Dem Teenager Einhalt gebieten - Managed Switch

[lhafty]

Hallo, mein Name ist Marc und ich bin Vater eines 16jährigen Fortnite süchtigen. Da hier mit Vernunft nicht beizukommen ist, begrenzen wir schon länger den Internet Zugang. Im Windows über Family Safety, das WLAN über ein Profil auf den Geräten. Zocken mit dem PC macht er über LAN Kabel. Router ist eine FritzBox, zum DG geht ein Kabel, daran hängt ein Fritz 3000 Repeater.
Das hat lange geklappt, leider ist er durch YouTube Anleitungen drauf gekommen sich einen lokalen Administrator zu installieren, was sich meines Wissens auch nicht verhindern lässt. Damit ändert er seine MAC Adresse und umgeht die Sperre auf der Fritz!Box und natürlich auch FamilySAfety.
Also habe ich mir einen Cisco Managed Switch gekauft, um auch auf dem LAN Kabel nur bestimmte MAC Adressen freigeben zu können (was die Firtzbox ja nicht kann). Leider bin ich mit der Administration als absoluter Netzwerk Laie vollkommen überfordert. Kann mir jemand erklären, wie ich auf dem Anschluss einfach nur bestimmte MAC Adressen (sein PC) in einem bestimmten Zeitraum (18-23 Uhr) freigeben kann? Oder kennt jemand eine einfachere Lösung? Momentan ziehe ich das Netzwerkkabel raus, eher umkommod ...

 

[blurrrr]

Damit ändert er seine MAC Adresse und umgeht die Sperre auf der Fritz!Box

Hi,

wäre es nicht einfacher, einfach "alles" zu sperren und nur bestimmte MAC-Adressen zuzulassen? Dann hätte sich das mit der MAC-Änderung auch direkt erledigt.

Bzgl. des Switches wäre erstmal die Frage, ob was für ein Modell es sich überhaupt handelt und ob dieser in der Lage ist, einen Port zeitgesteuert zu de-/aktivieren.

EDIT: So auf die schnelle mal hier etwas, aber es kommt halt auf Deinen Switch an.
EDIT2: Ist natürlich auch keine Lösung, wenn der Sohnemann physikalisch an den Switch kommt und sich einfach an einen anderen Port hängt.

 

[lhafty]

Vielen Dank für die super schnelle Antwort! Den Link schaue ich mir mal an. Der Switch ist ein Cisco Business CBS 250 8T-D Smart Switch. Leider kann ich ja mit der FRITZ!Box nur einzelne Mac Adressen sperren und wenn er sich eine andere gibt, ist die wieder frei . Wenn ich das Netzwerk komplett schließe und nur bekannte Adressen zulasse, habe ich das Problem, dass wenn ein Gerät tagsüber seine IP wechselt, meine Frau die Krise kriegt, wenn ihre Geräte nicht mehr funktionieren. An das Problem des Umsteckens habe ich schon gedacht, das hat er nämlich schon gemacht, und vorsorglich einen abschließbaren Schaltschrank besorgt. Darein soll der Switch.

 

[mkonline]

Mac address Sticky ist das bei Cisco.

https://www.cisco.com/c/de_de/suppo...onstration-port-security-default-changes.html

 

[blurrrr]

@mkonline war schneller, wollte es auch grade schreiben Unter uns... so für die Hardliner... Als Aktion "port shutdown" auswählen, wird ein Versuch unternommen, wird der Port sofort deaktiviert und muss erst händisch wieder aktiviert werden (und das passiert dann halt erst, wenn Papa mal Lust und Zeit hat, ganz einfach). Das läuft dann nach dem Motto: Halt Dich an die Spielregeln, oder leb mit den Konsequenzen. In grösseren Firmen ist sowas relativ normal und wenn da was passiert, steht dann meist kurze Zeit später ein Admin mit dem Abteilungsleiter beim Mitarbeiter im Büro

 

[blurrrr]

Btw hilft aber natürlich nicht, wenn man "nur" die IP ändert (und nicht gleich die MAC-Adresse), da müsste der Switch entweder etwas auf IP-Ebene machen, oder die Fritzbox z.B. mit der Kindersicherung. Da sollte es dann so eingerichtet werden, dass erstmal "alle" das Gast-Profil kriegen (oder ein spezielles eingeschränktes) und man die elterlichen Geräte in die Standard-Gruppe schiebt.

Anleitungen bzgl. der Profile und der Kindersicherung findest Du z.B. hier:
https://www.heimnetz.de/anleitungen/router/avm-fritzbox/fritzbox-kindersicherung-einrichten/
https://www.heimnetz.de/anleitungen/router/avm-fritzbox/fritzbox-zugangsprofile-einrichten/

Der "einfache" Weg wäre halt generell alles "neue" zu sperren, anstatt allem neuen hinterher zu rennen. Dann müsst ihr als Eltern halt einmal eure Geräte (die dann hoffentlich nicht mehr ständig ihre MAC-Adressen ändern - Privacy-Funtion am Handy für euer WLAN abschalten) mit dem richtigen Profil hinterlegen und dann sollte es auch gut sein.

