reitittimeen esto tietyille sivustoille

  • Keskustelun aloittaja Keskustelun aloittaja Vauhtimursu
  • Aloitettu Aloitettu
V

Vauhtimursu

Vieras (tunnus poistettu)
Moi

Onko jotain valmiita osoitelistoja olemassa jotka voi lisätä reitittimeen estämään haitallisille sivuille meneminen ?
Peliviihde on tuossa ehkä tärkeimmässä roolissa, nuoriso kun räpeltää omia koneitaan niin jos peliviihdeen ympärille sais rakennettua jotenkin mustan listan mille ei pääse vaikka kuinka näpyttelis googlen linkkejä.

Host tiedostoa muokkaamalla ilmeisesti onnistuis ? Mutta tahdon asettaa reitittimeen nuo, ongelma on se että en nyt edes millä englannin kielisellä sanalla näitä listoja pitäis hakea tai etsiä googlesta.

Voi olla että puhun puutaheinää eikä kukaan ymmärrä mitä yritän kysyä kun edellisiinkään ei kukaan vastannu, mutta onko tuommoisia estolistoja edes olemassa ja miten ne löytää ?

Jotain sivuja olen jo blokannu, ja se toimii. Nyt tarttis vain lisätietoa että miten löytää lisää niitä haitakesivustoja blokattavaksi. Tulevaisuudessa ois tarkoitus kokeilla virtuaalisena pfsenseä johon ilmeisesti saa paremmat mahdollisuudet näihin, mutta toistaiseksi on vähän rookie olo näiden kanssa.
 
Tommoseen on käytetty DNS-palveluja ja niiden esto-ominaisuuksia.

Harrastajat käyttää Linux-konetta (esim. Raspberry Pi) nimipalvelimena käyttäen PiHole-ohjelmaa, joka osaa blokata mainoksia ja muita haitakkeita. Tämmöinen laite laitetaan pystyyn, ja reitittimeen konffataan se kone nimipalvelimeksi.

Tai sitten, jos ei oma harrastuneisuus riitä, niin siihen voi käyttää OpenDNS-nimipalvelua netissä. Luodaan tili OpenDNS:ään ja kerrotaan sille mistä IP-osoitteista kyselyjä lähetetetään sekä määritetään haitake-estolistat käyttöön. Ja taas määritetään reitittimeen OpenDNS:n palvelimet nimipalveluksi.

Nämä palvelut ainakin pystyvät blokkaamaan ei toivottuja saitteja.
 
Kiitos nopeasta vastauksesta, ei siis ole semmoisia "valmiita listoja" joita voi läpi käydä ja lisäillä reitittimen asetuksiin ?
Oon lukenu näitä keskusteluja niin piholesta kuin tuosta rautapalomuurista, nyt vain se ei ole ajankohtaista kumpikaan.

Pi-holessa on ainakin mainoslistoja ja rautapalomuuriin en ole vielä keränny riittävästi rohkeutta alottaa ko projektia. Joten tuo reitittimen asetuksiin lisääminen olis onnistunu tässä vaiheessa helpolla. Dns.watchin osoitteet on käytössä , taitaa olla sitten enää makuasia pitääkö cloudfaren vai jotain muuta osoitetta.

Tuo OpenDNS alkoi kiinnostamaan. Jos reitittimeen lisää nuo asetukset , saako sen niin että vain osa koneista tottelee tuota ja loput toimii "normaalisti" ?
 
Jaah, kattelin tuota opendns juttuja tuubista ja ilmeisesti joutuu asenteleen jotain "ylimäärästä" windowssiin kun tältä just yritän välttyä. Pitäs tehdä itselle "ylläpito" mahdollisimman helpoksi ja siksi ajattelin että routeriin olis kätevin saada listat luotua. Tulevaisuudessa sitte pfsenseä tai jotain semmoista tulille, ehkä.

Mutta mistä näkis niitä osoitteita mitä blockailla ? Ei googleltakaan löydy mitään järkevää muutakuin keinoja host tiedoston luontiin tai ohjeet miten reitittimeen voidaan näitä estoja luoda , mutta itse osoitteita ei nyt ota löytyäkseen mistään...
 
OK, en ollut tietoinen että jotain pitää asennella omalle koneelle tuon OpenDNS:n kanssa. Luulin että tunnistavat kaiken vain sen saapuvan IP:n perustella.

Ellei sitten se vaatimus vain yksinkertaisesti se, että Windowsiin pitää "asentaa" se OpenDNS:n nimipalvelinasennus? Kun jos sen saa asennettua routerin DHCP:lle niin ei silloin sitä Windowsiin tarvitse asentaa...
 
En niin nyt luottais siihen mitä minä sanon , mutta sellainen kuva tuli tuosta videosta minkä pläräsin läpi. Todennäkösesti oot paremmin perillä kuin minä näissä hommissa :)
 
Mulla on vaan se handicap, etten itse pysty käyttämään julkisia DNS-palveluita, kuten OpenDNS, Google tai oman ISP:n palvelu, joska DNS-requestieni määrä SpamAssassinin takia on niin suuri että Spam-blokkilistojen tarjoajat epää pyynnöt jos ne tulee jonkin julkisen palveluntarjoajan kautta. Joudun käyttämään omaa resolveria.

Tai oikeammin niin, että ne epää yleensäkin kaiken jonkin julkisen palveluntarjoajan kautta tulevan liikenteen, koska se määrä on vain niin suuri. Liian suuri ilmaiselle palvelulle.
 
Ainakin kun lisäsin testiksi pelkän sanan microsoft, niin se blockas useimmat linkit joissa oli tuo sana microsoft. Mietin tässä , mitä nuo ublock origin -> suodatuslistat -> sieltä avata joku lista , niin aukeaa parhaimmillaan yli 10k osoitetta.

Nuo todennäkösesti on jotain kökkö sivustoja mitä tuonne listalle on kerätty tuhansittain. Jos sieltä alkaa kokoamaan listaa omaan routeriin esimerkiksi kohdasta malware domains, tai harmit kohdasta tai tietosuoja kohdasta. Melkonen työhän tuossa olis mutta saisko noiden osoitteiden avulla raavittua jonkun näköisen (toimivan) mustan listan aikaiseksi ? Vai onko nuo "vain" mainos suodattamia esim. kohdassa malware domains ? Eli tuo ei kuitenkaan toimis haittasuodattimena jos osoittteita alkaa tuolta poimimaan ...Sieltä nimittäin kyllä sais noita osotteita aivan järkyttäviä määriä kyllä mitä laitella.

1 kerrallaan pitää osotteet lisätä, ei taida tämän elämän aika riittää tuohon näpertämiseen että saa edes puolet laitettua :D

edit: Ei tuossa vaan oo järkeä, haku toiminnolla sieltä pystyy seasta kyllä poimimaan esimerkiksi epic gamesiin liittyviä sanoja, tai code / cheat / bot sanaan liittyviä jolloinka lisäilis vaan näitä joita tietokoneella todennäkösesti tullaan googlen kautta hakemaan jossain vaiheessa kun kiusaus käy liian suureksi...

viisainta taitaa olla vain kun opettaa rehellisesti pelailemaan ettei tarvi googlettaa sitä aimbottia..
 
Viimeksi muokannut ylläpidon jäsen:
Mitenkähän tuon ratkaisis parhaiten että muut laitteet ei saastu jos pojan klopit kavereineen kerää omalle koneellensa riittävästi haitaketta niin iot ja muut koneet pysyis puhtaina ? Tällä hetkellä on 2 modeemia / reititintä mikä oli alkuperäinen suunnitelma. Iot / & muut laitteet on toisessa laitteessa kytkettynä ja ne todennäköisimmät saastuneet koneet on sitten toisessa laitteessa kiinni, mutta samaa verkkoa ne taitaa olla silti eli saastuuko siinä sitten kaikki ?
 
Tästä nyt tulee pitkä postaus ja voi olla osittain sekavaa mutta yritän pitää paketin kasassa..

Varmuuden vuoksi:
DHCP (Dynamic Host Configuration Protocol) palvelin on palvelu joka antaa jokaiselle laitteelle oman yksityisen IP osoitteensa ja kertoo mitä DNS palvelinta käyttää ja mikä on verkon gateway (mistä pääsee nettiin). Tämä on joko sinun sisäverkossasi toimiva reititin joka kertoo sinun tietokoneille ja puhelimille jne mitä asetuksia käyttää. Tai operaattorin tapauksessa heidän verkossa oleva toosa joka kertoo modeemeille että mitä asetuksia käyttää.
DNS (Domain Name System) palvelin on palvelu joka voi olla joko sisäverkossa toimiva esimerkiksi reitittimen yhteydessä tai "internetissä toimiva palvelu" (esim operaattorin tai jonkun toisen tahon ylläpitämä) joka suorittaa www.nönönö.com > 123.123.123.123 muunnoksen. Nettisivuille kun usein mennään sen WWW osoitteen avulla kun oikeasti niiden "sijainti" on IP osoite.

