Frage Fritzbox7490 Draytek Vigor130

[Hille]

Ich nutze für meine Fritzbox7490 ein externes Modem Draytek Vigor130 im Bridge Modus, also als reines Modem (Anschluss Fritzbox LAN1). Das Routing selber erledigt die Fritzbox. Soweit funktioniert das tadellos. Nur komme ich nun nicht mehr auf die Weboberfläche vom Vigor130, da dieses ja am LAN1 von der Fritzbox hängt. Gibt es eine Möglichkeit, trotzdem eine Verbindung zur Weboberfläche herzustellen?

 

[thtomate12]

Ja, mit sehr viel Aufwand.

 

[Hille]

Ja, mit sehr viel Aufwand.

Kann man darüber nachlesen?

 

[PeterPawn]

???

Warum sollte das Management-Interface des Modems nicht über die WAN-Schnittstelle der FRITZ!Box erreichbar sein? Liegt das am Bridge-Mode des Modems? Wie konfiguriert man das dann in diesem Modus überhaupt? Zumindest die CLI-Schnittstelle dürfte weiterhin erreichbar sein ... auch wenn ich das mangels Gerät nicht testen kann, würde ich fast wetten, daß sogar das GUI ganz normal erreichbar ist.

 

[Hille]

Vermutlich liegt es am Bridge Modus. Wenn ich einen PC direkt an die LAN Schnittstelle des Modems anschließe, erreiche ich das Webinterface problemlos. Nur eben nicht am LAN1 der Fritzbox.

 

[KunterBunter]

Vermutlich liegt es daran, dass du dem Draytek Vigor130 eine IP-Adresse innerhalb deines Netzes zugewiesen hast. Denn wenn du einen PC direkt an die LAN Schnittstelle des Modems anschließt, erreichst du ja das Webinterface problemlos über diese IP-Adresse, obwohl dein PC keine andere IP-Adresse erhalten hat.

 

[Hille]

Vermutlich liegt es daran, dass du dem Draytek Vigor130 eine IP-Adresse innerhalb deines Netzes zugewiesen hast.

Das stimmt. Müsste ich dem Modem eine IP aus einem anderen Subnetz zuweisen?

 

[KunterBunter]

Das müsstest du. Anderenfalls werden deine Rechner das Modem weiterhin in deinem eigenen Netz suchen und nicht finden können, weil es da nicht ist.

 

[Hille]

Bloß nochmal zum Verständnis. Das Modem hat aktuell die IP 192.168.178.3, der Router Fritzbox 192.168.178.1. Jetzt gebe ich dem Modem die IP z.B. 192.168.2.1. Nun erreiche ich mit jedem PC im gleichen Subnetz (192.168.2.0) das Webinterface des Modems?

 

[PeterPawn]

Nein, die FRITZ!Box fungiert als Gateway zum Netz 192.168.2.0 ... der PC kommuniziert nach wie vor nur mit der FRITZ!Box. Wichtig ist nur, daß das Modem eine Adresse aus einem anderen Netzsegment als dem im LAN der FRITZ!Box verwendeten hat, der Rest wird durch die FRITZ!Box geregelt - sofern man nicht noch auf andere Einflüsterungen hört und irgendwelche lokalen Routen dazubastelt.

 

[Hille]

Danke, ich glaube, ich habe das Prinzip verstanden. Werde es dementsprechend testen.

- - - Aktualisiert - - -

Habe eben gerade mal getestet. Das Vigor130 Modem in den Auslieferungszustand gesetzt (Bridge Modus) mit der IP 192.168.1.1. Leider kann ich das Webinterface über 192.168.1.1 nicht erreichen. Muss in der Fritzbox evtl. noch Änderungen vorgenommen werden? Aktuell habe ich nur unter 'Internet', 'Zugangsdaten' auf 'Über ein externes Modem' eingestellt. Mehr nicht.

