Raspberry Pi (Bridge) zugriff auf bestimmte IP verweigern

[Fritz (Gast)]

Hallo zusammen,

ich habe meinen Raspberry Pi (Raspbian OS) als Bridge eingerichtet. Also 
er nimmt das ETH vom Router und öffnet ein eigenes WLAN für 
(Gute-)Gäste.

Jetzt würde ich natürlich aus Sicherheitsgründen den Zugriff auf 
192.168.0.1 verweigern. Wie stelle ich dies am geschicktesten an? Ich 
hatte erst vermutet, dies über ufw zu konfigurieren, ist das so richtig?

[M. P. (phpmysqlfreak)]

Beschränke den Zugriff auf die Konfigurationsports (80, 443, UPNP 
Zeugs), sofern du das eh aus dem LAN machst. Das sollte im Heimnetz 
ausreichen.

Den generellen Zugriff auf die IP würde ich nicht blockieren, sonst kann 
es Probleme beim Internetzugriff geben.

[Tuxomat (Gast)]

Fritz schrieb:
>Also
> er nimmt das ETH vom Router und öffnet ein eigenes WLAN für
> (Gute-)Gäste.

Also läuft hostapd und eine bridge mit ethX und wlanY?

Wenn ja, mal in Richtung ' br_netfilter' schaun..

[Fritz (Gast)]

Danke für die schnelle Rückmeldung euch beiden!

Welche Ports wären denn alle zu empfehlen die man sperrt?, bzw. oder 
eignet sich generell eher ein Whitelisting?

Tuxomat schrieb:
> Also läuft hostapd und eine bridge mit ethX und wlanY?

Exakt, habe davon noch nichts gehört aber werde mich mal einlesen, 
vielen Dank!

[... (Gast)]

Dir gehts ganz offensichtlich um die Sicherheit. Da du ja eh ein Raspi 
einsetzt, wie wär's mit dem Pi-Hole auf der Kiste?

[Nano (Gast)]

M. P. schrieb:
> Beschränke den Zugriff auf die Konfigurationsports (80, 443, UPNP
> Zeugs), sofern du das eh aus dem LAN machst. Das sollte im Heimnetz
> ausreichen.

Das sehe ich nicht so. Da reicht ein unsicherer Dienst auf nem anderen 
Port und schon könnte die Heimmaschine übernommen werden, wenn er nur 
einen dafür qualifizierten Gast im Netz hat.

> Den generellen Zugriff auf die IP würde ich nicht blockieren, sonst kann
> es Probleme beim Internetzugriff geben.

Die Gäste brauchen sicherlich keinen Zugriff auf 192.168.0.0/16

@TS
Lege eine Firewallregel an, damit geht das.

Schau dir dazu nftables und nft an.

[Nano (Gast)]

Fritz schrieb:
> Danke für die schnelle Rückmeldung euch beiden!
>
> Welche Ports wären denn alle zu empfehlen die man sperrt?, bzw. oder
> eignet sich generell eher ein Whitelisting?

Grundsätzlich macht man ein Whitelisting.
Zuerst alle Zugriffe auf 192.168.0.0/16 inkl. aller Ports sperren und 
dann nach und nach freischalten, was du halt so brauchst.

Achte darauf, das du einzelne Freigaben auch deaktivieren kannst, wenn 
du sie nicht brauchst.