OpenDNS Family Shield on valmis palvelu jossa on blokattu pornot, tunnetut phishing ja malware sivustot. Tämän käyttämiseen ei tarvita mitään tiliä eikä tarvitse mitään erikseen asennettavaa työkalua.
Introducing FamilyShield Parental Controls - OpenDNS Umbrella Blog

OpenDNS Home on palvelu jonka voit räätälöidä omaan käyttöösi (jos et esimerkiksi halua phishing suojausta) ja tämän kanssa "pitää asentaa jotain" on siis dynaamisen IP osoitteen päivitys työkalu.
Kiinteissä kuluttaja internet liittymissä saat 5kpl dynaamisia IP osoitteita käyttöön. Eli kun modeemisi yhdistää operaattorin verkkoon, operaattori antaa modeemillesi IP osoitteen. Näitä osoitteita on sinulla yhteensä 5kpl käytettävissä yhtäaikaa ja se IP osoite minkä otat käyttöösi varataan sinulle vain tietyksi aikaa.
Eli jos katkaiset yhteyden pidemmäksi ajaksi (yli puoli tuntia tai kauemman) niin ei ole mitään takuuta että saisit saman IP osoitteen takaisin modeemin yhdistäessä takaisin verkkoon koska se IP osoite jaetaan sinulle dynaamisesti isosta rykelmästä eli jos modeemisi ei ole yhteydessä verkkoon + "sinun" IP osoitteen varausaika on mennyt ja joku toinen yhdistää verkkoon niin tämä joku voi saada "sinun" IP osoitteesi käyttöönsä.
Tätä dynaamista IP osoitteen päivitystä tarvitaan tämän räätälöidyn palvelun yhteydessä jotta se räätälöity palvelu voidaan kohdistaa oikeaan osoitteeseen. Mitä tämä työkalu tekee on yksinkertaista: tarkistaa tasaisin väliajoin mikä sinun IP osoite on ja jos se on muuttunut niin se ilmoittaa OpenDNS:lle sen muuttuneen IP osoitteen.​

Jos haluat käyttää jotain muuta DNS palvelinta lähiverkossasi niin vaihtoehdot on joko
1) vaihtaa DNS osoite jokaiseen laitteeseen manuaalisesti mutta tämä on turhaa koska kersat voi vaihtaa sen itse ja vaikeaa koska kaikki laitteet eivät sitä manuaalista vaihtoa tue
2) vaihtaa DHCP palvelimeen se DNS osoite

Luonnollisesti vaihtoehto 2 on se järkevin. Mikään ei kuitenkaan estä laitteita käyttämästä jotain muuta DNS osoitetta.
Tämän pystyy "kunnollisella" reitittimellä estämään lähes täydellisesti. Ainoastaan proxyt ja VPN:t menee tästä ohi ja tätä ei ole yksinkertaista estää. DNS:n yhteydessä proxy tarkoittaa esimerkiksi nettiselaimeen asennettavaa lisäosaa jolla voi katsoa esimerkiksi jenkki Netflixiä vaikka olet Suomessa. Ja VPN nyt on VPN.
"Kunnollisella" reitittimellä tarkoitan sellaista reititintä joka ei suoranaisesti ole kohdistettu kuluttajille ja tarjoaa monipuolisempia ominaisuuksia. Esimerkiksi kuluttaja reitittimeen asennettava OpenWRT tai erilliseen koneeseen asennettava pfSense reititin käyttöjärjestelmä tai esimerkiksi Ubiquitin Edgerouter reitittimet EdgeOS käyttöjärjestelmällä tai Mikrotikin reitittimet RouterOS käyttöjärjestelmällä.
Minulla esimerkiksi on Edgerouter X käytössä ja tämä on ~50€ maksava monipuolinen reititin. Mikään näistä edellä mainituista "kunnon reitittimistä" ei ole yksinkertaisimmasta päästä mutta ei ne kuitenkaan liian monimutkaisia ole jos osaat seurata ohjeita ja luetun ymmärtäminen on hyvällä tasolla. Esimerkiksi tuota Edgerouter X:ää voin suositella varauksetta, siitä kyllä löytyy valmis ja helppo "wizard" jolla perus asetukset saadaan hoidettua käyttöön noin minuutissa mutta tarvittaessa tästä reitittimestä tai noista muista löytyy huomattavan paljon ominaisuuksia ja konfigurointi mahdollisuuksissa vain taivas (tai oma osaaminen) on rajana.

"Miten muut laitteet ei saastu?" Eristämällä pojan klopit omaan verkkoonsa. Tämän voi hoitaa fyysisesti kahdella eri laitteella tai sitten vain yhdellä laitteella hyödyntämällä VLANeja eli Virtual LAN.
Mitkä verkkolaitteet sinulla on nyt?
Yksinkertaisimmillaan sinulla olisi erillinen modeemi (oli se sitten kaapeli, ADSL, VDSL jne) tai sitten suoraan RJ45 reikä seinässä mistä sinulle tulee "ethernet netti". Tämän modeemin perään tai suoraan siihen RJ45 reikään liitetään tyhmä kytkin ja sitten siihen kytkimeen liitetään aikuisten reititin ja sitten kakaroiden reititin.
Kytkimet voidaan siis jakaa kolmeen eri ryhmään. Tai oikeastaan kahteen, tyhmät ja hallittavat mutta hallittavat voidaan vielä jakaa kahteen tai useampaan eri ryhmään.
Tyhmä kytkin on tyhmä kytkin on tyhmä kytkin. Sellaisessa ei ole mitään asetuksia joita saa muutettua eikä eri valmistajan kytkimet eroa toisistaan oikein mitenkään; siitä myös "kytkin on kytkin on kytkin" sanonta tulee. Nämä on myös halpoja; tyhmä, 5xGbit porteilla varustettu kytkin maksaa Suomessa 20€ tai vähemmän.
"Smart" tai "smart managed" kytkin on netti selaimen tai erillisen graafisen käyttöliittymän kautta hallittava kytkin. Tällaisissa on paljon asetuksia ja useimmiten täysin riittävä jos vain tarvitaan "hallittavaa kytkintä". Näitä saanee muutamalla kympillä.
Hallittava kytkin on sitten se "tehokkain" ja monimutkaisin vaihtoehto. Jos menet jonkin yrityksen palvelinhuoneeseen ja siellä on räkissä Ciscon tai HP:n jne laite jossa vilkkuu helvetisti valoja ja se huutaa kuin hoosianna niin sellaiset on useimmiten hallittavia kytkimiä. Näitä voidaan konfiguroida myös suoraan komentorivin avulla SSH:lla tai reitittimeen erikseen kytkettävällä serial kaapelilla. Näissä sitten halvimmat hinnat lähtee sieltä jostain lähempänä satasesta ylöspäin.​
Ja se on siinä. Sinun reitittimen perässä oleva tietokone ei voi jutella kakaroiden reitittimen perässä olevalle tietokoneelle suoraan koska ne ovat eri verkoissa.
Tosin jos sinun "modeemi" on oikeasti yhdistelmä laite eli siinä on modeemin lisäksi reititin ja kytkin ja WLAN niin tällainen pitäisi pystyä asettamaan "bridge" eli silta tilaan. Silta tilassa WLAN tai reititys ominaisuudet eivät ole käytössä. Mutta tässä tapauksessa sinun ei pitäisi tarvita sitä erillistä tyhmää kytkintä koska siinä laitteessa on jo itsessään kytkin.​
Ja tämä toimii sen takia koska sinulla on kiinteässä netti liittymässäsi ne 5kpl dynaamisia IP osoitteita käytettävissä.

Jos taas haluat hoitaa tämän yhdellä laitteella niin tarvitset tähän VLANeja tukevan reitittimen. Tätä ei löydy läheskään kaikista "kuluttajatason" reitittimistä koska useimmiten kuluttajat eivät tarvitse tällaisia ominaisuuksia. En nyt lähde perkaamaan tätä VLAN juttua tällä kertaa. Se ei kuitenkaan ole mitään rakettitiedettä.
 
Kiitos kaikille ja @Lagittaja :lle pitkästä kattavasta ja hyvistä vastauksista !

Ei tarvinnu tiliä luoda opendns family shieldiin(oli @jarif jo alkujaan oikeassa), sieltä sivulta vaan dns osoitteet reitittimeen ja ainakin pornosuodatin toimii. Turhakin hyvin, ainakin tunnetuimmat pornosaitit evätään. Ei tuo pornokaan ollu se pääasia , mutta kiva lisä kun alkuun ajattelin saada estetttyä kaiken maailman "aimbotit" koodit ym haitake sivustot, mutta toivotaan että tuo blockailee myös semmoisia linkkejä googlesta ym. Yhtä tehokkaasti kuin tuota kaunista vähäpuheista urheilua.

Rupeskin kiinnostamaan jos tutkis vähä enemmän vielä tuota koko opendns systeemiä oikein tilin kera. Se on mietinnän alla. Miten nuo nyt sitten eroaa esim. cloudfaren tai dns.watchin ym. dns osoitteista näin niinkuin turvallisuudellaan ? Niinno, ainakin tuo blokkaus toimii ja kakrut nyt ei ainakaan alkuun ilman valvontaa istu kauaa että pääsis proxyillakaan kiertämään näitä estoja.

Mitäs muuta rajotteita kannattaa harkita ? Tai yleensäkkin jotain huomiion otettavaa , vai mennäänkö tässä jo jopa liian pitkälle kun aletaan suodattamaan jo verkkosisältöäkin ? Tehkööt nuo sitte omassa kodissa netillään mitä tykkäävät, yritän minimoida työtunnit kun kokoajan on jotain jossain laitteessa :)
 
Sehän on ihan 100% varmaa että jollain kyllä keksivät ohittaa (jossain vaiheessa kun ikää on enemmän) , ei ne tyhmiäkään ole (vetoan tässä vaiheessa, että tulevat tuohon viisaampaan osapuoleen).

