Fritzbox 6591 "double NAT"

Diskutiere Fritzbox 6591 "double NAT" im FRITZ!Box für Kabel Internet Forum im Bereich Internet und Telefon bei Unitymedia; Der Router ist wie im Default setup der FB einfach mit DHCP von der FB an LAN 1 der Fritzbox angeschlossen. Hat also z.B. 192.168.178.31 als IP...

endurance

Beiträge
19
Reaktionen
0
Der Router ist wie im Default setup der FB einfach mit DHCP von der FB an LAN 1 der Fritzbox angeschlossen. Hat also z.B. 192.168.178.31 als IP (die FB 192.168.178.1).
Freigaben wüsste ich in der Fritzbox nur den Weg über port forwarding oder exposed host (OK man könnte noch mit statischen routen zusätlich arbeiten, habe ich aber nicht).

2021-02-25_14h20_43.png
Die expliziten freigaben könnte man hier nat auch weglassen, da kein portmapping.
 

tq1199

Beiträge
2.520
Reaktionen
24
Der Router ist wie im Default setup der FB einfach mit DHCP von der FB an LAN 1 der Fritzbox angeschlossen. Hat also z.B. 192.168.178.31 als IP ...
OK, dann habe ich das falsch verstanden. Du hast keine zusätzliche feste IPv4-Adresse, die Du dem Router (via LAN2 oder LAN3 oder LAN4) zuweisen könntest.
Es ist nur die FritzBox die eine feste IPv4-Adresse hat.
 

Anhänge

  • Love it!
Reaktionen: endurance
boba

boba

Beiträge
1.395
Reaktionen
438
Leider kann man an deinem Plan nicht erkennen, welche Netzwerknummern+netmask an welchen Netzwerkkarten hängen. Du hast das wohl "inside" und "outside" genannt, aber schreibe doch an einen Netzwerkstrang in der Mitte die Netzwerknummer/netmask und an jeden Ausgang zu einem Gerät, dort wo die Netzwerkkarte ist, die IP Adresse dieser Karte oder dhcp, falls sie die Adresse via dhcp bekommt. So sieht man auch gleich, falls unpassende IP Adressen vergeben sind. Bei einem dhcp Server schreibt man nur dass er dhcp Server ist, der Adressbereich geht implizit aus der Angabe beim Netzwerkstrang hervor.
Das ganze braucht genaue Adressangaben, damit man daraus entnehmen kann, wie das Routing konfiguriert sein muss.
Eine Firewall kann nicht 4 Ausgänge haben. Sie hat ein außen und ein innen, und dazwischen liegt der Filter, aber nichts rechts und nichts links. Falls "BPi DMZFW" eine Firewall darstellen soll, dann ist das die Mauer, und die 2 Linien, die aus der Mauer rauskommen würden, sollten mit den jeweiligen IP Adressen der beiden Netzwerkkarten beschriftet sein. Aber keine Mauern außenrum. Außenrum sind nur Kabel.
Auch hast du soviel geschwärzt, dass man nicht wirklich weiß, welcher Client da nun die Daten sendet und welches der Server ist, der erreicht werden soll. Für mich ist das Bild zwar hübsch anzuschauen mit den verschiedenen Bildern für die Geräte, aber für Diagnosezwecke kann ich da nichts entnehmen.
Wieso muss das so kompliziert sein, mit Firewalls vorne und hinten und mittendrin?
Außerdem: 2 Leitungen ins Internet gebündelt - nee, also da muss man genau im Detail die Routing Tabellen studieren, um rauszufinden, wie da nun geroutet wird, und ob da an einer Stelle eine Lücke ist.
 

endurance

Beiträge
19
Reaktionen
0
@boba - das setup läuft seit Jahren - wirklich das einzig neue ist die Fritzbox - ich denke nicht, dass wir das alles komplett auseinandernehmen müssen. Das Bild ist auch entsprechend alt und es sei einem hoffentlich verziehen, wenn man das nicht netzwerktechnisch korrekt aufzeichnet - das war auch mal nur als gedankenstütze für mich - die meisten haben nix. Der Hinweis auf die Mauer hilft jetzt beim Problem auch nicht wirklich - ich hatte extra bemerkt diese zu ignorieren.

