ICQ trotz Sperrung von TCP/UDP

[The Fatness]

Hallo,

auch ich habe mal ein Problem und zwar geht es darum, dass ich hier die Administratorin unseres Heim-Netzwerks und Herrin über die Router bin.

Erstmal die Hintergrundinfos:

Ich habe eine Arcor EasyBox A400; verbunden mit einem Speedport W500V.
Die A400 hat DHCP eingeschaltet, der Speedport dient nur für's WLAN.

~
So. Wie das nun mal so ist, meint mein Bruder in der Schulzeit bis um 4:00 Uhr morgens CSS zocken zu müssen und geht natürlich nur noch kaum in die Schule, da er ziemlich kaputt ist. Um das einzudämmen wollte ich nun über meine A400 eine Zugangskontrolle mit Terminplan errichten, was soweit auch funktioniert. Das Internet ist weg bzw. d.h. dass er keine Internetseiten mehr besuchen kann, Spielen ist auch nicht mehr, aber ICQ und ähnliches funktioniert noch?!

Ich habe bereits versucht den Port von ICQ (5190) zu sperren, aber da hoben sich alle anderen Einstellungen wieder auf.

Anstatt zu zocken hängt er nun natürlich mit seinen zockenden Freunden trotz allem noch im Internet und redet fleißig.

Als Notlösung habe ich nun eine MAC-Filtertabelle aktiviert und ihn ausgeschlossen, aber das jeden Tag in der Woche zu machen halte ich für sehr umständlich, wenn es schon diese Zugangskontrolle gibt.

Vielleicht kennt ja einer von euch eine Lösung, bisher konnte ich immer auf's Luxx zählen

 

[King Bill]

geht er über kabel oder über funk ins netz?

bzw. wie alt ist dein bruder? in wie weit kann er mit google umgehen?
denn wenn er sich nicht ganz so dumm anstellt kann er die läppigen kindersicherungen ohne weiteres umgehen in dem er google nach tutorials/foreneinträgen/etc.. durchsucht. oder es gibt doch schon bessere kindersicherungen die anhang der mac adresse den verkehr sperren.
ich glaube was da wirklich hilft ist ein lokal installiertes programm auf seinem pc was im hintergrund läuft und zeitlich gesteuert die verbindung verwehrt/deaktiviert. die frage ist in wie weit es solch ein programm gibt und ob es sich nicht durch abändern der windowszeit austricksen lässt.

 

[ole88]

solange nichts auf seinem pc installiert ist kann er denn kinderkram aufheben und umgehen.

vielleicht hilft da ein gespräch mehr als son kinderkram.

 

[l0n]

Wie wärs denn mit ner Batchdatei?

Ne Batchdatei die die hosts umbiegt und alles auf 127.0.0.1 umleitet (logischerweise auch eine die das ganze rückgängig macht!) und das dann per Taskplaner einfach zu einer definierten Uhrzeit starten lassen.
Vorrausgesetzt dein Bruder hat kein Adminkonto.

 

[The Fatness]

Mein Bruder ist 13 Jahre alt und hat seinen eigenen Laptop (mit Adminkonto).

Ich habe bereits schon mit ihm gesprochen, aber so ein Gespräch bei einem pubertierendem Kind ist nicht gerade sehr...erfolgreich. "Chill ma" Alles klar ^^

Sagen wir mal so, er weiß nicht auf welche Art und Weise ich das Internet sperre und fragt auch ständig ob ich es nicht wieder freigeben kann. Das Problem wäre somit ja schon gelöst, wenn ICQ da nicht rumzicken würde. Gerade das Programm ist es ja, was diese Internetsperre umgeht und worin sozusagen das eigentliche Problem liegt.

Anbei mal zwei Screenshots von den Einstellungen.

 

[Fairy Ultra]

13 Jahre alt

hat der Junge keine Eltern ?

 

[heuchler]

Sei nicht so respektlos Fairy...

Nun, eine vernünftige Firewall unterbindet auch das Instant Messaging.

Jedoch wirst Du dies nicht schaffen indem Du die Ports einfach sperrst (bzw nicht frei gibst).

Dein Brüderchen ändert den Port, der Drops ist gelutscht.

Außer Aufklärungsarbeit, Taschnegeldentzug und lokalen Programmen sehe ich da wenig Chancen...