Mutta. Jos pystyn edes verkkojani , suojaamaan edes vähän ja osaan tarvittaessa ratkoa ongelmia ( teidän kanssa ) , ja osittain suodattamaan törkeydet lapsieni silmistä ( ennen omilleen muuttamista ) koen vanhempana ja tietokoneen omistavana ihmisenä onnistuuneeni jotenkuten tyydyttästi tässä asiassa. Kyllähän noi kavereiden kanssa tekee just mitä ne haluaa, en sitä voi kontrolloida mutta ainakin parhaani yrittäny.
 
Jos heillä on admin oikeudet koneeseen (aikas varmaan on jos kerta asentelevatkin itse ohjelmia/pelei), ei tarvii ku käydä laittaa DNS osoitteet manuaalisesti ja eipä tuosta sitten ollut sen enempää vastusta. Ikävä kyllä on hankalaa helposti tehdä estoja, joutuu sijoittamaan rahaa jotta saisi toimivan paketin, mut onko se sit enää järkevää on jokaisen oma asia...
 
=JP= sanoi:
Jos heillä on admin oikeudet koneeseen (aikas varmaan on jos kerta asentelevatkin itse ohjelmia/pelei), ei tarvii ku käydä laittaa DNS osoitteet manuaalisesti ja eipä tuosta sitten ollut sen enempää vastusta. Ikävä kyllä on hankalaa helposti tehdä estoja, joutuu sijoittamaan rahaa jotta saisi toimivan paketin, mut onko se sit enää järkevää on jokaisen oma asia...
Napsauta laajentaaksesi...

Mikään ei kuitenkaan estä laitteita käyttämästä jotain muuta DNS osoitetta.
Tämän pystyy "kunnollisella" reitittimellä estämään lähes täydellisesti. Ainoastaan proxyt ja VPN:t menee tästä ohi ja tätä ei ole yksinkertaista estää.
Napsauta laajentaaksesi...

No ei se nyt niin hankalaa ole. Rahan sijoittaminen toki on hyvä pointti mutta ei esim Edgerouter X ~55-60€ investoinnilla ole mikään huono investointi.

@Stanley H. Tweedle

Mainitaan myös Destination NAT.
Minun mielestä ehkä järkevämpi ja elegantimpi tapa tehdä tämä eli ei anneta clienttien hakata päätä seinään (palomuuri) jos yrittävät käyttää jotain muuta DNS palvelinta vaan uudelleen ohjataan se liikenne hiljaisesti minne halutaan.
Esimerkki ER-X:n konfiguraatiosta
upload_2018-8-18_16-28-21.png
Jossa
inbound interface on se mistä se liikenne tulee mitä halutaan ohjata
eli tässä tapauksessa switch0 on ER-X:n sisäinen kytkin jossa on kiinni eth1-eth4 portit​
translation address eli mihinkä se tuleva liikenne ohjataan ja tässä tapauksessa ER-X:ään koska se toimii sisäverkon DNS palvelimena ja sinne ne esim OpenDNS palvelimet laitettaisiin.
destination address ja port eli mihinkä se liikenne on menossa jota halutaan ohjata. Tässä tapauksessa ! jonka perässä IP tarkoittaa sitä että jos liikenne EI ole menossa 10.99.10.1:53 vaan esim 8.8.8.8:53 niin sitten se liikenne ohjataan sinne minne halutaan.

Eli jos tämän kanssa vaikkapa tietokoneella vaihdetaan DNS 8.8.8.8 osoitteeseen ja tehdään DNS kysely niin kun se saapuu reitittimelle niin reititin katsoo että 8.8.8.8 ei ole 10.99.10.1 ohjataampas tämä minne DNAT sääntö haluaa.

Komentorivillä jos yrittää nslookupilla tätä varmistaa niin se luulee että kysely menee 8.8.8.8 koska se on asetettu ensisijaiseksi DNS palvelimeksi verkkoasetuksissa ja sinne se nslookup sen kyselyn lähetti mutta nslookup ei näe mitä se reititin tekee.
upload_2018-8-18_16-40-4.png

Eli jos katsotaan NATti säännön statseja reitittimen päästä niin siellä ne ohjautuu reitittimen DNS palvelimelle (count lukema).
upload_2018-8-18_16-39-12.png

Niin elegantti ratkaisu kuin olla ja voi.
 
Juuh, kyl toi EdgeRouter on todella näpäkkä laite hintaansa nähden, ei siinä kyllä rahojaan hukkaan pistä! Ennemmin tollasen hankkii kuin pistää vanhan koneen puhisee noihin hommiin...

Tarkoitus ollut itsekin tuollainen hankkia, menee pieneen tilaan, ei vie paljoa sähköä ja hiljanen.
 
Mites @Lagittaja tuo lasten laitteen eriyttäminen minun verkosta tapahtuu , osaatko kertoa ?
Täytyykö minun modeemin asetuksia muuttaa, vai tehdäänkö asetuksia pelkästään tuosta lasten modeemista joka halutaan erilleen ? Epäilen hieman että se on samassa verkossa edelleen minun modeemini kanssa.

Tällä hetkellä nämä lasten subnet mask, default gatewayt on vakio asetuksilla, ainoa johon olen koskenu on se laitteen saama ip osoite(sen laitteen osoite) sen lisäksi start ip adress ja end ip adress , mutta vielä se toimii kyllä. Mutta epäilen että sitä ei ole vielä eriytetty koska molemmissa modeemeissa on varmaan aikalailla samanlaiset "orginaali" asetukset.

Mitä tietoja pitää muuttaa, jos lähdetään siitä ja kummastako laitteesta ? Verkkolaitteet menee näin nyt, kun minun laite kaapelimodeemi saa seinästä netin, jossa "tyhmä kytkin" kiinni ja sen jälkeen kytkimestä -> lasten laite joka pitäis saada erilleen. Haluaisin nimenomaan sen tuossa järjestyksessä ettei vaihdeltais nyt laitteiden järjestelyä sen kummemmin jos mahdollista.

Tällä hetkellä kaikki laitteet taloudessa taitavat saada 192.168.x.xx osoitteita. Haluaisin myös tuon säilyvän , että laitteet saisivat jatkossakin tuon mallisen osoitteen mikäli mahdollista.
 
Onko mahdollista wan & lan suojata salasanalla jotenkin jossain (ei omissa nykylaitteistoissa ole tämmöistä vaihtoehtoa ainakaan) ? Jos lähdetään pois kotoa ja kuvitellaan että lapset jää kotia tilanteessa jossa he aikovat pitää "lanit" kavereiden kanssa meillä. Miten suojaan lan portit omasta laitteestani jotta eivät kytke laitteistojaan minun reitittimen lan portteihin ?

Heillä täytyisi olla käytössä vain heille tarkoitettu reititin sekä kytkin, mutta ainahan on mahdollista että käyttävät myös minun modeemia.
 
Vauhtimursu sanoi:
Onko mahdollista wan & lan suojata salasanalla jotenkin jossain (ei omissa nykylaitteistoissa ole tämmöistä vaihtoehtoa ainakaan) ? Jos lähdetään pois kotoa ja kuvitellaan että lapset jää kotia tilanteessa jossa he aikovat pitää "lanit" kavereiden kanssa meillä. Miten suojaan lan portit omasta laitteestani jotta eivät kytke laitteistojaan minun reitittimen lan portteihin ?

Heillä täytyisi olla käytössä vain heille tarkoitettu reititin sekä kytkin, mutta ainahan on mahdollista että käyttävät myös minun modeemia.
Napsauta laajentaaksesi...

On mahdollista, mutta vaatii käytännössä enterprise tason laitteet. Eli kytkimen/reitittimen joka tukee 802.1X porttikohtaista autentikointia sekä radiuspalvelimen, jota vasten liitetyt laitteet autentikoidaan salasana/käyttäjätunnus kombolla. Laitteet voidaan myös autentikoida näin mac-osoitteen perusteella, jolloin itse palvelinta ei tarvita.
 
Ghetto tyyliin hankit lootan jonka saa lukkoon ja tarpeen mukaan reiät kaapeleille :)
 
Toi on luultavasti se paras ratkaisu :) Ja vieläkun jaksais räpeltää tuuletuksen laatikolle että sais lämpimän ilman puhkumaan ulos sittenhän se ois hyvä ratkaisu. Tuossahan olis kyllä hetkeksi taas askarreltavaa kun kyhäilis jotain.

Mites mä saan tuon lasten reitittimen erilleen omasta verkosta ? Se on edelleen ratkomatta, mitkä asetukset on ne mihinkä pitää kiinnittää huomio ?
 
Lagittaja sanoi:
No ei se nyt niin hankalaa ole. Rahan sijoittaminen toki on hyvä pointti mutta ei esim Edgerouter X ~55-60€ investoinnilla ole mikään huono investointi.

