WLAN Routen bei 7270?

[David66]

Hallo,

Kann mir jemand helfen? Ich habe einen 7270 V3 am DSL. Danach eine Netscreen (NS) Firewall. Danach mein interne Netz. Eine statische Route für das interne Netz ist im 7270 eingetragen. Soweit so gut. Wlan Geräte greifen auf einen DD-WRT Router der mit der NS verbunden ist. Kabel gebundene Geräte sind über Switche mit der NS verbunden.

Jetzt wird's interessant. Ich möchte den DD-WRT Router entfernen und nur noch den 7270 verwenden. Ich habe den Checkbox "Alle Computer befinden sich im selben IP-Netzwerk" deaktiviert und dem WLAN 192.168.179.0 /24 verpasst. Nun sehe ich aber keine Möglichkeit weiter zu kommen. Irgendwie muss ich dieses Netz einem Interface zuordnen, und das Gegenstück in der NS konfigurieren, oder mach ich einen Denkfehler?

Am liebsten hätte ich die NS über einem DSL-MODEM an DSL, danach der 7270. Leider war es mir nicht möglich eine ordentliche SIP Registrierung mit 1und1 hinzubekommen, auch nicht mit einem Regel Fritz -Everywhere - Allow - All.

Ich fände es echt super, wenn mir jemand helfen könnte!

David

Sorry. Habe zuerst den falschen Bereich erwischt. Bitte http://www.ip-phone-forum.de/showthread.php?t=218561 löschen.

 

[ffridolin]

Eine statische Route für das interne Netz ist im 7270 eingetragen.

Gut, die wirst du ab jetzt brauchen. Vorher war sie unnötig, aber nun wird es erforderlich werden.

Ich habe den Checkbox "Alle Computer befinden sich im selben IP-Netzwerk" deaktiviert und dem WLAN 192.168.179.0 /24 verpasst.

Erstens ist das ein Zeichen, dass du eine wirklich uralte Firmware verwendest, und zweitens ist das Unsinn. Warum sollen die WLAN Clients in ein anderes Netz? Du bist dir darüber im Klaren, dass die Box eh beide Netze verbunden hat, und die Geräte sich uneingeschränkt gegenseitig erreichen konnten? In deinem Setup verursacht diese Konfiguration nur Verwirrung, aber keinen Nutzen. AVM hat sich was dabei gedacht, die Funktion rauszuschmeißen.
Was hast du dir überhaupt dabei gedacht, die Netze zu trennen?

Nun sehe ich aber keine Möglichkeit weiter zu kommen. Irgendwie muss ich dieses Netz einem Interface zuordnen, und das Gegenstück in der NS konfigurieren, oder mach ich einen Denkfehler?

Das Netz müsste auf das gleiche Interface, wie das erste Netz der Fritzbox. Da siehst du, wie unsinnig die Trennung ist.

Leider war es mir nicht möglich eine ordentliche SIP Registrierung mit 1und1 hinzubekommen, auch nicht mit einem Regel Fritz -Everywhere - Allow - All.

Das ist auch nicht ganz einfach, da müssen viele Kleinigkeiten beachtet und ausprobiert werden. Sicherer ist es, die Box am DSL zu belassen, nur dafür übernimmt 1&1 Support.

 

[David66]

Gut, die wirst du ab jetzt brauchen. Vorher war sie unnötig, aber nun wird es erforderlich werden.

Wieso unnötig. Ich habe zwei Netze. 192.168.178.0 von dem Fritz und 192.168.1.0 Intern. Ich NATe nicht dazwischen.

Erstens ist das ein Zeichen, dass du eine wirklich uralte Firmware verwendest

Stimmt. Ich habe ein Downgrade gefahren, um den Schalter sichtbar zu machen. Danach wieder upgedatet. Die Option bleibt dann erhalten und sichtbar.

und zweitens ist das Unsinn. Warum sollen die WLAN Clients in ein anderes Netz?

Hatte ich nicht deutlich geschrieben? Ich möchte interne Geräte über der "unsichere" Fritz ins interne Netz routen.

Du bist dir darüber im Klaren, dass die Box eh beide Netze verbunden hat, und die Geräte sich uneingeschränkt gegenseitig erreichen konnten?

Nein, sonst hätte ich die Frage nicht gestellt. Mit dem 7050 ging das...