 

[supernode]

Ich würde

a) Eine Verwarnung ala "Wenn sich das nicht aufhört ist der Laptop weg" aussprechen

b) Laptop wegsperren für ne gewisse Zeit

c) Ab und an wieder den Versuch wagen und ihm den Laptop überlassen.
Das könnte man an Erfolge in der Schule binden.

d) Falls er WLAN nutzt dieses abschalten

 

[heuchler]

d) Falls (NUR) er WLAN nutzt dieses abschalten

 

[The Fatness]

Ich würde

a) Eine Verwarnung ala "Wenn sich das nicht aufhört ist der Laptop weg" aussprechen

b) Laptop wegsperren für ne gewisse Zeit

c) Ab und an wieder den Versuch wagen und ihm den Laptop überlassen.
Das könnte man an Erfolge in der Schule binden.

d) Falls er WLAN nutzt dieses abschalten

zu a,b,c:

Das müsste meine Mutter regeln und da diese keine Ahnung von Erziehung hat (ich hab mich auch selbst erzogen, größtenteils^^) wird das nicht funktionieren, wenn ich das mache, hat das wenig Sinn. Ich würde nur wieder Ärger von meiner Mutter bekommen, weil er nervt und die ihre Ruhe haben will.

Verständlich ist aber auch, dass ich nicht will, dass hier ähnliche Schicksale geteilt werden und er soll nen guten Abschluss machen.

zu d:
Würd ich machen, wenn ich nicht selber WLAN hätte

 

[little_skunk]

Frag doch einfach mal den Support vom Hersteller deiner Hardware. Wenn du ihm das Internet enziehst, dann sollte das doch bitte komplett funktionieren. Alles andere ist ein Fehler. Eventuell gibt es bereits eine neuere Firmware mit der das Problem behoben wird.

Ports sperren kannst du gleich vergessen. In der Regel betrifft das nur die eingehenden Verbindungen. ICQ baut aber eine Verbindung nach außen auf und kann somit auch gesperrte Ports nutzen.

Darüber hinaus gebe ich dir noch einen Tipp. Einfach nur das Internet zu sperren wird nicht reichen. Wenn du ihn bis 22 Uhr zocken lässt, dann wird er das auch voll ausnutzen. Hausaufgaben macht er trotzdem nicht. Lässt du ihn bis 20 Uhr zocken, passiert genau das gleiche nur dass er dann Zeit zum Fernsehen hat. Er wird seine Zeiteinteilung einfach anpassen und alles unwichtig verschieben oder garnicht machen. Wir wäre es mit einem Belohnungssystem. Wie du das gestaltest bleibt dir überlassen. Macht er seine Hausaufgaben gibt es 2 Stunden extra zocken oder so.

Früher oder später wird er deine Einstellungen sowieso umgehen. Spätestens wenn er weiß wie mein einen Router auf Standardeinstellungen zurückstellt, hast du keine Chance mehr.

 

[The Fatness]

@little_skunk:

Hm. An letzteres habe ich gar nicht gedacht.
Auf die Idee mit dem Belohnungssystem bin ich spontan auch noch nicht gekommen.

Ich werd mir mal was einfallen lassen. Hat wohl evtl. auch mehr erzieherischen Wert als einfach alles abzukapseln. (q.q ich hab kein Bock mehr Mama zu spielen, das ätzt voll an //end emodasein// xD)

Genauso werde ich mal an den Support von Arcor schreiben, muss wohl wirklich ein Fehler sein.

 

[Feivel]

Hatte Vista nicht sone Kindersicherungsgeschichte, wo für bestimmte Programme eine Laufzeit per Tag eingetragen werden kann?
Ich gehe mal nicht davon aus das er dann tagsüber auf icq verzichten wird um dann nachts online zu sein?!?! ^^

Weis natürlich nicht welches OS er nutzt.

Je nachdem wie bewandert er ist, wird er das aber auch überwunden kriegen, zur not mit einer Formatierung

 

[DelSol]

den einzigsten weg den du gehen kannst ist wirklich ALLE ports ausser den port 80, 443, 25 und 110 zu sperren. dann geht wirklich nur noch reines http und https surfen und email. dann geht icq definitv NICHT mehr. und auch nix anderes ausser dein browser zum surfen und email zb. outlook.

das könnte dein bruder noch umgehen in dem er diesen web icq benutzt, also müsstest du auch noch die web icq seite sperren - oder am besten gleich die komplette seite von icq (die braucht er sowieso nicht wenn er icq auf seinem pc installiert hat).

so könntest du dann eine regel im router erstellen die quasi von 22 uhr abends bis 16 uhr nachmittags alle ports ausser 80, 443, 25 und 110 sperrt. damit wäre das schon ziemlich eingedämmt.