@Stanley H. Tweedle

Mainitaan myös Destination NAT.
Minun mielestä ehkä järkevämpi ja elegantimpi tapa tehdä tämä eli ei anneta clienttien hakata päätä seinään (palomuuri) jos yrittävät käyttää jotain muuta DNS palvelinta vaan uudelleen ohjataan se liikenne hiljaisesti minne halutaan.
Esimerkki ER-X:n konfiguraatiosta
upload_2018-8-18_16-28-21.png
Jossa
inbound interface on se mistä se liikenne tulee mitä halutaan ohjata
eli tässä tapauksessa switch0 on ER-X:n sisäinen kytkin jossa on kiinni eth1-eth4 portit​
translation address eli mihinkä se tuleva liikenne ohjataan ja tässä tapauksessa ER-X:ään koska se toimii sisäverkon DNS palvelimena ja sinne ne esim OpenDNS palvelimet laitettaisiin.
destination address ja port eli mihinkä se liikenne on menossa jota halutaan ohjata. Tässä tapauksessa ! jonka perässä IP tarkoittaa sitä että jos liikenne EI ole menossa 10.99.10.1:53 vaan esim 8.8.8.8:53 niin sitten se liikenne ohjataan sinne minne halutaan.

Eli jos tämän kanssa vaikkapa tietokoneella vaihdetaan DNS 8.8.8.8 osoitteeseen ja tehdään DNS kysely niin kun se saapuu reitittimelle niin reititin katsoo että 8.8.8.8 ei ole 10.99.10.1 ohjataampas tämä minne DNAT sääntö haluaa.

Komentorivillä jos yrittää nslookupilla tätä varmistaa niin se luulee että kysely menee 8.8.8.8 koska se on asetettu ensisijaiseksi DNS palvelimeksi verkkoasetuksissa ja sinne se nslookup sen kyselyn lähetti mutta nslookup ei näe mitä se reititin tekee.
upload_2018-8-18_16-40-4.png

Eli jos katsotaan NATti säännön statseja reitittimen päästä niin siellä ne ohjautuu reitittimen DNS palvelimelle (count lukema).
upload_2018-8-18_16-39-12.png

Niin elegantti ratkaisu kuin olla ja voi.
Napsauta laajentaaksesi...
Vaikuttaa hyvältä. tuohon pitäisi päästä. Mulla on nyt Asuksen N56U (padavan) reitittimessä tehty automaattisilla komennoilla google dns kyselyiden uudelleen ohjaus piholeen laittamalla seuraavat rivit tuonne palomuurin jälkeiseen scriptilaatikkoon.
Koodi: 
#reroute google dns to pihole
iptables -t nat -A PREROUTING -i br0 -p udp --destination 8.8.8.8 --dport 53 -j DNAT --to 192.168.11.5
iptables -t nat -A PREROUTING -i br0 -p udp --destination 8.8.4.4 --dport 53 -j DNAT --to 192.168.11.5
Olishan se hienoa kun kaikki muutkin DNS kyselyt menisi tuon piholen kautta. Itse en vaan näistä mitään ymmärrä. Olen netistä onnistunut löytämään näitä rivejä.
 
angle sanoi:
Vaikuttaa hyvältä. tuohon pitäisi päästä. Mulla on nyt Asuksen N56U (padavan) reitittimessä tehty automaattisilla komennoilla google dns kyselyiden uudelleen ohjaus piholeen laittamalla seuraavat rivit tuonne palomuurin jälkeiseen scriptilaatikkoon.
Koodi: 
#reroute google dns to pihole
iptables -t nat -A PREROUTING -i br0 -p udp --destination 8.8.8.8 --dport 53 -j DNAT --to 192.168.11.5
iptables -t nat -A PREROUTING -i br0 -p udp --destination 8.8.4.4 --dport 53 -j DNAT --to 192.168.11.5
Olishan se hienoa kun kaikki muutkin DNS kyselyt menisi tuon piholen kautta. Itse en vaan näistä mitään ymmärrä. Olen netistä onnistunut löytämään näitä rivejä.
Napsauta laajentaaksesi...

Tuohan on näköjään sama asia eli siis Destination NAT :)
Mutta jos haluat ohjata kaikki DNS kyselyt Piholelle niin eikö siihen riittäisi että poistat --destination x.x.x.x tuosta nykyisestä konffistasi?
Niin tuo minunkin DNAT sääntö toimii, en määrittänyt mitään destination IP:tä vaan pelkästään portin (53). Eli kaikki liikenne mikä liikkuu portissa 53 ohjataan sinne minne halutaan, sinun tapauksessasi 192.168.11.5:53.

Tosin tarvitset tuohon myös TCP säännön. DNS käyttää siis pääasiassa UDP:tä mutta jos paketti on liian suuri UDP:lle niin sitten käytetään TCP:tä.
Eli poista molemmilta riveiltä --destination x.x.x.x ja toisessa vaihdat -p udp > -p tcp

P.S. En ole mikään iptables ammattilainen joten en lupaa yhtään mitään :vihellys:
 
Lagittaja sanoi:
Tuohan on näköjään sama asia eli siis Destination NAT :)
Mutta jos haluat ohjata kaikki DNS kyselyt Piholelle niin eikö siihen riittäisi että poistat --destination x.x.x.x tuosta nykyisestä konffistasi?
Niin tuo minunkin DNAT sääntö toimii, en määrittänyt mitään destination IP:tä vaan pelkästään portin (53). Eli kaikki liikenne mikä liikkuu portissa 53 ohjataan sinne minne halutaan, sinun tapauksessasi 192.168.11.5:53.

Tosin tarvitset tuohon myös TCP säännön. DNS käyttää siis pääasiassa UDP:tä mutta jos paketti on liian suuri UDP:lle niin sitten käytetään TCP:tä.
Eli poista molemmilta riveiltä --destination x.x.x.x ja toisessa vaihdat -p udp > -p tcp

P.S. En ole mikään iptables ammattilainen joten en lupaa yhtään mitään :vihellys:
Napsauta laajentaaksesi...
Kokeiltu paria vaihtoehtoa pikaisesti, mutta ei toiminut, vielä.;)

Koodi: 
#reroute all dns to pihole
iptables -t nat -A PREROUTING -i br0 -p udp --dport 53 -j DNAT --to 192.168.11.5
iptables -t nat -A PREROUTING -i br0 -p tcp --dport 53 -j DNAT --to 192.168.11.5

# Mop up ANY other DNS servers to pihole
iptables -t nat -A PREROUTING -i br0 -p udp -m udp --dport 53 -j DNAT --to-destination 192.168.11.5
iptables -t nat -A PREROUTING -i br0 -p tcp -m udp --dport 53 -j DNAT --to-destination 192.168.11.5
 
angle sanoi:
Kokeiltu paria vaihtoehtoa pikaisesti, mutta ei toiminut, vielä.;)

#reroute all dns to pihole
iptables -t nat -A PREROUTING -i br0 -p udp --dport 53 -j DNAT --to 192.168.11.5
iptables -t nat -A PREROUTING -i br0 -p tcp --dport 53 -j DNAT --to 192.168.11.5
Napsauta laajentaaksesi...

Googlettelin asiaa lisää ja nuo taikaloitsut pitäisi olla oikein.

Mikä ei toiminut? Mitä/miten testasit?

Lagittaja sanoi:
Eli jos tämän kanssa vaikkapa tietokoneella vaihdetaan DNS 8.8.8.8 osoitteeseen ja tehdään DNS kysely niin kun se saapuu reitittimelle niin reititin katsoo että 8.8.8.8 ei ole 10.99.10.1 ohjataampas tämä minne DNAT sääntö haluaa.

Komentorivillä jos yrittää nslookupilla tätä varmistaa niin se luulee että kysely menee 8.8.8.8 koska se on asetettu ensisijaiseksi DNS palvelimeksi verkkoasetuksissa ja sinne se nslookup sen kyselyn lähetti mutta nslookup ei näe mitä se reititin tekee.
Napsauta laajentaaksesi...

Olisi ehkä pitänyt kertoa miten sen toimivuuden voi varmistaa vaikkapa nslookupin kanssa. Esimerkkinä DNAT sääntö jossa DNS kyselyt ohjataan OpenDNS:n FamilyShield palvelimelle.
Tämä yksi tapa, on niitä varmaan muitakin. Tässä testaus tavassa tietenkin vaaditaan että ne DNS kyselyt ohjataan OpenDNS:n FamilyShield palvelimelle..​
Eli nslookup www.jotainminkäopendnsfamilyshieldblokkaa.com 8.8.8.8
Eli nslookup kysyy 8.8.8.8 palvelimelta mikä em. osoitteen IP on.
Ensin ilman DNAT sääntöä: nslookup vastaa että IP on ABC
Vastaus tuli oikeasti Googlelta ja IP on oikein.​
Sitten DNAT säännön kanssa: nslookup vastaa että IP on XYZ
Vastaus tuli nyt OpenDNS:ltä ja IP:n hostname on hit-adult.opendns.com​
upload_2018-8-31_6-16-1.png

Viisaammat voi kertoa muita testaus tapoja.
 
Noo tosiaan pikaisesti eilen illalla kokeilin, kun työt häiritsee. Kokeilu tehty tosiaan niin, että tietokoneen verkkoasetuksiin vaihdoin automaatin sijaan esim. googlen DNS osoitetta. Käynnistetty yhteys uudelleen ja piholen logeista sitten seurattu tulevia DNS kyselyjä. no tämä homma tyssässi siihen, että nettisivut ei latautuneet vaan herjasivat ettei löydä DNS palvelua tjs.

