FritzBox 7270 "virtuell zerlegen"

[moemoe]

Hallo,

da mich der Featureumfang der Box etwas ankotzt, ich aber einen grossteil der Funktionen gerne nutzen würde, kam ich auf folgende Idee.
Die Anforderungen sind relativ einfach: Getrennte Netze (phys/vlan) für wlan, lan, voip; DHCP mit statische Leases, ein DNS mit eigenen Einträgen, IPv6 per Tunnel.

Die Fritzbox ist weiter Modem und Router für IPv4 (mitsamt QOS, da hierfür die CPU meines WRT zu langsam ist), und gliedert sich hinten in mehrere Subnetze auf:

Netz-A: Transfernetz zum WRT (als Exposed Host), welcher zwischen den hausinternen Subnetzen Routet, den IPv6-Tunnel terminiert, Portforwardings macht etc...

Netz-B: VoIP-Netz, hier sitzen der Asterisk (ob auf der FBF oder Standalone sollte egal sein), der DECT-VoIP-Client sowie meine SNOMs drin.

Netz-C: Kabelgebundenes Netz für normale Clients

Netz-D: WLAN, AP sind Fritzbox für 5GHZ und WRT für 2.4GHZ.

Da aus der Fritzbox A, B und D rauskommen müssen war meine erste Idee, dies mit einem VLAN-Trunk-Port zu lösen. Bis ich erfahren habe, dass die Fritzbox garnicht richtig VLANs kann (soweit wie ich das sehe).

Die nächste Idee war dann, mit cpmaccfg den Switch in drei Sektionen zu zerlegen:

• Port1: Netz-A (zu WRT WAN)
• Port2: Netz-B (zu WRT Port1)
• Port3: Netz-B (zum VoIP-Netz-Switch)
• Port4: Netz-D (zum WRT Port2)

Am WRT, der ja netterweise 5 Ports hat, würde das ganze dann so ankommen:

• Netz-A: WAN-Port (zur FBF Port1)
• Netz-B: Port1 (zur FBF Port2)
• Netz-C: Port2+3 (zum Switch + direktanschluss 1 PC)
• Netz-D: Port4 (zur FBF Port4)

Jetzt wäre meine Frage (einfach mal eine erste Einschätzung), was ihr dazu sagt. Ist das:
Sinnvoll (oder würdet ihr das Netz anders designen, Aufgaben anders verteilen, sonstwie) und technisch machbar, die Fritzbox so zu zerlegen und auch die internen Dienste auf die entstehenden verschiedenen Netzwerkinterfaces zu legen

Schonmal vielen Dank für eure Gedanken und Denkanstoesse

P.S.: Dokumentation würde natürlich geschrieben werden, alleine schon dsas ich das nochmal nachbauen kann

 

[frank_m24]

Hallo,

Getrennte Netze (phys/vlan) für wlan, lan, voip;

Was willst du damit erreichen?

DHCP mit statische Leases

Das geht mit dnsmasq, wenn der ds-mod erst mal läuft auf der 7270.

ein DNS mit eigenen Einträgen,

Geht ebenfalls mit dnsmasq.

IPv6 per Tunnel.

Kernel-Unterstützung kann man ebenfalls dafür kompilieren. Die Frage ist, ob alle Programme auf der Box damit zurechtkommen, vor allem die Closed Source Binaries von AVM.

 

[moemoe]

Hallo,
Was willst du damit erreichen?

Das WLAN in einem getrennten Netz ist die Vorbereitung auf den nächsten Schritt, Inetnerzugang per WLAN direkt zu bieten (Gäste etc), aber Zugriff aufs "interne" Netz (=Kabelnetz) nur per OpenVPN. Und das getrennte VoIP-Netz hat so (noch?) keinen direkten Zweck, es ist einfach ein anderer Dienst und sauber getrennt.

Kernel-Unterstützung kann man ebenfalls dafür kompilieren. Die Frage ist, ob alle Programme auf der Box damit zurechtkommen, vor allem die Closed Source Binaries von AVM.

Es geht mir hier mehr um die PCs, welche dann entsprechende Verbindung nach aussen haben. Eigentlich müssen die AVM-Binaries hiermit garnicht umgehen können, solange dnsmasq, radvd als externe Programme sowie das v6-Routing im Kernel tun.

Aber verstehe ich dich richtig, dass du eigentlich der Meinung bist, dass sich das meiste mit ds-mod auch direkt auf der 7270 erledigen laesst?

 

[frank_m24]

Hallo,

allein mit dem Aufteilen der Subnetze ist es da nicht getan, die müssen auch noch per iptables voneinander getrennt werden.

Man muss abwarten, was man davon in der 7270 umsetzen kann. Vorhin hab ich gelesen, dass die 7270 einen anderen Switch Baustein verwendet und momentan VLANs noch nicht unterstützt werden (vom ds-mod). Warten wir es ab.

Die Frage bleibt, was genau du mit dem IPv6 Support erreichen willst. Wenn die Rechner selber tunneln, dann brauchst du keinen IPv6 Support auf der Box. Sollen sie auch über IPv6 kommunizieren können, dann musst du IPv6 auf die Box bringen, und spätestens dann stellt sich die Kompatibilitätsfrage.

 

[moemoe]

allein mit dem Aufteilen der Subnetze ist es da nicht getan, die müssen auch noch per iptables voneinander getrennt werden.

Hier war daher die Idee, die einfach durch trennen der Switchports (so wie es cpmaccfg tut) gegeneinander abzuschirmen, so dass die 7270 eben mehrer Interfaces in verschiedenen Netzwerken hat, zwischen denen sie nicht routet. Dieses Routing macht dann der WRT, von dem ich weiss, wie ich es ihm beibringe.

Die Frage bleibt, was genau du mit dem IPv6 Support erreichen willst. Wenn die Rechner selber tunneln, dann brauchst du keinen IPv6 Support auf der Box. Sollen sie auch über IPv6 kommunizieren können, dann musst du IPv6 auf die Box bringen, und spätestens dann stellt sich die Kompatibilitätsfrage.

Okay...wenn AVM hier wirklich netfilter durch irgendeinen seltsamen Eigenbau ersetzt hat, welcher das gesamte Routing macht, könnte sich das natürlich doch wieder erschweren.

 

[frank_m24]

Hallo,

... so dass die 7270 eben mehrer Interfaces in verschiedenen Netzwerken hat, zwischen denen sie nicht routet.

Genau das macht die Box aber doch. Sie routet zwischen ihren Subnetzen. Sie ist halt ein Router.

 

[moemoe]

Hallo,
Genau das macht die Box aber doch. Sie routet zwischen ihren Subnetzen. Sie ist halt ein Router.

Doofer Router. Macht, was ich ihm garnicht sage...aber stimmt wohl, da hab ich eine Ecke zu früh mit dem Denken aufgehört. War gestern ja auch schon spät