FritzBox Portweiterleitung in Gastnetz?

[stefan-koch]

Hallo,

ist es möglich mit einer FritzBox 7390 (Internet per VDSL) eine Portweiterleitung in ein Gastnetz (also Gast am LAN4) einzurichten?
Ich habe schon etwas gesucht, aber noch nichts 100%tiges gefunden.

AVM sagt, dass Portfreigaben nicht gehen:
http://service.avm.de/support/de/SKB/FRITZ-Box-7390/949:LAN-Gastzugang-in-FRITZ-Box-einrichten

Hier gabs auch Probleme damit: http://www.ip-phone-forum.de/showthread.php?t=261427

Dies hier im Forum sieht danach aus als ob es gehen könnte:
http://www.ip-phone-forum.de/showthread.php?t=254120&p=1871460&viewfull=1#post1871460
http://www.ip-phone-forum.de/showthread.php?t=259419&p=1916961&viewfull=1#post1916961

Kann mir jmd. sagen, ob es möglich ist eine Portweiterleitung ins Gastnetz zu erstellen?
Beispiel: HTTP-Server im Gastnetz vom Internet aus erreichbar.
Gastnetz deswegen, damit HTTP-Server in DMZ.
Er also nicht auf das private Netzwerk zugreifen darf, falls der HTTP-Server z. B. eine Sicherheitslücke hätte.

Firmware: 84.05.53

Vielen Dank.

Gruß

Stefan Koch

 

[stefan-koch]

Ich habe das jetzt selber ausprobiert (Firmware 84.05.53).

Rechner im Gastnetz bekommt IP: 192.168.179.20

Sobald eine Freigabe auf diese IP eingerichtet wird bekommt der Rechner eine neue IP 192.168.181.20

Wenn dann noch eine Freigabe auf diese IP gemacht wird, bekommt der Rechner wieder eine neue IP 192.168.183.20

Hat jemand eine Idee?
Wie DMZ über Gastnetz realisieren ohne extra Router-Hardware?

 

[stefan-koch]

So mittlwereile gibt es die Firmware 84.06.00, bzw. ich hätte das Update vor meinem Test durchführen sollen...
Mit der Version 06.00 funktioniert das Ganze so wie ich es mir vorgestellt habe.
Ich kann einen Server im Gastnetz betreiben und Portfreigaben für das Gastnetz einrichten - ohne dass sich die IP-Adresse des Servers jedesmal ändert (wie mit Version 84.05.53).

Im Gastnetz kann der Server die anderen Rechner im Heimnetz sowie die FritzBox nicht erreichen, somit ist die echte DMZ erreicht.
Sehe ich das so richtig?

Damit die Portfreigabe auf höheren Ports auch im Gast-LAN funktioniert muss im WLAN -> Gastzugang-Manü allerdings der standardmäßige Haken bei "Internetanwendungen beschränken: Nur Surfen und Mailen erlaubt" entfernt werden. Also, obwohl dies im WLAN-Menü ist wirkt es sich auch auf das Gast-LAN aus. Hier müsste ggf. das Menü etwas vereinheitlicht werden - Naja das ist nicht so schlimm, Hauptsache es funktioniert.

 

[golf16v]

Hi stefan,

was passiert wenn der Router oder Rechner neu gestartet wird? Dann bekommt der Rechner eine neue IP und die Portweiterleitung ist wieder hinfällig, oder?

 

[stefan-koch]

Hi golf15v,

die Lösung funktioniert dauerhaft.

 

[golf16v]

Bedeutet der Rechner bekommt IMMER die gleiche IP? Ohne dass Du sie fest vergeben hast? Bei jedem Neustart vom Router, Rechner, .....?

 

[Fischers Freetz]

Moin!

Ich betreibe dieselbe Konfiguration: ich habe eine "Himbeere" mit einer festen IP im Gastnetz (LAN 4), auf dem meine "EigenWolke" läuft, um meine Termine und Kontakte zwischen meinen verschiedenen Geräten zu synchronisieren, ohne daß die Große Schwester™ mithört. Die Port-Weiterleitung funktioniert einwandfrei.

Aaaaber! Das ist keine echte DMZ, wie ich auch letztens belehrt worden bin. So ist es z.B. nicht möglich, in der FritzBox eine Route zu setzen, damit Rechner vom internen Netz zwar auf den Pi, aber der Pi nicht auf das interne Netz zugreifen will. Das bedeutet, daß meine internen Rechner, die sich synchronisieren wollen, dieses über die externe IP und quasi über den ersten Router des DSL-Anbieters machen müssen. Sprich: mein Rechner → meine FritzBox → Einwahl-Server Anbieter → meine FritzBox → Pi.

Dieser Umweg ist zwar etwas schade, aber für den angedachten Zweck gut genug. Solange die DSL-Leitung steht! Denn ist die weg, klappt's natürlich nicht mit dem Synchronisieren. Zum Glück wohne ich in einer Stadt, in der das Netz recht stabil läuft.

Interessant finde ich dabei aber folgendes: aktiviere ich das WLAN-Gastnetz und schränke darin die Verwendung auf "Surfen und Mailen" ein, wird auch die Port-Weiterleitung von außen auf den Pi (per Kabel an LAN 4!!) abgeschaltet. Erst, wenn ich diese Einschränkung im Gast-WLAN wieder entferne, ist auch der Pi wieder erreichbar.

Da sind anscheinend ein paar sehr interessante Routen / NAT-Regeln geschaltet. So ganz unabhängig, wie AVM behauptet, sind die beiden Netze dann wohl doch nicht, oder? Kann mir das jemand so erklären, daß ich es verstehen? ;-)

 

[golf16v]

Also ich hatte zu der Sache Kontakt mit AVM.
Aussage von denen war, dass es Zufall ist wenn es funktioniert. Eigentlich wird eine Portweiterleitung offiziell nicht unterstüzt.
Er hat es aber als Punkt für eine neue Firmwareversion aufgenommen und an die Entwicklung weitergegeben.