Täytyy vielä kokeilla lisää... kunhan kerkiää.
 
Meni varmaan puihin mutta kysympäs olinko vähääkään oikeilla jäljillä tuon lasten modeemin eriyttämisessä omaan verkkoonsa.

Avasin lasten modeemin hallintasivut.
- Etsin lan kohdan, ja muutin sieltä ip adressin 192.168.1xx.1xx (laitteen hallintasivulle pääsee nyt tuolla osoitteella)
- Subnet Mask kohtaan laitoin 255.255.255.xxx

Tallenna, reboot , uloskirjaudu. Ja tuloksena, netti kyllä toimii laitteissa eli eroa en huomaa enkä lopputuloksesta nyt tiedä onko tuo "eristettynä" omaan verkkoonsa minun verkosta.

Mietin seuraavaksi että täytyykö nuo asetukset muuttaa WAN kohdassa(että menis oikein) eikä lan kohdassa ? Nythän siinä wan kohdassa on Dynamic IP valinta, eikä manuaalisti ei pysty asettamaan näitä ip adress, subnet mask tai default gateway arvoja.

Jos vetolaatikosta laittaa static ip vaihtoehdon, pystyy nuo arvot määrittämään manuaalisti itse. Mutta, mikä on tuo oikea tapa mitä täytyy muutella ? wan vai lan ?
 
Mun ymmärtääkseni jos sulla on kaksi erillistä reititintä, jotka saavat omat IP osoitteensa WAN:n kautta suoraan palvelun tarjoajalta, niin ei ne verkot voi nähdä toisiaan sisäisillä LAN osoitteilla. Ei vaikka ne alkuosat olisikin samat.
 
DHCP kun on enabloituna, niin mukaili ainakin automaattisesti lan puolella laittamiani asetuksia.

Nyt vain tietokoneella joka on minun reitittemessäni en pääse lasten reitittimeen käsiksi, mutta lasten reitittimessä olevalla tietokoneella pääsen omaani käsiksi (tai siis molempiin pääsee tämän vuoksi mietin että ei ne taida olla omissa verkoissaan).., järjestyshän laitteilla on näin : Seinä -> Minun reititin, -> kytkin , -> lasten reititin kytkimen kautta / tai suoraan minun reitittimestä en nyt muista kummasta lähtee mutta eihän sillä pitäs olla väliä kun ei ole hallittavia kytkimiä...?

Edit: Niinjoo lasten reitittimen jälkeen heillä on vielä tyhmä kytkin mutta se ei vaikuttane mihinkään mitenkään. Eli kahdella kytkimellä ja kahdella reitittimellä mennään. Lasten laitteessa on myös wi-fi päällä kun osa laitteista menee sitäkautta, tuskin tuollakaan on mitään merkitystä tässä asiassa.

Ainut mitä DHCP puolelta ei ole asetettu on Default Domain, eikä sitä vissiin tarvitakkaan ?
DNS osoitteina on tuo DNS family shield

Hitto tää on sekavaa google ja wikipedia savuaa kohta ku plaraan sivuja eikä näistä tolkkua saa.
 
Viimeksi muokannut ylläpidon jäsen:
Mikäs yhteys tekniikka sulla nyt siis on, eli mikä siellä seinässä on? Palveluntarjoaja?

Menee noissa sun viesteissä niin pahasti sekaisin ainakin modeemi/reititin sanat.

Nythän vaikuttaisi siltä että tuo lasten kytkin on konfattu siltaavaksi, eli kaikki laitteet saa IPt sun muut tuolta sinun reitittimeltä
 
Viimeksi muokattu:
Optimi tilanne, jos sulla on seinästä suoraan data verkkokaapelilla ja palveluntarjoaja mahdollistaa kahden laitteen yhtäaikaisen kytkemisen, eli molemmat saa oman IPn.

Koodi: 
Seinä - kytkin - sun reititin
               |- lasten reititin

Näin molemmat reitittimet saa IPn suoraan palveluntarjoajalta, eikä näe toisiaan ja voit konfata ne miten haluat.
 
Sori, on tuo sekavaa tekstiä joo.

Seinä ja kaapelimodeemi. Eli tulee antennijohdosta netti palveluntarjoajalta ja ciscohan täältäkin löytyy. Ymmärsin että tuo malli olis reitittävä myös. Lan portteja on 4 sekä wi-fi, mutta wifi on pois kytketty tästä laitteesta kun tässä sitä ei tarvita.
Sitten tulee kytkin , ja kytkimestä johto lasten modeemille (jonka oletin olevan myös reititin ) wi-feineen ja lan portteineen.

Tuosta lasten modeemista lähtee sitten myös johto vielä kytkimelle.

Mutta , Seinä (internet palvelun tarjoaja) - Cisco 4 lan porttia (minun modeemi) - Kytkin - Lasten reititin tai modeemi 4lan porttia & wifi - kytkin.

Voiskohan se olla niinkin että mikään näistä ei ole reititin, vaan tavallisia modeemeja ? Hieman tuo nyt taas sekottanu omia ajatuksia kun yrittäny tutkia ja opetella.. Hieman nyt alkaa punottaan kasvot jos sitä on puhunu ihan mitä sattuu.
 
Niin kauan kun tuo Cisco on laite, johon omat koneesi kytket, niin et noita helpolla erota millään.

Tutkisin ensin saako tuon Ciscon siltaavaksi, en tunne kaapelimodeemi tekniikkaa kovin tarkkaan, niin en tiedä onko tuo mahdollista. Operaattorilta kysymällä selvinnee, samalla kannattaa kysyä voiko kytkeä useamman laitteen kiinni tuossa tilanteessa.

Jos onnistuu tuolainen, niin sitten edellinen kuvaamani sydeemi olisi ehkä se toimivin ratkaisu.

En myöskään ole ehtinyt ostamaan tuota EdgeRouteria, että onnistuisiko siinäkin jo porttikohtainen erittely. Vaikuttaa tehokkaalta kuluttajatason laitteelta. Muut osannee vastata siihen.

Eli kyllähän siinä olisi parikin erilaista tapaa, mutta kaikki vaaatii oman homman ja tutkimisen....

Ei tää kosketusnäytöllä pitempi kirjottaminen ole mun juttu :)
 
Kiitos kun jaksoit kosketusnäytölläsikin avustaa :)

Taidan kuitenkin nyt sitten palautella nuo aiemmat asetukset "defaultteihin" ja antaa olla.

Yritän tulkita tätä lagittajan kirjoittamaa kohtaa :
Yksinkertaisimmillaan sinulla olisi erillinen modeemi (oli se sitten kaapeli, ADSL, VDSL jne) tai sitten suoraan RJ45 reikä seinässä mistä sinulle tulee "ethernet netti". Tämän modeemin perään tai suoraan siihen RJ45 reikään liitetään tyhmä kytkin ja sitten siihen kytkimeen liitetään aikuisten reititin ja sitten kakaroiden reititin.

...

Ja se on siinä. Sinun reitittimen perässä oleva tietokone ei voi jutella kakaroiden reitittimen perässä olevalle tietokoneelle suoraan koska ne ovat eri verkoissa.
Napsauta laajentaaksesi...

Nyt tuosta saa kuvan että kaapelimodeemi -> kytkin -> 2 eri reititintä = 2 eri verkkoa eikä asetuksiin tarvitse sattua ? Joudunko siis vielä ostamaan yhden modeemi reitittimen , että saan eri verkot eli yhteensä 3 eri laitetta + kytkimet ?
 
@Vauhtimursu

Mikäs tuo Ciscon malli on? Eli jos sen saa siltaavaan tilaan ei kytkintä tarvita väliin ja voit liittää lasten reitittimen siihen suoraan ja kaveriksi tarvitset sitten uuden reitittimen omille vehkeille samoin suoraan Ciscoon kiinni.

E: Olen kytkenyt useammankin kaapelimodeemin siltaavaksi, ei ongelmaa. Yleensä operaattorilta saa sen viisi ulkoista IP-osoitetta, että sekään ei ongelma.

@=JP=

Edgerouterissa on joo mahdollista tehdä eri verkot ethrnetporttikohtaisesti.
 
Kokeilin web sivu pohjaista flow chartia vääntää, mutta enpä saanu kuvaa liitettyä tästä tabulta sit.

Eli kannattaa yrittää saada tosiaan siltaavaksi toi Cisco, hankkia 2 reititintä ja konfata ne kuntoon, kuten aikaisemmissa viesteissä on ehdoteltu useampikin...

Edit. Katotaas, taisin saada kuvan toimimaan

7zgAIjn.jpg
 
Viimeksi muokattu:
Tuo selvitti hyvin asian. Pari kysymystä heräs silti vielä.
Onko tämä nyt oikeanlainen reititin, kun puhutaan noista reitittimistä ?
TP-LINK ARCHER C20 REITITIN

Jos on niin sitten kannattaa varmaan odottaa että tulee wpa3 reitittimiä ja ostaa 2 semmoista kerralla tai tarpeen mukaan. 1 jossa olis wi-fi ominaisuus mukana ja toinen kelpais vaikka tuommoinen edgerouter x mallinen ihan loistavasti ?


