Kot dochter en wpa2-802.1x / chromecast / wifi printer

[rolelael]

Hoi

Mijn dochter is net in haar nieuw kot ingetrokken ( voor de Noorderburen ; kot = studentenkamer)

Ze werken daar samen met smarteye voor internet. Elke student ( 6 kamers ) heeft een eigen AP'tje zag ik ( gevoed via ppoe en voorzien van 4 utp's ) Van Smarteye heeft ze haar login gegevens gekregen en dag is dus via 802.1x ( username/pwd en cert )... so far geen probleem

Maar haar canon wifi printer ondersteunt geen 802.1x en chromecast ook niet...

Dus ik zit vast. Bij smarteye een case gelogd maar ik las al in hun faq dat met de std basic oplossing het niet mogelijk is.. wel via de 6 eur duurdere zijn er andere mogelijkheden; wat die zijn geen idee. Maar alles is via contract kot en zit verweven in de huurprijs. Dus ik zie de moeilijkheid al komen

Ben zelf goed mee met security en networking.. maar vroeg me af zijn er routers die bv kunnen auth richting de smarteye AP ( wandcontact ) ? Dan zou ik wel naar de nieuwe router kunnen connecten met een ander protocol.

Las ook her en der iets van mac address spoofen via pc en dan zo een eerste maal inloggen ( dus je pc mac aanpassen met mac printer bv ). Maar dan nog moet ik op de printer een ssid kiezen en zit ik weer vast . Er is een andere ssid ook met (slow) achter en die komt mooi achter enkel een passw vragen, maar dat heb ik niet

Alvast bedankt

[ByteDelight]

4 utp's? Dan een router met gewenste wifi config erachter met DHCP uit.

[nelizmastr]

Inderdaad, of ze moeten ook 802.1x over de rj45 poorten hebben afgedwongen, dan heb je een uitdaging, al zal een beetje fatsoenlijke (lees: geen instap consumenten troep) router dat ook moeten kunnen.

[ Voor 10% gewijzigd door nelizmastr op 24-09-2023 08:17 ]

[rolelael]

Ja dat ga ik straks bekijken. Een andere optie zou zijn een range extender bv RE705X tplink. Die ondersteunt ook 802.1x voor zover ik kan zien...

[ByteDelight]

Range extender is vml. onnodig duurder, en met veel beperktere mogelijkheden.
Elke router (als access point geconfigureerd = DHCP uit) zou de klus moeten klaren.

[rolelael]

Op voorwaarde idd dat ik niet moet auth. Via utp . Dat ben ik zelf nog niet tegengekomen. Maar goed voor alles een eerste keer. Ik hou jullie hier op de hoogte. :-) en alvast bedankt

[99ruud99]

Misschien hele rare opmerking... maar printen kost meestal tussen 3 en 5 ct, is dat niet stuk makkelijker dan eigen printer ?
Verwacht ze zo veel te gaan printen?

[The Eagle]

Voor zover ik even snel zie op de site van smarteye en hun aanbod lijk je apparaten aan te moeten melden (met een max aantal apparaten). Beetje een hotel setup met portal.

Ik zou zelf naar een travelrouter kijken. Lopen wel topics over, even zoeken. Aangezien dat ook met name gefocust is op streaming en een Chromecast lijkt me dat je die printer ook wel aan de slag krijgt

[rolelael]

99ruud99 schreef op zondag 24 september 2023 @ 09:02:
Misschien hele rare opmerking... maar printen kost meestal tussen 3 en 5 ct, is dat niet stuk makkelijker dan eigen printer ?
Verwacht ze zo veel te gaan printen?

Ja hoor print nog regelmatig en scannen ook ( bachelor pharmacie ).

[rolelael]

The Eagle schreef op zondag 24 september 2023 @ 09:04:
Voor zover ik even snel zie op de site van smarteye en hun aanbod lijk je apparaten aan te moeten melden (met een max aantal apparaten). Beetje een hotel setup met portal.

