[Frage] Port forwarding von zweitem Router

[Tuffi]

Guten Abend geschätztes ip-phone-forum.
Vorweg: Ich hoffe, das ich den Thread im richten Unterforum eröffnet habe, ansonsten bitte verschieben.

Ich habe aktuell folgende Netzwerk Konstellation:

1. Fritzbox 7490 / FW 06.30
IP: 192.168.156.1/24
Dieses Gerät hängt als 'Router über LAN1' an einem Glasfaseranschluss mit einer Carrier-grade NAT Adresse. Diesen Anschluss möchte ich defaultmäßig verwenden.

2. Fritzbox 7270 / FW 06.06
IP: 192.168.156.2/24
1&1 DSL-Anschluss mit öffentlicher Adresse. DHCP deaktiviert. Dient sonst nur als Telefoniebox.

Mein PC, um den es hier geht, ist mit Windows 7 Professional SP1 x64 als OS ausgestattet.


Mein Problem ist nun folgendes:
Da ich ja über den Glasfaseranschluss nicht von außen auf meinen PC zugreifen kann, möchte ich das gerne über die Fritzbox 7270 erledigen.
In dem PC ist ja nun die 7490 als Standardgateway eingetragen und, wenn ich die ganze Sache richtig verstanden habe, werden daher die per port forwarding von der 7270 ankommenden Pakete, an die 7490 'zurück' geleitet, wo sich die Katze dann in den Schwanz beißt.
Über den Begriff "port forwarding from non default gateway" habe ich zwar einige Treffer gefunden, die das Problem mit einem Linux OS lösen, allerdings bekomme ich das nicht auf meinem Windows System appliziert.
Gibt es hier eine Lösung um die Sache doch noch hin zu bekommen?


Danke schon mal und einen freundlichen Gruß,
Tuffi

 

[PeterPawn]

VPN in der 7270 verwenden und auf der Gegenseite (kommt halt darauf an, womit man da zugreifen will) passend konfigurieren. Ist es ein "conntype_user"-Eintrag im VPN, macht die 7270 Proxy-ARP für die IP-Adresse dieses Clients und das Windows-System schickt die Pakete für die vermeintlich lokale Adresse an die 7270 als Gateway, die es dann über ihren Tunnel korrekt zum Client ausliefert.

Mit einem Port-Forwarding wird das nur dann klappen, wenn man im PC für die Adresse der Gegenstelle die richtige Route über die .2-Adresse hinterlegt ... das geht zwar auch zu automatisieren für dynamische Gegenstellen, ist aber wesentlich aufwändiger und ich sehe ein "Abwinken" voraus, wenn es an das Hinzufügen von eigenem Code geht.

Es ginge natürlich auch mit einem "Proxy" (mit SNAT, also dem Umschreiben der vorgeblichen Absenderadresse) auf der 7270, der eine nicht-lokale IP-Adresse verwendet in Richtung LAN (also von 192.168.156.0/24 verschieden) und wo dann der PC eine gesonderte Route für dieses zweite Netz erhält, die eben wieder über die 7270 führt.

Aber das einfachste wäre immer noch das VPN oder auch ein SSH-Tunnel ... es reicht also als Beschreibung dessen, was erreicht werden soll, nicht aus, einfach nur "ich will zugreifen können" zu schreiben. Das mußt Du schon genauer festlegen (von wo, womit, auf was).

 

[HabNeFritzbox]

Am PC sonst beide als Gateway eintragen, oder eben nur die 7270.

 

[Tuffi]

@HabNeFritzbox
Damit habe ich auch schon rumgespielt. Allerdings hat mich das auch nicht weiter gebracht. Wenn ich den Haken bei 'Automatische Metrik' drin lasse, sucht sich das OS selber aus welcher Internetzugang genommen wird. Und ich möchte ja gerne den Glasfaseranschluss nutzen. Wenn ich diesen durch eine niedrige Ziffer manuell priorisiere, werden die Pakete die von der 7270 kommen, ja wieder an die 7490 geschickt.


@PeterPawn
Vorhab was ich eigentlich nutzen möchte sind:
- Windows Remote Desktop (RDP) auf TCP-Port 3389
- VNC auf TCP-Port 5900.

VPN in der 7270 zu nutzen hatte ich mir auch schon überlegt, allerdings müsste ich ja dann auf den entfernten PCs jeweils eine Client Software installieren, was ich auf den PCs meines Arbeitgebers vermeiden möchte.

Je nachdem was du mit "eigenem Code Hinzufügen" meinst, bin ich da nicht wirklich bange vor, soweit es meinen Horizont nicht so weit übersteigt das ich nicht mehr hinterher komme.
Das festlegen einer Route mittels 'route ADD ...' habe ich gestern Abend versucht, hat mich aber nicht weiter gebracht. Entweder weil ich wohl die falschen Adressen genommen habe, oder weil es damit nicht geht?

Über SNAT werde ich mich heute Abend mal informieren.


Hoffe ich konnte mein Vorhaben etwas besser erläutern.
Gruß,
Tuffi

 

[HabNeFritzbox]

Hast sonst noch anderes Gerät was nutzen kannst für Freigaben? Z.B nen RasPi oder so.

Wenn beim PC DSL Gateway auf Metrik 1 setzt und Fiber auf 2, dann surfst auch über DSL, und rest Fiber.

