Internetzugang über Gastwlan

[shanti]

Hallo zusammen,

zur Zeit wird mein Internetzugang über ein von meinem Nachbarn bereitgestelltes Gastwlan seiner Fritzbox hergestellt.

Grundsätzlich habe ich kein allzu großes Mißtrauen meinem Nachbarn gegenüber, möchte jedoch wissen, ob es für meinen Nachbarn möglich ist, die von mir gesendeten Pakete bspw.
mittels Wireshark oder anderer Programme auszulesen.

Meine Webeitenaufrufe erfolgen auschließlich über https; zudem habe ich die Möglichkeit, Clientseitig - also auf meinemPC - einen Openvpnclienten über Port 443 auszuführen, also sozusagen openvpn über Port 443. Ein Clientseitiger Aufruf bspw. über myip.is bestätigt die Nutzung des openvpnclienten. By the way: Die Nutzung eines von meinem Nachbarn unabhängigen DNS-Service ( PiHole mit
Unbound in meinem Heimnetz ) ist möglich und die Auflösung der DNS-Anfragen mittels des eigenen DNS-Eintrages wird durch bspw. dnsleaktest.com bestätigt.

Ich möchte nun gerne wissen, ob mich die Nutzung des openvpnclienten über Port 443 sicher davor schützt, dass der Betreiber des Gastwlans meine gesendeten Daten auslesen kann. Also weder Inhalt der Pakete noch Metadaten, sprich: welche Seiten wann, wie oft...aufgerufen wurden.

Die einzelnen Hardwarekomponenten der Gesamtverbindung sehen so aus: Mein PC - Lanverbindung zu meinem Router ( OpenWRT )
Herstellung der Verbindung über Lankabel in WAN-Buchse meines Routers und in Lanbuchse des Nachbarn.
In der FB meines Nachbarn ist es möglich, den Gastwlanzugang an einen Lanport der FB zu binden. Geschwindigkeit gut...

Mein Heimnetz: Mein Router ( Gateway ) hat in meinem Heimnetz die IP 192.168.1.1; alle Clients in meinem Heimnetz entsprechend 192.168.1.xxx.

Meinem Router wird durch FB des Nachbarn die IP 192.168.179.1 zugewiesen, zudem existieren "Nachbarseitig" die weiteren Heimnetz-IP's 192.168.179.2 und 192.168.179.3 und 192.168.179.4.

Ein traceroute auf 192.168.179.3 zeigt:
traceroute 192.168.179.3
traceroute to 192.168.179.3 (192.168.179.3), 30 hops max, 60 byte packets
1 _gateway (192.168.1.1) 0.391 ms 0.658 ms 0.843 ms
2 192.168.179.2 (192.168.179.2) 3081.525 ms !H 3081.665 ms !H 3081.863 ms !H

Ein traceroute auf 192.168.179.4 zeigt:
traceroute 192.168.179.4
traceroute to 192.168.179.4 (192.168.179.4), 30 hops max, 60 byte packets
1 _gateway (192.168.1.1) 0.501 ms 0.641 ms 0.810 ms
2 192.168.179.2 (192.168.179.2) 3136.614 ms !H 3136.727 ms !H 3136.898 ms !H

Ein ping auf 192.168.179.2 ist erfolgreich, ein ping auf 192.168.179.3 und 192.168.179.4 nicht.


Was mich gewundert hatte: Ein arp-a in meinem Open-WRT-Router zeigt mir bezogen auf die IP's 192.168.179.xxx folgendes an:

192.168.179.3 0x1 0x0 00:00:00:00:00:00 * eth0.2
192.168.179.4 0x1 0x0 00:00:00:00:00:00 * eth0.2
Kein Eintrag im ARP-Cache bezogen auf 192.168.179.2

Ich hoffe, dass meine Darstellung nicht zu verwirrend ist, noch dass die "Gesamtkonzeption" fragil ist.


To be safe or not to be, this is my question.

Ich würde mich über Anregungen, Meinungen und umsetzbare Tips sehr freuen.

Danke Shanti

 

[Barungar]

Grundsätzlich habe ich kein allzu großes Mißtrauen meinem Nachbarn gegenüber, möchte jedoch wissen, ob es für meinen Nachbarn möglich ist, die von mir gesendeten Pakete bspw. mittels Wireshark oder anderer Programme auszulesen.

Grundsätzlich, ja! Da Dein Internet-Datenverkehr grundsätzlich durch das Netzwerk Deines Nachbarn geht, ist er zwangsläufig in der Mitte jeder Deiner Verbindungen, er kann diese also "mitlesen". Das Mitlesen wird eingeschränkt durch Verschlüsselungen, sie SSL, SSH oder TLS, usw. Aber die unverschlüsselten Paketmetadaten sowie die Zielhosts kann er mitlesen.

Ich möchte nun gerne wissen, ob mich die Nutzung des openvpnclienten über Port 443 sicher davor schützt, dass der Betreiber des Gastwlans meine gesendeten Daten auslesen kann. Also weder Inhalt der Pakete noch Metadaten, sprich: welche Seiten wann, wie oft...aufgerufen wurden.

Wenn Du in Deiner Konfiguration "sicherstellen" kannst, dass wirklich der ganze Datenverkehr durch den "openvpnclienten" geht, dann kann er nur noch die Metadaten der VPN-Verbindung erkennen. Also die IP und den Port des Ziel-VPN-Servers.

Meinem Router wird durch FB des Nachbarn die IP 192.168.179.1 zugewiesen, zudem existieren "Nachbarseitig" die weiteren Heimnetz-IP's 192.168.179.2 und 192.168.179.3 und 192.168.179.4.

Bist Du Dir sicher, dass Du die 192.168.179.1 hast? In einem "normalen" Fritz-Gastnetz ist das die IP, die die FritzBox (die das Netz aufspannt) für sich selbst verwendet. Das die 192.168.179.2 nicht im ARP-Cache Deines Routers auftaucht würde für mich eher dafür sprechen, dass Du selbst (also Dein Router) diese IP im 192.168.179.0/24 Netz erhalten hast.

Ein ping auf 192.168.179.2 ist erfolgreich, ein ping auf 192.168.179.3 und 192.168.179.4 nicht.

Auch dies in Kombination mit den beiden abgebildeten Traceroutes spricht (aus der Ferne) eher dafür, dass Du selbst die 192.168.179.2 bist. Du kannst Dich selbst anpingen (was logisch ist) und alle Traceroutes auf .3 und .4 enden an der .2 mit einem !H Hinweis. Der !H Hinweis bedeutet übrigens "Host unreachable". Was wieder dazu passt, dass Dein Router für die .3 und .4 keine MAC ermitteln konnte.

Ich gehe aus der Ferne davon aus, dass Du 192.168.179.2 bist und dei FritzBox Deines Nachbarn ist die 192.168.179.1, beide IPs solltest Du anpingen und tracerouten können.