Aber ich möchte ja weiterkommen - deswegen hier ein vereinfachtest Bild:

Nehmen wir das OpenVPN Szenario:
  1. OpenVPN Verbindung von Client WLAN zu IP Fire
  2. Hier kontaktiert der Client openvpn.dyndns.org (beispiel domain) welches auf die externe IP eines der beiden Inet zugangspunkte zeigt (also die dynamisdche IP VDSL oder fix Kabel)
  3. Die Fritzbox leitet wegen exposed host alles an 192.168.178.31 weiter.
  4. Der Vigor WAN router leitet alles von WAN 1&2 UDP 1194 (openvpn) an 192.168.88.2
  5. 192.168.88.2 leitet alles was auf 1194 UDP von 192.168.88.1 reinkomt an 192.168.1.222 weiter (der OpenVPN Server).

Das funktionierte beim VDSL Modem und mit einem Kabelmodem auch. Mit der Fritzbox nicht. Deswegen meine Schlussfolgerung es muss etwas auf der Firtzbox oder zwischen FB und Vigor WAN Router sein.
Nehme ich den WLAN client aus dem WLAN und gehe z.B. über 4G an die Fritzbox - funktioniert es ebenfalls.


2021-02-25_19h02_55.png
 
Zuletzt bearbeitet:

tq1199

Beiträge
2.520
Reaktionen
24
  • Gefällt mir
Reaktionen: endurance

endurance

Beiträge
19
Reaktionen
0
@tq1199 : Der Fred ist "interessant"
OK jetzt habe ich den Hintergrund der vorherigen Fragen bzgl. public IP am LAN port verstanden (denke ich).
Wenn der Vigor WAN router (wie im Falle Modem) selber die Public IP hat macht er das NAT von Privat auf Public. Damit müsste dann das Problem, dass ich vermute behoben sein.

gerade den Brief von VF mit dem zugeordneten IP range aus dem Briefkasten gefischt - da scheint noch eine frei. ALso einen Versuch wert.
 
Zuletzt bearbeitet:

endurance

Beiträge
19
Reaktionen
0
Moin - jetzt habe ich sowohl an der Fritzbox (modem) wie auch am Vigor eine public IP. Konkret am LAN3 der FB hängt der Vigor als Client mit einer PublicIP. Exposed host ist gesetzt. Und es scheint soweit wieder alles zu funktionierten. OpenVPN geht von WIFI mit der Public IP wieder ins LAN an meine IPFire etc.
@tq1199: Vielen Dank für den Tipp.

Mit der Einstellung komme ich jetzt ja nicht mehr aus dem LAN auf die FB oberfläche - gibt es hierfür auch eine elegante Lösung ohne das jeder der die FB-Modem IP aufruft die ANmeldemaske der FB bekommt?
 

tq1199

Beiträge
2.520
Reaktionen
24
Mit der Einstellung komme ich jetzt ja nicht mehr aus dem LAN auf die FB oberfläche - gibt es hierfür auch eine elegante Lösung ...
Poste mal aus dem (W)LAN deiner FB die Ausgaben von:
Code:
ping -c 3 192.168.178.1
nc -zv 192.168.178.1 53 443
EDIT:

OK, verstehe. Du meinst das LAN deines Routers. Du kommst via LAN1,2,4-Ports der FB, auf die FB.
... ohne das jeder der die FB-Modem IP aufruft die ANmeldemaske der FB bekommt?
Das verstehe ich jetzt nicht. Was genau meinst Du mit "FB-Modem IP"?
Von wo wird die "FB-Modem IP" aufgerufen? Hast Du noch Geräte im (W)LAN der FB?
 
