[Problem] FRITZ!Box 7490 Subnetze erstellen (Getrennte Netzwerke)

[Chuky3000x]

Hallo liebe Community,

ich habe eine Frage bezüglich der Fritzbox 7490 und der Support braucht mir zu lange deshalb hoffe ich das ihr mir vielleicht helfen könntet. Folgendes Problem:

Auf Grund der Sicherheit möchte ich zwei getrennte Netze haben.
Einmal Privat und einen Zugang für Gäste. Ich weiß das die Fritzbox einen Gastmodus hat. Diesen habe ich auch eingestellt, nur hat sich ein Problem ergeben. Das Gast WLAN und das Gast LAN am Port 4 läuft über das selbe Zugriffprofil, nämlich "Gast". Im WLAN möchte ich eine Zeitbegrenzung haben aber im LAN nicht, da beide aber das selbe Profil nutzen ist dies leider nicht möglich.
Meine Frage ist also ob es möglich ist einem Port oder dem WLAN mehrere Profile zuzuweisen sodass diese sich überlagern. Also das beide das Profil Gast behalten damit das Gast WLAN und das Gast LAN in einem Netzwerk getrennt von dem anderen Netz sind, ich aber dem Gast WLAN ein weiteres Profil mit einer Zeitbeschränkung zuweise?

Ein weiterer Ansatz wäre es Subnetze manuell zu bilden d.h das ich zum Beispiel sage an Port 1 ist ein bestimmter IP-Adressbereich und an Port 2 ein anderer. Das WLAN "Gast" muss für meine Konfiguration auch nicht zwangläufig im selben Netzwerk wie das Gast LAN sein. Meinetwegen können alle 4 Netze (privat WLAN, Gast WLAN, privat LAN, Gast LAN) in unterschiedliche Subnetze aufgeteilt werden. Wichtig ist nur das die privaten von den Gastnetzen getrennt sind damit keines auf das andere zugreifen kann oder zumindest das Gastnetz nicht auf das private. Wichtig ist außerdem das die IP-Adressverteilung im WLAN per DHCP geschieht, im LAN könnte ich das (da nur insgesamt 4 PC's angeschlossen sind) auf jeden Fall auch manuell erledigen falls DHCP auf verschiedenen Subnetzen nicht funktioniert.

Die eigentliche Frage die sich mir stellt ist ob man überhaupt eigene Subnetze einrichten kann oder ob es, wie oben schon beschrieben, möglich ist das einem Port oder dem WLAN mehrere Profile zu zuweisen.
Über die Oberfläche habe ich für beide Lösungsansätze keine Option gefunden, da aber glaube ich Linux auf der Fritzbox läuft wäre ja vielleicht eine Lösung ohne die Oberfläche denkbar.

Ich freue mich über eure Antworten.

Grüße
Chuky3000x

 

[koyaanisqatsi]

Moin

Mit einer 2. Fritz!Box, die eine eigene Vebindung über Lan1 aufbaut mit eigener Firewall und eigenen Subnet am Lan4 Gastzugang der 1. Box, könntest du ganz normale Profile für deren Klienten ( 2. Box ) verwenden.
...und hättest zusätzlich einen "Reservegastzugang" der 2. Box zur Verfügung.

Denn das Internet der 2. Box beginnt im Gastnetz der 1. Box.
Klienten im Gastzugang der 1. Box können weder auf das Webinterface der 2. Box zugreifen, noch auf die Klienten dahinter ( Firewall & Subnet ).
...dazu müsste in der 2. Box der HTTPS Fernzugriff aktiviert werden ( Webinterface: 2. Box ).
...oder Portfreigaben/Weiterleitungen für die Klienten der 2. Box.

 

[Chuky3000x]

Na gut, das wäre auch eine Lösung, blöd ist nur das ich dafür eine weitere Fritzbox kaufen müsste und das möchte ich nicht.
Besteht denn überhaupt keine Möglichkeit getrennte Netze manuell an der Fritzbox einzustellen?

Ich hätte noch einen Speedport ich bezweifle aber das der ein Gast WLAN zur Verfügung stellen könnte mit BPjM Filter, Zeitschaltung etc. deshalb wäre mir eine Methode das Softwaremäßig an der Fritzbox einzustellen deutlich lieber da ich definitiv keine weitere Hardware anschaffen möchte.

 

[koyaanisqatsi]

Es muss nicht unbedingt eine Fritz!Box sein.
Probier ruhig mal mit dem Speedport am aktivierten Lan4 Gastzugang was damit möglich ist.
...den kenne ich halt nicht so gut.

