M0n0wall mit Captive Portal über das Internet bzw. einem VPN-Tunnel verlängern

Hallo noch einmal Kollisionskurs ,

nein die fertigst Du vorher an, die Gruppen!
Gruppen für eine, zwei....... Stunden, und einen Tag (24 Stunden) zwei Tage usw., wenn der Gast sagt er
will nur einen Tag bleiben und dann weiß die Dame am Empfang von welcher Gruppe der Benutzer (ID) Sie ein
Voucher ziehen muss. Ich meine das weiß man ja vorher ob man ein zwei oder gar drei Tage oder Wochen bleibt. Die Gruppen definierst Du vor. Und die Dame am Empfang weiß dann ja wenn einer sagt ich möchte ein Zimmer für drei Tage mit Internetzugang auch welcher Gruppe Sie im ein Voucher zu ziehen hat.

Nach Ablauf des Vouchers verfällt dieses und ist nicht mehr gültig und Du musst nicht jedes mal zum Hotel und die Listen so aufwendig pflegen.

Eine Richtfunkstrecke ist immer sehr Witterungsabhängig, ich meine die wollen ja gerade wenn es regnet vielleicht ins Internet und in Europa sind "nur" 100 mW (milliwatt) maximal am Abgangspunkt der Antenne
erlaubt! Also nicht denken da sind ja nur die Kühe von Bauer Huber zwischen und die beschweren sich nicht, wenn sich jemand beschwert und der dämliche Messwagen der Post vor Eurem Hotel hält ist das nicht gerade verkaufsfördernd sondern kostet pro eingegangener Beschwerde 1600 € und die Anlage ist dann auch weg!!!!

Falls das ganze nicht nur in Sichtweite sondern Sichtweite und einsamer Feldweg ist oder Bauer Hubers Wiese, kann man das auch unter die Erde bringen.


- Lösung für Maulwürfe von meconet, ist eine kleine mini PCI Karte die sich am System als Realtek PCI Netzwerkkarte ausgibt und wird somit von fast allen Betriebssystemen ohne Treiberinstallation erkannt.
Übertragungsgeschwindigkeit ist 200 MBit/s

Meconet

Aber die Lösung mit der Soerkis vpn1411 schien mir persönlich besser zu gefallen.

Gruß
Dobby

Hallo Kollisionskurs ,

an die Karten von Meconet können drei Arten von Kabeln angeschlossen werden:
Koax: 1500m, Zweidraht: 400m, Stromleitung: 200m

Bei Deinen 700 Metern wäre es natürlich von Nöten das ihr alle auf einer Straßenseite seit und nur eine Wiese oder ein Feld weg dazwischen gewesen wäre. Das wäre dann aber halt Ideal gewesen.

Hotel--------->Wiese oder Feld--------> Gästehaus

Zwei Karten von Meconet und Kabel + Ummantlung gekauft.
Die zwei Karten in die Alix "Büchsen" Koaxialkabel dran und dann das Kabel 20 cm tief in die Erde und auf der anderen Seite beim Gästehaus wieder an die Karte ran die in der anderen Alix "Büchse" steckt.
Ca. 200 MBit/s Übertragung/Durchsatz und die Kosten sind einmalig.

Es ist doch so, Du hast eine 6000/3500 Leitung von der Telekom und die für die WLAN Anbindung der Gäste
genutzt wird und nun noch eine VPN Verbindung dazu ist doch auch nicht das gelbe vom Ei, oder?

Mit Richtfunk lässt sich vieles machen aber die Kosten sind auch nur marginal geringer, es kann zu Ausfällen und Störungen und wenn sich jemand beschwert ist die dörfliche Ruhe dahin.

klar so ein Kabel 20 cm. tief in die Erde zu legen ist eine Menge Arbeit aber das hätte niemanden gestört und ist auch nicht so Störanfällig!! mit einer Straße dazwischen ist das aber immer so eine Sache, das würde ich nicht machen wollen.

Also nach dem jetzigen Kenntnisstand würde ich an Deiner Stelle mal bei Kabel Deutschland anfragen ob
es nicht eine 32 MBit/s Leitung bekommen kann, für das Gästehaus und das Hotel und dann die beiden mini PCI Soekris vpn1411 Karten in die Alix mOnOwall Lösung einbauen und dann flutscht es auch richtig. Dann kannst Du ohne Geschwindigkeitseinbussen via VPN vom Gästehaus auf das Hotel zugreifen und alle können trotzdem schön schnell surfen.

Ist wohl das Günstigste und das Praktikabelste von allem.