Zuletzt bearbeitet:

endurance

Beiträge
19
Reaktionen
0
Mit FB Modem IP meinte ich die Public IP der Fritzbox - wird von VF als Modem IP oder Gatewayadresse bezeichnet.
Hier gibt es ja zwei Optionen:
- HTTPS Freigabe für Internet
- HTTP via MyFritz - ist im Prinzip dasgleiche nur nochmals auf einen anderen Port gemappt wenn ich das richtig verstehe also so etwas
https://meinefritzbox.myfritz.net:47189/myfritz?user=meinsuperuser

Für mein VDSL modem konnte ich ein VLAN aufmachen und über einen "virtuellen" WAN port am Vigor WAN router aufrufen. (deswegen steht im Bild eine private IP am Modem). Bei der Fritzbox wüsste ich aber nicht wie man da etwas mit VLANs erreichen kann. Von daher die Frage ob es außer
  1. extra kabel ziehen oder Laptop an LAN 1,2,4 anschließen
  2. HTTPS Freigabe oder MyFritz via Internet
noch eine weitere Möglichkeit gibt die ich gerade nicht sehe.

BTW: der AVM Support meine auf meine Frage ob das Szenario WLAN, OpenVPN ins LAN - das geht nicht. Nun ja wollte sich wohl nicht damit auseinandersetzen.

2021-02-26_13h01_12.png
 

tq1199

Beiträge
2.520
Reaktionen
24
Von daher die Frage ob es außer
  1. extra kabel ziehen oder Laptop an LAN 1,2,4 anschließen
  2. HTTPS Freigabe oder MyFritz via Internet
noch eine weitere Möglichkeit gibt die ich gerade nicht sehe.
Es gibt eine weitere Option/Möglichkeit und zwar, das WLAN der FritzBox-cable konfigurieren und vor dem Herstellen der WLAN-Verbindung, das WLAN der FritzBox mit einem angeschlossenen Telefon aktivieren und danach ist der WLAN-Zugang zur FritzBox-cable möglich.

EDIT:

BTW: Wenn Du kein Telefon zur Verfügung hast, um das WLAN der FB zu aktivieren, kannst Du auch die Zeitschaltung zum starten des WLAN in einem (täglichen oder wöchentlichen oder an einem bestimmten Tag) Zeitfenster von z. B. 15 Minuten, in der FB konfigurieren.
 
Zuletzt bearbeitet:

endurance

Beiträge
19
Reaktionen
0
OK Danke - dann bleibt es wohl bei in den Keller laufen (Kabel legen) oder HTTPS via Internet - Telefone sind keine dran und WLAN ist aus (würde auch nix bringen, da Stahlbetondecken).
 

tq1199

Beiträge
2.520
Reaktionen
24
...- Telefone sind keine dran und WLAN ist aus (würde auch nix bringen, da Stahlbetondecken).
OK, dann siehe EDIT oben in meinem Beitrag #36.

BTW: Das Telefon muss ja auch nicht ständig dran sein. Ich stecke es ja auch nur dann an die FB wenn ich etwas über die Tastatur des Telefons, in der FritzBox aktivieren bzw. deaktivieren will.
 
Zuletzt bearbeitet:

endurance

Beiträge
19
Reaktionen
0
Hab ich gesehen - telefon könnte ich schon einstecken, aber dann kann ich auch das LAN kabel einstecken. wie gesagt FB WIFI geht nicht aus dem Keller raus. Mein Mesh Wifi hat deswegen Accespoints pro Stockwerk die Powerline als Backend haben...
Mal schauen wo in der nähe ich einen Port für eine Verbindung für LAN 1,2 oder 4 freischaufeln kann und dann eine static route dahin lege, das kriege ich irgendwie hin. Internetaccess auf die Fritzbox gefällt mir irgendwie nicht wirklich.

Danke Dir nochmals für die Tipps.
 
