2. Router im LAN und als WAN-Failover gleichzeitig möglich?

[arberex99]

Hallo,

meine Haupt-Anbindung ans Internet ist aktuell über 5G der ZTE MC801A im Bridge Modus, welcher am WAN1 Anschluss meines Routers (UniFi Dream Machine Pro) verbunden ist.
Für Testzwecke habe ich noch eine schmale 20 Mbit FTTH Anbindung, welche aktuell über einen Asus Router in meinem LAN erreichbar ist. Ich brauch also auf einem PC nur das Gateway statt 192.168.1.1 auf 192.168.1.254 ändern um über die 2 Anbindung testen zu können.

Da die UDM-P WAN-Failover kann und ich eine zweite Anbindung ja sowieso schon vor Ort habe, würde ich diese (wenn möglich) gerne als Failover am WAN2 Anschluss verwenden.
Aber ist das überhaupt möglich? Also so, dass der Asus Router noch als Gateway von meinen PCs erreichbar ist und auch als WAN2 an der UDM-Pro funktioniert?
Wenn ich einfach WAN2 der UDM-Pro mit LAN2 des Asus Routers verbinde, funktioniert es zwar aber es wird zu einem Konflikt kommen, da die LAN und WAN2 Adresse im selben Netz wären.

Wist ihr, wie man sowas lösen könnte? Also der Asus Router sollte weiterhin von den PCs als alternatives Gateway genutzt werden können und gleichzeitig aber auch von der UDM-Pro als WAN2 Failover.

 

[derchris]

In der Firma hatten wir so etwas mit Cisco 3650series Core switches gelöst ... (aber frag mich nicht wie)

 

[Theo Rehtisch]

Ich kenne das UniFi-Gerät zwar nicht (und zum ASUS-Typ & dem Switch ist auch nichts gesagt), vermute aber mal, daß in allen 3 Fällen gilt: Sie haben nur einen WAN-Anschluss (oder im Fall des Witch gar keinen) & bieten daher keine Loadbalancing-Funktionalität (sind letztlich unmanaged). Damit dürfte das Vorhaben in der aufgezeigten Form flach fallen.

Gangbare Lösung wäre, einen möglichst billigen & stromsparenden Rechner mit 3 Netzwerkkarten auszurüsten & diesen zwischen dem Switch & den beiden Routern zu schalten. Darauf z.B. OPNsense installieren (d.h. je 2 der LAN-Anschlüsse als WAN zu verwenden & den 3. als LAN-Zugang), damit kann man sich einen gut funktionierenden Loadbalancer (auch als Failover) basteln. Das dürfte deutlich günstiger sein als eine dedizierte/vernünftige/professionelle gemanaged-te Netzwerk-HW.

 

[Dig.Minimalist]

Ich kann dir leider keine Antwort geben, aber bin sehr an deinen Erfahrungen mit dem ZTE Router interessiert.

Bist du zufrieden und funktioniert der Router out-of-the-Box im Bridge Modus?
Leider keine externen Antennenanschlüsse... Wie ist der 5G Empfang?
Kennst du noch Alternativen?

Der UDM Pro ist dein NAT-Router - korrekt?
Was für einen Switch hast du dahinter?
Was hat für dich den Ausschlag gegeben für die UDM Pro vs. USG + CloudKey?

danke 🙏

 

[arberex99]

Danke für den Vorschlag.
Evtl. wurden meine Anforderungen aber falsch verstanden.
Ich suche nach KEINER Loadbalancing Lösung!

Der Haupt-Router (UniFi Dream Machine Pro) hat 2 WAN Anschlüsse. WAN2 ist nur für Failover. Wenn 5G an WAN1 ausfällt, soll FTTH vom Asus Router genommen werden. Es ist ein Asus RT-AC56U mit einem WAN Anschluss - aber das spielt in für meine Anforderung keine Rolle.

Ergänzung (11. Dezember 2020)

Ich kann dir leider keine Antwort geben, aber bin sehr an deinen Erfahrungen mit dem ZTE Router interessiert.

Bist du zufrieden und funktioniert der Router out-of-the-Box im Bridge Modus?
Leider keine externen Antennenanschlüsse... Wie ist der 5G Empfang?
Kennst du noch Alternativen?

Der UDM Pro ist dein NAT-Router - korrekt?
Was für einen Switch hast du dahinter?
Was hat für dich den Ausschlag gegeben für die UDM Pro vs. USG + CloudKey?

danke 🙏

Es ist der ZTE MC801A dieser hat sehr wohl Antennenanschlüsse (2 x TS9).
Bin sehr zufrieden damit, tagsüber immer etwas mehr als die 500/50 Mbit laut Tarif und in der Nacht hatte ich auch schon öfter knappe 1.000 Mbit (wo das Nadelöhr dann vermutlich der Gigabit LAN-Port des ZTE Routers ist). Läuft problemlos im Bridge-Mode.
5G Empfang ist perfekt, da ich einen Sender ganz in der Nähe mit Sichtkontakt hab.
Alternativen kenn ich nicht, hab den vom ISP bekommen.

