Beschränkter Internetzugang mit FRITZ!Box 7362 SL nicht möglich

[Onatik]

Hallo Leute.

Ich habe vor ein paar Tagen schon mit AVM Kontakt aufgenommen, aber es kommt seit Tagen keine Antwort mehr....

Ich möchte für ein Notebook im Heimnetzwerk den Internetzugang beschränken.

In der Fritz!Box (Fritz!OS 6.50) arbeite ich mit der Kindersicherung mit folgendem Zugriffsprofil:
- Online-Zeit: unbegrenzt
- Geteiltes Budget: --
- Filter: Whitelist (mit 4 existenten Seiten, http und https)
- Gesperrte Anwendungen: alles außer Surfen und Mailen
- das Notebook hat keine feste IP und geht direkt über die Fritz!Box ins Netz

Allerdings zeigt mir das Notebook (Win 7, Chrome - Cache frisch gelöscht) dann immer an, dass keine Internetzugriff besteht.
Es sollte eigentlich alles funktionieren. Warum tut es das nicht?
Bei dem besagten Notebook habe ich auch die Firewall-Einstellungen (Windows-FW) geprüft und bei uneingeschränktem Profil geht es auch ganz normal ins Netz.

Habe den Artikel "Kindersicherung verhindert fälschlicherweise Internetzugriff" aus der AVM-Wissensdatenbank schon nachvollzogen.

Bin mit meinem Latein am Ende.

Was ist das Problem?

 

[HominiLupus]

Wenn du eine Whitelist mit 4 Seiten hast, gehen eben nur diese 4 Seiten, sonst nix.

 

[rg88]

4 Seiten? Wozu dann überhaupt noch Internet? Wer sagt, denn das die Seiten nichts von anderen Seiten nachladen. Wenn du nur 4 Domains angibst wundert mich da gar nichts.

 

[Onatik]

Das ist es ja, diese 4 Seiten gehen nicht.
Zudem habe ich anhand von uMatrix schon geprüft, welche Seite noch nachladen. Die Seiten selber müssten gehen.

Es ist für die Schwiegermama... Sozusagen Selbstschutz

 

[rg88]

welche Seiten sind das denn? Einfach mal firefox probiert?

Schon mal den umgekehrten Weg probiert und mal geschaut, was ohen whitelist aber mit zB Facebook in der Blacklist passiert?

 

[Onatik]

Eine davon ist die lokale Parkbank

Wie beschrieben, zeigt ja schon die Windows-Netzwerkanzeige an, dass keine Internetverbindung besteht.
In dem Szenario macht sich eine Whitelist wesentlich besser, es sind halt nur n Seiten, die aufgerufen werden sollen und nicht n^x Seiten die nicht aufgerufen werden sollen...

Auch wenn ich denke, dass es mit Firefox nicht anders sein sollte, werde ich ihn am Wochenende mal auf dem Rechner probieren.

Danke schon einmal für eure Antworten!

 

[rg88]

ist doch klar, dass die das sagt. Du hast Windows ja alle Möglichkeiten genommen, das zu testen. Oder woher soll Windows wissen, dass es genau 4 von ein paar Milliarden Seiten gibt, die aufrufbar sind.

Du sollst die Blacklist testen, damit du siehst, ob die Sicherung grundsätzlich funktioniert. Ebenso das mit dem Browser.

 

[Onatik]

Keine Ahnung, was daran so schwer zu kapieren ist, @rg88, aber dein Ton gefällt mir nicht! Das kapiere ich zumindest.

Was denkst du, weshalb ich hier frage?
Gehst du mit allen Menschen so um? Ganz schön traurig...

Mir musst du nicht mehr helfen, auf solch einen armseligen Ton verzichte ich gerne.

 

[rg88]

sry, das sollte nicht so rüberkommen. Aber mach doch einfach das was ich dir vorgeschlagen hab und dann meldest dich wieder, wenn du Infos hast. Da groß rumzudiskutieren bringt nichts, wenn du das Gerät nicht bei dir hast.

