[Erledigt] FB 4040 & 1750 hinter Hardware-FW als WLAN- Gastzugang

[M*I*B]

Hallo liebe Leute,

ich hätte da mal ein Problem, an dem ich mir und auch ein ext. IT'ler die Zähne ausbeißen...

Konfiguration Hardware (alle IP's beginnen mit 192.168.):

DSL - FB7490 (Exposed Host, 179.1) - Firewall (179.2) -  LAN (1.0)
                                                      ^- DMZ (2.0 / DHCP für's 2er)

Firewall ist eine Black Dwarf UTM (https://www.securepoint.de/en/products/nextgen-utm-firewalls/appliances.html)


Das LAN läuft einwandfrei, das DMZ direkt an der FW abgenommen auch.
Nun wollten wir am DMZ eine 4040 zusammen mit einer 1750 als MESH betreiben. Die 4040 (2.3) hängt via WAN- Port am 2er Netz, die 1750 (2.5) ebenfalls. Beide sehen sich und die 4040 generiert auch sofort ein MESH... So weit, so gut...

Probleme:
1. Mit einem an z.B. LAN3 angeschlossenem oder via WLAN verbundenem Notebook erhalte ich via DHCP von der FW eine IP (z.B. 2.33), kann aber keine Verbindung mit dem Internet aufbauen. Ein Ping auf eine IP klappt meist, auf einen Namen nicht; wie gesagt: Notebook direkt an der FW am 2er Netz geht einwandfrei.
2. In der FW ist in den Einstellungen zur DMZ eine Route vom 1er zu 2er Netz gesetzt. Vom 1er Netz kann ich zwar die 1750 anpingen, nicht aber die 4040. Selbiges funktioniert aber aus dem 2er Netz problemlos...

Selbiges hatte ich dann mit unserer Reservebox, einer nagelneuen 7490 noch einmal versucht; gleiches Problem. Anschließend haben wir die komplette DMZ in der FW gelöscht und neu aufgebaut. Die basiert auf den gleichen Einstellungen wie das LAN (quasi eine 1:1 Kopie der Einstellungen), nur eben mit geänderten IP- Adressen.


Vielleicht hatte hier schon mal jemand solcherlei Probleme und eine Lösung resp. einen Hinweis?


LG
Micha

 

[sonyKatze]

1. Welche Rolle hat die FRITZ!Box 7490: DSL-Router?
2. Warum spielt die FRITZ!Box 4040 weiterhin Router und ist nicht im Modus IP-Client?

Schön wäre, wenn die Firewall selbst die Einwahl machen würde, z.B. über ein DSL-Modem wie den DrayTek Vigor130 – dann hättest Du ein NAT gespart.

 

[Theo Tintensich]

Die FW routet ohne NAT?
Die FW ist der DHCP-Server für das DMZ-Netz und liefert nicht nur die IPs, sondern auch die Route und einen DNS-Server?

Ist bei der 4040 als Router das NAT an?
Wieso ist das DMZ ein Unternetz an der F!B zum Internet, und nicht das LAN?
Eine DMZ sollte keine IP im Netzbereich, den man in seiner Netzkonfiguration benutzt, ohne extra Route erreichen. Sicher kann man die IP im LAN einzeln in der FW für die DMZ sperren, aber garantiert vergisst man eine Änderung.
Ist die DMZ aber ein von mehreren Netzen hinter dem INternet-Router, und das Arbeitsnetz hängt parallel dazu, dann kann man hier erst einmal den gesamten DMZ-Verkehr sauber blocken.

(schon etwas alt, aber immer noch gültig https://www.heise.de/ct/artikel/Router-Kaskaden-1825801.html )