 

[Chuky3000x]

Das beantwortet aber leider meine Frage noch nicht ob es wirklich keine Möglichkeit gibt das Softwaremäßig an der Fritzbox einzustellen?

 

[Igi2003]

Das geht, jedoch nicht mit Boardmitteln (WebIF) der Fritzbox selber. Du musst die ar7.cfg per Console editieren und kannst theoretisch sechs Subnetze, 4xLAN, 2xWLAN, einrichten. Habe ich bei mir genauso am laufen. LAN1 und 2 sind im 192.168.170.X Bereich (FritzBox Hauptadresse, DHCP aus), LAN3 hat 192.168.10.X geknüpft mit WLAN, Box IP150, VPN Gateway, DHCP aus weil eigener DHCP Server im Netz, LAN4 is das IPTV Netz, hat den IP Bereich 192.168.172.X, DHCP an, da die Media Receiver nur über DHCP arbeiten und somit auch der Multicast Datenstrom vom restlichen Netzwerk ferngehalten wird

Mfg Igi

 

[prisrak1]

Das geht, ..
Mfg Igi

Kannst du vielleicht Beispiele für deine Konfigurationen zu Verfügung stellen. Wie sieht es tatsächlich in der ar7.cfg aus? Daran wäre ich auch interessiert. Vielen Dank im Voraus.

 

[Igi2003]

So sieht meine ar7.cfg aus, der Rest ist unverändert.

