portforwarding innerhalb des Netzwerks

[Hades77]

Hallo zusammen,

ich habe folgendes Problem:
ich hatte in meinem Netzwerk einen Dienst auf dem Server 192.168.178.12 auf port 1234 laufen.
Jetzt soll diese Aufgabe ein neuer Server übernehmen und zwar 192.168.178.13 auf port 1234.

Da ich nun nicht auf jedem Rechner in meinem Netzwerk, der auf den Dienst zugreift, die ip adresse des Dienstes ändern will, dachte ich mir, dass ich evtl der fritzbox sagen kann, dass alle anfragen an 192.168.178.12 auf port 1234 an 192.168.178.13 umgeleitet werden.

Und: es ist keine Option die ip an sich zu ändern, da dort noch mehr dienste laufen und nur derjenige auf port 1234 umziehen soll.

Im Endeffekt wäre es eigentlich praktisch alle Dienste immer zur fritzbox anzufragen, die dann die Anfragen je nach port weiterverteilt. Im Prinzip so wie es bei Anfragen von Außen auch geht, nur eben innerhalb des Netzwerks.

P.S.: hab freetz drauf

Danke und Gruß,
Hade

 

[chked]

Das geht grundsätzlich nicht, da Adressen innerhalb der Subnetzmaske nicht über das Standardgateway (=Fritzbox) geroutet werden.

 

[Hades77]

Ah. Danke. Aber wenn ich an die Fritzbox adressiere, dann müsste es doch gehen, weil sie es dann ja selbst ist, die angesprochen wird.
Also Anfrage an 192.168.178.1 auf port 1234 wird an 192.168.178.13 weitergeleitet.

Oder hab ich da was nicht kapiert?!

VG
Hades

 

[andilao]

Wäre es nicht definitiv einfacher, wenn Du dem neuen Server die alte IP-Adresse zusätzlich vergibst?

 

[KunterBunter]

Dann hätte ja der alte und der neue Server die gleiche IP-Adresse.

 

[Hades77]

ja aber ne 2. ip für den server wär eine Ersatzlösung. Dann kann ich zum umziehen einfach den Dienst auf beiden servern laufen lassen und bräuchte dann nur die 2. ip auf den neuen server "umhängen". Das ist dann für die clients quasi nicht bemerkbar.

Und wie mach ich das?
Und kann ich auch der Fritzbox ne 2. IP zuweisen?

Dann ließe sich das ursprüngliche Szenario nämlich mehr oder weniger auch über IPs statt Ports lösen, die ich dann nach bedarf dem jeweiligen Server zuweisen kann - sofern ich natürlich demselben Server auch 3,4,5... IPs zuweisen kann.

 

[andilao]

Da hatte ich wohl übersehen, dass der alte Server bis auf den einen Dienst erhalten bleiben soll.
Bei IP-Adressen kann nur noch der originale alte Server was ausrichten, per Portumleitung, z.B. mit http://www.boutell.com/rinetd/.

 

[MaverrickTM]

Für genau solch einem Fall gibts doch DNS! Wenn Du bisher IP-Adressen verwendet hast, dann gehe nun an jeden Rechner und trage einen FQDN ein. Dem Hinterlegst Du dann die neue IP. Wenn das Ding dann nochmal umgezogen werden muss, brauchst Du nur den A-Record im DNS ändern. Der Mehraufwand hält Dir später mehr Arbeit vom Hals.

 

[Hades77]

OK. Das mit rinetd klingt gut. Scheint auch schon im trunc von freetz zu sein. Nachteil: ich muss mir die FB-fw neu kompilieren. Das ist aber wohl mittelfristig die Lösung meiner Wahl.
Das mit FQDN ist mir zu hoch. Dazu hab ich von Netzwerkstrukturen und DNS leider zu wenig Ahnung...

Könnte mir jemand noch verraten, wie ich ein und demselben Rechner (insbes. Fritzbox) ne 2. IP-Adresse gebe?!

Danke und Grüße,
HAdes.

 

[andilao]

Wenn Du einem PC eine feste IP-Adresse vergibst, kannst du weitere hinzufügen. Windows: Adaptereinstellung - Internetprotokoll v4 - Erweitert ... In diesem Fall kannst Du natürlich den alten Server nicht mehr unter derselben Adresse weiterbetreiben.

