Fritbox Verbund, Frage zum Netzwerkzugriff

[Gerber_]

Hallo zusammen,

ich habe in meinem Heimnetzwerk 1x Fritzbox 7490 ( baut die Internetverbindung auf) 1x 7330 (dient als Client, übernimmt die Einstellungen der 7490 (zumindest GästeWlan) und 1x eine 7330 SL (diese habe ich so konfiguriert, dass sie ein eigenständiges Netzwerk aufbaut, da dieses vom Internen Netz getrennts ein soll und ein seperates Gäste Wlan konfiguriert werden muss).

Im Anhang habe ich kurz den Netzwerkplan skizziert.
Soweit funktioniert alles super, nur habe ich eine Frage bezüglich des Netzwerk Zugriffs.

Wenn ich mich nun im LAN 1 befinde habe ich keinen Zugriff auf das LAN 2.
Von LAN 2 kann ich aber alle Geräte im LAN1 erreichen, womit ich kompletten Zugriff aufs Netzwerk von LAN 1 habe.

Ist es möglich, den Zugriff in beide Richtungen zu beschränken?

Danke im Voraus.

Gruß
Philipp

 

[chrigu]

dazu brauchst du einen zusätzlichen switch mit vlan.

 

[Raijin]

Das ist normales Verhalten. Die 3. Fritzbox ist per WAN angeschlossen und somit sind folgende Konstellationen identisch (beachte die Pfeile):


PC <---LAN---> Box#1 |---WAN---> ISP/WWW
PC <---LAN---> Box#3 |---WAN---> LAN#1

Dein Hauptnetzwerk ist aus Sicht der 3. Box schlicht und ergreifend das Provider-Netzwerk bzw. das www. Deswegen kannst du aus dem vermeintlichen Gast-Netzwerk auch alles im Hauptnetzwerk sehen. Andersherum geht das nicht, da dein Provider eben auch nicht durch die Box#1 sehen kann, da NAT und Firewall dazwischen hängen.

Nutze die Gast-Funktion der Fritzbox#1. Soweit ich weiß kann man auch einen LAN-Port auf das Gast-Netzwerk schalten. In dem Falle isoliert die Box#1 dann das Gast-(W)LAN vom Hauptnetzwerk.

Alternativ einen richtigen Router verwenden. Fritzboxxen und Co sind Modem-Router-AccessPoint-Firewalls. Sie sind prinzipiell genau für 1x WAN, 1x LAN, 1x WLAN und potentiell 1x Gast-(W)LAN konzipiert. Mit mehreren VLANs oder generell mit mehreren parallelen Netzwerken können sie in der Regel nicht umgehen (bis auf besagtes Gastnetzwerk). Ein dedizierter Router (zB EdgeRouter, MikroTik, etc) kann an jedem Port ein eigenes LAN nebst mehreren VLANs betreiben. Sowas erfordert jedoch ein gewisses Maß an KnowHow.

 

[RalphS]

Fritzbox und LAN-Routing funktioniert nicht. Leider. Es gibt den WAN-Port als ein Netz und die LAN-Ports als eine Brücke (= interner Switch) als zweites Netz. Die LAN-Brücke kann insbesondere nicht in einzelne Netze aufgebrochen werden.

Je nachdem was verfügbar ist, ggf einen anderen Router hinter die "Haupt-Fritzbox" hängen. Oder, alternativ: Für diejenige Fritzbox, die ein eigenes Netz aufbauen soll, den dortigen "Internetzugang" manuell konfigurieren. Das, was die FB dann "Internet" nennt, ist das, was sie von der Hauptfritzbox zugewiesen bekommt (idealerweise statisch). IP-Clients müssen beide Fritzboxen werden.

Sinngemäß wäre das dann sowas in der Art:

<INTERNET><public ip><Hauptbox><192.168.0.1/24>
==<Hauptbox> 192.168.0.2<FB2> => weitere Geräte aus dem 192.168.0.0/24-Segment; die FB verhält sich LAN-zu-WAN wie ein Switch
==<Hauptbox> 192.168.0.3<FB3><192.168.1.0/24> => weitere Geräte aus dem 192.168.1.0/24-Segment; die FB verhält sich LAN-zu-WAN wie ein Router. Aufpassen: NAT deaktivieren.

Der Zugriff läßt sich dann per statischem Routing auf den Fritzboxen steuern: Einfach die Route zwischen den 192.*-Netzen weglassen. Rückrouten nicht vergessen.