 

[schnurgly]

Du hast die Wahl: Wenn du den Daytek Vigor 130 als reines Modem verwendest, hast du nur Zugriff, wenn er mit einem PC direkt verbunden ist.
Über die Fritzbox hast du kein Zugriff, weil Vigor in dem Fall ein Modem und kein Client ist.
Wenn du über die Fritzbox auf den Vigor 130 zugreifen willst, muß der Vigor 130 das DHCP übernehmen und FB ist Client. Dann funzen aber solche Sachen wie VPN nicht.

 

[PeterPawn]

Wie unterscheidet das Modem dann, ob da ein PC mit einem Browser direkt am Ethernet-Anschluß hängt oder ob das die FRITZ!Box ist?

Wenn der Code im Modem die Antwort-Pakete für eine TCP-Verbindung auf dem Interface wieder aussendet, auf dem die Anfrage hereinkam (das ist hier das LAN- bzw. Ethernet-Interface des Modems, denn WAN-seitig ist es ja wohl DSL), dann kommen die Pakete zwar vielleicht mit der öffentlichen IP-Adresse der FRITZ!Box als Absender an, das sollte die Firmware des Vigor aber nicht daran hindern, sie zu erkennen. Lediglich dann, wenn die FRITZ!Box alles auf der WAN-Seite selbst in PPPoE kapseln sollte (so richtig habe ich noch nicht lesen können, wer da das PPPoE übernimmt), dann braucht es eben eine zweite Verbindung, die dann kein PPPoE verwendet. Eine ähnliche Konfiguration gibt es auch bei Providern, die für die Telefonie auf reines Ethernet setzen - die meisten verwenden ja PPPoE heutzutage ohnehin nur noch, weil darüber der Kunde identifiziert werden kann (also über seine Credentials und nicht über die Leitung).

 

[Kalle2006]

Das Problem wird wahrscheinlich im Routing bestehen. Das Modem berücksichtigt und erlaubt kein Standardgateway. Nur wenn sich der Client im gleichen Netzsegment befindet, hat man eine Chance für den Zugriff. Bei einem Kunden mit einer elmeg Hybird 130j und einem VDSL - Modem löse ich das Problem über einen VPN - Tunnel. Bei der VPN - Einwahl lasse ich dem Client dann eine IP-Adresse im gleichen Netzsegment zuweisen das der IP-Adresse des VDSL-Modems entspricht.

 

[PeterPawn]

Das Problem wird wahrscheinlich im Routing bestehen. Das Modem berücksichtigt und erlaubt kein Standardgateway. Nur wenn sich der Client im gleichen Netzsegment befindet, hat man eine Chance für den Zugriff.

Eben ... der einzige Client, der sich in demselben Netzsegment befindet (die DSL-Seite mal nicht berücksichtigt, da müssen die Daten erst noch durch die Modulation - das ist im OSI-Modell etwas Mischmasch aus L1/L2), ist die FRITZ!Box. Selbst wenn das Modem seinerseits das Ziel der Kommunikation mittels ARP-Request auflösen sollte, "sieht" es doch nur das externe Interface der FRITZ!Box und wenn es dort eine reine Ethernet-Verbindung geben sollte, dann muß die auch antworten auf einen derartigen Request. Spätestens damit weiß das Modem, wohin die Pakete auf L2 zu adressieren sind und sie kommen bei der Box an, die dann den Rest (NAT - die passende ausgehende Verbindung kommt ja von irgendjemandem im LAN) übernimmt.

Aber man braucht ja nicht zu spekulieren ... die aktuelle Konfiguration (wer macht PPPoE, getaggte Pakete ja/nein) steht in den Support-Daten und spätestens der Paketmitschnitt offenbart, ob auf dem externen Interface (1. Internetverbindung) die Pakete mit oder ohne PPP-Header unterwegs sind und schon die Frage, ob irgendwelche Zugangsdaten im Modem eingetragen sind, sollte darüber Aufschluß geben, ob das Modem selbst PPPoE macht und die Pakete eher mit oder ohne PPP-Header auf seiner Ethernet-Schnittstelle bereitstellt.