Das mit FQDN klingt jetzt schlimmer als es ist, zumal der Beitrag nicht als fertige Anleitung für Dich kam.
Die Voraussetzung wäre ein "ordentlicher" DNS-Server in Deinem LAN, empfehlen könnte ich unter Windows den vorzüglichen DualServer. Dann kannst Du für jeden Dienst eigene Hostnamen vergeben, diese können, müssen aber nicht einem System folgen. Natürlich hättest Du damit auch den einmaligen Mehraufwand mit allen PCs.

 

[koyaanisqatsi]

Moin
Der Fritz!Box eine/mehrere IP-Nummern zu verpassen ist extrem einfach:

Vorspiel:
Mit telnet oder ssh auf die Box einloggen.
ifconfig eintippen und sich die lan und lan:0 angucken.
(lan:0 ist die Fritz!Box Notfall-IP und über die ist die Box genauso erreichbar wie über die "normale")

So, jetzt fügen wir mal eine neue hinzu z.B.: ifconfig lan:1 192.168.1.1 up
(Eine Route wird auch gesetzt, zu sehen mit der Eingabe von route)
Die Box ist dann sofort über diese IP zu erreichen.

Der multid der Fritz!Box setzt lan:0 automatisch zurück auf die 169.254.1.1, also nicht lan:0 ändern, sondern mit lan:1 bis lan:9999 arbeiten
Gefällt dir das dann so, kannst du es mit freetz einbetonieren indem die Befehlsfolge/n in die rc.custom eingetragen werden.

Für eine Portweiter/um/leitung im Lokalen Netwerk hab ich allerdings keinen Tip für dich.

Beispielausgabe von freetz-WebIf (Status - Boxinfo):

Schnittstellen:  	Protokoll 	IP-Adresse	Namen
lan				Ethernet		10.1.1.4		fritz.box; fritz.fonwlan.box
lan:1			Ethernet		10.1.1.1	
lan:2			Ethernet		10.1.1.2

 

[Telefonmännchen]

Wenn ich es richtig verstanden habe, dann geht es aber eigentlich darum, innerhalb des Netzes auf zwei verschiedene Server zuzugreifen. Wenn denn nun jeder seine eigene Adresse hat, dann muss auch über diese auf den bestimmten Dinst zugegriffen werden. Daran ändert auch die gemeinsam genutzte Portnummer nichts. Zwei Geräte, zwei Adressen, wobei wie man am obigen Beispiel sieht es durchaus möglich ist, einem Gerät mehrere Adressen zuzuordnen. Andersrum, die gleiche Adresse mehreren Geräten zuzuordnen ergibt Datenmüll. Und eine interne geänderte Zuweisung von Adressen sollte ja nun nicht das Problem sein.

Die Portweiterleitung ist auch hierbei das falsche Instrument, weil die dazu da ist, auf einem bestimmten Port am WAN eintreffende Datenpakete auf ein internes Geräte (mit einem bestimmten Port) weiterzuleiten. Für interne Umleitungen jeglichen Taffics ist diese Funktion nicht geeignet.

Gruß Telefonmännchen

 

[koyaanisqatsi]

Kann iptables nicht solche ominösen Umleitungen bewerkstelligen?
Ich mein sowas in dieser Art:
iptables -t nat -A PREROUTING -p tcp --dport 5000 -j REDIRECT --to-ports 22
Wäre jetzt wieder mal auf Ports gemünzt, aber vielleicht gehts ja auch mit Adressen.

 

[Telefonmännchen]

Nach meinem Verständnis nicht, denn iptables ist auch für die Kernelfirewall für das Routing über das NAT zuständig. Und NAT machst Du ja nicht, wenn Du innerhalb des gleichen Netzwerks bleibst. Du hast ja keine Netzwerkgrenzen zu überschreiten. Was hindert Dich, den entsprechenden Dienst mit der neuen IP aufzurufen oder nach der Testphase (oder was auch immer der Grund für den Parallelbetrieb ist) einfach die IP des neuen Servers auf die alte IP zu ändern? Du handelst Du mit dem was Du vorhast nur Probleme ein, die Du dann auf andere Weise wieder beseitigen musst.

Gruß Telefonmännchen

 

[MaverrickTM]

Ja, dass geht mit iptables.

iptables --table nat --append PREROUTING --in-interface eth0 --protocol tcp --dport 1234 --jump DNAT --to-destination <neue ip-adresse>:1234


[EDIT]
SNAT wird nicht benötigt, da die richtige Quelle bereits im Header steht.