Bin vom USG mit eigenem Controller auf einer Linux VM auf die UDM-Pro umgestiegen, weil sie am Cyber Monday günstig war und mir das USG einfach schon zu alt und schwach war. Bei der UDMP kann ich alles aktivieren (IPS, DPI, etc.) und der Durchsatz bricht trotzdem nicht ein.

Switch dahinter ist irgend ein billiger D-Link, würd ich aber auf welche von Ubiquiti tauschen, falls für meine Lösung etwas wie VLANs oder so notwendig wäre.

 

[Theo Rehtisch]

Failover ist auch eine Form des Loadbalancings, aber das nur nebenbei.

Wenn der UniFi tatsächlich 2 WAN-Anschlüsse hat, dann müsste man halt in dessen Menüs schauen, ob es dort eine Failover-Option gibt im Sinne von: Wenn WAN1 offline, dann nimm WAN2.
Oder evtl. ist das auch über eine Primary-Rule definierbar (oftmals werden dann die dem Primary-WAN-Anschluss nachgeordneten WANs [in deinem Fall also WAN2] automatisch als Failover verwendet).

So gesehen erkenne ich nicht einmal einen Grund, warum der Asus überhaupt noch im Netz bleiben müsste (es sei denn, er übernimmt z.B. eine WLAN-Funktion o.ä.). Aber grundsätzlich & auf's reine LAN bezogen ist er in oben beschriebenem Szenario gar nicht erforderlich.

 

[Ic3HanDs]

Hier die Lösung:

Gib dem Asus Router einfach ein komplett anderes Subnetz und richte den zweiten Anschluss mit dem anderem Netz als Failover ein. Switch Technisch lässt einfach alles in einem großen. Dann musst am PC zwar mehr als nur das Gateway ändern zum testen, aber das ist ja kein Problem. Statt nur Gateway änderst dann eben auch den Rest der IP.

Am einfachsten mit NetSetMan.

 

[arberex99]

Wenn der UniFi tatsächlich 2 WAN-Anschlüsse hat, dann müsste man halt in dessen Menüs schauen, ob es dort eine Failover-Option gibt im Sinne von: Wenn WAN1 offline, dann nimm WAN2.
Oder evtl. ist das auch über eine Primary-Rule definierbar (oftmals werden dann die dem Primary-WAN-Anschluss nachgeordneten WANs [in deinem Fall also WAN2] automatisch als Failover verwendet).

Das Failover von WAN1 auf WAN2 läuft out-of-the-box bei der UDMP und muss nicht konfiguriert werden. Auch schaltet es automatisch wieder auf WAN1 zurück, sobald wieder verfügbar. Da braucht nix konfiguriert werden.

So gesehen erkenne ich nicht einmal einen Grund, warum der Asus überhaupt noch im Netz bleiben müsste (es sei denn, er übernimmt z.B. eine WLAN-Funktion o.ä.). Aber grundsätzlich & auf's reine LAN bezogen ist er in oben beschriebenem Szenario gar nicht erforderlich.

Der Grund dafür ist wie schon zu Beginn beschrieben, dass ich mit manchen PCs für Testzwecke über die andere Leitung ins Internet gehen will. In dem Fall brauch ich dann nur die IP Adresse des Gateways am PC auf 192.168.1.254 ändern und geh somit schon über die FTTH Leitung ins Internet. Wenn ich beide Internet-Anbindungen direkt an der UDMP anschließen würde, dann hätte ich diese Möglichkeit ja nicht mehr.

Ergänzung (11. Dezember 2020)

Hier die Lösung:

Gib dem Asus Router einfach ein komplett anderes Subnetz und richte den zweiten Anschluss mit dem anderem Netz als Failover ein. Switch Technisch lässt einfach alles in einem großen. Dann musst am PC zwar mehr als nur das Gateway ändern zum testen, aber das ist ja kein Problem. Statt nur Gateway änderst dann eben auch den Rest der IP.

Am einfachsten mit NetSetMan.

