NAS mit DNS und nun Mesh dazu

[nidar72]

Hallo Zusammen

Habe versucht, das Problem im Titel schon ein bisschen zu umschreiben.
Ich habe meinem Kollegen zu Hause das Netzwerk so eingerichtet:

1.) ASUS Router hängt am Glasfaser-Modem. DHCP ist ausgeschaltet.
2.) Am Router hängt eine Synology DS218+. DHCP ist eingeschaltet, DNS Server ebenfalls, weil er mit seiner DynDNS-Adresse auch auf interne Geräte zugreifen will (z.B. Überwachungskamera). Das funktionierte nicht einwandfrei, weil sein Zertifikat auf die DynDNS-Adresse ausgestellt ist und einen Fehler gab, wenn er mit der internen IP-Adresse auf die NAS zugreifen wollte.
3.) Alle seine weiteren Geräte (Drucker, Musikanlage, Waschmaschine, etc.) sind mit seinem Heimnetz verbunden, z.T. über WLAN, z.T. über LAN.

Das Ganze funktioniert soweit einwandfrei.

Nun aber das neue Problem. Weil er im Haus nicht überall guten Empfang hatte, hat er sich nun so ein Mesh-System von Nova gekauft. Eine Box hat er an den Router angeschlossen (dort das WLAN ausgeschaltet), die anderen 2 im Haus verteilt und voila: Er hat überall im Haus Empfang! Echt super dieses System, kannte ich gar nicht.
Nun das grosse Aber: So, wie ich das verstanden habe, baut das Mesh-System ein Subnetz. Das heisst, das Heimnetz hat beispielsweise die 192.168.1.xx und das Mesh die 192.168.5.xx.

Ist ja schön und gut, aber nun kann er von seinem Handy aus, das im Mesh-Netz angemeldet ist, nicht mehr auf alle Geräte zugreifen, die im Heimnetz sind.
Ich habe erst das Mesh in den Bridge-Modus versetzt. Damit war das oben beschriebene Problem natürlich gelöst, er konnte auf alle Geräte zugreifen. Hier das zweite Aber: das Mesh-System bietet viele Annehmlichkeiten, die er über sein Handy kontrollieren konnte. Kindersicherung, etc. Das ging dann natürlich nicht mehr. Und das will er nicht missen.

Nun also die Frage der Fragen: Was kann man da tun? Wie kann er auf alle Geräte zugreifen und das volle Potential von Mesh verwenden? Ist das überhaupt möglich?

Schon mal vielen Dank für eure Hilfe!
Beste Grüsse aus der Schweiz, Volkan

 

[honky-tonk]

Also soweitich weiß muss man für Mesh nicht unbedingt ein Subnetz betreiben...das würde ich mal abschalten'!

 

[He4db4nger]

also jetzt nur rein von der Theorie her (kenne das System nicht) muss das mesh-hauptkästchen doch nur wissen, in welchem netz es hängt bzw. über dhcp verwaltet werden. entw. konfiguriert man dann zwei dhcp Bereiche im selben netz oder die 2 "mesh-boxen" können auch den dhcp der synlogoy verwenden.

 

[alxa]

[Update]Gibt viele Lösungsmöglichkeiten, die einfachste ist wohl:
Nimm den Asus Router aus der Kette raus, du hast sonst 2 verschachtelte Router aktiv.

-Die Würfel haben laut Beschreibung 2 Netz-Anschlüsse, einer davon ist per default der Wan, der andere der Lan Port (nur im Bridge modus ist wohl beides Lan). D.h. zwischend seinen beiden Ethernetanschlüsseln fungiert der Würfel bereits als Router
-den Würfel Wan Port müsstest du direkt ans Glasfasermodem hängen können, ich vermute mal, das Glasfasernodem ist ein Layer3 Modem wie bei Kabelinternet
-Dann einen 15€ Switch (Oder einen der LAN ports vom Asusrouter, vorher in den Bridgemode umschalten) an den zweiten Anschluss vom Würfel hängen, dort die Synlogy und restlichen LAN- Geräte dranhängen
-Dann noch DHCP im Router abschalten und dem Router eine feste interne IP aus dem Mesh Subnetz geben
Fertig

Edit: War etwas kompliziert den Würfel grob zu verstehen, bzw. einfach lesbare Doku zu den Würfeln zu finden, wenn man die Admin-App nicht hat, hab obige Beschreibung grad etwas angepasst.

 

[heaton]

Wieso verwendest du nicht den DynDNS Dienst von Synology und den Zertifikatsdienst von Lets Encrypt, welcher in der Synology Software integriert ist? Würde die Sache an ein paar Stellen leichter machen.

Andere Sache zum Thema Netzwerk Konfiguration, siehe alxa

 

[lafi08]

Würde es auch mal so wie Alfa meint austesten. Ist schnell und einfach.