 

[Tuffi]

Pis hab ich hier zum rumspielen und basteln genug rumfliegen.

Den zweiten Satz verstehe ich nicht ganz, oder wir reden aneinander vorbei.
Ich möchte ja gerade eben nicht über DSL surfen. Was meinst du mit rest Fiber? Die restlichen Geräte im Haus?

 

[HabNeFritzbox]

Jo anderen Geräte im Netzwerk halt übers Fiber Gateway.

Daher Frage ob Dienste auf nen RasPi verschieben kannst den das DSL Gateway nicht stört.

 

[Tuffi]

Wie gesagt, ich möchte eigentlich nur per RDP oder VNC auf den einen Windows Rechner gelangen.
Dieser soll aber, außer wenn Pakete von 192.168.156.2 (7270) kommen, diese auch dahin zurück senden.

 

[HabNeFritzbox]

Verwende sonst Teamviewer dem ist NAT und so egal.

 

[Tuffi]

Ich dachte immer, das Teamviewer verdammt viel Geld kostet und man bei der kostenlosen Variante immer einen Code + wechselndes Passwort angeben muss. Heißt, das es kostenlos nur nutzbar ist, wenn auf beiden Seiten einer Sitz.
So hab ich es bis jetzt immer verwendet und es mir nie genauer angeschaut. Werde dieses mal tun.

Nichtsdestotrotz würde mich nun interessieren, ob man es nicht doch noch anderes hin bekommt. Nun ist ja doch der Basteltrieb geweckt

 

[HabNeFritzbox]

Teamviewer ist für privat kostenlos, darfst es nur nicht gewerblich nutzen ohne Lizenz, was aber theoretisch/praktisch auch ohne ginge.

Du kannst ein festes Kennwort setzen und hast zusätzlich noch wechselndes Kennwort, kommst mit beidem dann drauf, sowohl über die ID oder zusätzlich ginge im Netzwerk auch via IP.

Kann auch im Hintergrund als Dienst laufen welcher immer mit startet. Den PC wecken kannst notfalls immer noch über einer der beiden FB.

Zu dem anderen hab ich zumindest keine Idee spontan, da normales Routing nur über Schnittstelle oder IP geht soweit mir zumindest bekannt ist, und nicht via Ziel/Quell Port. Denke da weiß Peter besser bescheid.

 

[Tuffi]

Ah! Danke Dir. Werde ich heute Abend mal installieren und schauen was da so geht.
Damit hätte ich dann auch noch den Vorteil des 1:100 höheren Uploads. Ne Remoteverbindung über 1Mbit Up macht auch nur begrenzt Spaß.

Werde zu dem Routing Thema dann mal auf einen epischen Erguss von Peter warten

 

[PeterPawn]

Werde zu dem Routing Thema dann mal auf einen epischen Erguss von Peter warten

Vergeblich vermutlich ... was soll ich mich abmühen, wenn Du es gar nicht brauchst?

Sollte Dein Arbeitgeber über ein festes Subnetz mit öffentlichen IP-Adressen verfügen, braucht es eigentlich nur die richtige Route auf dem Windows-PC, damit sämtlicher Verkehr zwischen der Firma und dem Windows-PC über die 7270 läuft, während der Rest ganz normal über die Fiber-Verbindung arbeitet. Wenn Du das gar nicht permanent willst und jetzt auch noch den höheren Upload des FTTx-Anschlusses nutzen willst, wird es schnell komplizierter - Basteltrieb hin oder her.

Wenn Dich Teamviewer überzeugen kann, funktioniert das sicherlich auch klaglos - über Für und Wider hat jeder eigene Ansichten. Ich habe selbst allerdings keinen ständig laufenden Service auf meinen Rechnern (und wenn man mir eine "corporate license" nachwerfen würde), nutze es jedoch auch für Remote-Support für andere (bei denen reicht dann die "QS"-Version), aber eben nie unbeaufsichtigt.

Mich irritiert halt der Punkt "ohne Zusatzsoftware auf dem PC des Arbeitgebers" - wenn da nicht schon TeamViewer installiert sein sollte. Der Teil dieses Pakets, der beim "Handelnden" erforderlich ist, ist zwar auch als "run only"-Version aus dem Setup-Programm ohne Installation verfügbar oder sogar als "Teamviewer Portable", aber - anders als bei anderen Lösungen - wird schon mit diesen Versionen parallel zu Deiner Möglichkeit der Fernsteuerung anderer Clients immer auch eine eingehende Zugriffsmöglichkeit eingerichtet (mit eigener ID und eigenem Kennwort), was manchem Arbeitgeber noch eher sauer aufstoßen mag, als eine Lösung mit einer dedizierten Zugriffsrichtung. Nicht falsch verstehen, ist auch in meinen Augen nach wie vor sicher ... aber TV wirft, wenn es jemand sieht (oder im Netzwerk beobachtet bei einer Firma), mehr Fragen auf als eine RDP-Session - selbst mit der "portable"- oder "run only"-Version.

Allerdings hätte TV als Service auf Deinem heimischen PC eben auch den Vorteil, daß Du dort dann problemlos mit anderen Geräten (z.B. einem Tablet) zugreifen könntest und den PC beim Arbeitgeber dazu gar nicht nutzen mußt ... dann stellt sich die Frage der zusätzlichen Software ja gar nicht mehr.