Du verwendest einen veralteten Browser. Es ist möglich, dass diese oder andere Websites nicht korrekt angezeigt werden. Du solltest ein Upgrade durchführen oder ein alternativer Browser verwenden.
Die LAN-Buchse 4 kann bei diesem Modell als Gastzugang zum Internet verwendet werden, und die angeschlossenen Geräte haben keinen Zugriff auf interne Netz.
Wie sieht's aber ungekehrt aus? Ich würde gerne von meinem PC aus auf einen Rechner in der DMZ zugreifen, um ihn zu konfigurieren. Lässt sich das irgend wie bewerkstelligen?
Auf Geräte einer DMZ sollte der Zugriff problemlos möglich sein. Die Fritzbox unterstützt das meines Wissens jedoch keine DMZs.
Das Gast-WLAN ist meines Wissens vom anderen Netz getrennt und die Geräte können somit nicht mit den anderen internen Geräten kommunizieren.
Was gemeinhin als DMZ bezeichnet wird, ist eigentlich nur ein Exposed Host. In der Fritzbox lässt sich ein Exposed Host bei den Portfreigaben einrichten. Dabei einscheint ein fetter Hinweis in rot. Achtung: Der als "Exposed Host" angegebene Computer ist ungeschützt im Internet sichtbar und erreichbar. Für diesen Computer ist die Firewall Ihrer FRITZ!Box deaktiviert.
Wobei letzteres eigentlich genau der Sinn und die Definition einer DMZ ist: sie soll von überall erreichbar sein, aber selber keinen Zugriff auf das Interne Netz haben.
der Sinn einer DMZ ist es, dass der Traffic aus dem Internet erst durch die DMZ läuft bevor er zur Firewall gelangt, also z.B. erst durch einen Proxy geht.
Die DMZ hängt also zwischen internem LAN und Internet während das Gast-WLAN parallel zum internen Netz im Internet hängt.
Schade, daß es nicht so funktioniert, wie ich erhofft hatte.
Kennt jemand eine Möglichkeit, das gewünschte vielleicht irgend wie anders zu erreichen? Ein Rechner soll aus dem Internet und von den heimischen Rechner aus erreichbar sein, aber dieser Rechner soll von sich aus keinen Zugriff auf die anderen Rechnern im Heimnetz bekommen. Mit einem zweiten Router wäre das natürlich kein Problem, aber ich möchte eigentlich kein weiteres Gerät mit Strom versorgen müssen.
Und einfach auf dem DMZ-Rechner in paar IP-Regeln zu setzen, bringt nichts, denn wenn jemand den Rechner knackt, sind diese Regeln da nächste, was geknackt wird.
Würde es funktionieren, wenn ich mich per Telnet auf der Fritzbox anmelde und dort eine entsprechende IP-Regel einfüge, so daß ich vom Heimnetz in das Gastnetz komme, aber nicht umgekehrt? Oder handele ich mir damit ein größeres Sicherheitsloch ein?
ThSteffens: Du musst bei Deiner Signatur dringend "Elektronen" durch "Elektronen und Elektroninen" ersetzen! Sonst ist die Aussage nicht politisch korrekt. ;-)
Wie soll das Funktionieren, dieses Datenverbindungen sind doch keine Einbahnstraßen?!. Wenn Du von einem Rechner in einem anderen Netz Daten anforderst, dann kommen die aus diesem Netz in Deines, in dem der Rechner steht, der sie angefordert hat. Es ist also relativ sinnfrei, diese Verbindung sperren zu wollen, bzw. die Anforderung von Daten aus einem anderen Netz zuzulassen, aber den Rückweg sperren zu wollen. Das ist ungefähr so, als würde ein Tauber mit einem Stummen telefonieren (das ist nur ein Vergleich und ich möchte niemandem mit einem derartigen Handicap zu nahe treten!).
Der Gastzugang ist keine DMZ oder was auch immer. So etwas gibt es bei FritzBoxens nicht. Es ist ein separates Netz, für das absichtlich und aus gutem Grunde kein Routing in Deine bestehendes Netz eingerichtet ist (und sich auch über das Webinterface nicht einrichten lässt, da es dem Sinn des Gastnetzes widersprechen würde). So etwas könntest Du über VLANs per VLAN-fähigem Switch oder eine Hardwarefirewall mit mehrern Schnittstellen erreichen. Die FritzBox kann das eben nicht. Sie unterstützt einen exposed Host, was aber wieder was ganz anderes und für Deinen Einsatzzweck auch nicht geeignet ist.
Im gewissen Sinne doch: eine Datenverbindung, die Rechner A an B initiiert, berechtigt B nur zur Beantwortung der Anfragen. Angenommen, A ist im internen Netz, B in der DMZ. Wenn ich ssh von A nach B mache, ist das für A eine ausgehende und B eine eingehende Verbindung. Eine Firewall kann unterscheiden, welche Daten von wo nach wo, also in welche Richtung fließen. Entsprechend dem Beispiel würde die FW die Verbindung von A nach B durchlassen, und B erlauben, diese Verbindung zu beantworten. (Stichwort: Verbindungsstatus) Alle Daten von B, die nicht Antwort auf die Anfragen von A sind, werden nicht zugelassen.
Jeder Heim-Router mit Firewall macht das so: wenn Du eine Internetseite ansiehst, darf der Server Dir die Daten liefern, weil es die Antwort auf eine Anfrage Deines Rechners ist, also die Beantwortung einer von Dir ausgehenden Datenverbindung. Umgekehrt darf der Server aber nicht von sich aus eine Verbindung zu Deinem Rechner aufbauen, das verhindert die Firewall in Deinem Router.
Jo, ist klar, aber die FritzBox ist keine Firewall, die zwischen ihren eigenen Schnittstellen regelbasiert arbeitet, sondern sie hat maximal zwei interne Netzwerke und NATet immer nur zum WAN. Da funktioniert die von Dir beschrieben Verfahrensweise auch, aber unter den LAN-Schnittstellen eben nicht. Eine ähnliche Diskussion gab es schon vor längerer Zeit mal in einem Thread, in dem es sich um das manuelle Editieren der Regeln im VPN drehte. Dort funktioniert das eben auch nicht so. Nichtsdestrotrotz, wird man das mit Bordmitteln der FritzBox nicht hinbekommen. Man kann in der FritzBox zwar Routen einrichten, aber eben auch nicht auf das Gast-(W)LAN. Auch kann man kann sich nicht mal mit einem VPN behelfen, weil man keine Portweiterleitungen auf das Gastnetz einrichten kann. Mit einem OpenVPN-Clienten und einem Server im LAN könnte es mit eingeschränkter Performance funktionieren. So ist das eben mit den eierlegenden Wollmilchsäuen. Sie können vieles, aber nicht alles und Sonderwünsche bleiben da dann zwangsweise auf der Stecke.
