My first hotspot (Hilversum)

[KrL]

Ik ben me recentelijk eens gaan verdiepen in Wifi toepassingen.. Enthousiast geworden heb ik besloten een wifi hotspot op te richten met gratis toegang voor mensen in de buurt..

Ik heb hiervoor een Senao NL-2611CB3 deluxe AP aangeschaft met een 15 dB omni en dit geheel op m'n dak geplaatst: het AP in een weerbestendige box direct onder de omni, verbonden met m'n server via een 30m lange UTP..

De server is verbonden met het internet via een 8mbit/512kbit ADSL lijntje.. Daarnaast heb ik nog een intern (bekabeld) netwerk waarop oa. m'n desktop zit..


====== - eth0 --- Internet
server = - eth1 --- Intern netwerk (192.168.0.x)
====== - eth2 --- WiFi (192.168.1.x)


Wat ik zoal heb draaien op de server:
- DNS server
- Proxy server (transparant)
- DHCP server
- Firewall
- VPN server

Willekeurige draadloze gasten krijgen via dhcp een IP (in de 192.168.1.x range) en de benodigde dns/gateway instellingen.. De firewall routeert het verkeer op port 80 naar de webproxy port.. Dit gebeurt transparant, de gebruikers hebben geen idee dat ze via een proxy verbinden (tenzij ze grote files proberen te downloaden, dat blokkeert ie)..
Verder staat alles dicht, zowel naar de server zelf als naar het interne netwerk als naar de overige poorten op het internet.. Strictly WWW dus (voorlopig)..

Voor buren heb ik een VPN server draaien.. Ze verbinden eerst met het draadloze netwerk en kunnen dan met de standaard WinXP/2000/9x client verbinding maken: dit creeert een tunnel over de WiFi verbinding met 128bits encryptie..
Eenmaal verbonden worden ze ingedeeld in een aparte range van het interne netwerk van waaruit ze in principe gebruik kunnen maken van alle externe services en poorten..

Dit alles draait nu, mocht je in de buurt zijn: 'Hotspot Neuweg' (vlak bij de RAF)..

Op m'n todo-list staat nog packet-shaping (het regelen van het dataverkeer zodat ik zelf geen hinder ondervind van anderen) en een soort van webinterface met statistieken.. Ook wil ik nog iets maken dat gebruikers bij het browsen eerst op mijn eigen pagina terecht komen waar wat huisregels staan en wat uitleg staat..

Als Proxy server heb ik squid draaien.. Iemand enig idee hoe ik hiermee laatstgenoemde 'probleem' (het weergeven van een welkomstpagina) zou kunnen realiseren ?

[Verwijderd]

In principe zijn die features dingen die je normaal in je proxyserver doet. Traffic shaping (al dan niet met prioriteiten in plaats van harde limieten) en statistieken moeten echt niet moeilijk te realiseren zijn (hangt er vanaf welke software je draait; met Squid(NT) en ISA Server is dit prima te doen).

En daar je proxy al het HTTP-verkeer onderschept moet het ook mogelijk zijn zo'n welkomstpagina te implementeren.

Mijn tip: ga spelen met een zeer feature-rijke proxyserver. Squid biedt zeer veel mogelijkheden en ik kan me haast niet indenken dat jouw punten niet te realiseren zijn.

Oh, en dit gaat nog even naar Network Troubleshooting

[KrL]

Ow ok, ik vond m wel mooi passen onder de noemer 'exotische netwerken'

Ik zag dat ik niet had genoemd wat voor n server ik draai.. Dat is dus Linux (Fedora C1) met iptables voor de firewall (geconfigged met fwbuilder)..
Als www proxy heb ik Squid draaien.. Hier valt inderdaad al redelijk wat mee te doen qua limieten en dergelijke, toch wil ik dit in de iptables gooien ivm gebruik over VPN (VPN bypassed squid in m'n huidige config)..
Ik ben nog niet echt tegengekomen hoe ik eerst een eigen pagina kan weergeven met squid..

[ Voor 3% gewijzigd door KrL op 14-05-2004 21:02 ]

[MagicTempest]

En dat vindt je provider allemaal ok?

Bij de meeste abonnementen is het verboden om de dienst aan derden aan te bieden...

Wel ben ik van plan om ook een leuk netwerkje te gaan maken, alleen dan op een hele andere manier. Mijn netwerk wordt een closed netwerk, waar ook de clients geen toegang krijgen tot het internet. DIt omdat het gewoon niet mag van mijn provider. :-)

Ik zal gebruik maken van een radius server om user authenticatie te doen. Ook zal er wep en mac filtering aan staan. Op die manier hoop ik een toch enigzins veilig netwerk op te zetten.

[Dennis]

Als je nou eens een handleiding voor jouw setup schrijft maak je vast een hoop mensen blij. Onder welk operating system heb je het gemaakt trouwens? Linux of een BSD variant?

