Zugriff per Gästezugang auf Raspi

[Dreamboy74de]

Habe mal eben über einen an der Fritzbox angeschlossenen TP-Link EAP-110 der in meinem Fall nur Gastzugang bereitstellt "Nur im Internet Surfen" sozusagen, den Weg über einen Fernzugang zur Fritzbox getestet. Also auf der Fritzbox ein DynDNS Zugang einrichten ich bin bei no-ip.org dann ein Fernzugang sprich "VPN-Verbindungen zur FRITZ!Box" Profil fürs Handy oder was auch immer anlegen... diesen Zugang auf dem Handy anlegen VPN im Handy aktvieren und dann sollte aus deinem Gastnetzwerk der Zugriff möglich sein..eventuell noch unter Internet/Filter/Zugangsprofile bei Gast die Beschränkungen umstellen. Das ganze ist aber im nachhinein unsicher weil dann der "Gast" auch von seinem Zuhause aus dein Raspi steuern kann

[PatrickFro]

Danke für den Test, aber diese Methode ist mir für Gäste auch viel zu kompliziert. Eingriff in ein Handy, damit der Gast das Licht im eigenen Raum steuern kann ist mir etwas "to much". Aber an sich geniale Lösung.

[Unbekannt]

@PatrickFro

falls du eine Fritzbox verwendest, kannst du den Raspi an LanPort4 hängen und in der Fritzbox Oberfläche den Lanport 4 dem Gästenetz zuordnen. Somit müsste aus dem Gäste Wlan der Raspi out of the box erreichbar sein.

Ich habe diese Methode jedoch nie getestet, vllt. irre ich mich auch.
Wie du dann aber aus dem normalen Wlan auf den Raspi zugreifen kannst (Zwecks Wartung etc.), weiß ich nicht, da die beiden Netze ja unterschiedliche IP Bereiche nutzen.

Kannst das ja mal testen.

[Homoran]

@Unbekannt sagte in Zugriff per Gästezugang auf Raspi:

ch habe diese Methode jedoch nie getestet, vllt. irre ich mich auch.

Ich bin mir nicht sicher ob dann das Gäste-LAN das selbe Netz ist, wie das Gäste WLAN

Allerdings nutzt das doch nix, wenn der Raspi NUR noch im Gäste Netz ist

[Dreamboy74de]

@Homoran Richtig Lanport4 kann zu Gast gemacht werden und ist dann gleichgestellt mit dem Wlan-Gast und ist nur dazu zu gebrauchen, aus dem normalen Lan ist er ohne Regeln nicht zu erreichen wenn überhaupt. Das wird so nix weil eine auf dem Raspi installierte CCU ebenfalls eine neue IP bekommt und damit funktionieren dann die Adapter nicht mehr (zb Backitup wegen CCU Backup ) ... also . Die eleganteste Lösung währe den Dyndns mit Portumleitung (Weiterleitung) zum Raspi zu benutzen. Dann würde der Raspi aus dem Inet unter http://schießmich.tot:80xx/ zu erreichen sein darauf kann dann die Fernsteuerung (Vis Weboberfläche) aufbauen. Nur so als Gedankengang bitte nicht nachmachen

[Onkel Fritz]

Ich habe gerade das selbe Problem. Ich will einem Gast die Möglichkeit geben auf VIS oder WebMatic zuzugreifen, aber nur über den Gastzugang der Fritzbox.

Ich kann mir nicht vorstellen, daß es dafür keine technische Lösung gibt. Also sowas wie eine Brücke vom Gastzugang ins Hauptnetz für nur einen Port und/oder eine bestimmte IP. Von mir aus mit Hilfe eines zweiten Raspberry PI.
Gibt es keine Switches, die so was erledigen können? Kenne mich mit Netzwerktechnik leider nicht so gut aus.

Für MQTT könnte ich ich mir das gut vorstellen mit 2 Kontrollern (z.B. WEMOS D1 Mini). Einer im Gastnetz mit dem Gast verbunden, einer im Hauptnetz mit dem mqtt-Server verbunden.

[Homoran]

@Onkel-Fritz Nein das geht nicht
AVM hat aus Sicherheitsgründen das Gastnetz so konzipiert, dass darüber nur das Internet erreichbar ist.

[Sempre]

Hi,

die Fritzbox ist ein Konsumer-Produkt, welches einfach zu administrieren sein soll, dadurch wurde das „interne“ Netz komplett vom Gastnetzwerk abgeriegelt. Es gibt keine einfache Möglichkeit die beiden Netze zu brücken und das ist wie angesprochen so gewollt.

Wenn diese Möglichkeit bestehen soll muss auf ein professionelleres Gerät gewechselt werden, welches mit VLANs umgehen kann und auch eine Firewall mit mehr Optionen beinhaltet. Damit kann man dann eine Regel erstellen, welche den gewünschten Zugriff erlaubt und das Vorhaben realisieren.

[Onkel Fritz]

@Homoran sagte in Zugriff per Gästezugang auf Raspi:

AVM hat aus Sicherheitsgründen das Gastnetz so konzipiert, dass darüber nur das Internet erreichbar ist.

Das ist so nicht ganz richtig. Es gibt eine Einstellung, die es den Geräten im Gastnetz erlaubt, untereinander zu kommunizieren. Brauch ich z.B., damit mein Gast sein Handy und sein Notebook mit KDE-Connect verbinden kann.

Im Prinzip könnte also das Gerät, auf dem iobroker läuft, z.B. per LAN mit dem Hauptnetz verbunden sein und per WLAN mit dem Gastnetz. Dann könnten Gäste iobroker erreichen. Benutzer mit eingeschränkten Rechten können ja in iobroker eingerichtet werden.

Ich hab das jetzt mal mit MQTT getestet, das auf einem Raspberry Pi läuft. Das ist bei mir einfacher. Der Pi ist mit WLAN im Gastnetz und per LAN im Hauptnetz.
Auf dem Handy bin ich im Gastnetz und hab mich mit einem MQTT-Client mit dem MQTT-Server auf dem Pi verbunden.
Jetzt kann ich mit dem Handy einen Shelly-Plug schalten, also aus beiden Netzen gleichzeitig.

Geht also im Prinzip. Und wenn ich nicht will, daß mein Gast steuern kann, schalte ich einfach das WLAN vom Pi ab.

[Sempre]

@Onkel-Fritz

Naja sowohl deine wie auch die Aussage von @Homoran stimmen also solches. Es ging darum das Gästenutzer nicht direkt mit dem internen Netz sprechen können, was so ja stimmt. Das Gästeuser untereinander sprechen können war nicht die Frage .

Den PI in beide Netze zu packen ist ein Workaround, der in diesem Fall dem Ersteller des Threats hilt, denn das will er ja haben. Dazu muss der Pi dann LAN/WLAN haben, aber nativ wenn der Pi nur in dem einen „internen“ Netz ist, geht es ohne VPN nicht

[Stuebi]

@Sempre sagte in Zugriff per Gästezugang auf Raspi:
Den Rapsberry PI per Ethernet an den LAN1,2 oder 3 Ausgang der Fritzbox verbinden. Das WLAN des Rapsberry PIs mit dem Gästenetz der Fritzbox verbinden. Damit hat der Raspberry 2 IP Adressen.
Jetzt muss nur noch die Hausanwendung auf dem Raspberry so konfiguriert werden, dass diese auf beide Netze reagiert.

Alternativ (so habe ich es umgesetzt), kann man das Ganze auch mit VLANs umsetzten. Dafür benötigt man aber mindestens Switches die VLAN unterstützen.

VG
Stübi