Rätselhaftes Routerproblem, ausführliche Beschreibung und viele Screenshots

[Emil G. (balsamico)]

Hallo ihr,

notgedrungen beziehe ich mein Internet von einem Telekom_FON-Hotspot, 
sprich von irgendeinem Nachbarn, der Telekom-Kunde ist und so einen 
öffentlichen Hotspot bietet.

Eigentlich ist es keine schlechte Sache. Habe fast immer knapp 50Mbit/s 
Download und knapp 10Mbit/s Upload. Empfang ist super und 
offensichtlich, ist der Hotspot kaum ausgelastet.

Das Problem ist zum einen, dass ich regelmäßig die Verbindung verliere 
und Probleme beim anmelden habe. Beides zusammen ist manchmal ziemlich 
nervtötend. Am Telefon meinten die Telekomleute, dass Windows meine 
Probleme verursachen würde und fühlten sich nicht zuständig. Allerdings 
haben die das Problem garnicht verstanden. Ich habe alles in einer Pdf 
sehr detailliert beschrieben, aber noch keine Antwort erhalten. Diese 
Pdf habe ich auch hier mal angehängt (ist besser so, weil man hier keine 
Bilder in den Text einbauen kann). Vielleicht weiß jemand von euch, was 
das Problem ist oder was ich versuchen könnte.

Eine Vermutung habe ich. Meistens, wenn die Verbindung getrennt wird, 
bin ich zu einem "Telekom_FON"-Hotspot mit anderer MAC-Adresse 
verbunden, müsste also ein anderer sein. Vielleicht ist es so, dass 
Windows automatisch den Router wechselt, wenn einer plötzlich besseren 
Empfang bietet und die gleiche SSID ("Telekom_FON") besitzt. Das würde 
ja Sinn machen, in einem großen Gebäude. An diesem Router bin ich aber 
dann nicht angemeldet und bekomme deshalb kein Internet von ihm (und 
gesperrt bin ich noch dazu, weil ich noch am vorigen AP angemeldet bin). 
Ist aber nur eine Idee... Tut Windows soetwas? Falls ja, kann man das 
unterbinden?

Aber ich fange schon an, mich zu wiederholen, was auch in der Pdf steht. 
Vielen Dank schonmal alleine fürs Lesen. Ich weiß, es ist viel, aber 
jedes Detail könnte ja einen Hinweis liefern.

Wie gesagt, vielen Dank schonmal im Voraus! Ich bins gespannt, ob jemand 
von euch da dahintersteigt...

[Mario M. (thelonging)]

Gut möglich dass die Probleme durch Roaming zwischen verschiedenen 
Hotspots ausgelöst werden. Probiere mal NetSetMan und verbinde das WLAN 
über die MAC-Adresse fest mit einem bestimmten Hotspot. 
http://www.netsetman.com/

[DraconiX (Gast)]

Ich sag dazu mal eines: Die Sache mit dem Telekom_FON 3 Routern würde 
ich gaaaanz vorsichtig sein ;-) Das ist eine gängige Honeypot- / 
MITM-Geschichte um genau diese Anmeldedaten abzugreifen. Gerade in 
Großstädten bzw. dicht bebautem Gebiet.

Und ja, ich tippe auch auf Roaming. Gerade bei FON Spots ist Roaming 
doof, durch jedes mal neu anmelden zu müssen. Ist aber bei den FON Spots 
nicht anders möglich. Ist bei dir ein vollwertiger Telekom-Spot 
erreichbar? Das würde dir diese ständige Anmelderei ersparen, da dort 
leases ausgehandelt werden.

Was mich allerdings ganz arg wundert: Normalerweise sind sämtliche FON 
Spots auf maximal 1MBit begrenzt? Wie kommst du auf volle 50MBit? Mir 
ist auch persönlich noch nie einer über 1Mbit über den Weg gelaufen.

[Vka (Gast)]

DraconiX schrieb:
> Honeypot- / MITM-Geschichte

Das ist mal ein interessanter Hinweis. Einen Hotspot mit Anmeldeseite 
kann man sich ja leicht selbst aufsetzen und dabei großzügig beim 
Magenta Design abschauen...
Gibt es von der Telekom aus einen Schutz dagegen, oder für den Endkunden 
eine Möglichkeit das zu prüfen?
Alle technischen Maßnahmen die mir so einfallen (SSL, VPN) sind wohl auf 
der Consumer-Hardware nicht machbar oder bräuchten besondere 
Einstellungen auf dem Client.