/*
 * /var/flash/ar7.cfg
 * Thu Feb  1 19:57:45 2018
 */

meta { encoding = "utf-8"; }

ar7cfg {
        mode = dsldmode_router;
        active_provider = "tonline";
        active_name = "";
        igddenabled = no;
        wan_bridge_with_dhcpc = yes;
        wan_bridge_gateway = 0.0.0.0;
        dhcpc_use_static_dns = no;
        dhcp_dslforumorg = no;
        ethmode = ethmode_router_split;
        tcom_targetarch = yes;
        vdsl_resalearch = no;
        aontv_arch = no;
        bng_arch = yes;
        hsi_use_wan_vlan = yes;
        hsi_vlancfg {
                vlanencap = vlanencap_none;
                tagtype = vlantagtype_customer;
                vlanid = 0;
                vlanprio = 0;
                tos = 0;
        }
        mtu_cutback_mode = mtumode_auto;
        mtu_cutback = 1500;
        StatisticStartOfMonth = 1;
        enable_mac_override = yes;
        macdsl_override = 00:00:00:00:00:00;
        ipv6mode = ipv6_automatic;
        ipv4mode = ipv4_normal;
        serialcfg {
                mode = serialmode_off;
                number = "*99#";
                provider = "internet.t-mobile";
                username = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX";
                passwd = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX";
                connect_chatscript = "ABORT BUSY ABORT 'NO CARRIER'",
                                     "ABORT VOICE ABORT 'NO DAILTONE'",
                                     "ABORT 'NO ANSWER' ABORT DELAYED",
                                     "ABORT ERROR", "TIMEOUT 20",
                                     "'' 'AT+cgdcont=1,\"IP\",\"${provider}\"'",
                                     "OK 'ATDT${number}'", "CONNECT",
                                     "WAIT 2";
                stay_always_online = no;
                inactivity_timeout = 1m;
                backup {
                        enabled = no;
                        quickstart = serialquickstart_off;
                        downtime = 3m;
                        reverttime = 30m;
                }
        }
        ethinterfaces {
                name = "eth0";
                dhcp = no;
                ipaddr = 192.168.170.10;
                netmask = 255.255.255.0;
                dstipaddr = 0.0.0.0;
                dhcpenabled = no;
                dhcpstart = 0.0.0.0;
                dhcpend = 0.0.0.0;
                is_guest = no;
                is_hotspot = no;
                multicast_snooping = yes;
                is_public = no;
        } {
                name = "eth0:0";
                dhcp = no;
                ipaddr = 169.254.1.1;
                netmask = 255.255.0.0;
                dstipaddr = 0.0.0.0;
                dhcpenabled = yes;
                dhcpstart = 0.0.0.0;
                dhcpend = 0.0.0.0;
                is_guest = no;
                is_hotspot = no;
                multicast_snooping = yes;
                is_public = no;
        } {
                name = "eth3";
                dhcp = no;
                ipaddr = 192.168.172.1;
                netmask = 255.255.255.0;
                dstipaddr = 0.0.0.0;
                dhcpenabled = yes;
                dhcpstart = 192.168.172.2;
                dhcpend = 192.168.172.4;
                is_guest = no;
                is_hotspot = no;
                multicast_snooping = yes;
                is_public = no;
        } {
                name = "wlan";
                dhcp = no;
                ipaddr = 192.168.182.1;
                netmask = 255.255.255.0;
                dstipaddr = 0.0.0.0;
                dhcpenabled = yes;
                dhcpstart = 0.0.0.0;
                dhcpend = 0.0.0.0;
                is_guest = no;
                is_hotspot = no;
                multicast_snooping = yes;
                is_public = no;
        }
        brinterfaces {
                name = "lan";
                dhcp = no;
                ipaddr = 192.168.170.10;
                netmask = 255.255.255.0;
                dstipaddr = 0.0.0.0;
                interfaces = "eth0", "eth1", "eth2", "eth3";
                dhcpenabled = no;
                dhcpstart = 0.0.0.0;
                dhcpend = 0.0.0.0;
                is_guest = no;
                is_hotspot = no;
                multicast_snooping = yes;
                is_public = no;
        } {
                name = "lan:0";
                dhcp = no;
                ipaddr = 169.254.1.1;
                netmask = 255.255.0.0;
                dstipaddr = 0.0.0.0;
                dhcpenabled = yes;
                dhcpstart = 0.0.0.0;
                dhcpend = 0.0.0.0;
                is_guest = no;
                is_hotspot = no;
                multicast_snooping = yes;
                is_public = no;
        } {
                name = "lan2";
                dhcp = no;
                ipaddr = 192.168.10.150;
                netmask = 255.255.255.0;
                dstipaddr = 0.0.0.0;
                interfaces = "eth2", "wlan";
                dhcpenabled = no;
                dhcpstart = 0.0.0.0;
                dhcpend = 0.0.0.0;
                is_guest = no;
                is_hotspot = no;
                multicast_snooping = yes;
                is_public = no;
        } {
                name = "iptv";
                dhcp = no;
                ipaddr = 192.168.172.1;
                netmask = 255.255.255.0;
                dstipaddr = 0.0.0.0;
                interfaces = "eth3", "plc";
                dhcpenabled = yes;
                dhcpstart = 192.168.172.2;
                dhcpend = 192.168.172.4;
                is_guest = no;
                is_hotspot = no;
                multicast_snooping = yes;
                is_public = no;
        } {
                name = "guest";
                dhcp = no;
                ipaddr = 172.31.181.1;
                netmask = 255.255.255.0;
                dstipaddr = 0.0.0.0;
                interfaces = "wlan_guest", "guest_ct*", "guest_st*";
                dhcpenabled = yes;
                dhcpstart = 0.0.0.0;
                dhcpend = 0.0.0.0;
                is_guest = yes;
                is_hotspot = no;
                multicast_snooping = yes;
                is_public = no;
        }
        dslinterface {
                name = "dsl";
                dhcp = no;
                ipaddr = 0.0.0.0;
                netmask = 0.0.0.0;
                dstipaddr = 0.0.0.0;
                dhcpenabled = yes;
                dhcpstart = 0.0.0.0;
                dhcpend = 0.0.0.0;
                is_guest = no;
                is_hotspot = no;
                multicast_snooping = yes;
                is_public = no;
        }
        dslinterface_metric = 2;
        ipbridge {
                enabled = no;
        }
        pppoefw {
                interfaces = "lan", "usbrndis", "eth0", "eth1", "eth2",
                             "eth3", "iptv", "wlan", "lan2";
                nofirewall = yes;
                dnsfilter_for_active_directory = yes;
                hostuniq_filter = "";
                dpconfig {
                        security = dpsec_host;
                        filter_teredo = yes;
                        filter_netbios = yes;
                        filter_sip = no;
                        filter_smtp = no;
                        sip_alg = no;
                        lowinput {
                                policy = "reject";
                                accesslist =
                                             "permit ip any any connection outgoing-related",
                                             "permit ip any any connection incoming-related",
                                             "permit icmp any any";
                        }
                        lowoutput {
                                policy = "permit";
                        }
                        highinput {
                                policy = "permit";
                        }
                        highoutput {
                                policy = "permit";
                                accesslist =
                                             "reject ip any 242.0.0.0 255.0.0.0",
                                             "deny ip any host 255.255.255.255",
                                             "reject ip any 169.254.0.0 255.255.0.0";
                        }
                }
                inherit_vlan_from_internet = yes;
        }
        budget {
                Enabled = no;
                Period = 2;
                VolumeLow = 0;
                VolumeHigh = 0;
                ConnectionTime = 0;
                WarnOnly = yes;
        }
        vccs {
                VPI = 1;
                VCI = 32;
                traffic_class = atm_traffic_class_UBR;
                pcr = 0;
                scr = 0;
                priority = 0;
                dsl_encap = dslencap_pppoe;
                ipbridgeing = no;
                ipbridgeing_igmp = no;
                pppoeforwarding = no;
                connections = "internet", "voip";
        }
        mcupstream = "internet";
        voip_forwardrules = "udp 0.0.0.0:5060 192.168.170.10:5060",
                            "tcp 0.0.0.0:5060 192.168.170.10:5060",
                            "udp 0.0.0.0:7078+32 192.168.170.10:7078";
        voip_ip6_forwardrules = "udp 5060 # SIP", "tcp 5060 # SIP",
                                "udp 7078-7109 # RTP";
        tr069_forwardrules = "tcp 0.0.0.0:8089 192.168.170.10:8089";
        tr069_ip6_forwardrules = "tcp 8089";
        internet_in_nat_rules_enabled = yes;
        internet_out_nat_rules_enabled = yes;
        internet_forwardrules = "tcp 0.0.0.0:555 0.0.0.0:555 0 mark 1";
        dslifaces {
                enabled = yes;
                name = "internet";
                weight = 50;
                dsl_encap = dslencap_inherit;
                dslinterfacename = "dsl";
                no_masquerading = no;
                use_fixed_masqaddr_if_no_masquerading = no;
                no_firewall = no;
                stackmode = stackmode_ipv4only;
                pppoevlanauto = no;
                pppoevlanauto_startwithvlan = no;
                ppptarget = "internet";
                rfc4638_enabled = no;
                fixed_masqaddr = 0.0.0.0;
                mtu = 0;
                gre_server_cfg {
                        server_dnsprefer = protoprefer_ipv4;
                        dpd {
                                inactivity = 20s;
                                replywait = 1s;
                                npings = 4;
                                period = 30s;
                        }
                        allow_netbios = no;