 

[HominiLupus]

Wenn "Nix geht" dann wollen wir bitte die Ausgabe der Befehle
ipconfig /all
route print
ping <seite in whitelist>
ping heise.de

 

[Onatik]

*Hand vor den Kopf* Warum habe ich daran nicht gedacht? Danke @HominiLupus.

Daher ist der Austausch mit euch (@Community) so fruchtbar. Super!

Werde berichten...

 

[Onatik]

So, gerade war ich an dem Notebook, welches nur eingeschränkt (Whitelist) ins Netz soll.

Habe über das cmd einen Ping an

ping www.heise.de

abgesetzt, welcher auch ankommt, obgleich heise.de nicht (!!!) in der Whitelist steht.

Keine Ahnung wie das geht?

 

[rg88]

Ich nehme an die Whitelist bezieht sich auf DNS und HTTP(s)-Verkehr.
Grundlegende Netzwerkkommunikation wie ICMP wird dann wohl nicht geblockt.

 

[Onatik]

Stehe gerade (wieder) in Kontakt mit dem AVM-Support. Der fragt nach einem Repeater. Ein solcher hängt allerdings nicht dazwischen.

@rg88 Da magst du Recht haben.

 

[Sc0rc3d]

Hi Onatik,

ich habe den Thread mal kurz überflogen und würde hierbei eigentlich eher von einem Endgeräteproblem ausgehen oder davon, das Du im Zugangsprofil etwas vorkonfiguriert hast. Bezieht das Notebook denn eine IP-Adresse aus dem DHCP-Bereich der FRITZ!Box (wenn ja, welche)? Hattest du mit diesen Einstellungen mal etwas "versehentlich" verstellt oder manuell angepasst (Gateway/DNS etc.)? Was war eigentlich das Ergebnis von "ipconfig /all"? Probiere zunächst bitte mal Folgendes:

1. Lösche dann dein erstelltes Zugangsprofil für das betreffende Gerät.
2. http://www.router-faq.de/index.php?id=win7&win7=ipreset
3. Zugangsprofil neu erstellen testweise nur mit Whitelist als Inhalt "de" (alle de - Domains erlauben) und zuweisen.

Übrigens solltest Du Dir im Klaren darüber sein, dass die HTTPS-Option (bei den Zugangsprofileinstellungen) der FRITZ!Box Dir hierbei einen Strich durch Deine Rechnung macht (oder sagen wir machen kann). Egal was Du in die White-/Blacklist einträgst, sofern Du HTTPS zulässt, werden die Listen übergangen(!), da die FRITZ!Box ja nicht in den SSL-Traffic schauen kann. Verbietest Du HTTPS hingegen (funktionieren die Listen! aber, geht eben fast nichts mehr, da selbst Googledienste sowie mittlerweile (glücklicherweise) fast alle Seiten SSL einsetzen. Ich hoffe, Du verstehst, worauf ich hinaus will.

Gruß
Sc0rc3d

 

[Onatik]

Hi @Sc0rc3d und Danke für's Überfliegen.

Ja, das Notebook bezieht eine IP aus dem DHCP-Bereich der FritzBox. Erst statisch und jetzt dynamisch, auf Anraten des AVM-Supports. Der Adressbereich past aber in jedem Fall *.*.1-200.

Nein, es wurde weder etwas verstellt noch angepasst.

1-3 mache ich, wenn ich wieder vor dem Gerät sitze. Bin gerade @work.

Ja, ist mir bewusst, habe die HTTPS-Option auch nicht aktiviert, weil sie kontraproduktiv zu den Listen (W/B-List) ist.

Verstehe es vielleicht nicht ganz. SSL ist doch ein Protokoll, welches ich zulassen müsste, wäre es ausgeschlossen. Es ist aber alles (Anwendungen) außer Surfen und Mailen ausgeschlossen, ergo sollte auch SSL gehen. Korrekt?

 

[Sc0rc3d]

Okay, du meinst aber hoffentlich 20-200 (die 1 wäre ja die FRITZ!Box selbst). Ich denke die Punkte 1-3 kannst Du dir dann sparen. Das Problem ist dann doch eher ein Verständnisproblem der Kindersicherung der FRITZ!Box, was ich gut nachvollziehen kann.