Danke, das wäre schon ein guter Vorschlag, aber leider ist es oft tatsächlich notwendig, dass ich auf einem einzigen PC beide Internetverbindungen gleichzeitig nutze. Das habe ich noch nicht erwähnt, sorry.
Das löse ich so, dass der PC die Netzwerkverbindung per DHCP automatisch für die UDMP bekommt und wenn ich dann über die zweite Internetanbindung ins Netz will, dann starte ich Google Chrome mit dem Parameter " --proxy-server="socks5://192.168.1.254:1080" --host-resolver-rules="MAP * ~NOTFOUND , EXCLUDE 192.168.1.254"" und kann in diesem Browser über den SOCKS5 Proxy (den ich mir am Asus Router mit Tomato Firmware installiert hab) über die zweite Leitung im Internet testen, ohne dafür was umstellen zu müssen. Diesen Komfort würde ich gerne beibehalten. Also das wäre mir wichtiger, als ihn als Failover einbinden zu können.

Aber vielleicht gibt es ja trotzdem eine Lösung, oder?

 

[Theo Rehtisch]

Okay, sorry - dann hab ich das tatsächlich missverstanden, ich hatte mich auf das Failover fokussiert.

Wenn du, wie du nun schreibst, tatsächlich auf das (automatische) Failover verzichten kannst, dann ist die Lösung von Ic3HanDs wohl das Mittel der Wahl.

 

[Raijin]

Na, das wird so aber nicht funktionieren, weil es dem Prinzip von Multi-WAN widerspricht.

Multi-WAN-Router haben auf WAN-Seite eben zwei oder mehr WANs und auf LAN-Seite ein einzelnes oder ebenfalls merhere. Für die Clients im LAN ist es aber überhaupt nicht ersichtlich ob hinter ihrem Standardgateway verschiedene WANs am werkeln sind und das ist auch gut so.

www
|
(WAN1)
UDM-Pro (WAN2) --- www
(LAN)
|
Netzwerk

Eine separate Verbindung eines der WANs ins LAN geht am Ziel vorbei.


Möchte man neben Failover auch explizit bestimmte Geräte über die andere WAN-Leitung ins Internet schicken, dann muss man eben entsprechende Regeln dafür definieren. Die können entweder auf die Quell-IP triggern oder zB auf bestimmte Ports, um beispielsweise Surfen via http/https von einem Onlinespiel zu separieren, o.ä.

Wenn du am Client zusätzlich gezielt das verwendete WAN ändern willst, könntest du ggfs der UDM-Pro am LAN eine zweite IP verpassen und diese dann als Gateway am Client einstellen. Die WAN-Regeln müssen logischerweise um die zweite Gateway-IP ergänzt werden. Das ist aber auch nicht wirklich sauber, weil mehrere IP-Adressen auf einem Interface bad practice sind.

Besser wäre es daher, innerhalb des LAN VLANs zu erstellen. Dieses kann, VLAN-fähige Switches vorausgesetzt, im Netzwerk an die relevanten Stellen verteilt werden. Die jeweiligen Endgerät stöpselt man dann entweder kurz am Switch in einen anderen Port, der im anderen VLAN liegt und somit für die UDM-Pro in einem anderen Netzwerk liegt und nach anderen WAN-Regeln behandelt werden kann. Verfügt ein Client gar selbst über einen VLAN-fähigen NIC, kann man ihn auch am Switch an einem Trunk-Port betreiben und im Treiber die VLAN-ID umstellen, um ins jeweils andere Netz und somit WAN zu kommen.

 

[Ic3HanDs]

Wenn du beide gleichzeitig nutzen willst wird es schwierig. Dann könntest bei meinem Vorschlag eben zwei IP Adressen an deinem PC vergeben und es dann so einrichten. Dann musst aber immer die Priorisierung des Gateways anpassen.

 

[arberex99]

Wenn du, wie du nun schreibst, tatsächlich auf das (automatische) Failover verzichten kannst, dann ist die Lösung von Ic3HanDs wohl das Mittel der Wahl.

In dem Fall hätte ich eh automatisches Failover, aber leider müsste ich beim PC jedes mal was umstellen und ist für mich leider keine Lösung, da ich wie beschrieben oft beide Anbindungen auf einem PC gleichzeitig brauche.

Ergänzung (11. Dezember 2020)

Wenn du beide gleichzeitig nutzen willst wird es schwierig. Dann könntest bei meinem Vorschlag eben zwei IP Adressen an deinem PC vergeben und es dann so einrichten. Dann musst aber immer die Priorisierung des Gateways anpassen.

Ui, das könnte tatsächlich die einfachste Lösung sein. Einfach eine zweite Netzwerkkarte in den Rechner und dafür ein anderes Netz verwenden?
Aber wie kann ich sicherstellen, dass sämtlicher Traffic über den Haupt-Router (UDMP) läuft und nur meine Google Chrome Verknüpfung über die zusätzliche Netzwerkkarte? Eigentlich müsste das eh automatisch an Hand der über die erste Netzwerkkarte nicht erreichbare IP Adresse des SOCKS 5 Proxies erkannt werden, oder?