Interessant was für Probleme man sich mit der krampfhaften 
Identifizierung hier in DE so einhandelt. Wenn jemand mit meinem 
verifizierten Login Mist baut habe ich ein riesen Problem. Und wie man 
sieht kommt man wohl recht leicht an so ein Login. Wäre einfach nur mein 
WLAN offen, wäre der Schaden (Hack etc.) der Gleiche, aber ich nicht 
zusätzlich in Mitleidenschaft gezogen...

[DraconiX (Gast)]

Vka schrieb:
> Gibt es von der Telekom aus einen Schutz dagegen, oder für den Endkunden
> eine Möglichkeit das zu prüfen?
> Alle technischen Maßnahmen die mir so einfallen (SSL, VPN) sind wohl auf
> der Consumer-Hardware nicht machbar oder bräuchten besondere
> Einstellungen auf dem Client.

Richtig, auch die Login-Seite ist keine SSL Verschlüsselung. Aus einem 
einfachen Grund... Man wird ja vom Browser aus ins Netz geworfen, der 
Router / Server antwortet mit einem Status 302 und 511 NAR und man wird 
auf die Captive Portal Seite geleitet.

Und genau da fangen die Probleme an: Bei der Umleitung mit TLS über 
HTTPS wird ja dann nun eine andere Adresse angesprungen als das 
Zertifikat auf dem Endgerät zulässig wäre (z.b. gibt man Google.de ein 
und landet dann auf der Anmeldeseite - ist das Zertifikat von Google auf 
der Anmeldeseite nicht gültig) Und genau das ist im Grunde ein MitM 
Angriff und wird - so hoffe ich - von jedem Browser als Angriff erkannt 
und abgeblockt.

Und genau das kann man sich halt mit einem Honey-Pot zu nutze machen - 
da man nicht mal SSL verschlüsseln muss. Gefährliche Sache dat ;-)

Deswegen immer... wirklich immer... Die Logindaten für die Fon-Spots im 
Telekom Kundencenter völlig unterschiedlich zu den Kundendaten halten. 
So kann man höchstens auf eure "Kosten" surfen, aber keine Daten im 
Kundencenter ändern.

Das gleiche gilt übrigens für die Vodafone Homespots - einzig 
Kabel-Deutschland macht es hier richtig!

[Reinhard S. (rezz)]

DraconiX schrieb:
> (z.b. gibt man Google.de ein
> und landet dann auf der Anmeldeseite - ist das Zertifikat von Google auf
> der Anmeldeseite nicht gültig)

Ich kenn es von anderen Anbietern so, das man nach Eingabe einer 
beliebigen Adresse auf deren Website (also auch in der Adressleiste mit 
anbieter.de) landet.

> Das gleiche gilt übrigens für die Vodafone Homespots - einzig
> Kabel-Deutschland macht es hier richtig!

Kabel Deutschland ist Vodafone.

[DraconiX (Gast)]

Reinhard S. schrieb:
> Kabel Deutschland ist Vodafone.

Ja, auf dem Papier. ;-)

Aber dort läuft es garnicht über Captive Portale, dort loggt man sich 
mit Nutzerkennenung direkt im AP ein.

Reinhard S. schrieb:
> Ich kenn es von anderen Anbietern so, das man nach Eingabe einer
> beliebigen Adresse auf deren Website (also auch in der Adressleiste mit
> anbieter.de) landet.

Richtig, so macht es Telekom, Vodafone und sämtlich andere. Aber dort 
geht eben kein SSL Login. Eben aus dieser Situation herraus - das das 
Zertifikat von der Soll und Ist Seite nicht übereinstimmen kann.

[Jim M. (turboj)]

Emil G. schrieb:
> Meistens, wenn die Verbindung getrennt wird,
> bin ich zu einem "Telekom_FON"-Hotspot mit anderer MAC-Adresse
> verbunden, müsste also ein anderer sein.

Ganz dumme Geschichte. Denn Windows erwartet, das 2 Access Points mit 
gleicher SSID auch zu demselben LAN (Layer 2) gehören.

Das bedeutet, das jeder Telekom Hostspot seine eigene SSID bräuchte, die 
zumindest im Umfeld eindeutig sein muss. Denn jeder Hotspot ist sein 
eigenes LAN.