 

[the other]

Moinsen,
als Tip, um nicht die Übersicht zu verlieren, denn du sagtest

habe ich das Problem, dass wenn ein Gerät tagsüber seine IP wechselt, meine Frau die Krise kriegt, wenn ihre Geräte nicht mehr funktionieren

...vergib allen Geräten direkt eine feste IP oder aber reserviere diese im DHCP der Fritzbox (dort MAC eingeben, IP bestimmen, fertig). Dann hast du auch das erledigt und kannst in den Logs und Protokollen direkter suchen bzw. ausschließen. Und der Ärger mit der Frau ist hoffentlich auch Geschichte.

Technisch geht sicherlich viel. Dazu noch via zB Pihole dem Junior DNS Filter vorsetzen. Firewall nutzen, um den Aufruf bestimmter Dinge aus dem VLAN des Sohnes verbieten...
Nur: all das kann am Ende des Tages nicht ersetzen, sich mit dem Thema (und dem werten Sohn) wirklich auseinanderzusetzen (weißte ja auch selber, haste ja die letzten 16 Jahre auch geschafft ). Und das sage ich als Vater eines 18 jährigen Sohnes. Wichtiger als die technische Unterstützung ist dann ja immer, da grundsätzlich ranzugehen. Was zugegebenerweise verdammt harte Arbeit ist.

 

[Stationary]

Damit ändert er seine MAC Adresse und umgeht die Sperre auf der Fritz!Box und natürlich auch FamilySAfety

Grundsätzlich richtet man eine Fritzbox eigentlich so ein, daß bekannte MACs (also bekannte Geräte) ein Profil zugewiesen bekommen (meist “unbeschränkt”, bei Geräten von Kindern auch schon mal mit Einschränkungen). Dem Profil “Standard” entzieht man alle Zugangsrechte und jegliche Internetzeit. Geräte, deren MAC die Fritzbox nicht kennt, also “neu” hinzukommende Geräte bekommen von der Fritzbox automatisch “Standard” zugewiesen, dürfen also nichts machen. Ändert Dein Sohn die MAC erkennt die Fritzbox das Gerät als neues Gerät und weist ihm das Profil “Standard” zu. Damit war es das dann mit dem Internet…

 

[lhafty]

Oha, das mit dem Standard Profil ohne Rechte kannte ich noch nicht! Das erscheint mir logisch und einfach Danke!

 

[lhafty]

Moinsen,
als Tip, um nicht die Übersicht zu verlieren, denn du sagtest

...vergib allen Geräten direkt eine feste IP oder aber reserviere diese im DHCP der Fritzbox (dort MAC eingeben, IP bestimmen, fertig). Dann hast du auch das erledigt und kannst in den Logs und Protokollen direkter suchen bzw. ausschließen. Und der Ärger mit der Frau ist hoffentlich auch Geschichte.

Technisch geht sicherlich viel. Dazu noch via zB Pihole dem Junior DNS Filter vorsetzen. Firewall nutzen, um den Aufruf bestimmter Dinge aus dem VLAN des Sohnes verbieten...
Nur: all das kann am Ende des Tages nicht ersetzen, sich mit dem Thema (und dem werten Sohn) wirklich auseinanderzusetzen (weißte ja auch selber, haste ja die letzten 16 Jahre auch geschafft ). Und das sage ich als Vater eines 18 jährigen Sohnes. Wichtiger als die technische Unterstützung ist dann ja immer, da grundsätzlich ranzugehen. Was zugegebenerweise verdammt harte Arbeit ist.

Danke, ich denke ich versuche es tatsächlich nochmal über die Fritz!Box mit den Tips hier.
Unser Sohn ist leider schon von klein auf ein Rebell, Regeln und Respekt sind ihm schon immer ein Graus. Dabei ist er intelligent, vermag aber aus seinen Potentialen noch nichts zu machen. Ich bin mir sicher er geht irgendwann seinen Weg, aber momentan ist es einfach nur unglaublich nervenzerfetzend mit ihm. Er kann sich in seinem Medienkonsum im Gegensatz zu seinen Freunden nicht selbst begrenzen, das haben wir so oft besprochen und versucht. Er vergisst bei freiem Zugang außer atmen wirklich alles, essen, schlafen, Körperhygiene, Haushaltstätigkeiten und natürlich auch die Schule.

 

[the other]

Moinsen,
wie gesagt, verdammt harte Arbeit. Und manchmal müssen die Leitplanken (so jedenfalls meine Erfahrung) etwas enger gesetzt werden, damit niemand aus der Kurve fliegt. Und dann eben auch mit Hilfsmitteln... Und klar ist dein Kind intelligent, hat ja eine tiptop Problemlösungsstrategie entwickelt.

Gib den Geräten von dir und deiner Frau feste IPs, mach die Fritzbox mit den MACS bekannt.
Gib auch die MAC (die echte) vom Sohn PC mit an.
Dann Profile für euch, eines für den Sohn. Letzteres dann beschränken wie vereinbart.
Drittes Profil für "unbekannt und neue", das dann komplett verrammeln.
Das sollte reichen.
Natürlich dafür sorgen, dass der Sprössling nicht EURE MACs in die Hände bekommt und genau gar keinen Zugriff auf die Fritzbox und den switch.