Die Fritzbox und mehrere statische IPs

[jhartmann]

Es scheint der Irrtum verbreitet zu sein, die Tatsache, daß ein Router "extern nur" eine IP selbst nutzt (unter ihr erreichbar ist), wäre der Grund dafür, daß er auch alle intern angeschlossenen Geräte per NAT extern über eben diese IP erreichbar macht. Jedoch hat grundsätzlich jedes Netzwerkgerät, also auch jeder Router, prinzipiell in jedem Subnetz, mit dem es per Netzwerkadapter verbunden ist, erst einmal nur eine IP. Mit der Anzahl der ("externen") IPs, die "auf der anderen Seite" ("intern") für dort am Router angeschlossene Geräte verfügbar sind (dorthin geroutet werden), die also ggf. auch über NAT verknüpft werden können, hat das reinweg gar nichts zu tun.

Einerseits bekommt ein DSL-Endpunkt (FBF als DSL-Router) als Teilnehmer im PPPoE-Subnetz (dem Transitsubnetz) eine IP, weil irgendeine IP muß er ja haben, um dort für Verbindungen ansprechbar zu sein und bei selbstausgelösten Verbindungen einen Absender mitteilen zu können, ebenso wie das FBF bei aktiviertem NAT als Teilnehmer am internen Subnetz auch eine eigene IP, nämlich im Auslieferzustand die 192.168.178.1, besitzt. Zum "externen" Transitsubnetz gehören außer dem DSL-Router (FBF) auch noch der zugehörende ISP-DSL-Anschluß (auch ein Router mit exakt einer IP auf Transubnetz-Seite) und eben die an dieses Transitsubnetz gerouteten IPs, also in diesem Fall die o.g. "frei nutzbaren" statischen IPs.

Ohne aktiviertes NAT ist die IP des FBF intern wie extern die selbe und die intern angeschlossenen anderen Geräte (PCs etc.) benutzen auch im internen Subnetz die o.g., vom Router von "extern" nach "intern" (et vice versa) gerouteten, "frei nutzbaren" statischen IPs (jedes Gerät eine andere). Dabei ist eben für jedes Gerät eine separate ("externe"/"statische") IP nötig, weil unabhängig von den adressierten Ports nur die IPs zur Geräteunterscheidung dienen können (im Unterschied zu NAT, wo verschiedenen Ports unterschiedliche Geräte zugeordnet werden können).

Bei Verwendung von NAT dagegen können die "extern" verfügbaren (das heißt ins PPPoE-Subnetz des DSL-Routers gerouteten) IPs, wie viele auch immer dies sind, frei mit internen (anderen, also z.B. 192.er) IPs/Geräten verknüpft werden. Das NAT "übersetzt" also "externe" IPs in "interne" (und umgekehrt), wobei auch Ports zur Unterscheidung nutzbar sind.

Daß dabei meist die einzige "externe" IP, die für die "Übersetzung" in die internen genutzt wird, eben jene ist, unter der "extern" auch der (DSL-)Router selbst angesprochen wird, liegt lediglich daran, daß bei Dynamic-IP-ISPs i.d.R. nur eine, nämlich diese, IP zum DSL-Router geroutet wird/wurde, so daß für alle Geräte, die über den Router ans Internet angeschlossen werden, _einschließlich seiner selbst_, nur diese IP zur Verfügung steht.

Im von Tuxi beschriebenen Fall dagegen stehen alle zum PPPoE-Subnetz seines DSL-Routers gerouteten IPs, d.h. sowohl jene aus dem Bereich 217.140.78.232/29 als auch die dem DSL-Router selbst per DHCP (static lease) zugewiesene 217.173.146.23, für (Multi-)NAT, also für die freie Verknüpfung (auch portabhängig) zu "internen" Geräten/IPs, zur Verfügung. Durch die NAT-Tabelle kann eben nicht nur jene IP zu anderen Geräten (portabhängig) "durchgelassen" werden, die der Router selbst zugewiesen bekommen hat, sondern alle IPs, die zu ihm geroutet wurden, _einschließlich_ seiner eigenen IP.

Multi-NAT, also die Zuordnung _mehrerer_ "extern" durch Routing zum DSL-Router verfügbarer IPs zu den "internen" IPs/Geräten/Diensten (auch des DSL-Routers selbst), ist prinzipiell auch mit _iptables_ möglich (das im danisahne-mod in Version 1.3.3 enthalten ist) und also auch mit FBF, nur eben nicht über die Web-Oberfläche. Tuxi sollte sich also bezüglich der Konfiguration von iptables auf FBF schlau machen ...

Ich hoffe, das schafft jetzt nicht noch mehr Verwirrung ...

 

[gandalf94305]

Klar, aber zwei Anmerkungen:

- Die Routinglösung ist einfacher mit Standardmitteln der FBF zu machen, als wenn wir Multi-NAT aufsetzen müssen.