Ik zou zelf naar een travelrouter kijken. Lopen wel topics over, even zoeken. Aangezien dat ook met name gefocust is op streaming en een Chromecast lijkt me dat je die printer ook wel aan de slag krijgt

Ik kon op mijn ios'sen aanmelden via username/pwd in wifi security . Volgens mij wordt dan het mac address bewaard en kan je gewoon surfen zonder te heraanmelden met de ssid.bovendien ook cert installed ( wifi) .
Maar goed ik kijk straks

[rolelael]

Ok bad luck. Een router aangesloten via utp. Connectie maken: login pagina smarteye. Dus je moet authenticeren dan via een portaal.
Idem met pc via utp aangesloten....
Dus dat is geen oplossing voor oa de printer en chromecast... ugh

Zo een travelrouter kan ik daar wel mijn credentials ingeven voor 802.1x? En dan die bezigen als router?

[The Eagle]

rolelael schreef op zondag 24 september 2023 @ 12:38:
Ok bad luck. Een router aangesloten via utp. Connectie maken: login pagina smarteye. Dus je moet authenticeren dan via een portaal.
Idem met pc via utp aangesloten....
Dus dat is geen oplossing voor oa de printer en chromecast... ugh

Zo een travelrouter kan ik daar wel mijn credentials ingeven voor 802.1x? En dan die bezigen als router?

Die zijn iig gemaakt om er mee om te gaan. Gebruik de GoT search even, zijn zat topics over, incl aan te raden producten

[Mini-me]

Nog een out-of-the-box vraag:
Heeft de printer geen USB verbinding of rechtstreekse WiFi verbinding voor clients?

[ Voor 25% gewijzigd door Mini-me op 24-09-2023 16:09 ]

[rolelael]

Mini-me schreef op zondag 24 september 2023 @ 16:08:
Nog een out-of-the-box vraag:
Heeft de printer geen USB verbinding of rechtstreekse WiFi verbinding voor clients?

Het gaat hem om de airprint funct oa en das lastig he een iphone met usb aansluiten. Mac zou gaan , maar we leven in 2023. Ik wil het zo easy als thuis maken voor haar uiteraard

[rolelael]

hele discussie achter de rug van smarteye. Zij geven aan dat een router ( bv travel ) ook niet gaat werken omdat ze er controles op doen ( of t waar is who knows ). Wil ik upgraden naar internet plus ( op hun website is deze 6 eur duurder dan de basic ) dan kan ik wel gebruik maken van chromecast etc, en krijg ik een eigen ssid etc. Maar zij geven aan dat die prijzen niet 'tellen' omdat het groepsprijzen zijn :-) en dat t me 14 eur per maand extra kost aan he te betalen met een activatie kost van 59 eur ex btw als er al een smarteye compatibel wifi toestel hangt, of 170 eur ex btw als er geen hangt ( met technieker ikv toestel plaatsing )..

Dus ja.. 14 eur zou ik er ng voor over hebben, maar die activatiekost etc..

Iets anders waar ik aan d8. Ik kan toch ook een hotspot opzetten op een mac book bv die wel aangelogd is via wifi ... Dan kan ik de chromecast configgen naar deze mac book hotspot, alsook bv de iphone om zo te streamen. Of zie ik dat verkeerd? Zelfs de printer kan ik dan op de hotspot van de macbook zetten ( en steeds dius wel zelfde hotdpot naam gebruiken uiteraard )

[laurens0619]

Gewoon travel router erop met
- pc like mac
- pc like hostname
- geen poorten open op wan kant

is nog steeds wel
Theoretisch te detecteren maar ach. Afaik kunnen gl inef router 802.11x

[rolelael]

bedoel je zoiets ; Beryl AX (GL-MT3000) of deze GL.iNet GL-SFT1200 ( iets cheaper )

wat bedoel je met

- pc like mac
- pc like hostname
- geen poorten open op wan kant

[ Voor 14% gewijzigd door rolelael op 24-09-2023 22:50 ]

[rolelael]

Mini-me schreef op zondag 24 september 2023 @ 16:08:
Nog een out-of-the-box vraag:
Heeft de printer geen USB verbinding of rechtstreekse WiFi verbinding voor clients?

even dit ook bekeken, en idd de pixma 5750 heeft een direct connection. ik kan er ook mee naar connecteren vanaf ios, maar helaas komlt ios dan zeggen No internet connection en bovenaan ook geen wifi symbooltje.