 

[n1tro666]

Vom Handy unterwegs auf das Heimnetz zugreifen?
Da benutze ich einen eigenen VPN-Server.
Dort entsprechende Routen setzen und die IP-Tables anpassen.
Die IP-Adresse wird dann eher zweitrangig, wenn wie beschrieben 192.168.5.x und 192.168.1.x
zum Einsatz kommen. Erstrangig und wichtig wäre dann eine gleiche Netzwerkmaske, die
entsprechend 255.255.255.0 bei allen Geräten gleich ist..

Wobei der Vorschlag von @alxa auch weniger aufwendig und einsteigerfreundlicher
unter Umständen zum Ziel führen könnte..

 

[alxa]

hab meinen Vorschlag oben noch mal angepasst

 

[nidar72]

Hallo Zusammen, danke für die schnellen Antworten! Kurz der Reihe nach:

@honky-tonk : Ich will eben gar nicht, dass das Mesh ein Subnetz betreibt, deshalb habe ich es in den Bridge-Modus versetzt, damit es quasi das Heimnetz weiter gibt. Aber dann kann man die anderen Funktionalitäten des Mesh nicht mehr verwenden. Also habe ich DHCP wieder eingeschaltet. Aber nun habe ich eben zwei Netze...

@He4db4nger : Wenn ich beim Mesh den DHCP einschalte (um eben die Funktionalitäten zu verwenden), holt er sich eine IP vom NAS und kreiert sein Subnetz mit eigenem Host-Teil. Da kann ich keine zwei DHCP Bereiche im selben Netz konfigurieren. Oder verstehe ich deinen Vorschlag falsch?

@alxa und die anderen : DHCP ist am Router bereits ausgeschaltet, der NAS ist zentraler DHCP- und DNS-Server. Meinst du also, dass ich am NAS DHCP ausschalten soll, so dass der Mesh-Hauptwürfel zum DHCP-Server wird, der dann über den Switch allen Geräten im Haus die IP-Adressen verteilet (inkl. NAS)?
Habe ich mir zwar auch gedacht, aber ich mag mich beim Einrichten des NAS erinnern, dass es hiess, er müsse zwingend als DHCP-Server funktionieren, um auch als DNS-Server verwendet werden zu können. Ob das stimmt, kann ich nicht beurteilen. Was meinst du dazu?

@heaton : ist schon so eingerichtet bzw. in Verwendung. Deshalb kann er ja auch vom Mesh-Netz auf den NAS zugreifen, obwohl er ja quasi ausserhalb seines Heimnetzes ist. Aber auf die Musikanlage funzt das nicht.

@n1tro666 : VPN-Server ist auf dem NAS auch eingerichtet und funktioniert auf dem Laptop. Auf dem Handy hingegen habe ich es nicht zum Laufen gekriegt..
Meinst du, dass der Kollege vom Mesh-Netz per VPN auf sein Heimnetz zugreifen soll? ja, das könnte wohl funktionieren, wenn ich das doofe Handy mal einrichten könnte..
Er müsste dann halt immer VPN einschalten. Ist zwar nicht so komfortabel, denke ich...

Ergänzung (13. August 2018)

@alxa : Danke nochmal für das Update!
Aber auch bei der Variante würde das Mesh als DHCP-Server fungieren, oder?
Gibt das dann keine Probleme, wenn der NAS auch DHCP eingeschaltet hat?

 

[alxa]

schwer zu sagen nur von der dünnen Papierbeschreibung. Wenn man den Asus rausnimmt, konnten beide folgenden Varianten funktionieren:

a)
wenn man dem Synology und den Cameras feste IPs gibt, das müsste doch dann mit dem Synology dynDNS auch funktionieren?
Muss das Synology denn der DHCP Server im Haus sein oder reichen nicht auch feste IPs, damit das Synology den externen DynDNS Dienst korrekt beliefern kann? Weil es geht doch, soweit ich es verstehe darum, dass man von aussen über dyndns auf bestimmte Serverdienste zugreifen kann, für die das Synology zuständig ist.

b)
Die öffentlich einsehbare Doku von den Würfeln ist recht dünn, aber es scheint von den Screenshots der App, dann man evtl. DHCP der Würfel ausschalten kann und den Routing Dienst der Würfel trotzdem anlassen kann. Dann könnte die Synology weiter DHCP und Dns übernehmen. Aber dazu muss die Synology am Lan Port vom Würfel hängen

 

[Raijin]

Einige dieser Mesh-Systeme sind vollständig geroutete Geräte. Das heißt die Haupt-Mesh-Box ist eben kein Access Point, sondern ein WLAN-Router. Das schließt sowohl einen DHCP-Server als auch erweiterte Routing/DNS Funktionen wie Kindersicherungen, etc. mit ein, mit hoher Wahrscheinlichkeit auch NAT. Im Bridge-Modus sind solche Funktionen in der Regel deaktiviert, da die Mesh-Box dann eben nur noch ein reiner Client im Hauptnetzwerk wird.

