[dragonx]

Salve a tutti, possiedo un router agtef (che fa anche da modem) il cui indirizzo ip locale è 192.168.1.0. Poi possiedo un technicolor thomson tg582n, sbloccato con su il firmware Plusnet - FTTC - TG582n (with USB port) - 10.2.5.2.FO " da http://products.plus-payh.co.uk/firmware/ . Il tg582n ha come indirizzo ip wan 192.168.1.100 (su ethernet 4) e possiede 2 ssid, uno normale (rete 192.168.2.0) e un altro guest (per farlo è stata usata la modalità dmz e possiede indirizzo ip 192.168.3.254). Facendo le prove, un nodo guest (su rete 192.168.3.0) non riesce a vedere un nodo su ssid normale  (su rete 192.168.2.0), ma riesce a vedere un nodo sulla wifi di agtef 192.168.1.0 (non so se vede anche i nodi della guest di agtef, molto probabilmente vede anche i nodi collegati alle porte ethernet. Come faccio a bloccare i nodi della rete dmz verso i nodi agtef e fare in modo che tali nodi possano solo andare in internet?
I comandi telnet sono qui https://support.aa.net.uk/images/3/33/TG582n_CLI_Guide_v1.0_public.pdf ,
la configurazione attuale del technicolor l'ho fatta tramite l'utility di thomson
https://www.dropbox.com/s/zvpeu6xrvdnsyio/setup_wizard_r8_mh_v1.25.7z?dl=0

scegliendo il profilo Expert | WLAN AP-P4 nel file pdf della utility e prendendo spunto dai seguenti link
https://community.plus.net/t5/ADSL-Broadband/Problem-with-guest-wifi-on-Technicolor-Thomson-TG582n/td-p/988892
http://web.archive.org/web/20160723055447/http://npr.me.uk/advdmz.html

l'attuale configurazione si trova qui https://pastebin.com/tLWcb45b

c'è qualcuno che può aiutarmi?

[fabiobassa]

quasi sicuramente dal 192.168.3.0/24  vedi TUTTO ma proprio tutto sia wifi che lan della 192.168.1.0/24 e forse anche la rete guest dell ' agtef

devi intervenire sul router primario ovvero sull agtef e piu esattamente sul suo firewall
non so se il tab firewall lo fa fare ma un comando iptables del tipo

Codice: [Seleziona]

iptables -A INPUT -s 192.168.3.0/24 -d 192.168.1.0/24 -j DROP
risolve la situazione
puoi provare anche al volo solo che questo comando non è definitivo.
Al reboot si perde, ma nel frattempo vedi se è quello che ti serve poi vediamo come salvarlo definitivamemte

[dragonx]

ti ringrazio per la risposta, sai se si può fare qualcosa cambiando ip e subnet (in modo che se faccio tutto sul tg582n e lo dovessi spostare non devo fare niente al router principale)?

[fabiobassa]

se il tg582n , apparato che non conosco, ha i comadi "linux like" puoi lasciare tutto invariato sull agtef e lo stesso comando darlo sul tg582n cambiandolo leggermente e sapendo che notazione ha la wan del tg582n ( eth1 ? eth0? non so devi vedere tu )

Codice: [Seleziona]

iptables -A OUTPUT  -o ethx -d 192.168.1.0/24 -j DROP
a ethx devi sostituire la wan del tg582n
questo comando  molto semplicemente dice che tutto quello che esce dalla wan del tg582n e che abbia destinazione 192.168.1.0/24 ( cioè la lan e la wifi del router principale)  deve essere droppato cioe scartato mentre tutto il resto passerà indisturbato

Non so se mi sono siegato bene, spero di si 

[dragonx]

allora, ho controllato, il comando iptables non lo prende, risponde con unknown command ... ho usato però il comando ip rtlist e mi ha mostrato le seguenti routes:

http://i65.tinypic.com/wt6aev.png

ma non mi fa togliere la 192.168.1.0 (la quint'ultima del primo gruppo, quella senza gateway)... che nervoso

[larsen64it]

Se non sbaglio hai detto che ti colleghi in IPoEe e prende l'ip dal router principale in DHCP  appartenete alla rete 192.168.1.0/24 con gateway 192.168.1.1: quindi non puoi toglierla altrimenti non navighi. 