Ook al staat in de wifi lijst dat hij connected is. ik kan print opdracht geven, zie zelfs de printer staan, maar nothing happens. dus dat is ook bizar,anders had dat al wel een oplossing geweest

[The Eagle]

Kun je er een vaste Windows pc neerzetten? En dan dit Use your Windows PC as a mobile hotspot - Microsoft Support

Hang je alle wireless dingen op die hotspot en klaar ben je.

Eigenlijk zelfde principe als de travelrouter

[The Eagle]

rolelael schreef op zondag 24 september 2023 @ 22:47:
bedoel je zoiets ; Beryl AX (GL-MT3000) of deze GL.iNet GL-SFT1200 ( iets cheaper )

wat bedoel je met

- pc like mac
- pc like hostname
- geen poorten open op wan kant

Dat zijn idd de travelrouters die wel genoemd worden. Ik neem aan dat ie het verder over het claimen van het Mac adres en de pc naam heeft. Zodat de travelrouter zich voordoet als je pc. Enige wat in een scan dan iets anders is is de hardware vendor.

Dat gezegd hebbend: ik geloof nooit dat ze veel checken wat er daadwerkelijk op zit. En als ze het al checken, kunnen ze er geen gevolg aan geven. Fysiek achter de voordeur mogen ze wettelijk niet eens controleren. Scan kan wel, maar dan is nog steeds de vraag of ze zoiets überhaupt op kunnen volgen. Bedoel, je kunt iets zien, maar je kunt niet zomaar een klant actief van je netwerk afgooien omdat ie een loophole gevonden heeft


Wat ik zou doen: gewoon travelrouter kopen en neerzetten. Gaan ze echt handhaven, gooi je dat ding er tussenuit en zet je een pc neer plus windows hotspot, dat mag namelijk wel gewoon
Worst case hou je een leuk routertje over voor op vakantie. Ook handig

[ Voor 15% gewijzigd door The Eagle op 25-09-2023 08:32 ]

[rolelael]

ik was al verder met de printer. DC actief en raar maar waar maar kan wel printen nu, gisteren niet. misschien was een herstartje nodig of een slaapstandje. en dan was ik aant kijken naar een xiaomi 4K tv stick bv ( en of die WPA2-enterpr ondersteunt ) dan zou dat ook ok zijn . heb ng wel een apple tv 4K maar goed die heb ik zelf nodig :-)

en anders bekijk ik idd de travel router

[laurens0619]

Sorry ik was wat cryptisch maar ik wilde inderdaad wat tips geven om "detectie" lastiger te maken.

Post was trouwens niet compleet want ik denk dat ze meestal die hotspot routers ontdekken door scannen naar SSID's in de lucht. Als je dat ding 4G Hotspot noemt ofzo dan filteren ze je waarschijnlijk weg
Maar om het compleet te maken zou ik inderdaad:
- Het MAC address van de WiFi van kant van je travel router een MAC geven die op een computer lijkt
- De hostname van de Wifi van kant van je travel router "computer01" noemen ofzo
- Ervoor zorgen dat er aan de WAN kant van je wifi geen poorten open staat.

Die GL Inet routers die je noemt zijn iig prima opties.
Maar:

rolelael schreef op zondag 24 september 2023 @ 12:38:
Ok bad luck. Een router aangesloten via utp. Connectie maken: login pagina smarteye. Dus je moet authenticeren dan via een portaal.
Idem met pc via utp aangesloten....
Dus dat is geen oplossing voor oa de printer en chromecast... ugh

Zo een travelrouter kan ik daar wel mijn credentials ingeven voor 802.1x? En dan die bezigen als router?

Dit klink toch als mogelijkheden.
Koop een wifi router (bv die GL inet) of wat je hebt liggen en hang de wifi router met de WAN aan de LAN kant aan dat kastje. Je krijgt dan op een client device de login pagina, log dan in.
Als het goed is zijn nu al je apparaten hierna die via dit wifi verbonden zijn ingelogd en werkt je printer en alles.
Het enige nadeel kan zijn dat je periodiek opnieuw moet inloggen maar speciaal daarvoor bestaan ook openwrt scriptjes die dat voor je doen

https://github.com/openwr...ravelmate/files/README.md

[rolelael]

De GL-SFT1200 binnen. leuk ding

Maar in de graphical interface zie ik geen mogelijkheid om het MAC address te veranderen, alsook de hostname

Ding draait op OpenWRT

andere manier om dit te wijizgen? Via commandline?