Elikkäs... Jos asetan ciscon siltaavaksi , saan 5 ip osoitetta käyttööni, luultavasti. Eikä se ole ciscolla 192.168.xx.xx alkuinen osoite sitten enää. Voiko sitten 2 kpl reititintä asettaa reitittäväksi jolloinka cisco jakaa kahta ip osoitetta reitittimille, ja kaikki laitteet reitittimissä saa kuitenkin 192. alkuisen osoitteen normaaliin tapaan ? Ciscoon ei kytkettäisi muita laitteita vaan ainoastaan nämä 2 reititintä ?

Miten käy ciscon ja muiden reitittimien tietoturvan tässä tapauksessa ? Nyt se cisco on reitittävänä , mutta jos laitan siltaavaan tilaan miten käy ? Mitä täytyy huomioida ?
 
Ciscon malli on todennäköisesti joku EPC3825/3828/3925/3928 ja kyllä pitäisi saada siltaavaksi. (Terv. EPC3928 omistaja.)
Eli jos siltaat Ciscon niin silloin se ei toimi reitittimenä tai WLAN tukiasemana, se vain toimii siltana operaattorin verkon ja sinun oman verkkosi välillä.
Jos Cisco on sillattuna niin silloin tarvitset myös toisen reitittimen sinun omaan käyttöösi lasten reitittimen lisäksi. Ja kuten =JP= ja Stanley sanoi niin Ciscoon kytket kahteen eri porttiin sinun oman reitittimesi ja sinun lastesi reitittimen.

Ja mitä Edgerouteriin tulee niin lyhyesti ja ytimekkäästi sanottuna vain taivas ja osaaminen on rajana että mitä sillä saa aikaan. (No ei tällä nyt kuuhun mennä mutta konfiguroitavuus ja säädettävyys on ihan eri planeetalta verrattuna "perinteisiin kuluttaja reitittimiin".)

Lisäksi Vauhtimursu, tuon lainaamasi "Ja se on siinä." lauseen alapuolella kirjoitin
Tosin jos sinun "modeemi" on oikeasti yhdistelmä laite eli siinä on modeemin lisäksi reititin ja kytkin ja WLAN niin tällainen pitäisi pystyä asettamaan "bridge" eli silta tilaan. Silta tilassa WLAN tai reititys ominaisuudet eivät ole käytössä. Mutta tässä tapauksessa sinun ei pitäisi tarvita sitä erillistä tyhmää kytkintä koska siinä laitteessa on jo itsessään kytkin.
Napsauta laajentaaksesi...

Sen erillisen kytkimen toin esille lähinnä siksi kun ei ollut vielä mitään käsitystä että miten se netti sinne teille tulee. Ja varmuuden vuoksi koska joissakin modeemi reitittimissä kaikki portit eivät toimi sillattuna. Esimerkiksi vain LAN4 portti. Tietääkseni näissä Ciscon laitteissa kaikki portit pitäisi kuitenkin olla sillattuna mutta en ole varma koska en ole testannut sitä.

Vuodatus

Modeemi, reititin jne termejä on käytetty vähän miten sattuu tässä ketjussa ja tämä taitaa johtua lähinnä siitä miten niitä laitteita on markkinoitu kuluttajille.

Verkkolaitteita/rooleja/ominaisuuksia on modeemi, reititin, kytkin, tukiasema ja lisäksi minun joskus käyttämäni "yhdistelmälaite" termi.
Laitteessa/laitteella voi olla vain yksi rooli tai siinä voi olla kaksi, kolme tai neljäkin näistä rooleista yhdistettynä.

Modeemin tehtävä on jutella operaattorin esim. VDSL2 verkon ja sinun verkon välillä. (Modeemi=modem=modulator/demodulator)
Telewell TW-EV902 on siltaava VDSL2 modeemi, Zyxel AMG1001-T10A on siltaava ADSL2+ modeemi, Cisco EPC3010 on siltaava kaapeli modeemi.
Nämä eivät reititä, kytke tai toimi tukiasemana. Teknisesti tuota Zyxeliä voi käyttää reitittävänä mutta ei sitä ole siihen tarkoitettu.. Mikään näistä ei kytke koska niissä on vain yksi RJ45 LAN portti, yleisesti ottaen kun kytkimessä pitäisi olla vähintään kolme porttia (kaksi laitetta ja kolmas portti menee esim reitittimelle). Mikään näistä ei toimi tukiasemana koska, noh, niissä ei ole mitään WiFi radiota..​

Reititin (Suomi Wikipedian kuvaus on hyvä mielestäni joten linkkaan sinne kliks)
Edgerouter 4 on pelkkä reititin. Edgerouter X on kytkimellä varustettu reititin. TP-Link Archer C7 on kytkimellä ja tukiasemalla varustettu reititin.
Lisähuomiona: jos reitittimessä ei ole kytkintä sisäänrakennettuna niin silloin tarvitaan erillinen kytkin mihin ne tietokoneet jne muut laitteet kytketään kiinni. Toki esim tuossa Edgerouter 4:ssä voit kytkeä tietokoneen A porttiin 1 ja tietokoneen B porttiin 2 mutta oletuksena nämä kaksi porttia eivät voi keskustella keskenään. Ne portit voi toki sillata keskenään mutta silloin liikenne kulkee prosessorin kautta ja suorituskyky on paskaa. Kytkin on todella nopea.​

Kytkimen tehtävä on yhdistää (kytkeä toisiinsa) verkon muita osia (ja ohjaa liikenteen minne pitää mennä ohjeiden perusteella)
TP-Link TL-SG1005D on ei-hallittava (=tyhmä) kytkin, Zyxel GS1200-8 on hallittava (smart/web managed) kytkin.
Hallittavat kytkimet ja/tai Layer 2 vs Layer 3 kytkimet on hieman monimutkaisempi asia joten en rupea niitä tässä perkaamaan.​
"Kytkin on kytkin on kytkin" on sanonta mitä ainakin minä käytän. Jos joku kysyy että minkä kytkimen ostaisin niin tämä on validi vastaus. Suorituskyky eroja ei ole varsinkaan tyhmissä kytkimissä ja erot eri kytkinten välillä on lähinnä ulkonäkö jne. Hallittavissa kytkimissä sitten niitä eroja alkaa pikkuhiljaa tulemaan mutta nekin on lähinnä ulkonäkö juttuja koska kytkin on kytkin on kytkin: kytkinten ominaisuudet ovat standardeja juttuja. Toisaalta halvemmista hallittavista kytkimistä voi puuttua jotain erikoisempia juttuja.​

Tukiasemaa on helpoin ajatella langattomana kytkimenä. (Vaikka tukiasema terminä on mielestäni hieman typerä niin älkää silti käyttäkö termiä "langaton kytkin"...)
Ubiquiti Unifi AC Lite on 802.11ac tukiasema. Tämä on sinun WLAN.​

Yhdistelmälaite
Cisco EPC3928 on reitittimellä, kytkimellä ja Wi-Fi tukiasemalla varustettu kaapeli modeemi.
Huawei HG635 tai Zyxel VMG3925 on reitittimellä, kytkimellä ja Wi-Fi tukiasemalla varustettu VDSL2 modeemi.​

Jos Matti Meikäläinen (tai Verkkokaupan mainos) puhuu "kaapeli modeemista" tai "VDSL2 modeemista" niin silloin useimmiten tarkoitetaan Cisco EPC3928 tai Huawei HG635 näin niinkuin esimerkkinä. Nämä ovat yhdistelmälaitteita ja oikeampi termi olisi esimerkiksi "langaton VDSL2 reititin".
Modeemia ei erikseen tarvitse mainita koska siinä termissä se "VDSL2" tai "kaapeli" kertoo sen että laitteessa on kyseinen modeemi.
Sivuhuomiona "kaapeli reititin" kuulostaa tyhmältä omaan korvaan joten jos puhun "kaapeli modeemista" niin suurella todennäköisyydellä tarkoitan "kaapeli reititintä". Anteeksi.
Sanan langaton voi myös korvata Wi-Fillä tai WLANilla mutta tässä yhteydessä esim "Wi-Fi VDSL2 reititin" sanominen tai lukeminen ei ole mielestäni kovin luontevaa saatikka sitten "WLAN VDSL2 reititin".​

Jos puhutaan "reitittimestä" niin useimmiten puhuja tarkoittaa TP-Link Archer C7 tai Asus RT-AC1200G+ tapaista laitetta eli tälle se oikeampi termi olisi "langaton reititin".
Jos et huomannut jo ylläolevasta niin yleensä ("kuluttaja tason") reitittimessä on myös kytkin sisäänrakennettuna joten sitä ei yleensä mainita erikseen eikä kyllä tarvitsekaan. Mutta jos laitteessa ei ole kytkintä sisäänrakennettuna, esim tuo yllä mainittu Edgerouter 4, niin sitten siitä pitäisi huomauttaa (kts. miksi ylempää "lisähuomio" kohta).
Sanan langaton voi myös korvata Wi-Fillä tai WLANilla á la "WLAN reititin" tai "Wi-Fi reititin".​

Jos puhutaan siitä kytkimestä niin silloin puhutaan vain ei-hallittavasta (=tyhmä) kytkimestä. Jos puhutaan hallittavasta (smart/web tai konsoli) kytkimestä niin useimmiten sitten sanotaan suoraan että hallittava kytkin.

