Fritzbox als Modem + WLAN AccessPoint mit IPCOP und 2 getrennte netzte (cpmaccfg)

[M0ng0-0815]

Ersteinmal hallo an alle da ich hier neu bin

Ich habe die Fritzbox 7170 und möchte mit cpmaccfg folgendes realisieren:

IPCop ist eine Firewall die 4 Getrennte Netze bietet, GRÜN,BLAU,ORANGE und ROT.


GRÜN (192.168.0.x) ist das sichere LAN, BLAU(192.168.1.x) ist das WLAN, ORANGE (192.168.2.x) ist DMZ und ROT ist mit dem Internet verbunden.

Nun möchte ich die Fritzbox nur als Modem und als AccessPoint für die WLAN clients verwenden nur habe ich da in der Grundkonfigurationsmöglichkeiter der Fritzbox das Problem das anfragen die über WLAN kommen beim IPCop erstmal auf dem Rotem interfface landen. Nach kurzem warten erkennt er aber automatsich das was nicht stimmt und die Anfragen gehen über den 2. LAN Port der Fritzbox (der am Blauen Interface des IPCops hängt) herraus. Nr jedes mal wenn ich die WLAN verbindung meines Notebooks etc. trenne und neu Verbinde habe ich erstmal diese Lücke.

Ist es möglich der Fritzbox zu sagen, das LAN Port 1 nur als Port genutzt wird womit sich der IPCop ins internet einwählt, und das auf LAN Port 2 alle anfragen die über WLAN kommen nur über LAN Port 2 herrraus geschickt werden?

Ich hoffe mla es gibt hier ein paar "freaks" die wissen was ich meine und die eine Lösung für mich parat haben ?

Gruß

M0ng0

 

[RalfFriedl]

Die LAN Ports sind genau das, LAN Ports und nicht WLAN Ports. WLAN-Pakete werden offensichtlich nicht über Kabel gesendet, also über keinen der vier LAN Anschlüsse.

 

[joesy23]

Ich empfehle folgenden Link für weitere Infos:

http://trac.freetz.org/wiki/help/howtos/security/switch_config



Joesy

 

[M0ng0-0815]

Die LAN Ports sind genau das, LAN Ports und nicht WLAN Ports. WLAN-Pakete werden offensichtlich nicht über Kabel gesendet, also über keinen der vier LAN Anschlüsse.

Es muss doch Möglich sein der FritzBox sagen zu können, das traffic was über WLAN kommt (was ins internet will oder wo auch immer) über LAN Port 2 gehen soll. Und nicht über LAN1 was mit dem Router verbunden ist der die Verschiedenen Subnetzt ja schon managet?

Ich empfehle folgenden Link für weitere Infos:

http://trac.freetz.org/wiki/help/howtos/security/switch_config

Joesy

In dem Betreff meiner Frage habe ich cpmaccfg bereits angesprochen, da ich mir gedacht habe das wenn es geht nur damit.

 

[RalfFriedl]

Dafür sind die Routing-Tabellen da.

 

[stinkstiefel]

@Ralf M0ng0-0815 hat folgendes Problem. Die 7170 möchte er quasie als Ersatz für zwei Geräte nämlich ein Modem + einen AP benutzen. Er verbindet also WAN der 7170 mit dem Amt und LAN1 mit IPCop Red für den Modembetrieb. Nun möchte er aber noch alles was über WLAN kommt über LAN2 rauschicken und LAN2 mit IPCop Blau verbinden. Da LAN1 und LAN2 bei der 7170 aber nicht wirklich getrennt sind baut er damit eine Brücke zwischen IPCop Red und IPCop Blau was IPCop garnicht gern hat.

 

[joesy23]

@Stinkstiefel
Deshalb habe ich ja auf den Wiki-Eintrag verwiesen. Dort wird beschrieben, wie mit Hilfe von cpmaccfg die Ports in unterschiedliche Interfaces aufgeteilt werden können, z.B. kann damit dann WLAN mit LAN2 zum einem Interface zusammengefasst werden, während LAN1 ein separates Interface wird.

Die Box muss hierfür im Router-Modus anstatt des Bridge-Modus betrieben werden. Das steht aber alles im Wiki-Artikel. Ausserdem sind ggf. Routen für diese Interfaces zu definieren, damit die Box die Pakete korrekt zum IPCOP weiterleitet.