Grtz

[rolelael]

never mind. More settings..... :-) Hostname aangepast, rebooted. maar mijn 'eigen' router waar deze mee verbonden is ( dus internet -> eigen router -> Lan -> wan GL ) ziet ng steeds staan als host GL-SFT1200-8d1 , desondanks de hostname aangepast werd. Vanwaar zou hij deze nog halen?

maar wel een vraag ikv bovenstaande opmerkingen ikv WAN poort dichtzetten

Ik zie in Luci( interface ) bv staan

ZONES :

lan lan --> Wan IN=ACC OUT=ACC FWD=ACCEPT ( no masquereding, no MSS clamping )
wan wan --> reject IN=DROP OUT=ACCEPT FWD=REJECT ( masquer enabled, MSS clamping enabled )

Dan zou ik denken dat is de correcte instelling??

[ Voor 24% gewijzigd door rolelael op 29-09-2023 14:06 ]

[laurens0619]

@rolelael
Ik denk dat hij die hostname gewoon cached bij de eerste dhcp lease.

Zones zegt niet alles, gaat echt om FW regel maar waarsch staat er ergens nog manage from WAN uit.
Maar zoals @The Eagle noemde, waarschijnlijk stoppen ze weinig moeite in die dingen discoveren. Het meest laagdrempele voor een beheerpartij is "rogue AP detection", dat levert een lijst op met accesspoints die de accesspoints zelf vinden.

Maar zolang je die een naam geeft die door de IT als false positive wordt gezien zit je wel goed:
Bijvoorbeeld: DIRECT-10A-HP ENVY 5000. Veel HP printers zetten eigen wifi op dus die rogue AP detection lijstjse zitten altijd vol met die namen

[ Voor 12% gewijzigd door laurens0619 op 29-09-2023 14:12 ]

[rolelael]

ik heb al het mac eens veranderd en het ip van dhcp naar statisch gezet ( naar een ander dus ) , maar hostname blijft dus. na rebooten van beide devices

[laurens0619]

rolelael schreef op vrijdag 29 september 2023 @ 14:18:
ik heb al het mac eens veranderd en het ip van dhcp naar statisch gezet ( naar een ander dus ) , maar hostname blijft dus. na rebooten van beide devices

hier staan nog paar andere plekken waar je het kunt wijzigen
https://forum.gl-inet.com/t/v3-how-to-change-hostname/6279/8

[rolelael]

yes en dat was het idd ( dhcp -> hostname to send )

[rolelael]

Het gejuich is van korte duur

router op kot aangesloten. Kreeg eerst het authenticatie portaal niet. Dan een wijziging gedaan nl dns rebind attack protection , disabled. Toen kwam login portaal en dat ging ok. Maar kan nergens anders naar surfen na authenticatie.

Een nslookup geeft wel t ip van de fqdn. Uiteraard geeft hij als dns server mijn router, maar aangezien hij een host kan resolven, volgens mij ok.

Iemand nog zo een ideeke?

Vanaf pc verbonden met router krijg ik een timeout naar ping met google. Reply wel van het inlogportaal ( hotspot.smarteye.eu )

Doe ik een ping of tracert op de router zelf via luci interface, dan krijg ik wel een reply v bv google

[ Voor 20% gewijzigd door rolelael op 30-09-2023 09:49 ]

[laurens0619]

Als het vanaf de router wel werkt dan ben je al halverwege
Is het niet zoiets basaals als dezelfde lan en ip range? Of routering niet aan?

[rolelael]

Het smarteye network is 192.168.150.x . De router krijgt daar dus een ip in bv 192.168.150.47 met gw 192.168.50.1 en dns 192.168.150.1

De router zijn dhcp range en lokaal network is 192.168.8.x . Dus mijn client krijgt een ip bv 192.168.8.6 ( gw 192.168.8.1 )

Verder gebruik ik alle default settings. Heb de router ook al eens v scratch opgezet terug , maar zelfde result.

Ook al een een statische route toegevoegd target 0.0.0.0 naar 192.168.50.1 bv maar noppes

[rolelael]

Routes die by default staan

Network Target Gateway
Lan 192.168.8.0/24
Wan 0.0.0.0/0 192.168.150.1
Lan 192.168.150.0/23

[Groentjuh]

Ik gok dat ze op TTL filteren. Als jouw router zelf een TTL verstuurd, dan is de TTL van de pakketjes 64. Als je een apparaat aan de router verbindt, dan haalt de router één van de TTL van de pakketjes af en dan krijg je dus TTL 63 en daarop kan dat netwerk in principe filteren.