- Multi-NAT verwendet i.a. Adressen aus dem gleichen Subnetz auf dem externen Interface und mappt diese bzw. verwendet mehrfache WAN-Zugänge mit ihren jeweiligen IP-Adressen für ein Mapping. Die FBF muß also auch bei Verwendung von Multi-NAT technisch gesehen "routen", da sie auf einem Interface eine Transitnetz-Adresse und eine Reihe weiterer Adressen bekommt, die aus einem anderen Subnetz stammen.

--gandalf.

 

[TWELVE]

Im von Tuxi beschriebenen Fall dagegen stehen alle zum PPPoE-Subnetz seines DSL-Routers gerouteten IPs, d.h. sowohl jene aus dem Bereich 217.140.78.232/29 als auch die dem DSL-Router selbst per DHCP (static lease) zugewiesene 217.173.146.23, für (Multi-)NAT, also für die freie Verknüpfung (auch portabhängig) zu "internen" Geräten/IPs, zur Verfügung. Durch die NAT-Tabelle kann eben nicht nur jene IP zu anderen Geräten (portabhängig) "durchgelassen" werden, die der Router selbst zugewiesen bekommen hat, sondern alle IPs, die zu ihm geroutet wurden, _einschließlich_ seiner eigenen IP.

Vielleicht müßte man erstmal definieren, über welche Art NAT man hier spricht.Beim üblichen DSL-Home-Router-NAT ( Restricted Cone) stimmt meiner Erfahrung nach diese Aussage so nicht, weil diese Router nicht vom WAN ins LAN routen, sondern nur vom LAN ins WAN.Wan-seitig wird so ein NAT Router keine Pakete für andere Subnets annehmen, sondern nur welche, die an sein WAN Interface addressiert wurden und da auch nur die, für die er vorher eine ausgehende Verbindung gespeichert oder eine Portweiterleitung hat.Hab ich auch schonmal getestet, geht nicht.

Es gibt aber verschieden NAT Typen und da sollte man auch zwischen differenzieren.Das was ich jetzt geschrieben hab, bezieht sich auf typische one-to-many NAT DSL Router.Um sowas mit mehreren IPs zu realisieren, bräuchte man bei diesen mehrere WAN IPs ( Multi-NAT oder auch Multi-DMZ im Jargon dieser Router-Klasse) oder man muß das NAT ganz abschalten.
Was durchaus Sinn macht, da ja mehrere statische Adressen vorhanden sind und der Grund eines Home NAT ja hauptsächlich darin besteht, mehrere PCs über eine einzige WAN IP online gehen zu lassen.Wobei ich mir nichtmal so sicher bin, das im sog. Multi-NAT Betrieb dann vom WAN ins LAN geroutet würde.

Das vieles mehr mit CISCO Geräten geht, ist ne ganz andere Sache.Aber darum ging es hier glaubich auch nicht, oder ?

Grüße

TWELVE

 

[crusader]

Multi-NAT, also die Zuordnung _mehrerer_ "extern" durch Routing zum DSL-Router verfügbarer IPs zu den "internen" IPs/Geräten/Diensten (auch des DSL-Routers selbst), ist prinzipiell auch mit _iptables_ möglich (das im danisahne-mod in Version 1.3.3 enthalten ist) und also auch mit FBF, nur eben nicht über die Web-Oberfläche. Tuxi sollte sich also bezüglich der Konfiguration von iptables auf FBF schlau machen ...

Ich hoffe, das schafft jetzt nicht noch mehr Verwirrung ...

Doch! Mit iptables hatte es tuxi ja schon versucht (s. erstes Posting), kommt aber damit nicht durch, weil DSL-seitig erst einmal die FBF-Firewall alles blockt, was nicht PPPoE-IP ist.
Deshalb war ja seine Frage, wie er die deaktivieren kann.

Das hat ihm noch keiner sagen können.
(aber alle erklären das Internet )

crusader

 

[jhartmann]

Uff ...

Für den Fall mit wirklich statischen Adressen und einer Maske /29, d.h. theoretisch 6 IPs in Deinem Subnetz, gibt es natürlich die einfache Möglichkeit , dieses Subnetz zu routen. Dafür ist jedoch notwendig, für das Transitnetz zwischen DSL-Router und ISP eine andere IP-Adresse zu haben. In Deinem Fall ist das die 217.173.146.23.

Das Transitnetz hat keine IP, ist ja ein Netz, kein Gerät. Der Router (als Gerät=Gateway), hier FBF, hat eine IP, und das kann auch eine aus 217.140.78.232/29 sein. Es ist nur eben üblich, die an Endkunden gegen Entgelt vergebenen statischen IPs nicht für deren DSL-Router zu verbrauchen ...

Wie verträgt sich diese Aussage:

Ich glaube nicht, daß die FBF dies kann (siehe auch andere Postings im Forum)... und empfehle Dir daher, mal nach einem Router zu schauen, der dieses Szenario und QoS beherrscht.

mit dieser?:

Die Routinglösung ist einfacher mit Standardmitteln der FBF zu machen, als wenn wir Multi-NAT aufsetzen müssen.

