Hallo Kermit2k aka Mirko,
ETH0 ist das WAN-Interface: Hierüber soll die Sophos die Einwahl ins Internet über ein vorgeschaltetes Modem machen.
ETH1 ist das LAN-Interface: Hier sollen die Clients angeschlossen werden. Da in der Regel ein einziger Port nicht reicht, habe ich hier einen Swtich dran und an dem Switch wiederum die Fritz!Box.
Das muss so sein, damit die Fritz!Box ein Teilnehmer im internen LAN ist und vom angebundene WLAN-Clients an der Fritz!Box eine IP-Adresse vom DHCP-Server bekommen, welcher die Sophos ist. Des weiteren hat die Fritz!Box als LAN-angebundenes Gerät noch den Vorteil, dass man die anderen Ports der Fritz!Box sozusagen als Switch missbrauchen kann. Ich z.B. habe hier meinen PC und ein NAS angebunden, welches ich dann über die Fritz!Box Oberfläche über VPN per WoL einschalten kann.
ETH2 ist das FB-Netz: Über dieses zweite Subnets soll der VoIP-Verkehr geroutet werden, sowie Gäste-WLAN Verkehr stattfinden: Es ist im ersten Moment schwer zu begreifen und auch schrifttlich zu erklären:
Wir wollen ja (siehe auch Anleitung), dass die Fritz!Box ihren Internetaufbau über die Sophos macht, also eine bestehende Internetverbindung mitbenutzt. Daher wird ein LAN-Interface der Fritz!Box als WAN-Interface "missbraucht". Nun hätten wir den Zustand, dass wir z.B. mit unserem Laptop ins WLAN der Fritz!Box verbinden und nach Standardeinstellung von der Fritz!Box eine DHCP-Adresse erhalten. Haben wir alles ordnungsgerecht eingerichtet, so könnten wir auch surfen. Wir hätten jedoch keine Chance aus dem WLAN an die Sophos zu kommen (es sei denn die IP liegt im gleichen Subnetz usw.).
Es ist eine Designfrage, aber ich möchte, dass das Verhalten so aussieht, dass das Gäste-WLAN von der FB bereitgestellt wird und der voreingestellte DHCP-Server (kann man ohnehin nicht wirklich ausschalten, es sei denn Gäste-WLAN ist deaktiviert) soll mitbenutzt werden. Vom Routing her stellt ein Gäste-Gerät eine WLAN-Verbindung mit der Fritz!Box her und die Fritz!Box leitet die Anfragen dann über unsere WAN-Strecke FB->Sophos an unsere geliebte (Sophos-)Firewall. Ich möchte ja als nicht-Gast auch per WLAN mit meinem Smartphone funken, gehe also in mein internes WLAN der Fritz!Box, bekomme vom DHCP-Server der Sophos (denn die Sophos ist ja lt. Anleitung auch per LAN mit der Sophos verbunden) eine IP-Adresse und kann mich als nicht-Gast und Admin in meinem eigenen Netz bewegen wie ich will (je nach Firewalleinstellungen natürlich). Kommen wir zu VoIP. Die Fritz!Box weiß natürlich nicht, dass im angebundenen LAN die Sophos theoretisch zu erreichen ist, sie möchte eine VoIP-Verbindung doch über ihr eingestelltes WAN-Interface abbilden, denn das haben wir ihr ja lt. Anleitung beibegracht. Im Standard versucht die FB ja auch über das DSL-Interface eine Internet/VoIP-Strecke aufzubauen und nicht über LAN.
Das Routing für VoIP findet also auch über WAN-FB -> ET2 Sophos statt!
Als Tipp:
Im Sophos Firewall Regelwerk habe ich trotz physikalisch selber Verbindung zwei Regeln gebaut:
ETH2(FB-Netz) darf surfen -> ETH0 (dies habe ich dann "Zugriff für Gäste" genannt. Somit kann ich in dieser Regel einstellen, was Gäste noch so dürfen.
ETH2(FB-Netz) darf VoIP (hier sollten dann u.a. alle nötigen VoIP-Ports des Providers gelistet sein) -> ETH0 (dies habe ich "VoIP <Provider>" genannt, damit hier wirklich nur Ports für VoIP eingestellt werden.
Ich finde es ein bisschen übersichtlicher, bzw. ist es dann sauber getrennt, ist aber geschmackssache und kann natürlich in einer Regel zusammengefasst werden.
Ich hoffe ich konnte mit der Erklärung erst einmal weiterhelfen.
- des ganzen Technikkramens zu erhöhen).