Guest SSID na ZTE MF297D dozvoljava pristup LAN-u

[NameNo]

Radi se o A1 homebox ruteru, ZTE MF297D.

Ideja je bila da imam odvojeni Wlan za kućnu mrežu u kojoj se spojeni uređaji trebaju međusobno vidjeti, i Wlan mrežu za povremene goste koji bi spajanjem na gostinjski Wlan trebali imati pristup internetu, ali ne i lokalnom LAN-u.

Problem: kad upalim na ruteru Guest SSID, računala spojena na Guest SSID imaju pristup LAN-u najnormalnije kao i kad su spojena na Main SSID.

https://ibb.co/kxhb1qm

Pitanje: da li je ovo normalno, i da li trebam još nešto u postavkama namjestiti da mi Guest Wlan izolira pristup lokalnoj mreži?

Nisam baš puno potkovan oko ovih stvari, uglavnom se snalazim kako znam i umijem, ali ovdje sam zapeo pa molim za razumijevanje

[Nikky]

Po slici koju si stavio:
- dobro je da su WiFi klijenti na tom Guest međusobno izolirani > nebi trebali vidjeti jedan drugoga
- jedina opcija za nekakvo ograničenje je "Time Limits for Network Access" koja je sada na Free,
ja to čitam kao nekakav Time limit, pa probaj to promijeniti na cca 30 min > samo da nije Free
- nekim routerima (ovisno o pameti) nekada treba nakon svih custom podešavanja ipak odraditi reboot (ne reset) kako bi se sve postavilo kako treba,
ništa te ne košta da probaš

[tskarda]

Uzmi neki router s WAN portom i skonfaj ga da ti on bude odvojena mreža, ako ti je sadašnji router na adresi 192.168.0.1 ako je po difoltu, stavi taj novi na mrežu 192.168.10.1 i tada će ti novi wlan biti kompletno odvojen.

[NameNo]

Autor Nikky

Po slici koju si stavio:
- dobro je da su WiFi klijenti na tom Guest međusobno izolirani > nebi trebali vidjeti jedan drugoga
- jedina opcija za nekakvo ograničenje je "Time Limits for Network Access" koja je sada na Free,
ja to čitam kao nekakav Time limit, pa probaj to promijeniti na cca 30 min > samo da nije Free
- nekim routerima (ovisno o pameti) nekada treba nakon svih custom podešavanja ipak odraditi reboot (ne reset) kako bi se sve postavilo kako treba,
ništa te ne košta da probaš

Probao sve, nije pomoglo..

Autor tskarda

Uzmi neki router s WAN portom i skonfaj ga da ti on bude odvojena mreža, ako ti je sadašnji router na adresi 192.168.0.1 ako je po difoltu, stavi taj novi na mrežu 192.168.10.1 i tada će ti novi wlan biti kompletno odvojen.

Imam "stari" ruter (isto ZTE samo neki stariji model), također od A1 koji je ostao neiskorišten otkako sam produljio ugovor za homebox i dobio novi..

E sad ja nisam siguran da sam ja to dobro sve postavio ali probao sam slijedeće:

"stari" ruter sam spojio prvo na komp i postavio adresu rutera na 192.168.10.1, ostavio upaljen DHCP i postavio pool na 192.168.10.100 - 192.168.10.200.
Zatim sam ga spojio na "novi" ruter tako da sam kabl uštekao na "starom" ruteru u WAN port, a na "novom" ruteru u LAN1.
Proradio je internet ali isto tako i LAN - znači svi sve vide u mreži.

Pokušao sam također postaviti Guest SSID na "starom" ruteru pa se spojiti na njega - opet isto, svi sve vide.

Dal bi bilo rješenje uzeti neki ruter s kojim bi to bilo relativno lako za postaviti, i što bi mi preporučili?

Gledam ovaj u HG-u se nađe za 30ak Eura.

Ili bi bilo pametnije možda uzeti i neko skuplje, pa ujedno i trajnije rješenje da ne moram svakih 2 godine kad uzimam novi ugovor prolaziti ove bedastoće..?

[Nikky]

Ti 34/4g routeri nisu zgodni za ovo šta ti je kolega tskarda govorio,
kao dodatni WiFi AP mogu poslužiti ali za varijantu da se svi međusobno vide (obrnuto od onog šta ti tražiš).

Taj Asus RT-AC1200 V2 sa linka će biti sasvim dovoljan za Guest WiFi,
kako si ranije radio, prvo ga privremeno spoji Lan kabelom na komp,
promijeni mu IP adresu u 192.168.10.1, ostavljaš DHCP Server upaljen,
WiFi po želji, za WAN postavi Automatic (Dinamic) IP,
spajaš Lan kabel iz ZTE MF297D Lan X u Asus WAN.
Eventualno mu možeš postaviti Custom DNS1=8.8.8.8 i DNS2=1.1.1.1.

Klijenti spojeni na Asus - a će moći na Internet a neće vidjeti šta je u tvojoj kućnoj mreži.

That's all

[frezer]

Ako ćeš neko bolje rješenje, za to je dobar Fritz!box.
Guest wifi je odvojen, i nema nikakvog pristupa glavnom lan-u. Sve je već po defaultu posloženo. Treba samo upaliti guest. Također se može postaviti guest mreža i na jedan lan port tako da možeš imati guesta i preko žice. Možeš zabraniti određene protokole (torrente i sl.), "natjerati" guesta da prihvati uvjete korištenja prije nego se spoji, kreirati profile i svakom korisniku dodijeliti različit profil itd... Ruter je napravljen tako da prioritet uvijek daje glavnoj mreži, tako da guest-i ne mogu pojesti sav bandwith.
Uglavnom, odličan. Pogotovo za one koji nisu baš stručnjaci.
Neznam sad kako funkcioniraju sa A1. Na T-com ide bez problema.

