FritzBox 7270: Gäste-WLAN hinter anderem Router / OpenVPN-Bridge crasht Box

[Chipsy1966]

Hallo zusammen

Ich hätte da gerne mal ein kleines Problem....

Ich muss ein normales (internes, abgesichtertes) WLAN und noch zusätzlich ein Gäste-WLAN betreiben. Das Problem: Der eigentliche Router muss im Keller stehen und das WLAN kommt oben daher nur sehr schwach an.
Das "normale" WLAN ist mit einer zweiten FritzBox ja kein Problem. Einfach as IP-Client konfigurieren, per LAN mit dem Router verbinden, WLAN einschalten, fertig.
Das Gäste WLAN geht so natürlich nicht, da es nicht vom internen Netz isoliert werden kann.

Der erste Ansatz das zu lösen war: Per Shell-Kommandos ein neues WLAN öffnen, an dessen Interface eine eigene dnsmasq-Instanz IP-Adressen aus einem anderen Subnetz verteilt. Dann per iptables Masquerading NAT zum internen Netz machen und per iptables Filterregeln den Zugriff auf das interne Netz verbieten, sodass nur Traffic in's Internet möglich ist.
Das ist allerdings schon daran gescheitert, dass Freetz mir partout die notwendigen Kernelmodule iptable_nat.ko etc. nicht in's Image kopieren wollte (Freetz-Stable-2.0 mit Original-Firmware 54.05.53 - internationale Box)
Da ich was Freetz angeht noch ein ziemlicher Neuling bin, hab ich das Problem mit den Kernelmodulen nicht weiter verfolgt, zumal das gemäß diverser Forenbeitrage wohl ein schwierigeres Thema zu sein scheint.

Also zweiter Ansatz: Auch hier per Shell-Kommandos ein neues WLAN öffnen. Mit OpenVPN ein tap Interface erstellen und es mit dem neuen WLAN bridgen. Dann mit OpenVPN eine Bridge zu einem externen Root-Server öffnen, über die dann der komplette Traffic des WLAN-Gastnetzes geleitet wird. Dort läuft dann ein dnsmasq als DHCP-Server und DNS-Relay und dort kann ich ja dann auch unerwünschten Traffic beliebig mit iptables blocken.

Hier die Kommandos, die ich dafür verwendet habe (Die Konfigurationsdateien lasse ich an der Stelle mal weg):

wlanconfig ath1 create wlandev wifi0 wlanmode ap
iwconfig ath1 essid "TestGuest"
ifconfig ath1 0.0.0.0 up

openvpn --mktun --dev tap0
ifconfig tap0 0.0.0.0 up

brctl addbr brguest
brctl addif brguest ath1
brctl addif brguest tap0

ifconfig brguest 0.0.0.0 up

hostapd -B wlan_ath1_topology

openvpn --daemon --config openvpn.conf

Und was soll ich sagen? Es funktioniert... .... zumindest für ein paar ARP-Pakete und einen Ping. Dann bootet die FritzBox reproduzierbar nach ca. 10s neu

Das Verhalten ist sowohl mit Freetz als auch der Original-Firmware identisch. Es funktioniert - aber eben nur ganz kurz.

Ich weiß, die Frage ist jetzt doch sehr speziell und ich wage fast nicht zu hoffen, dass einer von Euch eine Idee hat, was die Ursache für den Reboot ist oder vielleicht, wie man das noch ganz anders lösen könnte.
Aber fragen kost ja nix

Grüsse
Chipsy

 

[DieWilde13]

...
Das Gäste WLAN geht so natürlich nicht, da es nicht vom internen Netz isoliert werden kann.
...

Wer sagt das?
Ich betreibe hier eine 6360 als Router, sowie diverse 7390, 310, 300 und DVB-C als Repeater sowohl in reinem Repeater- als auch LAN-Bridge Mode Betrieb.

Soweit ich die Supportdateien richtig deute, kommunizieren die Geräte bzgl. Gäste-WLAN untereinander über spezielle Interfaces (guest4+guest5) und ich sehe montan nicht, dass sie mit dem internen Netz irgendeine Verbindung haben?

 

[andiling]

Die wohl stabilste Lösung wäre wenn Du eine zweite LAN Verbindung ab LAN 4 (als Gastzugang konfiguriert) nach oben baust (geht auch per dLAN) und dort einen einfachen WLAN AP hängst.

 

[MaxMuster]

Keine Ahnung, ob das damalige Problem noch immer besteht, aber spontan fällt mir der Kernel-Bug mit WLAN und TAP ein (obwohl das schon lange her ist).
Wenn es den immer noch gibt, bleibt nur ein "geht wohl nicht".

 

[JohnDoe42]

Eine Alternative wäre auch noch einen günstigen Router als Freifunk-Zugang per Gästezugang über LAN4 an die 7270 zu hängen.

 

[Chipsy1966]

Vielen Dank für Eure zahlreichen Antworten!

@DieWilde13: Mag sein, dass es mit Deinen Boxen geht. Die 7270v2 bietet selbst mit dem neuesten Fritz!OS diese Option im IP-Client-Modis garnicht an. Möglicherweise sind diese speziellen Interfaces erst in den neueren Geräten drin?!

@MaxMuster: Das ist genau das Problem, danke für den Tip! Ich wäre nicht auf die Idee gekommen, so alte Threads überhaupt durchzulesen..... Es scheint, dass sich das Problem ab einer gewissen Firmware-Version gezeigt hat. Wenn ich mal zuviel Zeit habe, probiere ich das mal mit einer Uralt-Version aus.

@andiling und @JohnDoe42: Das ist wohl auch die Lösung, die ich nun alternativ verwenden werde. Besser gefallen hätte es mir allerdings, wenn das so geklappt hätte, wie ich mir das vorstelle

Vielen Dank an alle und ein schönes Wochenende!