[Problem] FB7390 hinter FB7170 - kein Zugriff auf Server-Dienst im Subnetz von FB7170

[cmonty14]

Hallo,

ich möchte 2 FBs hintereinander betreiben, wobei die Master FB direkt am DSL-Anschluß hängt und ein eigenes Subnetz aufbaut, welches sich vom Subnetz der Slave FB unterscheidet. Dadurch wäre das Subnetz der Master FB eine DMZ.

Ich habe folgende Konfiguration umgesetzt:

• Master FB7170 hängt direkt am DSL Anschluß und hat das Subnetz 192.168.178.1 - 192.168.178.254
• Auf der Master FB7170 ist DHCP aktiviert
• Slave FB7390 ist direkt mit Master FB7170 über LAN1 Port verbunden. Die Einstellung auf der Slave FB7390 ist "NAT-Router mit PPPoE oder IP" und als DHCP Server ist 192.168.178.1 eingetragen.
• Die Slave FB7390 bezieht die IP 192.168.178.10
• Auf der Slave FB7390 ist das Subnetz 192.168.180.1 - 192.168.180.254 eingerichtet und der DHCP Dienst ist aktiv
• Alle Clients im Subnetz 192.168.180.0 haben Internetzugang und können die Master FB7170 pingen
• Alle Clients im Subnetz 192.168.178.0 haben Internetzugang und können nicht in das Subnetz 192.168.180.0 pingen

Soweit also alles ok.

Jetzt aber zu meinem Problem:
Im Subnetz 192.168.178.0 läuft ein Server-Dienst auf Port 10000. Dieser Server-Dienst ist von außen, d.h. Internet, erreichbar (in Zusammenarbeit mit dem DynDNS-Dienst, der auf der Master FB7170 läuft, und dem Freetz Port Forwarding).
Aus dem Subnetz 192.168.180.1 - 192.168.180.254 kann kein Client auf diesen Server-Dienst auf Port 10000 zugreifen.

Was muss ich noch einstellen, damit ich vom Netz 192.168.180.0 auf den Server-Dienst zugreifen kann, der in der DMZ läuft?

THX

 

[Novize]

Was auch immer das für ein Serverdienst ist:
Nimm ein anderes Subnetz als 192.168.180.0 für Deine sek. Fritzbox. Das kann mit den Netzen der Fritz kollidieren.
(das Netz 192.168.180.0 wurde historisch auf jeden Fall mal in der Fritz genutzt.) Also

< 192.168.178.0
bzw.
> 192.168.182.0

 

[cmonty14]

OK, das hört sich mal einfach an.

Du glaubst nicht dass es irgendwas mit blockierten Ports zu tun hat?

 

[Novize]

Eines nach dem anderen...
Ändere erst einmal den IP-Bereich der 7390, dann reden wir weiter, wenn notwendig

 

[cmonty14]

Update:
Die Konfiguration wurde wie folgt geändert:

• Das Subnetz der FB7170 (Master) ist jetzt 192.168.10.0
• Das Subnetz der FB7390 (Slave) ist jetzt 192.168.20.0
• Die FB7390 bezieht IP via DHCP von 192.168.10.1 und ist jetzt unter 192.168.10.10 erreichbar

Folgende Tests funktionieren:

• Ping aus Subnetz 192.168.20.0 auf 192.168.10.1
• Telnet aus Subnetz 192.168.20.0 auf 192.168.10.1
• SSH aus Subnetz 192.168.20.0 auf 192.168.10.1

Der Server-Dienst, der auf Port 10000 im Subnetz 192.168.10.0 lauscht, ist aus dem Subnetz 192.168.20.0 nicht erreichbar.
Ich kann im Log des Servers aber erkennen, dass eine Anfrage von "anonymous" via IP 192.168.10.10 ankommt, also genau der IP die die FB7390 zugewiesen bekommt.

Und nun?

 

[gismotro]

Ganz ehrlich ? Ich verstehe immer noch nicht warum Du unbedingt die Subnetze brauchst. Leg alles in ein Subnetz und Du hast die Probleme nicht mehr.

 

[doc456]

Hallo,

ich würde es entweder mit einer Portweiterleitung oder, wenn das nicht klappt, mit Routen versuchen.

 

[Benares]

@c.monty:
Der Rechner, auf dem der "Server" läuft, muss wissen, dass das Subnetz 192.168.20.x hinter der 7390 liegt, sonst schickt er Antworten über sein Default Gateway, die 7170.
Alle Rechner in deiner "DMZ" brauchen daher eine zusätzliche Route in Richtung 7390, wenn sie mit Rechnern im 20er Subnetz reden sollen.
("route add -p 192.168.20.0 mask 255.255.255.0 <10er-IP-der-7390> metric 1")

 

[cmonty14]

[Edit frank_m24: Vollzitat vom Beitrag direkt darüber gelöscht, siehe Forumregeln.]

Frage:
a) Wenn ich diese Route einrichte, wird dann die DMZ nicht "durchlässig" gemacht, d.h. alle Clients, die sich Zugriff auf die DMZ verschaffen (ob erlaubt oder nicht), kommen dann auch in das private Subnetz 192.168.20.0?
b) Kann ich die Route auch im WebIF von Freetz auf der FB7170 Master einrichten?

THX

 

[Benares]

Frage:
a) Wenn ich diese Route einrichte, wird dann die DMZ nicht "durchlässig" gemacht, d.h. alle Clients, die sich Zugriff auf die DMZ verschaffen (ob erlaubt oder nicht), kommen dann auch in das private Subnetz 192.168.20.0?

Da seh kein erhöhtes Risiko. Da greift ja zusätzlich die Firewall der 7390.

b) Kann ich die Route auch im WebIF von Freetz auf der FB7170 Master einrichten?

Könnte gehen - müsste man mal probieren. Die Pakete von DMZ-Rechnern nach 192.168.20.x würden dann über die 7170 und von dort zurück über die 7390 laufen. Sicherlich kein Performancegewinn, könnte aber klappen - probiers aus.

Gruß
Gerhard