[Johny58]

Wat voor bereik heb je in meters?

[JeroenT]

Zeer interessant project! Kun je misschien iets meer details geven over welke software je gebruikt voor het e.e.a ?

Wat betreft squid ; je zou iets van een authentication kunnen maken , dan redirect je users die nog niet ingelogd zijn naar je "welkom" pagina zodat ze daar in kunnen loggen. Of van mijn part een simpele "enable internet button"

Trouwens ook zeer netjes om met een omni 15dBi te halen! wat zijn de afmetingen ongeveer van die antenne?

[ Voor 4% gewijzigd door JeroenT op 14-05-2004 22:39 ]

[Grimli]

KrL schreef op 14 mei 2004 @ 20:21:

Op m'n todo-list staat nog packet-shaping (het regelen van het dataverkeer zodat ik zelf geen hinder ondervind van anderen) en een soort van webinterface met statistieken.. Ook wil ik nog iets maken dat gebruikers bij het browsen eerst op mijn eigen pagina terecht komen waar wat huisregels staan en wat uitleg staat..

Als je statistieken over je server bedoelt moet je maar eens kijken naar het PHPMyStats forum. Als het goed is draait PHPMyStats ook onder linux.

Hij laat oa uptime, OS, schijfruimte, allerhande hardeware info, draaiende processen, hoeveelheid netwerk verkeer en geheugengebruik zien.

Kijk hier voor een PHPMyStats in actie.

[KrL]

In m'n algemene voorwaarden (Demon DSL Express) staat:

U mag geen overeenkomsten sluiten met derden waarbij U die derden tegen betaling of een andere wederprestatie het gebruik van de Dienst geeft, tenzij dit is toegestaan in de Bijzondere voorwaarden voor de desbetreffende Dienst.
...
niet uw configuratie zo inrichten dat deze misbruikt kan worden (bijvoorbeeld met open mail relays en open SOCKS proxies). Wij hebben het recht om uw configuratie te controleren.

Volgens mij ben ik met mijn hotspot dus niet in overtreding.. Heel misschien op het 2e punt maar dit probeer ik te voorkomen door het zo veel mogelijk dicht te timmeren..

WEP en mac filtering doe ik dus bewust niet, ik wil een beperkte 'open' dienst aanbieden.. Overige beveiliging gaat via VPN+128 bits encryptie en ik hou een ban-list bij op basis van mac adres in m'n firewall (kreeg op dag 1 iemand die allemaal gay sites ging browsen ) ..

-

Een handleiding ga ik voorlopig nog niet schrijven.. Maybe wel een iets uitgebreidere omschrijving van wat ik precies heb draaien.. Doe ik morgen ofzo wel even..

-

Bereik in meters zou ik eigenlijk niet weten.. Het AP is 100mW en met de 15db antenne zou ik best ver moeten kunnen komen.. Heb een kleine 'wardrive' door de buurt gedaan en kwam daar n stuk of 50 AP's tegen.. Gelukkig geen enkele op channel 8 dus die heb ik maar ingepikt

--

De omni is 1 meter lang en heb ik gehaald bij zx-yagi, http://www.zx-yagi.nl evenals de rest (AP, pcmcia Senao kaartje en 5dB auto antenne)..

[ Voor 5% gewijzigd door KrL op 14-05-2004 23:34 ]

[lordgandalf]

voor je stats zouw je kunnen kijken naar phpsysinfo(1) voor je systeem specs en mrtg(2) voor de bandbreedte gebruik enz.

voor het regelen van je toegang op je netwerk zouw ik No Cath Auth(3) aanbevelen heb er zelf helaas geen ervaring mee maar hoor er goede verhalen over

(1) http://phpsysinfo.sourceforge.net/
(2) http://people.ee.ethz.ch/~oetiker/webtools/mrtg/
(3) http://nocat.net/

[ Voor 21% gewijzigd door lordgandalf op 15-05-2004 19:23 ]

[Gilles]

Ook wil ik nog iets maken dat gebruikers bij het browsen eerst op mijn eigen pagina terecht komen waar wat huisregels staan en wat uitleg staat..

Zeer interessant probleem. Ik weet niet precies hoe je dit in jou opstelling kan doen, maar ik heb laatst wel iets soortgelijks gemaakt op een lanparty. Een uitleg:

- Ons doel was het zoveel mogelijk voorkomen van het gebruik van "illegale" ip adressen op onze lan.
- Helaas bezaten we niet dermate netwerkapparatuur waar op snelle wijze gefilterd/geupdate kon worden welke ip's wel/niet mochten.
- Daarom hebben we ervoor gekozen om ip's bij het inchecken te koppelen aan een userid in een mysql database. De uitgegeven ip's werden ook gekoppeld aan macadres om ervoor te zorgen dat zodra een ip 1x gebruikt is, zijn mac adres is vastgelegd, en als dit ip vanaf een ander mac kwam, deze in ieder geval niet meer kon internetten/dns'en/intranetten.
- Hierbij kwam dus het probleem van het "registreren van mac adressen bij eerste gebruik", en daar begint het interessant te worden voor jou denk ik.