Thema:

Fritzbox 6591 "double NAT"

Fritzbox 6591 "double NAT" - Ähnliche Themen

  • FritzBox 6591 und Satellite App.

    FritzBox 6591 und Satellite App.: FB 6591, nach dem Update funktioniert die Satellite App auf mein Iphone nicht mehr richtig. Die Gegenstelle hört mich, aber ich höre die...
  • Regelmäßig Totalabsturz der Fritzbox 6591 Cable nach Update auf 7.22 (Providermodell von Vodafone/UNitymedia)

    Regelmäßig Totalabsturz der Fritzbox 6591 Cable nach Update auf 7.22 (Providermodell von Vodafone/UNitymedia): Hallo zusammen, Seit dem Update seitens Vodafone am 15.03.2021 auf die Fritz OS Version 7.22 habe ich etwa alle 2-3 Tage einen kompletten...
  • Fritzbox 6591, Dualstack Dreammachine und Bridge Modus

    Fritzbox 6591, Dualstack Dreammachine und Bridge Modus: Hallo. Meine eigentliche Problem bzw Aufgabenstellung: Ich habe auf 1000er Cable Leitung von Vodafone umgestellt (Privatkunde). Hiermit kam eine...
  • VPN Verbindung geht nicht mehr, wenn IPv6 deaktiviert ist. (DualStack)

    VPN Verbindung geht nicht mehr, wenn IPv6 deaktiviert ist. (DualStack): Hallo zusammen, wenn ich in der FritzBox 6591 unter Interner > Zugangsdaten > IPv6 den Haken bei "IPv6-Unterstützung aktiv" entferne, dann ist...
  • FritzBox 6591 gegen 6660 tauschen, sinnvoll?

    FritzBox 6591 gegen 6660 tauschen, sinnvoll?: Hallo, ich hätte gerne WLAN 6 und spiele mit dem Gedanken meine 6591 gegen die 6660 zu tauschen. Nun bin ich mir aber nicht ganz sicher, ob die...
  • Ähnliche Themen
  • FritzBox 6591 und Satellite App.

    FritzBox 6591 und Satellite App.: FB 6591, nach dem Update funktioniert die Satellite App auf mein Iphone nicht mehr richtig. Die Gegenstelle hört mich, aber ich höre die...
  • Regelmäßig Totalabsturz der Fritzbox 6591 Cable nach Update auf 7.22 (Providermodell von Vodafone/UNitymedia)

    Regelmäßig Totalabsturz der Fritzbox 6591 Cable nach Update auf 7.22 (Providermodell von Vodafone/UNitymedia): Hallo zusammen, Seit dem Update seitens Vodafone am 15.03.2021 auf die Fritz OS Version 7.22 habe ich etwa alle 2-3 Tage einen kompletten...
  • Fritzbox 6591, Dualstack Dreammachine und Bridge Modus

    Fritzbox 6591, Dualstack Dreammachine und Bridge Modus: Hallo. Meine eigentliche Problem bzw Aufgabenstellung: Ich habe auf 1000er Cable Leitung von Vodafone umgestellt (Privatkunde). Hiermit kam eine...
  • VPN Verbindung geht nicht mehr, wenn IPv6 deaktiviert ist. (DualStack)

    VPN Verbindung geht nicht mehr, wenn IPv6 deaktiviert ist. (DualStack): Hallo zusammen, wenn ich in der FritzBox 6591 unter Interner > Zugangsdaten > IPv6 den Haken bei "IPv6-Unterstützung aktiv" entferne, dann ist...
  • FritzBox 6591 gegen 6660 tauschen, sinnvoll?

    FritzBox 6591 gegen 6660 tauschen, sinnvoll?: Hallo, ich hätte gerne WLAN 6 und spiele mit dem Gedanken meine 6591 gegen die 6660 zu tauschen. Nun bin ich mir aber nicht ganz sicher, ob die...