Fritz VOR einen vorhandenen Router hängen

[frank_m24]

Hallo,

die Firewall des Siemens Routers kannst du nicht mehr nutzen, wenn er als Bridge arbeitet. Aber bevor dun in Panik ausbrichst: Die Fritz hat natürlich auch eine Firewall.
Da ich das Siemens Gerät nicht kenne, kann ich nicht beurteilen, welche der beiden Firewalls leistungsfähiger ist. Aber meine Meinung ist: Hat man einen anständigen Virenscanner auf dem PC, dann reicht der Schutz der Fritzbox für den Privatmann aus. Gegen Würmer- und Trojanerangriffe von außen reicht die Fritzbox vollkommen aus, und wenn du dir einen Virus per Mail oder per Download einhandelst, dann hilft überhaupt keine Firewall, sondern nur ein anständiger Virenscanner. Was der Fritzbox vielleicht fehlt, ist ein URL-Filter oder gezielte ausgehende Portsperren. Letzteres könnte man über die Windows-Interne Firewall realisieren.

Andere Lösung: Du richtest den Siemens Router nicht mit PPPOE, sondern mit einer statischen IP als WAN Zugang ein. Das müsste er mit Ethernet als WAN Port unterstützen, dann kannst du ihn wie bisher inkl. Firewall benutzen.

Viele Grüße

Frank

 

[AirFly]

statische IP kann man einstellen. Aber ist das ein Unterschied statische IP als WAN Zugang und nur statische IP. (Bitte schrei nicht wegen so böden Fragen!). Und welche IP muß oder soll ich eingeben ? Nutze ich dann 2 Firewalls? Von wegen Sicherheit bin ich deiner Meinung daß die Firewall von FB genügt. Bin ja nur Ottonormalverbraucher und kenn mich bei der Firewalleinstellung sowieso nicht aus. Muß ich dann bei meinen Rechnern auch eine statische IP eingeben oder nur beim Siemens Router? Oder bedeutet diese Einstellung generell statische IP-Adressen.
O und frank
Danke für die erste schnelle Antwort.

 

[frank_m24]

Hallo,

Aber ist das ein Unterschied statische IP als WAN Zugang und nur statische IP.

Nee, ich glaub nicht. Es ist wahrscheinlich in der Nähe der PPPOE Konfiguration, da es ja um den Zugang des Routers zum Internet geht. Nur hinter einem anderen Router geht halt PPPOE nicht mehr, statische IP aber sehr wohl.

Und welche IP muß oder soll ich eingeben ?

Eine aus dem Subnetz der Fritzbox. Bedenke, dass der Siemens Router ein eigenes privates Subnetz braucht, dass sich vom Subnetz der Box unterscheidet, sonst routet er nicht.

Nutze ich dann 2 Firewalls?

Ja.

Muß ich dann bei meinen Rechnern auch eine statische IP eingeben

Nö, die gehen auch per DHCP. Sie bekommen ihre IPs aus dem oben angesprochenen, privaten Subnetz des Siemens Routers.
Du kannst den Siemens Router auch auf "dynamische IP" anstatt auf "statische IP" stellen, dann holt er sich seine IP per DHCP von der Box. Das Problem ist nur, wenn du Portweiterleitungen einrichten willst: Da bei dynamischen IPs nun mal die IP-Zuweisung nicht immer die gleiche ist, zeigt eine Portweiterleitung plötzlich mal ins Nirvana.

Viele Grüße

Frank

 

[Travel-Info]

Ähnliches Problem (komme irgendwie nicht weiter)

Start-Vorausetzung bzgl. HW und Netzen:
Router 1 (Eumex, hinter Router 2) 192.168.69.254
Netz 192.168.69.0
Maske 255.255.255.0
PC 3+4 192.168.69.1-192.168.69.2

Router 2 (FB 7170) 192.168.178.1
Netz 192.168.178.0
Maske 255.255.255.0
PC 1+2 192.168.178.2-192.168.178.3

Wunsch:
PC 3+4 dürfen PC 1+2 nicht sehen
PC 1-4 sollen Internetverbindung über die FB 7170 aufbauen können
Kindersicherung der FB soll auch für die PCs 3+4 (getrennt) greifen.

Kann mir jemand bei der Wunscherfüllung helfen?
WAN von Router 1 in LAN von Router 2?
NAT in Router 1 auf "an"?
Dreh mich irgendwie gedanklich im Kreis trotz der vorausgegangenen Beiträge.

 

[frank_m24]

Hallo,

@Travel-Info: Du hast die PCs im Grunde genau falsch herum angeschlossen. PCs, die hinter einem NAT Router sitzen, können von PCs vor diesem NAT Router nicht gesehen werden. Sollen also die PCs 1+2 von den PCs 3+4 nicht erreichbar sein, dann müssen sie hinter Router 1 ziehen.
Im Grunde musst du genau die Position der PCs 3+4 mit der der PCs PCs 1+2 vertauschen. Dann kannst du dein Vorhaben umsetzen.

 

[Travel-Info]

Moooment, damit ich das richtig verstehe.