Ich habe jedenfalls noch keine Kombination gesehen, wo ein Modem (eines mit GUI jedenfalls) vor einer FRITZ!Box nicht erreichbar gewesen wäre ... es ergäbe auch netzwerktechnisch für mich keinen Sinn. Wie sollte das Modem eine FRITZ!Box und ein beliebiges anderes Gerät unterscheiden - solange da eine Konfiguration über HTTP-Zugriff erfolgt und nicht mit irgendeinem windigen Programm, was das direkt auf L2 löst (und dann meistens wieder Windows beim Anwender voraussetzt). Das wäre zwar bei anderen L2-Geräten (streng genommen ist das Modem auch eines) denkbar, hier gibt es aber ein GUI und sogar ein CLI und die können beide nur schlecht ohne L3/L4 arbeiten, also ist das Gerät beim Management-Zugriff da sicherlich nicht transparent.

Ein Modem, welches sein GUI/CLI auch auf seinem eigenen WAN-Interface bereitstellt (eine IP-Adresse sollte es als reines Modem dort gar nicht haben, die öffentliche IP-Adresse hat ja der nachgelagerte Router), wäre wieder ein leichtes Ziel für Angriffe - und (in meinen Augen zumindest) ein schwerer Fehler der betreffenden Firmware. Solange es das nicht macht, kann das Management eigentlich nur über eine einzelne Schnittstelle erfolgen (außer es gibt eine gesonderte dafür) und es bräuchte nicht einmal ARP-Requests seitens des Modems vor dem Senden ... das kann ganz einfach an die MAC-Adresse zurücksenden, von der das Paket kam.

 

[Hille]

Ich habe nun dem Modem eine andere IP Adresse, in einem anderen Subnetz, zugeordnet (192.168.1.1). Leider erfolgt auch so kein Zugriff auf das Webinterface des Modems. Die Einwahldaten sind übrigens im Router hinterlegt, im Modem nicht. Was kann ich noch tun, um Zugang zum Modem zu bekommen?

 

[PeterPawn]

Dann macht die FRITZ!Box offenbar die DSL-Einwahl über PPPoE und benutzt dann eben auf der WAN-Seite (für die "internet"-Verbindung) nur noch Pakete mit zusätzlichem PPP-Header, mit denen das Modem erst einmal nichts anfangen kann.

Dann muß man also eine weitere (WAN-)Verbindung definieren (am einfachsten durch Editieren der "ar7.cfg" im Abschnitt "dslifaces"), die anstelle von "dslencap_pppoe" auf "dslencap_ether" setzt ... dort kann man dann auch in "etherencapcfg" festlegen, wie die Adresse für dieses zusätzliche Interface aussehen soll. Am besten läßt man sich von einer anderen Konfiguration (z.B. für das IPTV-Interface) inspirieren, wie so etwas aussehen sollte ...

Wenn man dann die Einstellungen in der "ar7.cfg" vorgenommen hat (am leichtesten geht es, wenn man die direkt editieren kann, aber auch der FBEditor sollte funktionieren), dann erst einmal in aller Ruhe überprüfen, ob das zusätzliche Interface (man kann es m.W. nennen, wie man will) auch die erwarteten Eigenschaften hat. Nur wenn die stimmen, kann das Modem auch antworten - also "funktioniert nicht" ist da kein sehr hilfreicher Status, dazu gehört dann schon der entsprechende Abschnitt aus den Support-Daten und die Angabe, was man in der "ar7.cfg" geändert hat. Wenn das Interface richtig konfiguriert ist, sollte man es auch beim Paketmitschnitt gesondert auswählen können und dann dort nur den Verkehr für die Management-Verbindung zum Modem sehen.