 

[Ic3HanDs]

Ja genau, das sollte eigentlich wie bisher funktionieren. Wichtig ist eben das die erste IP bzw. Karte der Hauptleitung immer priorisiert wird über der zweiten. Dafür brauchst aber keine zweite Netzwerkkarte. Kannst auch einfach auf derselben Karte eine zweite IP hinterlegen mit zweitem Gateway etc. Bei Windows heißt es eben Metrik und nicht Priorität. Niedrige Metrik wird bevorzugt.

 

[arberex99]

Ok, vielen Dank! Dazu müsst ich mal eine Netzwerkkarte auftreiben zum Probieren.

Wäre das auch möglich: Also am LAN-Port des Asus Routers und am WAN-Port der UDMP ein VLAN 99 zu konfigurieren und einfach durch die bestehende Infrastruktur jagen?
Da müsst ich aber dazu sagen, dass dazwischen noch 2 billige D-Link DGS-108 8-Port Layer2 Switches sind und ich nicht weiß, ob es ein VLAN "überlebt" wenn es durch diese Switche geht?

Hier nochmal eine aktualisierte Grafik:

 

[Ic3HanDs]

Wäre mit dem VLan sogar die saubere Lösung. Anderes IP Netz brauchst aber trotzdem. Sonst kann die Dream Machine ja nicht unterscheiden.
VLan ist komplett Layer 2. Solange die VLans unterstützen, werden die auch überleben. Muss eben auf allen Switchen eingerichtet werden. Aber die D-Link sind nicht managed und können keine VLans. Daher leider keine Chance..

Meine Lösung ist eben "Quick & Dirty", spart dir aber Neuanschaffung und macht in so einer kleinen Umgebung normal keine Probleme.

Noch als Tipp: DHCP am zweiten Router bei meiner Lösung auf jeden Fall abschalten

 

[arberex99]

Ok, danke, DHCP ist sowieso schon immer deaktiviert am zweiten Router, sonst wärs ja ein Chaos.
Aber bist du dir sicher, dass VLAN durch meine billig D-Link Switches nicht durchgeht?

Können über einen normalen Switch eigentlich unterschiedliche IP Netze gleichzeitig laufen?

 

[commandobot]

leider ist es oft tatsächlich notwendig, dass ich auf einem einzigen PC beide Internetverbindungen gleichzeitig nutze.
Das habe ich noch nicht erwähnt, sorry.

Aber vielleicht gibt es ja trotzdem eine Lösung, oder?

Für mich klingt das extrem umständlich, wie du das als Komfort bezeichnen kannst ist für mich nicht klar.
Und weshalb nutzt du beide WANs gleichzeitig? Während du Chrome nutzt, kannst du selbst ja nicht aktiv etwas anderes am gleichen PC tun.

Reicht da nicht ein einfacher RJ45-Umschalter, um zwischen den Routern der jeweiligen Leitung umzuschalten?
delock.de/produkte/S_87673/merkmale.html

 

[Ic3HanDs]

Ok, danke, DHCP ist sowieso schon immer deaktiviert am zweiten Router, sonst wärs ja ein Chaos.
Aber bist du dir sicher, dass VLAN durch meine billig D-Link Switches nicht durchgeht?

Können über einen normalen Switch eigentlich unterschiedliche IP Netze gleichzeitig laufen?

Das VLan garnicht durchgeht kann man nicht sagen, ist je nach Hersteller/Switch eine Glücksfrage. Die werten den Header aber definitiv nicht aus. Kann aber sein das die einfach weitergeben. Ich würde erste einmal davon ausgehen das es nicht geht.

Und du kannst soviele IP-Netze gleichzeitig nutzen wie du willst. Switche Interessieren die IPs nicht, die verteilen nur anhand der MAC-Adresse. Switching ist Layer 2, IP-Adresse Layer 3 im OSI Modell

 

[Raijin]

Es ist aber davon abzuraten, mehrere Subnetze über ein und dieselbe Layer2-Infrastruktur laufen zu lassen - es sei denn sie werden durch VLANs voneinander getrennt.

 

[arberex99]

Für mich klingt das extrem umständlich, wie du das als Komfort bezeichnen kannst ist für mich nicht klar.
Und weshalb nutzt du beide WANs gleichzeitig? Während du Chrome nutzt, kannst du selbst ja nicht aktiv etwas anderes am gleichen PC tun.

Reicht da nicht ein einfacher RJ45-Umschalter, um zwischen den Routern der jeweiligen Leitung umzuschalten?
delock.de/produkte/S_87673/merkmale.html

Hä?
Was soll da umständlich sein?? Wenn ich Chrome über die Verkpnüpfung starte hab ich externe IP von WAN2, alle anderen Programme haben externe IP von WAN1. Dafür brauch ich doch keinen Umschalter. Vor allem würde dieser ja den kompletten PC umschalten.