 

[Gelöschtes Mitglied 113331]

Batchdatei und Taskplaner klingt doch gar nicht so verkehrt. Kann man auch gut verstecken, sodass es nicht gleich ersichtlich ist das da nen Programm im Hintergrund startet.

Ansonsten ist Konsequenz das Mass aller Dinge. Abends um soundsoviel Uhr kommt der Laptop weg....der Junge ist 13...was soll er schon groß machen.

Aber nicht das du erst 15 bist und auch bis spät in der Nacht vor dem PC sitzt und deinem Bruder nur das I-net zu sperren wegen Bandbreite?

 

[The Fatness]

Naja ich hab keinen Plan von Vista, bin XP Pro Nutzerin

Er hat Vista auf seinem Laptop,aber ich saß da einmal dran und hab die Krise gekriegt.


Ich denke nicht, dass er sonderlich nen Plan von PCs hat sonst hätte er wohl schon längst auch die Sperre der Internetseiten usw. umgangen.

Genausowenig kennt er die IP vom Router weder noch die des WLAN-Routers (Speedport)

Edith: Ich bin 20 ^^
Ich will ja das gesamte Netz von seinem Rechner abstöpseln, bliebe wohl doch nur noch die MAC-Adresse zu sperren, schade, dass es da keine Funktion über den Terminplaner gibt, das hätte was.

Edith 2:
Ich wusste mal wie man eine Batch-Datei schreibt, aber habs natürlich voll vergessen

 

[hostile]

ICh schätze mal, das neue icq (ich verwende noch 2003b ) versucht das icq-protokoll über http zu kapseln (und damit port 80), wenn port 5190 nicht direkt erreichbar ist. alternativ alle icq-server sperren
oder du stellst dir nen router mit linux-support hin, da kannst du zb über layer-7-filter icq/aim sperren.

gruß
hostile

 

[Gelöschtes Mitglied 113331]

http://www.parents-friend.de/

den könnt ich noch anbieten

 

[DelSol]

was für ein router ist das, sag mal bitte das genaue modell

 

[The Fatness]

Ich hätte zwar gern 'n Linux aber auch davon hab ich leider noch keine Ahnung 'xD

(Gott komm ich mir grad unwissend vor ^^)

Das Programm hört sich zwar ganz nett an, aber so wie es aussieht müsste dieses auf seinen Rechner und da hab ich weder Passwort, noch Adminrechte -> d.h. er könnte das Programm auch locker wieder runterschmeißen. =/

Edith:

Es ist einmal eine Arcor-Easy Box A400, verbunden mit einem Speedport W500V.
Aktuelle Firmware: 1.02.507

 

[Gelöschtes Mitglied 113331]

Ja du bräuchtest kurz Zugriff auf seinen Rechner. Den wird er die ja wohl gewähren. Bist doch die ältere....ansonsten kommt das Ding weg....wie gesagt...der Junge ist 13...was soll er schon tun? Natürlich lässt sich das Prog mit PW's versehen, sodass ein Zugriff bzw. Deinstallation ohne selbiges gar nicht möglich ist. Ansonsten wär das ja witzlos. Geht doch nur darum das I-net zeitlich einzuschränken.

 

[DelSol]

hier, aus der anleitung des speedports:

Terminregel
Sie können festlegen, wann die Einschränkungen, die Sie für den Zugang ins Internet einstellen, wirk-
sam werden sollen. Stellen Sie dafür Regeln auf, z. B. eine Sperre Montags von 15:00 Uhr bis 21:00
Uhr.
Welche Einschränkungen für wen entsprechend dieser Regeln wirksam werden sollen, legen Sie für
benannte Rechner Ihres Netzes (siehe Seite 82) mit den entsprechenden Funktionen fest.
Klicken Sie in dem geöffneten Menü Sicherheit / Filterfunktion auf das Untermenü Terminregel.
Das Fenster zum Einrichten von Terminregeln
wird geöffnet.
Regel 1 ist voreingestellt mit Immer sperren.
Sobald Sie die ersten Regeln eingegeben haben,
können diese im Aufklappmenü dieses Fensters
angezeigt und ausgewählt werden.
Klicken Sie auf den Aufklapppfeil und wählen
Sie Regel: Neu hinzufügen, wenn Sie eine neue
einrichten möchten oder eine bereits erstellte
Regel, wenn Sie diese ändern möchten.
Geben Sie in Bezeichnung ein Stichwort über
diese Regel ein, damit Sie sie leicht erkennen,
wenn Sie sie anwenden möchten.
Legen Sie in Aktivierte Zeitabschnitte fest,
wann die Regel in Kraft treten soll, z. B. täglich
oder nur an bestimmten Wochentagen.
Geben Sie in der entsprechenden Zeile den Beginn und das Ende als Uhrzeit im 24-Stunden Format
ein.
Wenn Sie das Feld Ganztägig markieren, gilt die Regel von 0:00 Uhr bis 24:00 Uhr.
Die Startzeit muss immer kleiner sein als die Endzeit. Sie können keine Nachtsperre fest-
legen, da in diesem Fall die Startzeit größer als die Endzeit wäre. Diese Eingaben werden
nicht übernommen. Sie erkennen das daran, dass diese Regel nicht angezeigt wird.
Haben Sie die Eingaben durchgeführt und geprüft, klicken Sie auf Speichern. Ihre Daten werden
übernommen. Das Fenster Terminregel wird wieder angezeigt.
Möchten Sie keine weitere Terminregel einrichten, klicken Sie erneut auf Zurück. Das Menü Filter-
funktion wird wieder angezeigt.

das müsste dir doch helfen, oder? damit sperrst du seinen gesamten internetzugang. und kannst genau die zeiten festlegen

 

[The Fatness]

Hab mir das gerade mal gezogen, n PW eingegeben und er lässt mich mitselbem PW nicht ins Programm 'xD what the...

Jo, ich werds mal ausprobieren =3

Sie können keine Nachtsperre fest-
legen, da in diesem Fall die Startzeit größer als die Endzeit wäre. Diese Eingaben werden
nicht übernommen. Sie erkennen das daran, dass diese Regel nicht angezeigt wird.

Tja...da sieht man's. Son Shit aber auch.

Edit:
Das Kontrollcenter ist gar nicht schlecht in Verbindung mit dem Programm, werd das mal so einrichten. Wenn man wirklich nur über PW da rankommt, hat das wenigstens noch Sinn.

 

[l0n]

Ähm, ICQ läuft Standardmässig über Port 5190, sperr doch einfach den!

Wenn du sagst dein Bruder ist nicht so fit im Umgang mit PCs dürfte das jawohl das Problem lösen. Und dann icq.com, meebo.com, usw die ganzen Webmessenger zu sperren ist ja auch noch möglich.

Wahlweise müsste das ja auch gehen:

1. devcon.exe von MS besorgen (direkter Download (78KB))
2. Eingabeaufforderung starten
Start -> Ausführen -> CMD -> OK
3. Netzwerkadapter suchen
C:\>devcon find pci\* dies zeigt alle pci dev an
4. Netzwerkadapter PNP-ID bis zum ersten "&" v.l. kopieren
PCI\VEN_10B7&DEV_9055&SUBSYS_905510B7&REV_30\3&61AAA01&0&60
5. Testen ob der Status angezeigt wird
C:\>devcon status PCI\VEN_10B7
6. Device im Batch wie folgt (de)aktivieren
devcon disable PCI\VEN_10B7
devcon enable PCI\VEN_10B7

Quelle: administrator.de

Und eben das dann vom Taskplaner zu definierten Uhrzeiten starten lassen, z.B. 22.00 Uhr ---> devcon disable (Also Netzwerkkarte deaktivieren)
9.00 Uhr ---> devcon enable (also wieder aktivieren)

in Verbindung mit dem ner Regdatei die die Systemsteuerung deaktiviert ist dann nichts mehr mit Internet.