Het voor jou boeiende deel
- Door middel van iptables zorgden we ervoor dat alle poort 80 requests naar buiten die niet in onze allowed lijst (ip+mac) stonden, naar onze eigen apache server werden gezet. Hierop was gewoon een default virtualhost gebouwt, die zodanig geconfigureerd was dat hij alle requests standaard een Location:<internet aanmeld url> header naar z'n hoofd kreeg
- Zodra de gebruiker zich op het intranet netjes had aangemeld werd een deel van de firewall gereload (dmv sudo, dat was wel eng maar goed ), zodat vanaf dat moment hij wel op internet kon.

Met deze methode kan je wel hele leuke fancy dingetjes doen denk ik, als je bijvoorbeeld de referer even opslaat bij het aanmeld (of in jou geval dan welkomst dingetje) kan je hem daarna gewoon netjes naar zijn eigen url'etje laten gaan. Ik denk dat je er in jou geval voor zou kunnen gaan om in iptables alleen te matchen op mac adres, en dit dan ergens opslaan in een textfile of zo. Hou er wel rekening mee dat browsers connecties open houden, en als je dus met iptables een request naar bv hotmail.com hebt afgevangen naar je eigen server, en je dit later weer hebt opgeven, je browser nog steeds denkt dat ie met hotmail praat terwijl hij metj eigen server praat. Dit kan je oplossen dmv een Connection: close header geloof ik.

[pretorian]

Op m'n todo-list staat nog packet-shaping (het regelen van het dataverkeer zodat ik zelf geen hinder ondervind van anderen)

Is packet shapen niet mogelijk met iptables? Ik gebruik zelf PF, en daarmee kan dit iig wel.

[ Voor 136% gewijzigd door pretorian op 16-05-2004 03:46 ]

[Silver7]

Offtopic: Iedereen is zeker 24 uur online

Ontopic: Het is cool dat iedereen online blijft overal en nergens tenzij je echter problemen krijgt met hackers en advocaten(van internetaanbieders)

Ik ben lekker wezen gaan feesten.....tja vraagje wat moet ik met een meid die al bezet is?

[DutchTSE]

offtopic:
[drunk mode] regelen die hap, als ze jou ook leuk vind tenminste [/drunk mode] nah gewoon laten gaan, ze heeft tenslotte al een vriend

ben btw ook net terug van feesten , met me vriendin thuis

[ Voor 19% gewijzigd door DutchTSE op 16-05-2004 05:17 ]

[KrL]

Tja, als we t toch over exotische tijden hebben (ja ik ben NOG wakker, niet AL )

Tnx Gilles, ik zal me hier eens in verdiepen.. Klinkt als een goede oplossing, of in ieder geval als een basis voor...

Packet shaping moet inderdaad kunnen met IPtables.. Maar is nog niet echt aan de orde, loopt nog niet echt storm.. Heb 1 echte gebruiker gehad, die ik ook meteen gebanned heb omdat hij alleen maar gay porn sites bezocht

Voor hackers ben ik niet echt bang: heb alles redelijk dichtgetimmerd.. Voor advocaten van de provider ook niet: volgende de algemene voorwaarde doe ik niets verkeerd

[Verwijderd]

Grimli schreef op 14 mei 2004 @ 22:55:
Als je statistieken over je server bedoelt moet je maar eens kijken naar het PHPMyStats forum. Als het goed is draait PHPMyStats ook onder linux.

Hij laat oa uptime, OS, schijfruimte, allerhande hardeware info, draaiende processen, hoeveelheid netwerk verkeer en geheugengebruik zien.

Kijk hier voor een PHPMyStats in actie.

Dan daarbij dat ik vanplan ben om een SNMP module te maken, dan kan je Switches / Routers uitlezen, maar ook non SNMP modules, dit realiseer ik door de webinterface van bv een router in te lezen met PHP. Op die manier kan je aardig wat doen.

[usr-local-dick]

Ik zal gebruik maken van een radius server om user authenticatie te doen. Ook zal er wep en mac filtering aan staan. Op die manier hoop ik een toch enigzins veilig netwerk op te zetten.

Als je toch een radius server heb kun je net zo goed 802.1X gaan doen.
Dat is de enige manier om een draadloos netwerk goed te beveiligen.
WEP en MAC filtering zijn meer cosmetische technieken

[Dennis]

Kun je ons nu nog wat meer informatie verschaffen over hoe het één en ander gedeeltelijk in elkaar steekt, meneer KrL ?