Jein, die HTTPS-Option ist bei der Kindersicherung der FRITZ!Box ist (leider) etwas anders. Wenn Du die Checkbox nicht aktiviert hast, also "HTTPS-Abfragen erlauben" demnach nicht erlaubt sind, kannst du keine 'https://abcdefg.de' Internetseiten wie bspw. www.google.de mehr aufrufen, auch wenn Du diese in die Whitelist einträgst. Ein Beispiel (was ich eben so getestet habe - und du einfach reproduzieren kannst). Ich habe ein Profil aufgesetzt wie Deins (ebenfalls mit HTTPS-Abfragen erlauben = aus + alles außer Surfen und Mailen = aktiv) und meinem Smartphone zugewiesen. In der Whitelist steht: "google.de heise.de avm.de computerbase.de":

heise.de = geht, weil keine SSL-Verbindung vorausgesetzt wird.
avm.de = geht, weil keine SSL-Verbindung vorausgesetzt wird.
computerbase.de = geht, weil keine SSL-Verbindung vorausgesetzt wird.

google.de = geht eben nicht weil zwingend eine SSL-Verbindung vorausgesetzt wird.
-> Und so ist es bei allen Google-Diensten wie bspw. Youtube. Und auch
anderen Internetseiten wie bspw. Facebook.

www.spiegel.de = FRITZ!Box Fehlerseite (Sperrseite - weil nicht in der Whitelist) = OK
...

Wie Du feststellen wirst, ist das Problem hierbei Deine Whitelist mit den 4 Seiten und dem "HTTP/HTTPS" Mix, was so eben leider nicht funktioniert. Auf den Punkt gebracht, wenn Du die Whitelist nutzen möchtest (ohne das diese umgangen werden kann - also ohne HTTPS aktiv), kannst Du nur Seiten erlauben, die auch über HTTP erreichbar sind. Alternative Du aktivierst die "HTTPS-Option". Dann greift die Whitelist bei allen HTTP-Seiten, kann jedoch leicht umgangen werden, indem man die Seiten über SSL öffnet, sofern der Webserver dies anbietet.

Gruß
Sc0rc3d

 

[Onatik]

Danke @Sc0rc3d.

Ja, ich meinte den IP-Raum 20-200 :-)
So wie du es beschreibst, habe ich es verstanden.

In der FritzBox steht zu der Option "HTTPS-Abfragen erlauben" das Folgende:

HTTPS wird beispielsweise für die Nutzung von Facebook, Gmail und Online-Banking verwendet. Auch wenn Sie eine Set-Top-Box oder andere Video-on-Demand-Dienste wie Netflix nutzen möchten, müssen Sie HTTPS-Abfragen erlauben.
Beachten Sie bitte, dass diese Option alle Aufrufe über das Protokoll HTTPS erlaubt! Das gilt auch dann, wenn die aufgerufene Seite in einer angewendeten Filterliste enthalten ist.

Wegen des letzten Satzes, dachte ich, dass ich die Option deaktiviert lassen müsse, da ich ja nicht möchte, dass die Whitelist umgangen werden kann.

Ich habe jetzt die Whitelist mit HTTPS erlaubt und werde es wieder testen.

Aber ein bisschen sinnfrei ist die Konfiguration dann schon, oder?

 

[Sc0rc3d]

Ja,

das scheint etwas schwammig geschrieben zu sein. Sinnfrei würde ich nicht sagen, dass "Problem" ist, dass die SSL-Verbindung zwischen deinem Browser und dem Webserver besteht, die FRITZ!Box kennt daher den Inhalt der Verbindung nicht. Was AVM nun implementieren müsste, wäre etwas wie einen reverse Proxy um die Verschlüsselung zu "umgehen", um den Inhalt mit den Listen zu vergleichen. Vermutlich nicht ganz so trivial umzusetzen (ebenfalls vom rechtlichen Standpunkt - schließlich müsste die Box ja den SSL-Traffic mitlesen/auswerten).

 

[Onatik]

Okay, ein sehr gutes und nachvollziehbares Argument.

Ich danke dir (mal wieder) @Sc0rc3d 👍 😬

Melde mich nochmal hier zu Wort, ob es so klappt, wie ich es mir (entfernt) vorstelle.