Vielleicht wird das ja wirklich mal was wenn sich noch mehr damit an AVM wenden.

 

[Fischers Freetz]

Also ich hatte zu der Sache Kontakt mit AVM.

Nur so aus Neugier: was genau hast Du die denn gefragt?

Aussage von denen war, dass es Zufall ist wenn es funktioniert. Eigentlich wird eine Portweiterleitung offiziell nicht unterstüzt.

Hä? Wieso gibt es dann die Menüpunkte "Freigabe" und "Portweitergaben" Ist das etwas aus versehen in die Firmware gerutscht? Oder waren da Geisterprogrammierer am Werk?

 

[golf16v]

Nur so aus Neugier: was genau hast Du die denn gefragt?

Na wie es mit Portfreigaben auf Gast LAN IP-Adressen und PCs aussieht.

Hä? Wieso gibt es dann die Menüpunkte "Freigabe" und "Portweitergaben"

Die Freigaben werden offiziell nicht für Gast LANs unterstützt.
Das hat mit dem normalen Hausnetz nix zu tun.
Es gab auch schon Firmwareversionen in denen das Gast LAN nach jedem Reboot von Rechner oder Router eine komplett andere IP bekommen haben.

Zitate von AVM:

Die Portweiterleitung zu einem Gerät im Gastnetz wird derzeit leider nicht
unterstützt.

Gerne habe ich Ihre Anfrage daher als Verbesserungsvorschlag an den
zuständigen Produktmanager in unserem Haus weitergeleitet.
Unsere Produkte "leben" natürlich von den Verbesserungsvorschlägen unserer
Kunden. Zahlreiche Vorschläge konnten wir in der Vergangenheit auch bereits
umsetzen, nicht selten schon in einer der nächsten Firmware- oder
Software-Versionen. Die neuesten Firmware- und Software-Versionen der
AVM-Produkte finden Sie im Downloadbereich unserer Internetseite
www.avm.de.

Nachdem ich Ihm geschrieben hab dass es wohl doch funktioniert:

Was in diesem Fall genau passiert, kann ich Ihnen leider nicht sagen, da
die Einrichtung von Portfreigaben für Geräte im Gastnetz kein aktuell
unterstütztes Leistungsmerkmal der FRITZ!Box 7390 ist. Die Einrichtung als
solches ist in der Regal zwar möglich, allerdings können wir nicht
garantieren, dass dies auch funktioniert.

 

[Fischers Freetz]

Interessant... Meistens ist das Vorhandensein einer Funktion, die eigentlich nicht vorhanden sein sollte, ein Zeichen für einen Programmierfehler. (Vulgo: "bug") Der nächste Firmware-Bug für/von AVM? Ich hoffe es nicht!

 

[Fischers Freetz]

Zur Info: mit der gestern aufgespülten neuen Firmware 6.2 geht es nicht mehr: Freigaben ins Gastnetz werden nicht mehr akzeptiert von der Weboberfläche. Schade. Dann muss jetzt ein zusätzlicher Router mit Firewall her.

Kann mir da jemand ein passendes Gerät empfehlen? Ich brauche nicht mehr als 4 Ports, und stromsparend darf es auch sein.

 

[andiling]

Was willst Du genau erreichen? Dass die Beere nicht aufs Heimnetz zugreift?

 

[Fischers Freetz]

Ja, das wäre das Ziel. Sollte dort jemand eindringen, hat er Zugriff auf das gesamte Heimnetz, inklusive der FB selber!

 

[andiling]

Ich denke mal die exposed host Funktion von der Fritzbox wird das nicht leisten (hab's nicht getestet).

Den Heimnetz-Zugang in der Beere zu unterbinden macht auch keinen Sinn bei feindlicher Übernahme.

Der TP-Link TL-WR841N ist günstig und ist auch OpenWRT fähig. Das kleine Ding sollte auch nicht zu viel verbrauchen.

 

[Fischers Freetz]

Nicht "exposed", sondern "Portfreigabe"!

Ich gebe genau einen Port von außen frei, den ich an die Beere weiterleite: 443.

 

[andiling]

Die Fritzbox hat ja kein DMZ, dafür aber exposed host, weiß aber nicht ob das internen Traffic unterbindet wie DMZ.

 

[Fischers Freetz]

Der TP-Link TL-WR841N ist günstig und ist auch OpenWRT fähig. Das kleine Ding sollte auch nicht zu viel verbrauchen.

Das ist aber ein WLAN-Router, den benötige ich nicht. Ich habe doch meine FB. Ich benötige eine Firewall, die hinter die FB kommt, an die ich mein Heimnetz und meinen Server hänge, die keine Verbindung vom Server auf Heimnetz zulässt, aber umgekehrt schon, und beide Netze weiter zur FB leitet.

 

[andiling]

WLAN kann man evtl. abschalten, ich kenne keinen Router im Consumer Bereich, der ohne WLAN ist. Draytek oder Binteq Router gibt's ohne WLAN aber in einem anderen Preissegment.

 

[Fischers Freetz]

Auch, wenn ich das WLAN abschalte, ist es immer noch ein einfacher Router. Der routet nur alle Pakete von allen an den gelben Buchsen angeschlossenen Rechnern in das Netz, das mit der blauen Buchse verbunden ist, z.B. ein Modem, oder direkt die DSL-Buchse, wenn das Modem integriert ist.

Das ist keine Firewall-Funktion.