Inwiefern man die Kindersicherung der Mesh-Box auch im Bridge-Modus verwenden kann, weiß der Hersteller. Im Zweifelsfalle also dort beim Support nachhaken. Hier im Forum sind zwar viele Leute unterwegs, aber die Wahrscheinlichkeit, dass jemand exakt dasselbe Setup verwendet, ist doch arg gering. Der Hersteller weiß da mehr.

Wie testest du die Verbindung aus dem Mesh ins Hauptnetzwerk? Gibst du die IP des Ziels im Hauptnetzwerk ein, den (lokalen) Namen des Ziels oder ausschließlich die DDNS-Adresse? Ersteres müsste eigentlich trotzdem funktionieren, da ich stark davon ausgehe, dass die Mesh-Box NAT betreibt. Das heißt, dass das Hauptnetzwerk gar nicht merkt, dass da ein anderes Subnetz im Spiel ist, weil einfach alles was aus dem Mesh-WLAN kommt, scheinbar von der Mesh-Box stammt. Der lokale Name wird hingegen nicht funktionieren, da der DNS in der Mesh-Box lediglich die lokalen WLAN-Namen kennt. Ob DDNS funktioniert, hängt von mehreren Faktoren ab.

Du könntest

a) am Client-Gerät in der hosts-Datei einen Eintrag für die Haupt-LAN-IP des Ziels mit dem DDNS-Namen erstellen
--> Nachteil: Unterwegs würde die DDNS-Adresse dann auch immer auf eine lokale IP auflösen
b) dem DNS der Mesh-Box beibringen, dass die DDNS-Adresse auf die lokale IP aufzulösen ist
--> Jede Wette, dass die Mesh-Box diesbezüglich 0,garkeine Einstellungsmöglichkeiten bietet
c) dem DHCP der Mesh-Box den Haupt-Router als DNS verpassen
--> Mit Glück bietet die Mesh-Box wenigstens diese Option. Mit Pech nimmt sie als DNS immer automatisch sich selbst
d) der Mesh-Box selbst den Haupt-Router als DNS verpassen (empfohlen)
--> Dadurch würde die Box DNS-Anfragen immer zum Haupt-Router weiterleiten und dieser antwortet dann mit der lokalen IP oder wird mittels NAT-Loopback (siehe unten) den Traffic umleiten.

Variante D hat den Vorteil, dass man letztendlich die eigentliche Konfiguration was wie wo ist nur an einer zentralen Stelle machen muss, am Haupt-Router. Die anderen Varianten haben zum Teil massive Nachteile und/oder führen dazu, dass man etwaige Änderungen (zB DDNS-Anbieterwechsel) gleich an mehreren Stellen durchführen muss.


Entscheidend ist nicht zuletzt auch wie die DDNS-Adresse lokal tatsächlich geroutet wird. So kann man zB bei einigen Routern das sogenannte "NAT-loopback" oder auch "NAT-hairpin" aktivieren, ein simpler Haken in der GUI, der zum Klicken verleitet. Dabei erkennt der Router bei einer ausgehenden Verbindung, dass er eigentlich selbst das Ziel ist, und dreht den Datenverkehr wieder um. Das Problem dabei ist, dass dies quasi im letzten Moment geschieht, wenn die Daten kurz vor der Auslieferung am WAN-Port stehen. Dreht der Router hier um, durchläuft selbst der vermeintlich lokale Traffic die komplette NAT- und Firewall-Engine. Die Folge: Bei einem langsamen Router, der am WAN kein 1 Gbit/s schafft, wird die Geschwindigkeit zum Teil massiv eingeschränkt. Hinzu kommt, dass der Traffic dann immer von der Quelle über den Router zum Ziel geht, auch wenn Quelle und Ziel evtl. sogar direkt nebeneinander am selben Switch hängen!
Ein Beispiel für die Auswirkungen dieser NAT-Umdrehens: Wenn die Portweiterleitung im Router zB auf eine bestimmte Quelle beschränkt ist (zB die IP der Firma), dann würde der umgedrehte NAT-Loopback-Traffic von der Firewall des Routers geblockt werden, weil die Quelle ja nicht die Firma ist, sondern eine lokale IP.

Die bessere Variante ist daher stets, dem DNS im Router einen benutzerdefinierten Eintrag für die DDNS-Adresse mitzugeben, da dieser dann auf die lokale IP auflöst und der Traffic dann ohne Umwege im lokalen Netzwerk direkt von der Quelle zum Ziel geht, der Router ist abgesehen von der einmaligen DNS-Anfrage komplett außen vor. Ich empfehle dringendst, diesen Weg zu gehen.

NAT-Loopback kann daher sehr tricky sein und ich sehe es bestenfalls als Krücke, wenn der Router vom Hersteller komplett vernagelt wurde - oder der Anwender einfach nur blauäugig auf Haken klickt