 

[Raijin]

Das ist so nicht ganz richtig. Man kann bei der Fritzbox einen LAN-Port dem Gastnetzwerk zuweisen (LAN4 soweit ich weiß). Das ist dann ein separates Netzwerk. Allerdings ist ein hart codiertes Gast-(W)LAN nicht zu vergleichen mit einem separaten Netzwerk wie zB an einem EdgeRouter, o.ä. Gleichwertige Netzwerke oder gar einzelne VLANs kann man über einen Consumer-Router nicht verbinden bzw. routen. Dafür sind sie schlicht und ergreifend nicht entwickelt worden. Man kann maximal mit Routerkaskaden arbeiten und das kann einem ziemlich auf die Eierschalen gehen..

 

[Gerber_]

Danke an alle für die schnelle Hilfe...

Leider kann ich den Port 4 nicht als Gäste LAN konfigurieren, da es sich um eine verzwickte Konstellation handelt
Es hätte ja sein können, dass es eine einfache Lösung seitens AVM gibt, die ich nicht kenne.

Ich werde dann wohl ein Mikrotik Routerboard einsetzten.

Gruß

Philipp

 

[Raijin]

Und warum nicht, wenn man fragen darf? Aus deiner Skizze wird das nocht ersichtlich.

Wenn du an Box#1 4 LANs brauchst, häng einen Switch dran und du hast LAN4 frei.
Wenn zwischen Box#1 und Box#3 ein Switch hängt, könntest du dort ein VLAN einrichten, dass LAN4 (Gast) nur zu Box#3 durchreicht.

 

[Gerber_]

@Raijin:
Haste völlig Recht, dass es aus der Skizze nicht ersichtlich ist, wieso ich es so nicht konfigurieren kann.
Es war eher eine Allgemeine Verständnis Frage zur FritzBox und den möglichen Einstellungen.

Kurz erklärt, damit du auch weißt, wieso ich es so nicht konfigurieren kann.

Hauptfritzbox (7490) ---->HAUS 1
Fritzbox 7330 -----------> HAUS 2
Frtizbox 7330 SL ---------> HAUS 3

Das Netzwerk Haus 1 - 3 ist ein Internes Netzwerk, dass untereinander kommunizieren kann und auch darf.
In jedem Haus gibt es aber nun ein Gäste WLAN.
Die Einstellung in der Fritzbox im Client Modus, dass die Einstellungen für das Gäste Wlan aus der Main FB genommen wird, funktioniert leider nicht sauber.
Im Haus 2 ist dies noch möglich, bei Haus 3 kommt aber nichts zustande.

Deswegen, habe ich die Einstellung gewählt, dass diese ein eigenes Netzwerk aufbauen soll und somit kann ich ein neues eigenes Gäste Wlan konfigurieren.

Dabei ist mir eben genau dies aufgefallen, das von Haus 3 in Haus 1 Netzwerk Zugriff möglich ist, aber umgekehrt nicht.
LAN 4 als Gäste LAN kann ich nicht nutzen, da nur ein CAT 7 Patchkabel von Haus 1 nach Haus 3 anliegt.

#
Eine kurze Frage noch hierzu:

Hat jemand so ein Szenario am laufen, dass er an verschiedenen FBs im Haus die Einstellungen von der Haupt Fritzbox nutzt (bezogen auf das Gäste Wlan)?

Funktioniert dies bei euch reibungslos?
Gibt es hierfür Voraussetzungen, muss das Gäste Wlan der HauptFritzbox von der sekundären FB erreichbar sein?


Gruß
Philipp

 

[Raijin]

Das ändert die Sachlage aber deutlich. Solch ein Setup würde ich nicht mit Consumer-Hardware wie Fritzboxxen einrichten wollen. Zwar sind Fritzboxxen gegenüber Asus und Co schon vergleichsweise frei konfigurierbar, aber in diesem Fall ist das Szenario deutlich komplexer und da reichen meines Erachtens auch Fritzen nicht mehr aus. Es ist löblich, wenn man bestehende Hardware weiterverwenden will, aber wenn man das unbedingt mit den Fritzen machen will, wird es wohl eine ziemliche Frickelei.

Ich persönlich würde das über VLANs machen. VLANs sind sogesehen virtuelle LAN-Kabel, die auf demselben physischen Kabel laufen. Heißt: Man kann zB VLAN10/20/30 für die jeweiligen Hausnetze definieren und VLAN40 für das Gastnetzwerk. Jedes Haus braucht dann einen VLAN-fähigen Übergabepunkt (zB VLAN-Switch oder -Router), der aus dem einen Kabel wieder 3 bzw. 4 getrennte Netzwerke generiert.

