[HowTo] 7170 als Modem UND VoIP client

Hallo,

tja, gute Frage. Irgendwo scheint es also doch noch mehr Unterschiede zwischen den Konfigs zu geben.

Man könnte das Pferd ja von hinten aufzäumen: Man richtet die Box komplett für "Internet über LAN 1" ein und entfernt dann nur den Eintrag "pppoeiface = "eth0";", um das DSL Modem wieder zu aktivieren.

Viele Grüße

Frank

Hallo,

level20peon schrieb:

Was könnte hier passiert sein ?

Zum Vergrößern anklicken....

Das kann ich dir so nicht sagen. Da beschreibe doch erst mal dein genaues Setup. Wie ist alles angeschlossen? Wie sind die IP-Adressen der Geräte? Passt die Adresse des PCs noch?

Viele Grüße

Frank

Es wird das WAN IP Interrface gestarted, dabei können natürlich diverse If-up Scripte laufen, welche z.B. die gesamte Firewall etc. pp. starten.

Daneben kann natürlich auch alles mögliche rekonfiguriert werden, aber nun gut, das rauszufeinden erfordert eben ein tieferes Verständnis der FBF.
Nicht alles steht in irgendwelchen Config files, einiges wird vermutlich in die entsprechenden Systemscripte eingebaut worden sein.
Soweit AVM diesen Betriebsmodus nie vorgesehen hat, ist eine mögliche Flexibilität über config files nicht erforderlich.

D.H. da braucht man detaillierten Kenntnissen des Ablaufes innerhalb der FBF wo welche Scripte liegen.

Sehr interessant! Ich kann leider momentan nicht testen, weil ich die Fritz-Mini-Beta-Firmware ohne Mods installiert habe und da mindestens wöchentlich Updates herauskommen. Ist bei Deiner Lösung sicher gestellt, dass Dein LAN-Traffic nicht vermittlungsstellenseitig abgegriffen werden kann?

Ja, das meine ich. Für die LAN-Verbindung müssen ja je ein LAN-Port von Fritzbox und externem Router miteinander verbunden werden. Für die PPPoE-Verbindung wiederum müsste der WAN-Port des externen Routers an einen weiteren LAN-Port der Fritzbox angeschlossen werden. Macht die Filteroption "Filter für DSL-Modem aktivieren (empfohlen)" in der Fritzbox dieses Setup dann wirklich wasserdicht?

Theoretisch würde das WAN Interface (der Hardwareport oder IF Interface) des externen Routers ja keine IP Adresse bekommen, da dies für den PPOE Empfang umnötig ist.
Somit kann theoretisch kein IP Paket ins LAn kommen ohne über das virtuelle PPOE wan Interface des externen Router zu gehen, was dann NAT, Firrewall und Routing mit einschließt.

Ich würde sagen, das dies durchaus sicher ist, vergleichbar einem VPN, was PPOE ja im Prinzip ist (ok, eher eine tunneling Protokoll).
Natürlich kann jeder beliebige andere Rechner im Netzwerk auch eine PPoe Verbindung aufbauen (ppoe Pakete werden über alle Ports verteilt) und so den Router umgehen.

Natürlich hängt das aber auch mit dem Sicherheitsbedürfnis zusammen.
Im professionellen Bereich hat man eine gewisse vorlieb für explizit getrennte Hardwareports entwickelt.
Das hat allerdings weniger mit der Technik an und für sich zu tun, sondern es vermeidet Fehlkonfigurationen (man hat da so schöne Metaphern mit Rotes Interface, grünes If etc.) schützt vor möglichen versteckten Sicherheitslücken und nimmt die Komplexität raus.
Wo es keine Verbindung gibt, kann auch der Schäuble mit der NSA keine schaffen Ne Spaß beiseite, das passt schon so und wer wirklich wo rein will, der macht es leichter indem er direkt den Router knackt.

Da kommen wir schnell in den Bereich, wo ich mich nicht mehr auskenne, und dann fühle ich mich immer unwohl. PPPoE heißt ja Point to Point Protocol over Ethernet. Es wird also wohl eine PPP-Verbindung (wie Du sagtest) als eine Art Tunnel in Ethernet-Pakete eingebettet. Ich nehme an, das sind Ethernet-Rohpakete ohne TCP/IP-Formatierung und somit ohne IP-Adressierung für den Port in der Vermittlungsstelle und den im Modem? Der Filter der Fritzbox müsste also logisch zwischen LAN und Modem sitzen und in beiden Richtungen nur PPPoE-Pakete durchlassen. Soweit klingt das dann eigentlich logisch und sicher. Danke für die Erklärungen!

Die Möglichkeit, auch von anderen Rechnern im LAN PPPoE-Verbindungen aufzubauen, ist allerdings problematisch. Das würde es Dialern erlauben, unbemerkt teure Verbindungen aufzubauen. Insofern wäre ein dedizierter Modem-Port an der Fritzbox schon sinnvoll.

Grundsätzlich hast Du aber natürlich Recht damit, dass das physische Trennen von LAN und WAN-Port eigentlich unnütz ist und obendrein oft auch nur oberflächlich so erscheint. Im Linksys WRT54G(S/L) sitzt z.B. ein konfigurierbarer 6-Port-Switch, von dem ein Port mit dem Prozessor, vier mit LAN-Buchsen und einer mit einer WAN-Buchse verbunden ist. Die Trennung findet dann anschließend durch logische Interfaces und iptables statt. Im Gegensatz zur Fritzbox kann man dabei aber genau nachlesen, was passiert. Ich wünsche mir bei der Fritzbox oft, dass der Expertenmodus mehr seinem Namen gerecht wird und die verschiedenen Optionen auch tatsächlich nach ihrer Funktion und nicht nur nach deren Effekt bennt. Ansonsten werde ich unsicher, und das ist vermutlich genau das Gegenteil davon, was AVM mit diesen Umschreibungen erreichen wollte.