 

[user1155]

Hallo zusammen,

ich bin neu hier und ja ich weiß, dieser Beitrag ist schon 4 Jahre alt Da ich ihn jedoch per Google gefunden habe, mir dieser sehr hilfreich war und das Thema nach wie vor noch aktuell ist und auch funktioniert, schreibe ich lieber hier also sinnlos einen neuen Thread auf zu machen. Vielleicht bin ich ja auch nicht der Einzige, dem dieser Beitrag hilft.

Mir hat die Erläuterung von Igi2003 sehr geholfen und ich konnte die LAN-Ports meiner 7490 damit sauber in verschiedene Subnetze trennen. ABER: Die Trennung ist seitens Firewall nicht sauber getrennt, denn der Router "routet" braf zwischen den Netzen, d. h. ich kann Geräte aus einem Subnetz im anderen Subnetz erreichen (bspw. erfolgreich ein Ping von 192.168.10.11/24 zu 192.168.20.11/24). Habt ihr eine Idee, wie ich das mit Bordmitteln verhindern kann?

Wenn ich nur zwei Subnetze nutzen würde, würde es leicht mit dem Gastnetz funktionieren, aus diesem bzw. in dieses Netz wird alles sauber blockiert. Meine Idee, die entsprechenden Ports bzw. die entsprechenden Netze per "is_guest = no;" auf den Wert "yes" zu setzen (denn das ist der einzige Unterschied beim Gastnetz), klappt leider nicht. Den gesamten Port als Gastnetz zu definieren klappt zwar (den Port auf "config_mode = mode_guestbridge;" setzen), allerdings wandert dieser dann ungefragt und unabhängig von dem definiertem Subnetz in die Range des Gastnetzes, was mir also auch nichts bringt.

Vielleicht hat jemand eine schlaue Idee, ich danke euch.

 

[androiduser2709]

Und warum versuchst Du das Gefrickel mit ner Fritzbox statt eines Routers?

 

[user1155]

Und warum versuchst Du das Gefrickel mit ner Fritzbox statt eines Routers?

Weil ich diese nun einfach mal hier habe. Und wenn es geht...warum nicht?