Wenn nun diese Interfaces existieren, kann mit iptables eine Trennung erreicht werden, Weitere Infos hier:
http://trac.freetz.org/wiki/help/howtos/security/split_wlan_lan

Ich habe bei mir eine ähnliche Konstellation. Im Unterschied zum Wiki-Artikel soll bei mir der komplette Traffic über iptables getrennt werden. Daher verwende ich bei mir folgende Konfiguration:

modprobe ip_tables
modprobe iptable_filter
modprobe x_tables

iptables -A FORWARD -i extern -o dsl -j ACCEPT
iptables -A FORWARD -i intern -j DROP

iptables -A INPUT -i extern -p tcp -j DROP
iptables -A INPUT -i extern -p udp -j DROP

 

[RalfFriedl]

Die 7170 möchte er quasie als Ersatz für zwei Geräte nämlich ein Modem + einen AP benutzen.

Da spricht nichts dagegen, etwas ähnliches habe ich auch im Einsatz.
Allerdings klingt es bei ihm so, als sei WAN einer der Ethernet-Anschlüsse und somit eben nicht das DSL-Modem.

Unabhängig davon, wenn man will, daß alles über LAN2 raus geht, dann gehört die Default-Route auf LAN2.

Den Switch eine (neueren) 7170 kann man übrigens durchaus trennen, das ist genau die Funktion des Programms cpmaccfg.

 

[M0ng0-0815]

Da spricht nichts dagegen, etwas ähnliches habe ich auch im Einsatz.
Allerdings klingt es bei ihm so, als sei WAN einer der Ethernet-Anschlüsse und somit eben nicht das DSL-Modem.

Unabhängig davon, wenn man will, daß alles über LAN2 raus geht, dann gehört die Default-Route auf LAN2.

Den Switch eine (neueren) 7170 kann man übrigens durchaus trennen, das ist genau die Funktion des Programms cpmaccfg.

Jep, ganz genau! Schonmal danke das ihr ihr mir weitergeholfen habt!
Da ich aber vollkommener newbie auf dem gebiet der fritzbox bin, weis ich leider nicht wie ich dieses cpmaccfg zum laufen bekomme. Ich benutze derzeit die Origianl Firmware von avm 29.04.76.

Kann mir da evl. noch jemand unterstützung geben?

 

[stinkstiefel]

Wirklich ganz genau? WAN der 7170 ist nicht mit dem Amt verbunden? Wenn nicht macht deine Idee, für mich zumindest, so eigentlich keinen Sinn.

 

[M0ng0-0815]

Also´am WAN Port hängt der DSL Bus. An LAN 1 Der IPCop (der sich ins internet einwählt) und an LAN2 soll das Blaue interface des IPCops was. Alles was´auf der fb auf dem wlan ankommt nsoll über LAN2 weiter geroutet werden an den IPCop...

LAN1 ---> Wählt sich der IPCop ein ( rotes interface des IPCops mit dem ipbereich 1.1.1.x)

LAN2 ---> Is ebenfalls mit dem IPCop verbuden allerdings auf einer anderen netzwerkkarte mit dem IPBereich 192.168.1.x.

Jede farbe des IPOCops ist eine seperate netzwerkkarte im ipcop die verschiedene ipbereiche managet.

Wie du schon gesagt hast, ich will die fritzbox einfachalsgetrenntes Modem mit gertenntem AccessPoint nutzen.

 

[stinkstiefel]

...weis ich leider nicht wie ich dieses cpmaccfg zum laufen bekomme.

Entweder du nutzt dazu freetz oder schaust ob du das Binarie statisch gelinkt findest/bekommst. Zweiteres soll es ja geben und auch bedingt funktionieren.

http://www.ip-phone-forum.de/showthread.php?t=97472

Wenn du dein Vorhaben umgesetzt hast poste deine Erfahrungen bitte auch im IPCop Forum ich möchte gern sehen wie man dich wegen der Verbindung zwischen Rot und Blau über VLAN-Switch zerreißt.

 

[M0ng0-0815]

Entweder du nutzt dazu freetz oder schaust ob du das Binarie statisch gelinkt findest/bekommst. Zweiteres soll es ja geben und auch bedingt funktionieren.

http://www.ip-phone-forum.de/showthread.php?t=97472

Wenn du dein Vorhaben umgesetzt hast poste deine Erfahrungen bitte auch im IPCop Forum ich möchte gern sehen wie man dich wegen der Verbindung zwischen Rot und Blau über VLAN-Switch zerreißt.

Ja das IPCop Forum, das ist typisch fül solche reaktionen. Da werde ich nix mehr posten

 

[M0ng0-0815]

Ich hbae jetzt mal mit freetz ein Image erstellt, aber nach erfolgreichem flashen ist das webinterface unter :81 nicht erreichbar. Muss ich etwas beachten?

Gruß

 

[M0ng0-0815]

Sooooo, ich habe jetzt erfolgreich ein Image erstellt wo ich das cpmaccfg mit replace kernel mit eingebaut habe.
Nun weis ich leider nicht wie ich weiter vorgehen muss, ich habe mir zwar das howto durchgelesen auf der freetz seite, werde aber daraus nicht schlau.