Gruß
Dobby

.@Kolli...
Um sich nicht weiter in esotherische User Aufteilungsdiskussionen zu verzetteln solltest du erstmal die technischen Fakten betrachten:
Mit 2 mal Monowall/pfSense auf Alix Basis hättest du ja erstmal gute Voraussetzungen mit 3 Mausklicks eine IPsec VPN Verbindung hinzubekommen. Technisch wäre deine Anforderungen damit fast gelöst aber leider nur fast...
Dadurch das ein virtuelles Tunnel Interface mit dem VPN eingerichtet wird routest du dann ja und müstest so das CP an ein weiteres Interface binden.
Die FW bietet dir aber nur die Möglichkeit das CP an nur einem einzigen Interface zu binden nicht an 2.
Damit scheidet dann die die Option das Gästehaus per VPN ans CP anzubinden technisch, wenigstens mit dieser Hardware, erstmal aus.
Du solltest eine einfache, kostengünstige und pragmatische Lösung wählen:
Baue ein einfaches Gäste WLAN im Gästehaus auf und koppel das ganz einfach mit einer kleinen unauffälligen 5 Ghz WLAN Bridge an das Gastnetz im Haupthaus.
Das ist mit einer kleinen leitungsfähigen WLAN Bridge die du unauffällig am Schornstein Trittbrett oder Fenster usw. befestigen kannst einfach, unauffällig und preiswert erledigt:
http://shop.varia-store.com/product_info.php?info=p1640_MikroTik-Router ...
Mit 1,25 Watt Sendeleistung an einer integrierten Parabolantenne bekommst du diese Entfernung bei Sichtweite leicht und locker überbrückt und hast auch noch mit 54 Mbit/s genügend Reserven auf dem Link. Das Feld und die Kühe von Bauer Huber oder Piepenbrink spielt so keinerlei Rolle mehr...
Im 5 Ghz Bereich bis du bzw. der Gasttraffic ungestört mit dem Link (niemals 2,4 Ghz verwenden !) und die kleine Bridge wird per Ethernetkabel mit Strom versorgt so das die Installation sich auch mit minimalsten Mitteln problemlos machen lässt.
Den Link verbindest du dann mit dem Gastnetz Segment im Haupthaus und hast so eine zentrale Steuerung mit minimalsten Mitteln, denn eine monatlich Kosten erzeugende Anbindung des Gästehauses ist ebenso erstmal überflüssig !

Ja, die Vorgehensweise ist richtig so. Ggf. Noch einen kleinen 10 Euro 5 Port Switch um AP und WLAN Bridge zu verbinden. Hat den Vorteil das dort dann die Option besteht das auch mit kabelgebundene Systemen zu testen oder zu betreiben. Die Mikrotik Bridge bringt den PoE Injektor gleich mit.
Für das Haupthaus ist es ganz einfach.
2te Mikrotik Bridge am Schornstein anbringen
Kabel zum Monowall Gästesegement ziehen und Bridge dort einstecken
Fertisch
Die beiden Mikrotik Bridges wirken quasi als drahtlose Bridge ganz genau so wie ein D-LAN Pärchen zum Beispiel.
Damit ist dann dein Gastsegment vom Gästehaus direkt mit einer Layer 2 Verbindung im Gastesegment vom Haupthaus und kann von dort vollständig mitverwaltet werden !

Die Frage kannst du dir eigentlich selber beantworten. Von der netto Sendeleistung sind erstmal alle gleich, denn die bestimmt der Chipset...keiner hat da einen Unterschied.
TP-Link ist allerbilligste Chinaware für Endverbraucher. Die benutzen auch interne Antennen oder die HF fliesst intern über normale Pertinax PCB Boards für Epoxid reicht das Geld der Billigkäufer nicht. Ein sehr mieses Dielektrikum bei 2,4 Ghz, so das ein Großteil der HF leistung in Wärme verbraten wird die die Platine anwärmt aber nicht zu Antenne kommt. Schraub die Büchse auf dann siehst du das ganze Elend. Vom Plastikgehäuse mal ganz zu schweigen...ein Unding bei 2,4 Ghz aber es darf nix kosten. Profi oder Halbprofi APs haben alle Metallgehäuse.
Teuerer APs nutzen hier beim PCB in der Regel Teflon PCBs oder wenigstens Teflon Kabel die dann direkt zur Antenne gehen. Obendrein haben sie oft die Option die Sendeleistung anzupassen.
In sofern ist deine Frage zur Sendeleistung also recht naiv oder dir sind die technischen Bedingungen in dem Umfeld schlicht nicht bekannt.
Wie bei der Endgeschwindigkeit von Autos steigt der Windwiderstand quadratisch so ist es auch bei der HF und der Reichweite.
Minimmale Unterschiede der Sendeleistung machen sich auch nur minimal bemerkbar.
Dazukommst das du blauäugig nur den Sender siehst hier.
Die Reichweite ist aber in einem ganz erheblichen Maße auch abhängig von der Empfindlichkeit des Empfängers...logischerweise. Stell dir 2 Handfunken vor, deine hat einen starken Sender und Empfänger aber der Empfänger vom Partner ist taub...du hörst ihn aber er dich nicht...mehr muss man nicht sagen.
Deine Gäste haben hier aber alles vom total tauben USB Stick bis mitteltauben Smartphone zu einem sehr empfindlichen MacBook mit 3 Antennen.
In so fern ist das ein 2ter Grund warum deine Gedanken um die Sendeleistung eigentlich rrelevant und eher kosmetischer Natur sind.