Zwar ist der Aufwand bei der Einrichtung von VLANs auch nicht zu unterschätzen, aber wenn das Setup erstmal steht, ist es beliebig erweiter- und anpassbar. So könnte man an diesem VLAN-Switch in Haus2 zB Port x dem VLAN aus Haus3 zuweisen und das Gerät an diesem Port wäre tatsächlich im Haus3-LAN (mit IP aus Haus3). Ein anderes Gerät am Switch-Port daneben (VLAN Haus2) könnte es in dem Falle nur sehen (ping, etc), wenn das VLAN-Routing bzw. die Firewall dies zulässt - obwohl beide Kabel nebeneinander im selben Switch stecken.

VLAN-Switches fangen bei ~25€ an für 5-Port-Versionen. VLAN-fähige Router wären zB der ER-X von Ubiquiti @50€, MikroTiks oder im Prinzip jeder fortgeschrittene Netzwerk-Router. Die einfachste VLAN-Variante wäre wohl, einfach jeweils einen 5-Port-VLAN-Switch an das Haus-LAN-Kabel zu hängen, die VLANs zu splitten und dort dann zB die bestehende Fritzbox für DHCP, etc. für das jeweilige Haus-LAN und einen separaten AccessPoint an einen anderen Switch-Port für das Gäste-VLAN anklemmen.
Das Routing zwischen den VLANs könnte dann ein ER-X in Haus1 erledigen.

 

[Gerber_]

Danke für deine ausführliche Antwort.

Ich geb dir vollkommen Recht, dass man sowas mit VLANs abbilden sollte.
Das es sich bei mir aber um den privat Gebraucht geht, reicht die Konstellation mit den einzelnen FBs aus.
Wie bereits gesagt, war es nur Interesse halber, weil ich bei der Konfiguration darüber gestolpert bin.

Bin mit dem Mikrotik Router 750 GL eigentlich auch ziemlich zufrieden. Aber wie gesagt in diesem Szenario kann ich keine VLANS aufbauen, da die Voraussetzung hierfür nicht gegeben sind.

Danke für die Hilfe.

Gruß
Philipp

 

[Raijin]

Der MikroTik kann auch VLANs. Für ein VLAN-Setup bräuchtest du also nur noch einen VLAN-Switch in Haus2+3

 

[bender_]

Ich hoffe mal die Häuser stehen alle auf dem selben Grundstück, ansonsten kannst Du dich gleich mal mit Potentialausgleich oder galvanischer Trennung beschäftigen...

 

[SilasHammig]

Oder er nutzt eine Glasfaserverbindung zwischen den Häusern/Grundstücken, damit ist die galvanische Trennung gewährleistet.

 

[Gerber_]

@Raijin: Genau der Mikrotik kann ziemlich viel für seinen niedrigen Preis.

@bender_: Die Häuser stehen auf dem selben Grundstück.

Interessehalber:
Was wäre, falls eines der Häuser auf einem anderen Grundstück steht und einem anderen Stromkreis nutzt?

Was könnte passieren, wenn man die Häuser nicht galvanisch voneinander trennt?
Für die Trennung gibt es Module, die man zwischen die Verbindung hängt. Müsste dies auf beiden Seiten installiert werden, oder würde es ausreichen, wenn man auf einer Seite ein Netzwerkisolator verbaut?

@SilasHammig: wäre eine Idee, jedoch im privaten Bereich zu kostenintensiv.

Gruß

 

[bender_]

Was wäre, falls eines der Häuser auf einem anderen Grundstück steht und einem anderen Stromkreis nutzt?

Dann musst Du entweder einen normgerechten Potentialausgleich zwischen den Gebäuden installieren und vom EVU genehmigen lassen oder die galvanische Trennung der Netzwerkverbindung gewährleisten. Am sichersten und einfachsten wäre hier auf beiden Seiten einen Medienkonverter von Kupfer auf LWL einzusetzen und die Verbindung zwischen den Gebäuden per LWL zu realisieren.,

Sind die Gebäude nicht angeglichen oder getrennt kommt es bei Potentialunterschieden zu Ausgleichsströmen über die Netzwerkleitung die im schlimmsten Fall dazu führen können, dass durch Kabelbrand die Gebäude abfackeln.

 

[Raijin]

Interessant wird es bei einem Kabelbrand vor allem versicherungstechnisch. Im worst case schaltet die Versicherung auf stur und gibt dem Eigentümer die Schuld, weil er nicht-fachmännische Elektroinstallationen eingebaut hat.

Mit LWL ist man auf der sicheren Seite, weil da nun mal nur Lichtimpulse durchgejagt werden. Sofern man da keinen Megawatt-Laser anklemmt, kann auf der anderen Seite auch nix passieren *g*

 

[Gerber_]

Danke für eure Hilfe, weiß ich Bescheid.

Gruß Philipp