Ist aber eine schmutzige Lösung, da die Fritzbox unnötig mit Traffic zugemüllt wird. Daher sei nochmals auf DNS hingewiesen.
[/EDIT]

 

[koyaanisqatsi]

Danke, auch wenn schmutzig, jetzt fühl ich mich nicht mehr ganz so doof
Und natürlich ist DNS die erste Wahl, weil der Name des Rechners in die richtige IP aufgelöst wird, auch wenn die sich dann mal ändern sollte.

 

[MaverrickTM]

Danke, auch wenn schmutzig, jetzt fühl ich mich nicht mehr ganz so doof

^^ So hab ich das nicht gemeint. War ehr allgemein gehalten, dass es keine sinnvolle Idee ist. Sorry wenns falsch rüber kam

 

[koyaanisqatsi]

Nee, so meinte ich das auch nicht, behalt bloss dein sorry.
Das ging eher an meine Unwissenheitsadresse.

Ich bin mir da jetzt nicht sooo sicher, aber ich glaube der TE braucht eine Lösung die die Nummer zu Nummer umleitet.
Und nicht Name zu Nummer.
Deswegen wäre da, glaube ich, DNS jetzt auch nicht "Die Lösung", auch wenn die eigentlich viel besser und bequemer wäre.
So bin ich halt auf iptables gekommen.

 

[MaverrickTM]

Na dann ist ja gut

Das ist so aber eben nicht best-practice. Nach Möglichkeit sollte die Administration eben zentralisiert werden. Er hingegen dezentralisiert die Administration und schafft sich durch solche Frickeleien unmenge an Ärger, wie man jetzt schön sieht. Daher lieber einmal die Arbeit ein DNS aufzubauen und auf DNS zu migrieren, dafür aber später Ruhe.

Worst-Case: Fritzbox reisst die Hufe hoch! Kein Internet zu haben ist schon schlimm genug. In diesem Szenario funktioniert aber auch seine Applikation nicht mehr. Er baut sich hier einen SPOF

 

[Hades77]

Also vielen Dank für Eure Mühe!!! Hat mir sehr geholfen. War paar Tage weg und hab nun ein bißchen rumgebastelt.

Vielleicht wurde ich falsch verstanden. Ich bin nicht auf einen bestimmte Lösung festgelegt. Ich wollte halt nur möglichst einfach einen Dienst, der bislang auf der Fritzbox lief, jetzt auf einem anderen Server laufen lassen, ohne an den ganzen Clients rumfuchteln zu müssen.

Mein Plan ist jetzt folgendes:
Ich hab in dnsmasq jetzt den einzelnen Rechnern mehrere DNS-Namen gegeben. Dann kann ich einen Namen einfach dienst1 nennen und der Rechner ist dann immer unter http://dienst1 erreichbar. Erfordert natürlich eine einmalige Anpassung der Adresse der Dienste auf den Clients. Also in hosts:

192.168.1.12 yx:yx:yx:yx:yx:yx * * Server1 dienst1 dienst2
192.168.1.13 yx:yx:yx:yx:yx:yx * * Server2 dienst3

Wenn ich jetzt z.B. dienst2 von Server1 auf Server2 umziehen will mach ich einfach

192.168.1.12 yx:yx:yx:yx:yx:yx * * Server1 dienst1
192.168.1.13 yx:yx:yx:yx:yx:yx * * Server2 dienst2 dienst3

Bleiben nur folgende 2 Probleme:

1. wie kann ich der fritzbox einen weiteren DNS-Namen hinzufügen? Scheint in der hosts irgendwie nicht zu funktionieren.

2. Ich habe mittels der AVM-eigenen VPN-Lösung ein VPN zwischen zwei Fritzbox-Netzwerken gemacht.
Die 7390 hat freetz und 192.168.1.xxx, die 7170 kein freetz und 192.168.2.xxx.
Ich kann nun allerdings die Rechner im jeweils anderen Netzwerk nur über die IP-Adresse erreichen, nicht über die DNS-Namen. Mir ist schon klar, dass das daran liegt, dass der dns-Server der die Namen kenn im jeweils anderen Netzwerk liegt, weiß aber nicht wie man das sinnvoll ändert.

Viele Grüße,

Hades.