Die PCs müssen an den entsprechenden Routern bleiben (Geschwindigkeitsgründe, etc.).

1) NAT an Router 1 muss ich aber wohl abschalten, da er keine WAN-Adressen in LAN-Adressen übersetzen muss (NAT "an" bei Router 2 / Fritz 7170).
2) in der Hilfe der Fritz steht, dass man mittels statischen Routen der Box unbekannte Subnetze bekanntmachen kann/muss.
Ist das für den Internetzugang von PC 3+4 nötig (wegen Rückwärtspaketen von WAN -> LAN 192.168.69.0)?
3) wenn ja, dann würden sich doch wahrscheinlich die PC 1+2 und 3+4 wieder sehen. Oder? Außerdem würde ja dann wahrscheinlich aller eingehender Verkehr von der WAN-Seite zu den PCs 3+4 gelenkt.

Jetzt bin ich wieder bei meinem gedanklichen Knoten

 

[frank_m24]

Hallo,

1) NAT an Router 1 muss ich aber wohl abschalten, da er keine WAN-Adressen in LAN-Adressen übersetzen muss (NAT "an" bei Router 2 / Fritz 7170).

Das würde unmittelbar zur Folge haben, dass alle 4 PCs im gleichen Subnetz sind (Router 1 wird zum Switch degradiert). Uneingeschränkter Zugriff der 4 PCs untereinander ist möglich.

2) in der Hilfe der Fritz steht, dass man mittels statischen Routen der Box unbekannte Subnetze bekanntmachen kann/muss.

Richtig. Unbekannte Netze. Voraussetzung: Es gibt ein Gateway dahin. Diese Konstalleation gibt es in deinem Netz nicht. Die Eumex als NAT Router routet keine unzuordbaren Anfragen von PC1+2 in Richtung 3+4. Umgekehrt natürlich schon: PC3+4 können die PCs 1+2 kontaktieren, da für Router 1 das Netz des Routers 2 natürlich bekannt ist (es ist ja sein WAN Netz).

Ist das für den Internetzugang von PC 3+4 nötig (wegen Rückwärtspaketen von WAN -> LAN 192.168.69.0)?

Nö. Router 1 macht NAT Routing. Oder er ist nur noch ein Switch, dann braucht man es ganz sicher nicht (weil es nur noch ein Subnetz gibt). Eine statische Route von Netz2 -> Netz1 hilft auch nicht, weil das von der NAT Firewall in Router 1 geblockt würde (ist für dein Problem irrelevant).

3) wenn ja, dann würden sich doch wahrscheinlich die PC 1+2 und 3+4 wieder sehen.

Degradiert man die Eumex zum Switch (=NAT Routing aus in Router 1), denn sehen sich alle 4 PCs uneingeschränkt gegenseitig. Ist NAT Routing an in der Eumex aktiviert (so wie jetzt), dann sehen die PCs 3+4 die PCs 1+2, umgekehrt aber nicht (weil die Eumex aufgrund ihrer NAT Funktionalität den Zugriff blockt).

Willst du also den Zugriff von 3+4 auf 1+2 verhindern, dann musst du noch Zusatzmaßnehmen ergreifen: Ein weiterer NAT Router für 1+2, spezielle Firewall, VLAN und Routing Einstellungen in der 7170 (ip-tables mod) oder sowas in der Richtung. Mit Boardmitteln geht es jedenfalls nicht.

 

[Travel-Info]

Hi Frank,

wenn ich also nicht noch zusätzlich was kaufen will, dann bleibt wohl nur:
- Software-Firewall auf PC 1+2.
- Rechte auf Festplatten der PCs 1+2 einschränken
- PC 3+4 in andere Arbeitsgruppe stecken.

Blöd, aber die beiden Kisten sind nun mal kein Cisco 3620.

 

[frank_m24]

Hallo,

wobei alle aufgeführten Maßnahmen natürlich nach wie vor den Nachteil beinhalten, dass die Rechner grundsätzlich gesehen werden können, und dass es theoretisch die Möglichkeit gibt, an den Sicherheitsmaßnahmen vorbei Zugriff zu erhalten (z.B. durch Sicherheitslücken).

Du könntest die 7170 mit dem ds-mod ausrüsten und per VLAN und iptables den Zugriff relativ zuverlässig unterbinden. Nach momentanem menschlichem Ermessen kommt man da nicht dran vorbei.

 

[Travel-Info]

An die Mod-Geschichte hab ich auch schon gedacht. Nur beim Mitlesen hier im Forum bin ich doch manchmal auf "Instabilitäten" gestoßen.
Da ich nicht allein die Fritz 7170 nutze (Familien-Kiste, Telefon incl. AB+Wahlregeln, Internet incl. Kindersicherung) und nun mal nicht immer zuhause bin, kann ich nicht mal eben eingreifen, wenn was nicht so läuft.
Vielleicht erbarmt sich AVM ja noch und baut neben der Möglichkeit der statischen Routen auch noch die IP-Table Geschichte in eine neue FW ein.
Danke jedenfalls für Deine Hilfe.