Frag sie mal ob sie ein DECT Telefon besitzt und ob sie sich da auch Gedanken zur "Strahlung" macht. Die liegt bei DECT nämlich um den Faktor 10 höher.
Von den HF Feldern der ganzen Mobiltelefone die die Gäste am Nachtisch liegen haben wollen wir hier mal gar nicht erst reden, denn da gehts um den Faktor 100 und mehr. Zudem ist das gepulste HF Strahlung die weitaus gefährlicher ist als ungepulste wie bei WLAN..ob sie das aber versteht..?!
Bei der Mikrowelle die sie sorglos betreibt ists der Faktor 100.000. Soviel also zum Thema "Strahlung".... dzzz..
Diese Diskussion ist lächerlich, aber egal.
Stell dir eine Taschenlampe vor, die hat auch einem Parabolspiegel und wenn du die genau auf einen andere Taschenlampe richtest kommt rechst und links fast nix an. Analog ist es mit der Bridge, die Leistung wird fast ausnahmslos Punkt zu Punkt übertragen. 5 Ghz liegt eh im Absorptionsspektrum von Stickstoff und es gibt zudem noch Dämpfung was den rest anbetrifft. Bei Schornstein zu Schornstein fällt also nix auf die Gäste runter...
Aber mit all dem wir die Betreiberin des Hotels vermutlich technisch völlig überfordert sein um es wirklich umfassend zu verstehen, also lass es am besten gleich zu versuchen das ansatzweise zu erklären oder empfiel ihr einen Volkshochschulkurs in den Grundlagen von Physik. Der WAF (Woman Acceptance Factor) zu solchen Themen ist aber meist gleich 0.
Meist reicht schon das Beispiel mit der Mikrowelle, dem DECT Telefon und den Smartphones auf dem Nachtisch.
Was deine Frage aus der Realen Welt anbetrifft zu den APs bist du bei hochwertigen APs bei Cisco, Motorola, Aruba usw. mit den entsprechenden Preisen.
Es gibt aber auch Midrange Geräte wie die Linksys Serie von Cisco
Linksys WAP200 - Quick Review
Lancom und Co. Ob das Sinn macht musst du selber entscheiden. Statt eines solchen kannst du auch 2 TP-Link Gurken kaufen und eine in den Schrank legen. Fackelt mal eine ab schmeisst du sie weg und nimmst die aus dem Schrank...ist auch ne Philosophie. Bei den Billigteilen ist es immer sinnvoll wenigstens eine irgendwo als Ersatz zu haben um schnell reagieren zu können. Am besten ist wohl der goldenen Mittelweg also was robustes mittelpreisiges zu nehmen. Mit den Mikrotik oder Ubiquiti APs bist du da auf alle Fälle auf der sicheren und guten Seite.
Hängt halt davon ab wie wichtig und wieviel wert euch euer Gast WLAN ist....

Hallo unermüdliche Gemeinde,
ich habe so ein ähnliches Problem wie Kollisionskurs.
Es handelt sich um zwei kleine Pensionen (Schwiegereltern und meine - nicht in Sichtweite), die jeweils mit m0n0wall und CP ausgestattet sind. Die Voucher-Verwaltung läuft jeweils lokal und das soll auch so bleiben. Das Logging und die Administration der entfernten m0n0wall realisiere ich über IPSEC-VPN auf / von meinem Rechner. Das funktioniert auch ganz hervorragend.
Nun haben meine Schwiegereltern Angst (trotz CP und Logging), dass sie belangt werden könnten, sollte ein Gast "Unfug" machen, weil man ja ihre öffentliche IP sieht.
Ich habe nun die Idee, dass die entfernte m0n0wall über einen VPN-Tunnel auf meine m0n0wall zugreift und erst von hier ins www geht. Dann würde man ja meine öffentliche IP sehen. In den Einstellungen für Interface-WAN kann man ja static als IP einstellen.
Ich hab nur keinen Plan, wie das genau gehen könnte oder ob das überhaupt geht.
Ich hoffe, Ihr könnt mir ein wenig weiter helfen.

