fehlende VPN-Möglichkeit bei Internetzugang über LAN 1

DJB schrieb:

ich habe schon ein wenig recherchiert und gelesen, dass VPN bei Internetzugang über LAN 1 nicht möglich ist.

Zum Vergrößern anklicken....

Kann ich so nicht bestätigen.

Meine FB7170 läuft über LAN 1 am Modem und ich habe:
1. AVM-VPN zu einer anderen FB
2. OpenVPN zu einem DD-WRT54GL

DJB schrieb:

die FritzBox wird als IP-Client betrieben

Zum Vergrößern anklicken....

Das ist warscheinlich der Unterschied. Meine läuft als NAT-Router mit PPPoE.

dann ist aber die Aussage falsch:

dass VPN bei Internetzugang über LAN 1 nicht möglich ist.

Zum Vergrößern anklicken....

sondern ist abhängig von der Betriebsart und/oder der Art der Zugangsdaten.

DJB schrieb:

Ich verstehe allerdings nicht ganz wieso und bitte um Erleuchtung durch die Profis. ;-)

Zum Vergrößern anklicken....

Ohne jetzt behaupten zu wollen, ein Profi zu sein ;-):

Einer der entscheidenden Unterschiede zwischen der Benutzung als "echter" Router (eigene Verbindung aufbauen) oder als normaler Netzwerkclient (mitbenutzen) ist, dass "als Router" dieses LAN-Interface jetzt als "WAN"-Interface behandelt und vom "dsld" bedient wird. Das ist der AVM Dienst, der NAT, Firewall usw. übernimmt und wohl auch Voraussetzung dafür, dass der avm-VPN-Dienst an dem Interface läuft.

Du kannst in der Betriebsart Router dann VPN nutzen (das stellt AVM halt nur auf dem Interface zum Internet zur Verfügung), allerdings über das Interface nicht mehr auf die Box zugreifen, weil daran dann eben die Firewall gebunden wird...

Jörg

Was du versuchen könntest:

- Dem Speedport-Netz auf dem "ersten" (unmodifizierten) 920 ein weiteres IP-Netz zuordnen (sowas wie "ifconfig lan:3 192.168.123.1") und dem "internet-over LAN1" Speedport dort die IP 192.168.123.2 mit Gateway 192.168.123.1 fest eingeben.
- Im "normalen" Netz dann die richtige IP vergeben (natürlich DHCP aus).
- letztlich weden damit LAN1 und die anderen LANs "außen" wieder verbunden, sind aber in verscheidenen IP Netzen

Das könnte gehen (muss es aber nicht, weil m.W. die FB immer die gleiche MAC-Adresse nimmt).


Jörg

Habe auch eine zweite Box als IP-Client am Laufen. Dort ist auch alles mögliche deaktiviert. Da es ja nur IP-Client ist, können DHCP, VPN, Portfreigaben nicht eingerichtet werden.

Mir fällt nur ein, dass du den ersten Speedport auch fritzisierst / fritzt und dort dann PPPoE-Passthrough aktivierst. Dann könnte der zweite Speedport eine weitere DSL-Session aufbauen (als Router, NICHT IP-Client, ggf. dann aber DHCP-Server deaktivieren!). Dann solltest du dort auch VPN etc. einrichten können.

@DJB: Hat ein 920 telnet? Dann kannst du dich dort anmelden und diesen Befehl absetzen
Damit wird auf dem LAN quasi ein zweites IP-Netz aufgespannt, ein Gerät mit einer Adresse aus dem Netz (z.B. 192.168.123.123) sollte dann den "ersten" Speedport über 192.168.123.1 ansprechen können.

Danach kann der gefritzte 920 auf "eigene Verbindung aufbauen" eingerichtet werden, mit einer "festen" IP (z.B. 192.168.123.2) und als Gateway 192.168.123.1.

Über die LAN Interfaces <> 1 sollte die Kiste dann noch weiterhin erreichbar sein...

Falls du zufällig 192.168.123.x als "normales" Netz nutzt, musst du das natürlich auf ein ungenutzes Netz ändern.

Jörg

Wenn du den ersten Router so nicht "anpacken" kannst: Portweiterleitungen kann er aber, oder?

Dann könntest du ein OpenVPN-VPN per freetz auf dem zweiten Router nutzen.

