[Frage] DMZ auf Fritzbox 7360?

Geht leider nicht. Man kann die Switch-Ports bei neueren Fritzboxen nicht "auftrennen".

Whoopie schrieb:

Geht leider nicht. Man kann die Switch-Ports bei neueren Fritzboxen nicht "auftrennen".

Zum Vergrößern anklicken....

Ich weiß nicht, ob ich das "auftrennen" falsch verstehe, aber bei der 7490 (die sollte analog zur 7360 sein, wenn "neuere FRITZ!Boxen" auf VR9 hinausläuft) läßt sich über eine passende Konfiguration im Abschnitt "brinterfaces" der ar7.cfg schon eine weitere Bridge konfigurieren, in der dann z.B. eth0/1 und eth2/3 (oder auch anders, das Gastnetz arbeitet ja im Prinzip genauso und wäre bei solchen Änderungen aber ein "NoGo", da beim Ein-/Ausschalten die Bridges gleich noch einmal neu konfiguriert werden) zu einem getrennten Netz zusammenfassen lassen.

Das führt zwar noch nicht dazu, daß diese dann intern nicht mehr gegenseitig sichtbar sind und daß die FRITZ!Box nicht zwischen diesen Netzen routet, aber da der avm_pa ja bei lokalen Verbindungen meines Wissens nicht involviert ist und man für das Blockieren keine conntrack-Module braucht, müßte hier mit iptables nach meinem Verständnis eigentlich eine "Sperre" zwischen diesen zwei verschiedenen lokalen Netzen zu realisieren sein.

Ob allerdings mit 06.20 und der verbesserten Plausibilitätskontrolle für Routen und Portfreigaben unterschiedliche Freigaben in beide Netze möglich sind, habe ich noch nie getestet. Auch wenn man die Abschottung dann durch passendes Umkonfigurieren wieder aufheben kann, als "DMZ für Arme" könnte das tatsächlich funktionieren nach meinem (theoretischen) Verständnis. Der Betrieb mit zwei getrennten LANs ist getestet, die iptables-Sperre zur Trennung nicht, genauso wenig wie Freigaben in das zweite LAN.

ponderto schrieb:

... da LAN 1,2 1GBit/s und LAN 3,4 100MBit/s Ports sind. So sollten zumindest diese Paare physisch verschiedene Ports sein.

Zum Vergrößern anklicken....

Interessanterweise nein, es sind tatsächlich alle 4 Ports direkt vom SoC "versorgt", allerdings ist im SoC (Lantiq VRX288 aka VR9) lediglich für die Ports 1 und 2 ein GbE-PHY integriert. Bei der 7490, 3370 usw. kommen deshalb auf dem PCB separate GbE-PHYs für die LAN-Ports 3 und 4 zum Einsatz.

ponderto schrieb:

Ich habe die mal testweise fuer ein paar Tage eine DMZ mit meiner alten 7290 hinter der 7360 eingerichtet. Das groesste Problem ist aber, dass diese nur einen GBit-Port hat...

Zum Vergrößern anklicken....

Es gibt weder überhaupt eine 7290 noch eine 7270 oder 7360 die lediglich einen GbE-Port hat sondern entweder 2 oder gar keinen. Soweit ich weiß gibt es lediglich die 7330 welche nur einen GbE-Port besitzt.