[NameNo]

Autor Nikky

Ti 34/4g routeri nisu zgodni za ovo šta ti je kolega tskarda govorio,
kao dodatni WiFi AP mogu poslužiti ali za varijantu da se svi međusobno vide (obrnuto od onog šta ti tražiš).

Taj Asus RT-AC1200 V2 sa linka će biti sasvim dovoljan za Guest WiFi,
kako si ranije radio, prvo ga privremeno spoji Lan kabelom na komp,
promijeni mu IP adresu u 192.168.10.1, ostavljaš DHCP Server upaljen,
WiFi po želji, za WAN postavi Automatic (Dinamic) IP,
spajaš Lan kabel iz ZTE MF297D Lan X u Asus WAN.
Eventualno mu možeš postaviti Custom DNS1=8.8.8.8 i DNS2=1.1.1.1.

Klijenti spojeni na Asus - a će moći na Internet a neće vidjeti šta je u tvojoj kućnoj mreži.

That's all

Posudio sam od frenda ASUS RT-AC51U za probu, posložio ovako kako si naveo i evo konačno radi

[frezer]

Kamijao sam jednom sa takvim setupom. Kod mene je bilo da sam, bez obzira što se uređaji na prvu ne vide u lan mreži jer imaju različit subnet, uvijek mogao pristupiti drugim uređajima upisivanjem ip adrese sve dok sam pristupao sa lan strane.
Jesi probao upisati ip zte rutera dok si spojen na asus? Trebao bi moći normalno otvoriti zte.
Možda da ti koristiš asus mrežu, a gostima daš zte. Tako oni neće moći kod tebe zbog firewalla na wan-u. Ili možda griješim?

[Nikky]

Rekao je da mu treba za Guest WiFi, šta znači da takvi klijenti nemaju pristup ni jednom Lan - u, samo tom Guest Wifi.
Ako vidi da netko pokuša napraviti nešto nepoćudno, takvog gosta izbaciti,
vjerojatno se može dodati kakvo fw pravilo da se spriječi pristup ZTE - u.

[Ivan357]

Autor frezer

Kamijao sam jednom sa takvim setupom. Kod mene je bilo da sam, bez obzira što se uređaji na prvu ne vide u lan mreži jer imaju različit subnet, uvijek mogao pristupiti drugim uređajima upisivanjem ip adrese sve dok sam pristupao sa lan strane.
Jesi probao upisati ip zte rutera dok si spojen na asus? Trebao bi moći normalno otvoriti zte.
Možda da ti koristiš asus mrežu, a gostima daš zte. Tako oni neće moći kod tebe zbog firewalla na wan-u. Ili možda griješim?

točno tako

Autor Nikky

Rekao je da mu treba za Guest WiFi, šta znači da takvi klijenti nemaju pristup ni jednom Lan - u, samo tom Guest Wifi.
Ako vidi da netko pokuša napraviti nešto nepoćudno, takvog gosta izbaciti,
vjerojatno se može dodati kakvo fw pravilo da se spriječi pristup ZTE - u.

teoretski može i tako, sa nekim malo kvalitetnijim routerom u kojem će to moći ograničit, ali takav router bi u pravilu i podržavao pravu guest mrežu

ispravno bi bilo na homebox-u postavit guest mrežu, a na dodatnom routeru pravu
i ne kupit onog gore asusa sa linka jer ima samo 100Mbps portove

[NameNo]

Autor Ivan357

i ne kupit onog gore asusa sa linka jer ima samo 100Mbps portove

Hm da, tako piše na stranici proizvođača, nisam to tamo ni primjetio.
Na HG-ovim stranicama piše da je 1000 MBs.

Sad kidam nadesno promjenit narudžbu za nešto drugo

Hvala na ukazanju :-)

[Nikky]

100 Mb mu dođe kao ograničenje da ne mogu puno povući 😀

[NameNo]

Autor frezer

Kamijao sam jednom sa takvim setupom. Kod mene je bilo da sam, bez obzira što se uređaji na prvu ne vide u lan mreži jer imaju različit subnet, uvijek mogao pristupiti drugim uređajima upisivanjem ip adrese sve dok sam pristupao sa lan strane.
Jesi probao upisati ip zte rutera dok si spojen na asus? Trebao bi moći normalno otvoriti zte.
Možda da ti koristiš asus mrežu, a gostima daš zte. Tako oni neće moći kod tebe zbog firewalla na wan-u. Ili možda griješim?

Konačno danas stigao Asus RT-AX53U

Točno je tako kako si opisao, ali uspio sam sada složiti tako da WiFi pustim sa ZTE-a, a na Asusa spojim lokalni LAN. Tako da iz LAN-a mogu natrag na ZTE, ali sa wirlessa (ZTE-a) ne mogu u LAN niti na Asusa, to je bilo to što mi je trebalo.

Zanimljivost je da ni na ZTE-u ni na Asusu nisam našao opciju da se zabrani pristup web-sučelju rutera sa uređaja koji su spojeni preko WiFi-a, što je totalna glupost (odnosno ZTE ima tu opciju, ali samo za Guest SSID - koji nije upotrebljiv jer ne radi LAN Isolation kako treba).

Hvala svima na pomoći!

[Nikky]

Na žalost, šta se više govori o nekoj sigurnosti to se slučajno ili namjerno manje primjenjuje,
nekada su svi ti jeftini SOHO AP / Router - i po defaultu imali tu opciju (blokiranje pristupa web konfigu za klijente spojene preko WiFi - ja).