Oder (wenn es IPSec sein muss) versuchen, dass nicht mit dem AVM-VPN sondern mit ipsec-tools zu machen, was momentan nur mit dem Trunk und dem Patch aus dem Ticket #854 geht.

Jörg

Oder für das private eigenen DSL-Zugang sich beschaffen.

Bevor mich hier alle steinigen: Wenn der Firmenzugang so sensibel ist, das da nichts am Router geändert werden darf und sensible Geräte dran hängen und da vielleicht eine oder mehrere Existenz/en von abhängen, würde ich nicht mit Beta- und / oder experimenteller Firmware rum basteln.
Aber ist auch nur meine Meinung.

War gerade eh am rumexperimentieren an meinen Boxen. Habe folgendes herausgefunden:

Wenn ich meine Fritzbox 7270 (die wäre vergleichbar mit deinem Speedport, den du gefritzt hast) als IP-Client laufen habe, kann ich weder VPN- noch Fernwartung etc. einstellen. Das ganze Netzwerkzeug ist deaktiviet.

Wenn ich aber so tue, als ob die Fritzbox 7390 (die wäre dann vergleichbar mit deinem Speedport, wo du nix ändern willst / kannst) Kabelmodem wäre, sprich bei der Fritzbox 7270 Zugang über LAN1 / Internetverbindung selbst aufbauen / Zugangsdaten werden nicht benötigt (IP), dann habe ich die 7270 über LAN1 (fungiert dann als WAN Port) im Netz der 7390 und die 7270 in einem anderen Netzwerk. Bei mir schaut das dann so aus:

Fritzbox 7390 stellt Verbindung zum DSL her hat (bei mir) interne IP 192.168.1.253. Die 7270 hat eine WAN-Verbindung ins 192.168.1.x Netzwerk mit der IP 192.168.1.1 und eine lokale IP mit 192.168.178.1.
Jetzt tut die 7270 so, als wäre sie mit einem Provider verbunden, der feste IP-Adresse vergibt. Nur statt einer öffentlichen IP habe ich einfach eine lokale IP-Adresse aus dem 192.168.1.x Netzwerk, die nicht per DHCP von der 7390 vergeben wird und auch nicht manuell von mir vergeben wurde.
Und siehe da, alles an Netzwerk wieder da (VPN, DHCP, Fernwartung...)

Zum besseren Verständnis habe ich mal Screenshots beigefügt.

Ergänzung:

Also nur noch mal zur Sicherheit:
Die IP-Adresse bei der Einrichtung des Internetzugangs (WAN-IP) des gefritzten Speedports, muss aus dem gleichen IP-Adressbereich sein wie dein erster Speedport.
Die lokale IP-Adresse deines gefritzten Speedports (Einstellungen -> Netzwerk -> IP-Adressen) muss dann einen anderen IP-Nummernkreis haben.
Bei den DNS-Servern habe ich die Google DNS-Server 8.8.8.8 bzw. 8.8.4.4 eingetragen, da kannst du aber auch die von T-Online / T-Com oder auch OpenDNS nehmen.

nowwy schrieb:

Habe folgendes herausgefunden:

Zum Vergrößern anklicken....

Das schrieb ich schon im Beitrag #4:

ist abhängig von der Betriebsart

Zum Vergrößern anklicken....

[klugscheiß] ... und in #5 steht sogar, warum ;-) [/klugscheiß]

Entschuldigänse, könnten auch Enten sein.
:groesste:

Mir war schon klar, dass der LAN1 sich als WAN-Port umkonfigurieren lässt.
Nur war mir nicht klar, dass man dem WAN-Port so einfach eine Lokale IP-Adresse geben kann. Ich lerne ja auch nie aus.

Außerdem war die Anleitung mit ifconfig und weiss der Kuckuck viel zu umständlich.

Das ganze lässt sich ja auch via Webinterface einrichten. Und da habe ich halt nur beschrieben, wie und was genau. Du hast es ja sehr allgemein gehalten. Und wenn ich das richtig interpretiere hast du ja mit ifconfig lan3 ja lediglich ein weitere NIC lokal eingerichtet, aber so fit bin ich in Linux nicht.

Außerdem schrieb der TO ja, das es mit dem ifconfig bei ihm nicht geklappt hat. Daher habe ich das Problem noch als ungelöst erachtet.