Sowohl für „einfaches Routing“ mehrerer IPs als auch für Multi-NAT braucht es mehr als die „Boardmittel“. Und mit iptables (=>danisahne-mod) geht beides. (Multi-NAT hat mehrere Vorteile: erstens ist's mit NAT sicherer bzw. übersichtlicher, zweitens kann man intern mehr IPs benutzen als nur die verfügbaren statischen, drittens kann man jeder externen statischen IP mehrere interne Geräte, jeweils für verschiedene Dienste, zuordnen.)

In der geschilderten Situation gibt es zwei Netze (siehe mein Posting weiter oben):
- das Transitnetz zum ISP (per PPPoE aufgebaut) mit einer öffentlichen IP-Adresse für den Router zum ISP
- das interne Netz, das normalerweise per NAT über den Router versteckt wird, hier jedoch über eigene IP-Adressen (nämlich die 6 aus dem Subnet /29) verfügt, d.h. vom Router gewöhnlich geroutet wird. Dafür muß NAT abgeschaltet sein. Sonst geht das nicht. In diesem hat der Router ebenfalls eine der 6 IP-Adressen.

Mit und ohne NAT gibt es beide Netze, und die 6 /29er Adressen gibt es auch im Transitnetz (ebenfalls mit wie ohne NAT). Auch hat der Router unabhängig von NAT stets je Subnetz genau eine Adresse (der Router, nicht das Netz). Genauer: der jeweilige Router-Port. Also auch im internen Netz hat der Router stets genau eine Adresse. Ohne NAT üblicherweise dieselbe, die er auch extern hat, mit NAT üblicherweise eine nicht-öffentliche (es ginge auch NAT mit intern öffentlichen Adressen, egal ob andere oder die selben wie extern, dann muß man nur besser aufpassen).

Die FBF muß also auch bei Verwendung von Multi-NAT technisch gesehen "routen", da sie auf einem Interface eine Transitnetz-Adresse und eine Reihe weiterer Adressen bekommt, die aus einem anderen Subnetz stammen.

Daß auch bei Multi-NAT geroutet wird (Multi-NAT _ist_ eine Art des Routings), hat niemand bestritten, aber die Begründung ist nicht korrekt. Geroutet wird grundsätzlich alles, was vom einen ins andere Subnetz geht (egal in welcher Richtung), unabhängig von der Anzahl der beteiligten IPs.

Beim üblichen DSL-Home-Router-NAT ( Restricted Cone) stimmt meiner Erfahrung nach diese Aussage so nicht, weil diese Router nicht vom WAN ins LAN routen, sondern nur vom LAN ins WAN.

Quatsch mit Soße. Jedesmal, wenn Verkehr von außen nach innen kommt, ist das Routing vom WAN ins LAN.

Wan-seitig wird so ein NAT Router keine Pakete für andere Subnets annehmen,

Das interne Netz _ist_ ein anderes Subbetz (als das Transitnetz), und wenn Du dahinter z.B. noch mehrere andere Router (bzw. als Router konfigurierte PCs mit mehreren Netzwerkanschlüssen) stellst, hast Du auch mehrere Subnetze. Da unterscheidet sich ein NAT-Router von anderen Routern überhaupt nicht. Nicht umsonst gibt es unter Netzwerkeinstellungen auch eine Eingabemaske für statische Routen.

sondern nur welche, die an sein WAN Interface addressiert wurden ...

Du meinst: nur, was in seinem Transitnetz bei ihm als Gateway/Router ankommt. Das ist bei allen Routern so.

... und da auch nur die, für die er vorher eine ausgehende Verbindung gespeichert oder eine Portweiterleitung hat.

Das möchte wohl sein, daß ein Router nur das durchläßt, was er soll. Das ist auch bei allen Routern so und hat nichts mit NAT zu tun. Wenn Du (mit NAT) eine Freigabe von extern 217.72.19.20 auf intern 192.168.178.39 für _alle_ Ports machst, dann unterscheidet sich das von „einfachem Routing“ praktisch nur dadurch, daß die interne IP anders heißt als die externe. Aber da Du mit NAT intern auch die 217.72.19.20 zuordnen könntest ...

Also summa summarum: NAT bringt zusätzlich zu „einfachem Routing“ die Möglichkeit, einer IP aus dem einen Subnetz (hier: externes Transitnetz) im anderen Subnetz (hier: internes privates Netz) erstens eine anders lautende und zweitens je nach Port sogar mehrere IPs zuzuordnen. Mehr Unterschiede gibt es nicht.

Doch! Mit iptables hatte es tuxi ja schon versucht (s. erstes Posting), kommt aber damit nicht durch, weil DSL-seitig erst einmal die FBF-Firewall alles blockt, was nicht PPPoE-IP ist.
Deshalb war ja seine Frage, wie er die deaktivieren kann.

Wenn IP-Tables vor dem FBF-eigenen Krams gestartet wird (was beim danisahne-mod mit Firewall-Starttyp automatisch beim Box-Neustart meines Wissens der Fall ist; im Zweifel danisahne fragen) und eingehender Verkehr damit durch Multi-NAT auf eine interne IP gelenkt wird, bevor der FBF-Krams davon überhaupt erfährt, dürfte das eigentlich kein Problem sein. Das „Krams“ ist übrigens keine Firewall sondern bloß das FBF-eigene NAT.