Ja viimeisenä jos puhutaan tukiasemasta niin useimmiten tarkoitetaan juurikin sitä pelkästään tukiasemana toimivaa laitetta. Tukiasema kun on jokseenkin epämääräinen sana niin mielestäni usein näkee sen tarkennettuna á la "WLAN tukiasema" tai "Wi-Fi tukiasema".

*Teknisesti Wi-Fi on se korrektimpi termi mutta jostain syystä suomessa käytetään, ainakin minun mielestäni, enemmän WLAN lyhennettä. Ja ainakin minulle se WLAN on helpompi sanoa kuin Wi-Fi. En tätä ole aiemmin huomannut mutta näköjään suomi Wikipediakin ohjaa "WiFi" haun WLAN sivulle ja "Wi-Fi" menee sen WLAN artikkelin Wi-Fi osioon. Mutta jos menet esim jenkeissä hotelliin ja respasta kysyt "onko täällä WLANia" niin täti varmaan katsoo pitkään, Ö Aapisen laidassa, "niin että onko mitä"..
 
Viimeksi muokattu:
@Vauhtimursu

Kun olet nyt päässyt tähän asti, kannattaa tankata noita laitetermejä päähän niin kauan että ymmärrät mitä mikin tekee. Helpottaa verkkoelämää kummasti.

Vauhtimursu sanoi:
Onko tämä nyt oikeanlainen reititin, kun puhutaan noista reitittimistä ?
TP-LINK ARCHER C20 REITITIN
Napsauta laajentaaksesi...

Juu. Tarkemmin reititin/tukiasema kytkimellä.

Vauhtimursu sanoi:
Jos on niin sitten kannattaa varmaan odottaa että tulee wpa3 reitittimiä
Napsauta laajentaaksesi...

Ihan tarpeesta riippuu. Voi joutua odottelemaan vielä reilusti ja asiakaslaitteissakaan tuskin on tukea sille aikoihin.

Vauhtimursu sanoi:
Elikkäs... Jos asetan ciscon siltaavaksi , saan 5 ip osoitetta käyttööni, luultavasti. Eikä se ole ciscolla 192.168.xx.xx alkuinen osoite sitten enää. Voiko sitten 2 kpl reititintä asettaa reitittäväksi jolloinka cisco jakaa kahta ip osoitetta reitittimille, ja kaikki laitteet reitittimissä saa kuitenkin 192. alkuisen osoitteen normaaliin tapaan ? Ciscoon ei kytkettäisi muita laitteita vaan ainoastaan nämä 2 reititintä ?
Napsauta laajentaaksesi...

Kyllä kaikkiin. Paitsi Cisco ei jaa osoitteita reitittimille vaan ne tulevat operaattorilta suoraan.

Vauhtimursu sanoi:
Miten käy ciscon ja muiden reitittimien tietoturvan tässä tapauksessa ? Nyt se cisco on reitittävänä , mutta jos laitan siltaavaan tilaan miten käy ? Mitä täytyy huomioida ?
Napsauta laajentaaksesi...

Ciscoon ei käsittääkseni pääse ulkouolelta kiinni ollenkaan siltaavassa tilassa. Muut reitittimet ovat just siinä missä pitää hoitamassa tehtäväänsä. Laitteilta loppuu tupla-NAT. Homma ok. Reitittimien on tietty hyvä olla päivitettyjä ja säädetty pois oletuksista eli normimeininkiä.
 
Vauhtimursu sanoi:
Onko tämä nyt oikeanlainen reititin, kun puhutaan noista reitittimistä ?
Napsauta laajentaaksesi...

Kyllä.

Vauhtimursu sanoi:
Jos on niin sitten kannattaa varmaan odottaa että tulee wpa3 reitittimiä ja ostaa 2 semmoista kerralla tai tarpeen mukaan. 1 jossa olis wi-fi ominaisuus mukana ja toinen kelpais vaikka tuommoinen edgerouter x mallinen ihan loistavasti ?
Napsauta laajentaaksesi...

Niissä menee vielä aikaa. Älä niitä odottele.
Mutta osa valmistajista päivittää nykyisiä laitteitaan paikatakseen nämä "WPA2 krack" reiät. Mutta kaikki valmistajat eivät ole päivittäneet tuotteitaan tai eivät päivitä ollenkaan.
Jos murehdit asiaa / se on sinulle tärkeä niin katso valmistajan sivuilta löytyykö laitteelle firmware päivitystä ja jos löytyy niin onko siinä mainittuna "WPA2 krack" korjausta. Jos ei ole mainittuna niin kysy asiaa valmistajalta jos tämä on sinulle tärkeä asia. Voit sitten äänestää lompakollasi.

Vauhtimursu sanoi:
Jos asetan ciscon siltaavaksi , saan 5 ip osoitetta käyttööni, luultavasti.
Napsauta laajentaaksesi...

Kyllä, kiinteässä kuluttaja liittymässä useimmiten saa ne 5kpl dynaamisia, julkisia IP osoitteita käyttöön. Asian voi varmistaa operaattorin palvelukuvauksesta tai jostain muusta ukaasista. Mutta Elisa, Telia ja DNA antaa ne 5kpl IP osoitteita.
Tässä Elisan ukaasi mistä tämä löytyy
https://elisa.fi/attachment/content/Kiinteat_laajakaistapalvelut_palvelukuvaus.pdf (aukeaa selaimessa)
Tässä Telian
https://www.telia.fi/dam/jcr:878afe...ia-yhteys-kotiin-palvelukuvaus-11-2017-fi.pdf (ainakin minulla latautui koneelle)
Tässä DNA:n (katso kohta "Modeemien asetus siltaavaksi")
| DNA

Vauhtimursu sanoi:
Eikä se ole ciscolla 192.168.xx.xx alkuinen osoite sitten enää.
Napsauta laajentaaksesi...

Kun Cisco on sillattuna niin sen IP osoite ainakin minulla on 192.168.100.1
Ja Ciscoon kytketyt reitittimet sitten saavat julkisen IP osoitteen operaattorilta.

Vauhtimursu sanoi:
Voiko sitten 2 kpl reititintä asettaa reitittäväksi jolloinka cisco jakaa kahta ip osoitetta reitittimille, ja laitteet reitittimissä saa kuitenkin 192. alkuisen osoitteen normaaliin tapaan ?
Napsauta laajentaaksesi...

Kyllä voi ja kyllä saavat jos konfiguroit reitittimet niin.

Eli kun Cisco on sillattuna ja kytket siihen kaksi reititintä "reitittävässä moodissa" (eli siis oletus moodissa yksinkertaisemmin sanottuna..) niin reitittimet juttelevat suoraan DNA:n palvelimille ja kysyvät (ja saavat..) sieltä julkisen IP osoitteen itselleen.
Cisco toimii siis siltana, se ei tee mitään muuta kuin toimii siltana operaattorin kaapeliverkon ja sinun verkon (lue reitittimien) välillä.​

Ja kun kytket laitteita näihin kahteen reitittimeen niin ne saavat sellaisen yksityisen IP osoitteen kuin se reititin on asetettu antamaan.
Yleensä siis reitittimet vakio asetuksilla käyttää vaikkapa 192.168.0.1 tai 192.168.1.1 IP osoitetta itsellään ja jakavat laitteille sitten vastaavia IP osoitteita.

Oma suositukseni on että asetat sen "reitittimen IP osoitteen" itse ja joksikin muuksi kuin 192.168.0.1 tai 192.168.1.1.
Niin monet reitittimet käyttävät näitä osoitteita oletuksena että jonkin muun IP osoitteen käyttäminen on paikoitellen tietoturvan kannalta positiivinen asia ja mahdollisten päänsärkyjen kannalta (en nyt jaksa selittää mitä nämä voisi olla, jokseenkin harvinaisia mutta silti mahdollisia.)​
Oli se sitten 192.168 alkuinen tai jotain muuta. Niitä yksityisiä IP osoitteita kun on myös muitakin kuin vain 192.168 alkuisia.

Esimerkiksi nyt vaikkapa reitittimen A osoite on 192.168.20.1 ja reitittimen B osoite on 192.168.30.1. Tai 10.69.69.1 ja 172.16.88.1 jos siltä tuntuu.
Tai mikä tahansa numero yhdistelmä, kunhan se vain sopii sille alueelle. (Katso tuo hieman ylempänä oleva linkki)
Tosin mainittakoon että jotkut kuluttaja reitittimet on niin "kuluttaja ystävällisiä" että niihin ei pysty asettamaan esimerkiksi 172.16-35 tai 10.0-255 alkuista IP osoitetta reitittimelle. En tiedä miksi joissakin tuota on rajattu noin mutta tässäkin tapauksessa sinulla on silti 253 vaihtoehtoa mistä valita: 192.168.2.1-192.168.255.1..​

Vauhtimursu sanoi:
Ciscoon ei kytkettäisi muita laitteita vaan ainoastaan nämä 2 reititintä ?
Napsauta laajentaaksesi...

Ei kytkettäisi.

...mutta mikään ei estä kytkemästä Ciscoon enemmän kuin ne 2 reititintä, oli se sitten kolmas reititin tai vaikkapa tietokone jos jostain syystä haluat olla internetissä ilman kondomia.