Leider haben sich die Marketing Fuzzies gegen die Ingenieure 
durchgesetzt, und nun ist das Ganze in der Praxis unbenuntzbar sobald 2 
Hotspots sich räumlich überlappen.

Mir ist auch kein komfortabler Weg bekannt, unter Windows eine bestimmte 
MAC für den Access Point zu setzen (und andere zu ignorieren).

Übrigens hat nicht nur die Telekom das Problem, das hatte ich auch schon 
mit "Kabel Deutschland" im Hotel.

[Emil G. (balsamico)]

DraconiX schrieb:
> Ich sag dazu mal eines: Die Sache mit dem Telekom_FON 3 Routern würde
> ich gaaaanz vorsichtig sein ;-) Das ist eine gängige Honeypot- /
> MITM-Geschichte um genau diese Anmeldedaten abzugreifen. Gerade in
> Großstädten bzw. dicht bebautem Gebiet.

Müsste für so eine Honeypot-/MITM-Geschichte wie du sagst nicht so ein 
Telekom_FON 3 -Hotspot in der Auwahl der erreichbaren APs zu sehen sein? 
Es gibt ja nur einen zur Auswahl und nicht mehrere. Nur wenn zu diesem 
verbunden ist, steht dann z.B. diese 3 hinter der SSID (siehe Bild im 
Anhang). Könnte das trotzdem ein Fake-AP sein?

Würde es etwas bringen, die Telekom zu fragen, ob die MAC-Adressen aller 
Telekom_FON-APs zu denen gehören? Weil sich MAC-Adressen ja faken 
lassen...

> Und ja, ich tippe auch auf Roaming. Gerade bei FON Spots ist Roaming
> doof, durch jedes mal neu anmelden zu müssen. Ist aber bei den FON Spots
> nicht anders möglich. Ist bei dir ein vollwertiger Telekom-Spot
> erreichbar? Das würde dir diese ständige Anmelderei ersparen, da dort
> leases ausgehandelt werden.
>
> Was mich allerdings ganz arg wundert: Normalerweise sind sämtliche FON
> Spots auf maximal 1MBit begrenzt? Wie kommst du auf volle 50MBit? Mir
> ist auch persönlich noch nie einer über 1Mbit über den Weg gelaufen.

Die Telekom_FON-Hotspots, die ich erreiche, sind Router privater 
Telekom-Kunden. Es sind keine FON-Hotspots. Wenn so ein Kunde eine 
50er-Leitung hat und selber gerade nicht surft, ist die komplette 
Bandbreite für die Hotspot-Clienten.


Jim M. schrieb:
> Leider haben sich die Marketing Fuzzies gegen die Ingenieure
> durchgesetzt, und nun ist das Ganze in der Praxis unbenuntzbar sobald 2
> Hotspots sich räumlich überlappen.

Das kann doch fast nicht sein so dumm wäre das.

Jim M. schrieb:
> Mir ist auch kein komfortabler Weg bekannt, unter Windows eine bestimmte
> MAC für den Access Point zu setzen (und andere zu ignorieren).


Mario M. scheint eine Idee zu haben:

Mario M. schrieb:
> Gut möglich dass die Probleme durch Roaming zwischen verschiedenen
> Hotspots ausgelöst werden. Probiere mal NetSetMan und verbinde das WLAN
> über die MAC-Adresse fest mit einem bestimmten Hotspot.
> http://www.netsetman.com/

Danke, werde ich später probieren. Hab gerade kaum Zeit. Ich bin 
gespannt. Hört sich zumindest vielversprechend an.

[Reinhard S. (rezz)]

DraconiX schrieb:
> Reinhard S. schrieb:
>> Ich kenn es von anderen Anbietern so, das man nach Eingabe einer
>> beliebigen Adresse auf deren Website (also auch in der Adressleiste mit
>> anbieter.de) landet.
>
> Richtig, so macht es Telekom, Vodafone und sämtlich andere. Aber dort
> geht eben kein SSL Login. Eben aus dieser Situation herraus - das das
> Zertifikat von der Soll und Ist Seite nicht übereinstimmen kann.

Du hast es nicht bis zu Ende verstanden. Wenn ich www.xy.de eingebe und 
auf www.anbieter.de mit Zertifkat von anbieter.de umgeleitet werde 
stimmt doch alles.