Was hast du dir überhaupt dabei gedacht, die Netze zu trennen?

Siehe oben.

Das Netz müsste auf das gleiche Interface, wie das erste Netz der Fritzbox. Da siehst du, wie unsinnig die Trennung ist.

Nur wenn man die Interfaces nicht trennen kann. Weshalb ich frage...

Das ist auch nicht ganz einfach, da müssen viele Kleinigkeiten beachtet und ausprobiert werden. Sicherer ist es, die Box am DSL zu belassen, nur dafür übernimmt 1&1 Support.

Obwohl die meine bevorzugte Konfiguration wäre, habe sie wegen den Schwierigkeiten verworfen.

Hat vielleicht jemand etwas konstruktives?

 

[Nero FX]

@David66

Alle Computer befinden sich im selben IP-Netzwerk" deaktiviert und dem WLAN 192.168.179.0 /24 verpasst.

Also soweit ich weiß war es bei allen Fritz!boxen so das zwischen 178 und 179er Subnetzen Daten hin und her konnten, ohne Einschränkungen auch bei der 7050 war das so. Daher eh doof gewesen.

zu 1und1: du musst die 2. PVC anschalten dann funzt auch Voip nur ist das Gegen die AGB von 1und1.

 

[David66]

@Nero FX:
Erst Mal Danke. Beim 7050 konnte man die Ports trennen also LanA in Subnet 1 und LanB in Subnet 2.

Mit 2. PVC meinst Du eine 2. PPPoE-Einwahl? Wie würde das aussehen? NS am DSL-MODEM mit PPPoE-Einwahl, Fritz dahinter - Verbindung über LAN 1 auch mit PPPoE-Aufbau? Dann soll das klappen mit VoIP?

David

 

[ffridolin]

Hatte ich nicht deutlich geschrieben? Ich möchte interne Geräte über der "unsichere" Fritz ins interne Netz routen.

Aber was macht es denn für einen Unterschied, ob die Clients über das erste oder zweite Subnetz der Fritzbox kommen? Sie sind doch beide "gleich" unsicher. Die Clients hängen so oder so an der Fritzbox ...
Selbst wenn die Box die Netze trennen würde, macht es absolut keinen Unterschied, ob du die Netze trennst, oder nicht. Das hätte doch eh nur auf die anderen Netze der Box Einfluss, aber nicht auf dein NS Netz, welches du ja so oder so mit dem WLAN Netz der Box verbinden musst. Und das andere Netz brauchst du für den Internetzugang. Also besteht nach deiner Einrichtung eine Verbindung der NS in beide Netze der Box.
Also noch mal: Was hast du dir dabei gedacht? Die Maßnahme ist selbst unter der Voraussetzung, dass deine Annahme zur Trennung der Netze korrekt wäre, vollkommener Unsinn.

Nein, sonst hätte ich die Frage nicht gestellt. Mit dem 7050 ging das...

Nein, ging nicht. Die Frage ist so alt, wie das Forum selbst, such einfach mal. Viele sind darauf reingefallen, da bist du in guter Gesellschaft. AVM hat das in seiner Hilfe aber auch immer so dokumentiert.
Genau diese trügerische Sicherheit, die viele der Funktion beigemessen haben, hat AVM dazu bewegt, sie zu entfernen. Die Box routet uneingeschränkt zwischen beiden Netzen, und sie hat es auch schon immer getan. Auf dein Szenario hat das Verhalten der Box aber eh keinen Einfluss.

Nur wenn man die Interfaces nicht trennen kann. Weshalb ich frage...

Nein, kann man nicht.

Hat vielleicht jemand etwas konstruktives?

Das war konstruktiv, auch wenn du es nicht wahr haben willst. Verzichte auf diese unsinnige Trennung der Netze. Sie bringt dich nur in Schwulitäten bei der Konfiguration der NS: Das warf die Aussage aus meinem ersten Beitrag. Akzeptiere es, oder lass es.