Vauhtimursu sanoi:
Miten käy ciscon ja muiden reitittimien tietoturvan tässä tapauksessa ? Nyt se cisco on reitittävänä , mutta jos laitan siltaavaan tilaan miten käy ?
Napsauta laajentaaksesi...

Kun Cisco on reitittävä niin siinä on oletus palomuuri käytössä. Siltaavana se ei ole käytössä. Mutta se ei haittaa koska sinun reitittimissäsi on oletus palomuurit käytössä.
Eli tietoturvan kannalta "ei käy mitään". Toki jos kytket suoraan sillattuun Ciscoon tietokoneen niin sitten se kone on suoraan internetissä ilman kondomia kuten sanoinkin jo.


P.S. Olen hidas
 
Siinä onkin Vauhtimursulle perjantai lukemista :)

Älä turhaan stressaannu, vaan rauhassa lueskelet ja kyl ne asiat alkaa loksahtaa paikalleen hiljalleen, jos vaan jaksaa nähdä vähän vaivaa.
 
Kyllä, ei perjantaiksi vaan ihan koko viikonlopuksi on lukemista nyt. Meinasinkin että esitän kysymyksiä vasta ens viikolla kunhan saan kunnolla luettua nämä, mutta piti tulla sanomaan kiitos tästä miten paljon näitte vaivaa vääntää rautalangasta tätä.

Tuntuu että pääsin jyvälle siitä mitä teen seuraavaksi. Cisco siltaavaksi ja siihen ainoastaan nämä 2 reititintä kiinni. Haluaisin tuon edgerouter x ostaa, mutta voiko siihen laittaa kytkimen lisäksi koska nuo paikat jää auttamatta liian vähäksi omiin tarpeisiin.

Ja lasten oma reititin on kanssa, reititin. Se on hallussa ja conffattu perusjutut. Miten se menikään, langaton reititin :)

Ja kun cisco olis asetettu siltaavaaksi, edgerouter x ostettu ja kokeiltu pitäis tuon erillisen verkon tavoite olla saavutettu. Kaikki edgerouter ja lasten reitittimien "asiakaslaitteiden" ei pitäisi voida harrastaa suojaamatonta yhdyntää internetin kanssa. Eikä tule tuplanattauksia kun cisco on siltaavana.

Menikö oikein ?
 
@=JP=

:) Ei hätää, en stressaannu. Nää on mukavia juttuja ainakin niin kauan kun saa apua, just vastasin toiseen aiheeseen eilen että lukemalla on paljon vaikeampi oppia mutta kun saa neuvon ja sitä kautta tehdä asioita on halu ja kyky oppia vielä paremmin.

Tässäkin aiheessa muuten näin sivuhuomiona että lets encrypt eli https salaus menee keltaiseksi (suojaamattomaksi) johtuuko se tuosta kuvasta jos on tähän keskusteluun sivulle laitettu http muodossa ? Jos taas lukee muuta aihetta se on vihreänä eli säilyy suojattuna yhteytenä jos siellä on pelkkää keskustelua ilman kuvan uppauksia ym jotain ns. "ulkopuolista" ?

Tuohon ratkaisu vois olla "pakottaa" kaikki salattuun yhteyteen, tuskin se ketään ainakaan haittais ?
 
Vauhtimursu sanoi:
Tässäkin aiheessa muuten näin sivuhuomiona että lets encrypt eli https salaus menee keltaiseksi (suojaamattomaksi) johtuuko se tuosta kuvasta jos on tähän keskusteluun sivulle laitettu http muodossa ? Jos taas lukee muuta aihetta se on vihreänä eli säilyy suojattuna yhteytenä jos siellä on pelkkää keskustelua ilman kuvan uppauksia ym jotain ns. "ulkopuolista" ?

Tuohon ratkaisu vois olla "pakottaa" kaikki salattuun yhteyteen, tuskin se ketään ainakaan haittais ?
Napsauta laajentaaksesi...
Imgur -palvelu teki io-techille vähän hallaa, ja ainoastaan salaamattomana toimii upotetut kuvat. Pakotuksella katoaa kuva, ei sen ihmeempää.

On vaan se näppärin palvelu upata kuvia, mitä itse tullut käytettyä, kun muutama kuva vuodessa tulee laitettua.
 
Näin tulevaisuuden varalle, vielä ainakin 1 kysymys.

Tuon @=JP= tekemän hienon kuvan kaavion mukainen toteutushan tässä olis tulossa. Jos ajattelin joskus pfsenseä alkaa harjoittelemaan niin mihin väliin se on järkevin sijoittaa ?

=JP= sanoi:
Edit. Katotaas, taisin saada kuvan toimimaan

7zgAIjn.jpg
Napsauta laajentaaksesi...


Ennen ciscoa sitä ei saa, joten vaihtoehto olis ciscon jälkeen ja reitittimien väliin. Miten se tosiaan onnistuis sitten ? Vai saako sitä edes molemmille reitittimille vai täytyykö sitten olla 2 laitetta pfsenssille jos molemmat reitittimet haluaa kulkevan muurin läpi ?
 
Mainittakoon nyt vielä @Vauhtimursu että jos ostat sen toisen langattoman reitittimen niin et tarvitse Edgerouter X:ää mihinkään että saavutat sen minkä haluat. Ja on myös se yksinkertaisin vaihtoehto.

Toki jos haluat ja jos ostat Edgerouter X:n niin sitten voit hoitaa pelkästään sillä reitityksen ja verkkojen eristyksen ja jättää ne kaksi muuta langatonta reititintä "tukiasema moodiin".
Tämä on hyvä ja halpa laite opetella "edistyneempiä" verkko juttuja.

Langattoman reitittimen kohdalla "tukiasema moodilla" tarkoitetaan siis sitä että DHCP palvelin ja NAT otetaan pois käytöstä ja silloin langaton reititin ei tee mitään reititystä.
DHCP on siis se että kun kytket laitteen verkkoon niin se antaa laitteelle IP osoitteen ja kertoo mitä DNS palvelimia käytetään, mistä pääsee internettiin jne.
NAT eli Network Address Translation on yksinkertaisesti sanottuna se mitä se reititin tekee. NAT mahdollistaa sen että sinulla on yksi julkinen IP osoite ja sen takana omassa verkossasi useampi laite yhtäaikaa internetissä. Jos laite A ja laite B on omassa verkossasi ja toinen juttelee Facebookkiin ja toinen Instagramiin niin reitittimen NAT varmistaa että Facebook paketit menee laitteelle A ja Instagram paketit laitteelle B ja niin edelleen.
​
Useimmiten näissä langattomissa reitittimissä on sen setup wizardin yhteydessä valmiiksi tämä "tukiasema moodi" vaihtoehto, en muista mitä kaikkia termejä tästä käytetään mutta "AP mode" on yksi niistä (AP = Access Point eli tukiasema).

Jos teet näin niin Cisco siltaavana ja kytket Edgerouterin Ciscoon. Sitten Edgerouteriin kytket nämä kaksi reititintä. Edgerouteriin sitten konfiguroidaan kaksi eri verkkoa näille reitittimille.
Ja et tarvitse erikseen mitään lisää kytkimiä jos näiden kahden reitittimen portit riittävät koska se langattoman reitittimen kytkin pysyy edelleen aktiivisena tukiasema moodissa. Toki Edgerouteriin voi liittää myös lisää niitä kytkimiä jos ne kahden reitittimen portit ei riitä. Edgerouterissa kun on viisi porttia, yksi kytketään Ciscoon mutta loput neljä voi jakaa niiden kahden eri verkon kesken miten haluat, molemmille kaksi tai toiselle kolme ja yhdelle yksi.

---

"Mihin väliin pfsense tulisi?"
Ciscon ja "langattomien reitittimien" väliin. pfSense on reititin (käyttöjärjestelmä) ja tämä olisi sama asia kuin laittaisit Edgerouterin Ciscon ja langattomien reitittimien väliin.
"Miten se onnistuisi?"
Laitteessa johon asennat pfSensen pitäisi olla vähintään kolme porttia, yksi kytketään Ciscoon ja kaksi muuta sitten olisi niille langattomille reitittimille. Ja kuten sanoin niin tämä on vähän sama asia kuin Edgerouterin kanssa, pfSenseen konfiguroitaisiin kaksi eri verkkoa niille langattomille reitittimille.
 
Tuo EdgeRouter olisi kyllä ehkä parempi ja riittävä vaihtoehto, kuin alkaa rakentaa pfsense sydeemiä, ainakin minun mielestäni. Siinä ei paljoa joudu sijoittamaan rahaa, opettelua siltikin valtavat määrät, tuolla kun pystyy tekemään melkosesti erinäisiä asetuksia verkkoon. Lisäksi pieni, vähävirtanen ja hiljanen siisti laite jonnekin kaappiin lukkojen taakse, ettei lapsukaiset pääse tekemään omiaan.

PfSensen voi asentaa vaikka virtuaaliympäristöön ja opetella sen käyttöä ja katsoa tarviiko tosiaan sellaista.
 
Kirjaudu tai rekisteröidy kirjoittaaksesi tänne.

Uutiset

Uutisia lyhyesti

Uusimmat viestit

Statistiikka

Viestiketjuista
258 409
Viestejä
4 490 244
Jäsenet
74 155
Uusin jäsen
Multitronic

Hinta.fi

Back
Ylös Bottom