Vielen Dank

Ja, das geht natürlich indem du das Gast LAN über einen IPsec Tunnel auf deine pfSense schickst und dort ein zentrales CP benutzt.
Wie das geht erklärt dir dieses Tutorial:
IPsec VPNs einrichten mit Cisco, Mikrotik, pfSense Firewall, FritzBox, Smartphone sowie Shrew Client Software

Die Angst ist aber vollkommen unbegründet wenn die Schwiegerletern (hoffentlich) mit einer Whitelist arbeiten, also nur DAS erlauben was sie minimal erlauben wollen. Das ist immer der Weg den man gehen sollte.
Mit dem Syslogging können sie jederzeit den User zuordnen und so aus der Störerhaftung herauskommen. Mit der Verlagerung erreicht man ja auch nicht wirklich was und ist zudem noch beim Service abhängig von einem funktionierenden Tunnel.
Ist der nicht absolut wasserdicht konfiguriert und kommt Traffic daran vorbei ist eher schlimmer.
Generell ist das aber problemlos machbar. Das obige Tutorial erklärt wie.

Hallo aqui,
vielen Dank für die schnelle Antwort.
Leider habe ich das trotz mehrfachem lesens der Anleitung noch nicht so ganz begriffen.
Wie ich das Beispiel verstehe, brauche ich für das entfernte Gastnetz gar keine monowall sondern nur einen einfachen Router, der vorzugsweise IpSec beherrscht.
Wenn das so ist, wäre das natürlich toll. Aber ich hab immer noch nicht drauf, was ich dann im entfernten Router und in meiner lokalen monowall bei den Netzen eintragen muss, damit das entfernte Gastnetz über mein -dann zentrales CP- autorisieren kann.
Geht das vielleicht auch mit einem PPTP-Tunnel?
Ich habe gelesen, dass das unsicher sein soll, aber zum Ausprobieren hätte ich einen WRT54GL zur Hand, der kann aber wohl kein IpSec.

z.B. entferntes Gastnetz am einfachen Router: IP 10.0.1.1
meine monowall mit CP (IP 10.0.0.1) und privatem Netz (IP 192.168.1.1).

Vielleicht kannst Du mir ja noch einmal ein wenig helfen.

Vielen Dank

Ja, ein einfacher VPN Router (z.B. Mikrotik 750) würde da reichen wenn du denn mit der Performance Einschränkungen von normalen DSL Leitungen keine Probleme hast. Bedenke das dort der Upload immer nur ein Bruchteil des Downloads ist was man an einem remoten Standort zweifelsohne bemerkt wenn der gesamte Traffic durch einen VPN Tunnel muss ! Bei synchronen WAN Verbindungen gilt das natürlich nicht aber wer hat die schon...?!
Oben war doch das IPsec Tutorial zitiert. Dort ist die einfache Anbindung mit einer Reihe von VPN Routern erklärt inklusive einer genauen Anleitung zum Abtippen. Viel mehr kann man ja nun nicht mehr machen....?
Erster Schritt ist erstmal für dich einen VPN Tunnel zum Laufen zu bekommen der deine 10er Netze koppelt.
Du solltest das Konzept aber nochmal bedenken wegen der Asymetrie der WAN Verbindungen. Ggf. ist es doch besser 2 CPs einzusetzen.
pfSense bietet dir im Setup die Möglichkeit die Voucher Datenbanken zu koppeln. So hast du zwar 2 CPs die dann aber eine gemeinsame Voucher Verwaltung sharen.

Ja, ganz genau so funktioniert es ! Ob die Authentisierungsfunktion nicht klappt wenn die Verbindung zw. den CPs verloren ist oder ob sie dann autark (standalone) weitergeht und sie sich später wieder syncen wenn die Verbindung wieder da ist hab ich noch nicht probiert.
Wäre mal ein guter Punkt für einen Testaufbau am Wochenende

Vielen Dank aqui,
die Bandbreitenbeschränkung habe ich überhaupt nicht bedacht.
2 MBit Upload sind dann glaube ich auch bei nur 7 Gästezimmern zu wenig.
Ich lasse es dann mal bei zwei getrennten CP und der von Dir angesprochenen Whitelist.

Nochmals vielen Dank.

Wie gesagt die Kopplung der Voucher Datanbanken steht dir ja offen. Oder alternativ triggerst du den Kollegen eagle2 mal an, der hat eine Spezialversion seines webbasierten Voucherservers:
Voucher für pfSense online verwalten und optional Voucher per SMS verschicken
die 2 Lokationen bedient.
Da kannst du dann bequem per Mausklick von beiden Locations Voucher verteilen, drucken und sogar per SMS versenden !