 

[David66]

Warum die Trennung? Erstens wegen dem Proxyserver (Filter) für die Kinder. Der NS verwirft z.B. alle http(s) und FTP Pakete die nicht vom Proxy Server kommen. Der Fritz kann das vom Haus aus nicht. Wenn Zugriffe auf die Storage stattfinden dann gefälligst nur von interne Clients. Mir ist durchaus klar, dass wenn der Fritz „gekapert“ wird, könnten zugriffe aus dem Internet erfolgen. Deshalb ordentliche FW Regeln, Firmware aktuell halten, und keine Verwaltung der Geräten außerhalb des privaten Netzes zulassen.

Wenn man mein bescheidenes Bild betrachtet, http://www.ip-phone-forum.de/attachment.php?attachmentid=50117&stc=1&d=1278871834 hätte ich am liebsten „“DD-WRT“ als reines Switch, und Fritz und NS getauscht. Als trauriger Ersatz wäre eine Routing-Instanz auf dem Fritz machbar, aber nur wenn man die Interfaces einzeln Konfigurieren könnte…

Sorry aber konstruktiv ist etwas anderes. Konstruktiv wäre, nachzufragen, warum ich das vorhabe, nicht sofort als unsinnig und unnötig zu titulieren. Mit einer solchen Einstellung macht man sich nur unbeliebt, aber das ist deine Sache…

 

[ffridolin]

Erstens wegen dem Proxyserver (Filter) für die Kinder. Der NS verwirft z.B. alle http(s) und FTP Pakete die nicht vom Proxy Server kommen.

Hängt der Proxy an der Fritzbox? Wohl kaum, er hängt doch wohl hinter dem NS. Bislang hängt doch gar nichts direkt an der Box, und zukünftig nur die WLAN Clients.
Aber selbst wenn: Der Proxy hat eine dedizierte IP. Da ist es egal, aus welchem Subnetz er kommt. Die Firewallregeln sind so oder so einfach zu erstellen, auch ohne Trennung der Netze in der Fritzbox.

Wenn Zugriffe auf die Storage stattfinden dann gefälligst nur von interne Clients. Mir ist durchaus klar, dass wenn der Fritz „gekapert“ wird, könnten zugriffe aus dem Internet erfolgen.

Richtig. Aber wenn einer die Fritzbox gekapert hat, kann er auch über ihr zweites Subnetz Pakete in Richtung NS schicken, die dann wieder als vertrauenswürdig eingestuft werden, weil sie ja aus dem "internen" Netz der WLAN Clients kommen.

Deshalb ordentliche FW Regeln, Firmware aktuell halten, und keine Verwaltung der Geräten außerhalb des privaten Netzes zulassen.

Alles gut, alles richtig. Aber wenn du die Netze in der Fritzbox trennst, musst du zwangsläufig in der Firewall wieder beide Netze bekannt machen: Eines für die WLAN Clients, eines fürs Internet.

Wie man es dreht und wendet: Es bringt dir keinen Vorteil, die Netze in der Fritzbox zu trennen.

Wenn man mein bescheidenes Bild betrachtet, http://www.ip-phone-forum.de/attachment.php?attachmentid=50117&stc=1&d=1278871834

Der Link funktioniert nicht.

Sorry aber konstruktiv ist etwas anderes. Konstruktiv wäre, nachzufragen, warum ich das vorhabe, nicht sofort als unsinnig und unnötig zu titulieren.

Ich mache dich nur darauf aufmerksam, dass du praktisch gar kein Problem hast, da dir die Konfiguration, die dich in Schwierigkeiten bringt, absolut gar keinen Vorteil bringt. Ganz im Gegenteil. Sie macht die Sache nur unübersichtlicher. Verzichtest du darauf, sind all deine Probleme von jetzt auf gleich gelöst.
Von daher sind meine Vorschläge sehr wohl konstruktiv: Sie zeigen dir den Weg auf, wie du völlig ohne Verzicht auf Funktion oder Sicherheit unmittelbar deine Wunschkonstellation in Betrieb nehmen kannst.

 

[David66]

Bei mir hat die Link funktioniert. Dieses Mal ist aber die Datei zu sehen...

 

[ffridolin]

Das Bild sieht ok aus. Wenn die NS kein NAT Routing macht, dann reicht eine statische Route aus der Fritzbox ins Subnetz der NS, und dein Netz fliegt auch ohne DD-WRT.

 

[David66]

Schon klar.

Ich hatte eine Trennung der 2 Fritznetze als Ziel, sehe aber ein, dass das nicht möglich ist.

Danke für die Antworten!