Welke versie van OpenWRT draait op de GL-SFT1200?

[rolelael]

Openwrt 18.06 r0-d5ed025

[Groentjuh]

In dat geval, probeer het volgende: installeer het package "iptables-mod-ipopt"

En onder Network → Firewall → Custom Rules de volgende regel toevoegen:

code:

iptables -t mangle -I POSTROUTING -o INTERFACE -j TTL --ttl-set 65

Waarbij INTERFACE dient ingevuld te worden met de juist naam van de wan interface.

Dat opslaan en daarna een herstart voor de zekerheid is aan te raden.

[ Voor 26% gewijzigd door Groentjuh op 30-09-2023 12:23 . Reden: Gecorrigeerd; INTERFACE dient niet usb0 te zijn, maar ingevuld te worden. ]

[rolelael]

Ok maar iptables is not listed onder software
Sorry op dat vlak

Edit iptabled staat er
Blijkbaar op

Ff booten

Wat doet die usb0? Ik had ook een andere gevonden


Iptables -t mangle -I postrouting 1 -j xxxxxx

[ Voor 60% gewijzigd door rolelael op 30-09-2023 12:11 ]

[Groentjuh]

rolelael schreef op zaterdag 30 september 2023 @ 12:07:
Ok maar iptables is not listed onder software
Sorry op dat vlak

Heb je wel onder "Available packages" wel andere packages staan, die te installeren zijn? Mogelijk dien je eerst de lijst met beschikbare packages op te halen via "Update lists".

[rolelael]

[rolelael]

Laatste regel staat er nu bij maar geen verandering ook niet na reboot

[rolelael]

Die iptables-mod-ipopt staat installed

[Groentjuh]

ehm die "-o usb0" moet de interface zijn van jouw wan. Geen idee wat die precies is voor jou. "wan", "wwan", "eth0", "eth1" zijn logische kandidaten.

[rolelael]

Wan staat hier als device:eth0.2 kan dat?

[Groentjuh]

Dan zou ik zowel wan als eth0.2 eens proberen.

[rolelael]

Done en geen succes
Al 3 uur bezig en t rukke is als ik naa rhuis ga kan ik niks meer uitproberen :/( vanaf remote dan

[Groentjuh]

Even voor de zekerheid.
Je hebt de GL-SFT1200 via een kabel aan de wan-poort van de GL-SFT1200 aansloten op het netwerk.
De router krijgt een IP in de 192.168.150.x range met 192.168.150.1 als DNS en gw.

Pingen/Tracert vanuit de GL-SFT1200 naar het internet werkt.
Pingen/Tracert vanuit een apparaat aangesloten op de GL-SFT1200 werkt niet.

Eventueel kan overigens

code:

iptables -t mangle -I POSTROUTING -j TTL --ttl-set 65

zonder -O ook. Maar ik weet op dit moment niet of er TTL gebruikt wordt om te blokkeren dat studenten eigen routers aansluiten.

[ Voor 10% gewijzigd door Groentjuh op 30-09-2023 12:41 ]

[rolelael]

Klopt allemaal wat je zegt

En neen ik weet ook niet of ze op ttl kijken..

Maar kijk nu het werk heb wel de prerouring ook gedaan . Zou dat er mee te make hebben

[laurens0619]

Als je die travel router nu als wan via wifi met je tel hotspot laat verbinden, geeft die dan wel internet door?

[rolelael]

Yep alles ok nu

[rolelael]

Tx allen

[laurens0619]

rolelael schreef op zaterdag 30 september 2023 @ 13:14:
Yep alles ok nu

Hoe heb je t nu gefixt? Met die ttl regel?

[rolelael]

ja idd met

iptables -t mangle -I POSTROUTING -j TTL --ttl-set 65

maar ook met de PREROUTING erbij

Volgens mij was het dus de prerouting die ook nodig was, enkel met postrouting deed hij t niet

Zeer bizar, lang bezig geweest maar kijk de aanhouder wint, en zeker met jullie hlp

[laurens0619]

Wel vet dat ze nat detectie doen!