterspiele gespielt haben. Weiß allerdings nicht mehr, was das genau war.

lks

nachtrag:

Ich erinnere mich wieder: die hatten 64kbps und haben dann auf 2Mbit upgegraded. Jetzt weiß ich auch wieder, warum

Duke Nukem oder Quake III Arena

Hey zusammen.
@ jojo
Hochschulen loggen meist gerade nicht weil sie eine bestimmte Lücke im Gesetz nutzen....
Mich würde es aber nerven, wenn ich nur zur Uni komme.
Denn theoretisch könnte die Uni oder irgendein eifriger Student loggen und das will ich vielleicht nicht mal.
Auch ist es erfahrungsgemäß oft so, dass Hochschulen gewisse Seiten sperren.
Das trifft einerseits die berühmten XXX Seiten, andererseits aber auch für mich interessante Seiten wie Seiten über Netzwerksicherheit und dergleichen.
Das würde mich dann schon massiv nerven und ärgern....

@ lks
Habe ich auch alles schon gesehen.
In meinem letzten Job habe ich auch einen Supporter gesehen, der hat den ganzen Tag gezockt

Gruß