Also ein PPPOE Filter macht IMHO keinen Sinn, da man entweder die PPPOE Pakete auf die LAN Ports gibt oder nicht.
Diese Option ist für mich ein Rätsel.
Möglicherweise verhindert es, das Pakete von höheren Protokollschichten über das If Interface des DSL Modems rausgehen, ohne IP sollte das aber sowieso nicht funktionieren. Schaden kann es aber nicht, wenn man alles auser PPOE Pakete auf dem Modem blockiert.

Wenn die Fritz Box nicht als PPPOE end Point arbeitet, kann sie für die Sicherheit nach Außen IMHO nix anderes machen.

PPPOE Pakete werden nur auf der Hardwarelayer also auf Ethernetebene Transportiert, da kann nicht plötzlich irgend eine andere Protokollschicht wie TCP IP raus oder reinkommen, ohne die PPPOE Verbindung aufzubauen.

Das mit den Dialern ist so ne Sache, ich bin mir da nicht so ganz sicher, ob man über DSL überhaupt so was wie Mehrwertdienste anbieten kann.
Persöhnlich ist mir das bisher noch nicht untergekommen, die Standarddialer incl. Trojaner Payload habe ich hingegen schon von unzähligen Rechnern geputzt.

Jup, so sehe ich das auch.

Ich hatte vor einiger Zeit einmal von DSL-Dialern gehört, und ungefähr zu der Zeit auch von DSL-by-Call-Angeboten erfahren. Deshalb hatte ich fälschlicher Weise angenommen, erstere würden die Technik von letzteren benutzen. In der Wikipedia habe ich nun nachgelesen, wie es statt dessen funktioniert:

Es gibt auch so genannte DSL-Dialer. Allerdings ist diese Bezeichnung nicht ganz korrekt. Es lassen sich per DSL keine 0190/0900-Gebühren abrechnen. Deswegen muss man mit seinem Telefon eine 0900-Rufnummer wählen, um ein bestimmtes Angebot in Anspruch nehmen zu können. Solange diese Verbindung besteht, kann der Kunde ein kostenpflichtiges Internet-Angebot besuchen. Wenn man dann den Hörer auflegt, wird das Angebot, z. B. eine Website, nicht länger zur Verfügung gestellt.

Zum Vergrößern anklicken....

DSL-by-Call-Angebote wiederum funktionieren nur mit vorheriger Anmeldung, da eine Abrechnung, so, wie Du sagst, nicht über die DSL-Rechung gemacht werden kann.

Generell können Ethernet-Pakete aus dem LAN meines Wissens aber schon über eine DSL-Leitung bis in die Vermittlungsstelle gelangen. Früher, als es noch so gut wie keine Router für private Zwecke gab, musste man bekanntlich einen Rechner direkt ans DSL-Modem anschließen. Weitere Rechner ließen sich dann über das in Windows eingebaute Internet Connection Sharing versorgen. Einige Leute haben versucht, eine zweite Netzwerkkarte zu sparen, indem sie das DSL-Modem an den Hub ihres LANs angeschlossen haben und die PPPoE-Verbindung dann über das LAN hergestellt haben. Der Hub hat jedoch den gesamten Ethernetverkehr, unabhängig von der Paketart an alle Teilnehmer und somit auch das DSL-Modem weitergeleitet, und auch dieses leitet doch nur blind Ethernetpakete an die Vermittlungsstelle weiter und umgekehrt. Dadurch landet der persönliche LAN-Verkehr natürlich nicht im Internet, aber am Port in der Vermittlungsstelle müssten er schon abgreifbar sein.

Bei einem Switch sicherlich nicht, da dieser ja lernt, wo welches Paket hin muss.
Natürlich kann man die Mac Table vergiften, aber das erfordert Zugang zum Vermittlungsrechner, welcher inzwischen wohl nicht mehr so leicht möglich sein sollte, wie vor wenigen Jahren noch.
Damals hatte die Tkom wohl keine lust, die Systeme ordentlich zu konfigurieren, daher waren da etliche eine leichte Beute für die Cracks.

Möglicherweise tut die FBF das aber berücksichtigen und lässt nur pppoe Frames durch, ich denke das sollte nicht so schwierig sein.

Nun aber mal wieder zurück zum Thema: Lässt sich die Veränderung der ar7.cfg umgehen? Ich würde in Zukunft gern all meine Änderungen auf einen USB-Stick auslagern (siehe hier), damit ich einen unmodifizierten Zustand habe, sobald der Stick abgezogen wird (abgesehen von einem kleinen Script in der debug.cfg, das prüft, ob der Stick angeschlossen ist und ggf. ein Startscript von diesem startet). Das ist sicherer und auch praktischer bei einem Firmware-Update.

Hallo zusammen,

Ich würde über die Fritzbox 7270 gerne eine VPN-Verbindung herstellen, obwohl sie als Modem arbeitet, was ja im Grunde die gleiche Problemstellung ist.

Ist es hier nun nach Änderung der entsprechenden Dateien möglich, die Einstellungen per Webinterface vorzunehmen?

Gibt es inzwischen eigentlich einen einfacheren Weg dieses Ergebnis zu erreichen?

Viele Grüße