 

[Feivel]

@Muh20046 um das WinPasswort kommt man mit ner Boot CD herum, also könntest du wenn er mal ausser haus ist den Kram installieren. Allerdings denke ich wird er wie du schon sagtest den kram wieder deinstallieren. Wenn ers nicht selber hinkriegt, dann die leute aus seinem clan ^^

//Offtopic
Vll. ist das doch eher ein fall für die Supernanny, als für uns

 

[DelSol]

Tja...da sieht man's. Son Shit aber auch.

du kannst doch täglich von 0:00 bis 13 uhr und von 20 bis 23.55 einstellen oder? dann hättest du ja auch quasi einen nachtsperre, oder?

edit: sehs gerade, geht nicht.

 

[The Fatness]

//Offtopic
Vll. ist das doch eher ein fall für die Supernanny, als für uns

Trotzdem Danke für eure Bemühungen

Ja, das geht (hab die Zeiten anhangsweise innem Post drin), aber das ändert nicht, dass ICQ noch funktioniert.
Fragt mich nicht warum das geht, da steht "Alle UDP/TCP Ports sperren" *häckchen*

 

[little_skunk]

den einzigsten weg den du gehen kannst ist wirklich ALLE ports ausser den port 80, 443, 25 und 110 zu sperren. dann geht wirklich nur noch reines http und https surfen und email. dann geht icq definitv NICHT mehr. und auch nix anderes ausser dein browser zum surfen und email zb. outlook.

ICh schätze mal, das neue icq (ich verwende noch 2003b ) versucht das icq-protokoll über http zu kapseln (und damit port 80), wenn port 5190 nicht direkt erreichbar ist. alternativ alle icq-server sperren

Ihr geht beide davon aus, dass es sich dabei nicht um eine billige NAT Firewall handelt. Genau das ist aber auf eigentlich jedem privaten Router drauf. Es ist völlig egal wieviele Ports gesperrt sind. ICQ baut eine Verbindung zu einem Server auf. Die Firwall wird diesen Verbindungsaufbau zulassen, da er ja vom Nutzer gewollt ist. Die Firwall blockt nur eingehende Verbindung nicht aber ausgehende Verbindungen.

Ich denke nicht, dass er sonderlich nen Plan von PCs hat sonst hätte er wohl schon längst auch die Sperre der Internetseiten usw. umgangen.

Das denke ich auch. Aus diesem Grund mach doch mal die aktuelle Firmware drauf und versuchs nochmal. Funktioniert es immernoch nicht, frag den support. Ich denke wenn das funktioniert, dann hast du erstmal Ruhe.

 

[The Fatness]

Die Firmware scheint die neuste zu sein
Die ist vom 01.07.09; Updates macht der automatisch zum Download finde ich keine, weder noch auf der Arcor Seite direkt, noch im Netz. Dort finde ich nur lustige Foren, wo drin steht, dass er das Update halt automatisch macht ^^

Wie müsste ich das denn mit der Firewall machen?

Hab auf der Arcor Seite doch den Download gefunden, aber da gibt es tatsächlich nur die alte vom 30.01.09

 

[hostile]

Ihr geht beide davon aus, dass es sich dabei nicht um eine billige NAT Firewall handelt. Genau das ist aber auf eigentlich jedem privaten Router drauf. Es ist völlig egal wieviele Ports gesperrt sind. ICQ baut eine Verbindung zu einem Server auf. Die Firwall wird diesen Verbindungsaufbau zulassen, da er ja vom Nutzer gewollt ist. Die Firwall blockt nur eingehende Verbindung nicht aber ausgehende Verbindungen.

Wenn man einen Router hat, der NAT/PAT bzw Masquerading macht, dann braucht man eigentlich keine FW, die eingehende Verbindungen blockiert, da - wenn ein SYN-Paket an das WAN-If kommt - der Router sowieso nicht weiss, wohin er es schicken soll. Dafür gibt es ja das allgemein bekannte "Port-Forwarding" (Routing anhand Port:IP-Kriterium).
Mir ist schon klar, dass zu 90% nur simple FWs in den Home-Routern stecken. Aber was tut genau die von dem Arcor-Teil? Eingehende Pakete (WAN-if) - auch von aufgebauten Verbindungen - blockieren (nur SYN-Pakete wäre ja überflüssig). Oder eingehende Pakete auf dem LAN-IF? Oder ausgehende Pakete auf dem WAN-IF? Das müsste noch zu klären sein.

gruß
hostile