[fabiobassa]

Infatti come dice @larsen64it  NON devi togliere la rotta se no non navighi , devi solo togliere una o più particolari  DESTINAZIONi dalla rotta.
Quel comando é appunto un list, a questo punto non so se ha un firewall modificabile quell' aggeggio

[larsen64it]

Non ho capito se il tg582 deve essere isolato totalmente dall'agtef o solo il guest.
Nel primo caso io avrei sganciato la porta ethx dell'agtef dal bridge della lan (switch) per inserirla nel bridge della rete guest. Forse a questo punto i nodi guest del agtef saranno visibili dai nodi  guest nel tg582, ma chi se ne frega.
Nel secondo caso a avrei fatto un collegamento lan-lan usando nel tg582n i stessi ssid e chiavi del agtef, disabilitando il dhcp del tg582n. Forse a questo punto i nodi guest del agtef saranno visibili dai nodi  guest nel tg582, ma chi se ne frega 2 la vendetta.

[dragonx]

Perchè non navigo se tolgo 192.168.1.0? Quella per navigare non è l'ultima (che ha anche il gateway)?
@larsen64it solo il guest del tg582n dev'essere isolato dal agtef, l'altro ssid e la lan ethernet devono poter vedere i nodi

[fabiobassa]

Perché si da il caso che 192.168.1.1 sia il tuo gateway ( agtef)

Se togli la intera 192.168.1.0/24... Da dove esci 

[dragonx]

pensavo che quella al centro servisse per vedere i nodi della 192.168.1.0 (quindi agtef) e quella di sotto (che ha il gateway) per uscire fuori dall'agtef... quindi le possibilità che ho sono:
1. trovare un modo di bloccare con il firewall sul tg582n tutti i pacchetti che hanno come ip di destinazione 192.168.1.x
2. trovare il modo di bloccare con il firewall sull'agtef tutti i pacchetti che hanno come ip di destinazione 192.168.1.x e come ip mittente 192.168.1.100 (che sarebbe l'ip wan del tg582n)
3. escludere dal bridge dell'agtef la ethernet a cui è collegato l'agtef (ma a questo punto anche dall'ssid normale del tg582n non posso vedere i nodi dell' agtef
     http://i66.tinypic.com/2pyqfwn.png

da subnet invece non posso far niente come scritto nell'ultimo post qui?
https://www.snbforums.com/threads/router-behind-router-how-to-prevent-second-router-clients-from-accessing-first-router-clients.30049/page-3

[fabiobassa]

Leggendo il tuo post mi sono reso conto che originariamente ho scritto una inesattezza:
dal momento che ti colleghi all agtef dalla WAN del tg e dunque fai NAT, Di conseguenza tutti i pacchetti che arrivano sull agtf hanno ip sorgente 192.168.1.100 e dunque anche la strada di bloccare sull AGTEF la classe guest del tg NON funzionerebbe in quanto quella classe non si presenta MAI in rete, essendo appunto nattata.

Niente, devi bloccare il tutto sul tg.

Gli ACL credo funzionino in base al Mac  e siamo punto e a capo e giusto per.. in quel post si parla di optables esattamente quello che avevo suggerito all inizio.
Ma se il tg NON ha iptables la vedo dura

[dragonx]

leggendo il manuale però mi è venuto un altro dubbio? non è che aggiungere la dmz si è rivelata una cosa inutile? a pagina 449, nel comando "firewall rule add" il parametro srcintf può assumere anche valore guest.

per la destination interface devo fare in modo da bloccare tutti gli ip della rete 192.168.1.0, devo farer qualcosa con i comandi ip in modo da creare un interfaccia che posso mettere come valore al dstintf in modo da poter bloccare le connessioni...ma non so proprio come fare
hai dato un occhiata qui
https://support.aa.net.uk/images/3/33/TG582n_CLI_Guide_v1.0_public.pdf
?

[fabiobassa]

Beh tutto sommato non hai iptables ma hai un bel comando firewall add rule a pagina 433

Dunque sarà un firewall rule add chain = postrouting index = 0 ( é uno zero e non la lettera o) name = bloccoagtef  dstip = 192.168.1.0/24 state = enabled action = drop

Non sono sicuro se é questa la sintassi che vuole ma di sicuro puoi aggiungere regole al tg 582.

E non so nemmeno se le conserva dopo il riavvio ma tentare non nuoce