[Problem] Kann bei LAN-LAN-Kopplung zweier Fritzen nicht auf alle Geräte zugreifen - warum?

[Dirk11]

Hi Leute,

ich habe hier Netze per Fritz LAN-LAN-VPN (also das AVM-eigene IPSec) miteinander verbunden.

Zustand:
Bei mir @Home wird eine 7590ax genutzt, bei den Gegenstellen wahlweise eine 7590 oder eine 7490. Selbstverständlich alle auf aktuellem Stand, es wird ausschließlich Original-Firmware genutzt, also nix Freetz oder sowas.
Die Subnetze sind alle unterschiedlich, keines ist mehr das Fritz-Original. Auf den beteiligten PC läuft ein Debian-Linux.

Problem:
Ich kann von @Home auf die Web-Oberfläche der ersten Fritz der Gegenstelle zugreifen. Auf die zweite (LAN-Mesh) und alle weiteren Fritz-Geräte auch. Problemlos.
Ich kann auch den Debian-PC im entfernten Netz anpingen.
Aber in einem der Fern-Netze steht zum Beispiel ein Lexmark X544n als Drucker. Auf dessen Web-Oberfläche kann ich nicht zugreifen, PING darauf klappt auch nicht.
Wähle ich mich hingegen per ssh auf den im entfernten Netz stehenden PC ein und versuche das direkt von dort (Kommandozeile oder VNC-Verbindung), so funktioniert das problemlos.

Was mache ich falsch?

Edit:
Beispiel
PC@home (der, an welchem ich sitze): 192.168.1.11

PC@Ferne: 192.168.2.20
Druck@Ferne: 192.168.2.39

 

[armin56]

Eventuell ist der Drucker fehlerhaft konfiguriert. Bezieht der Drucker seine IP über DHCP? Falls nein, könnte es sein, dass die Subnet Mask falsch gesetzt ist, oder kein Default Gateway im Drucker konfiguriert wurde. Im lokalen LAN kann man dann den Drucker noch ansprechen, aber sobald eine Adresse in einem anderen Netz angesprochen werden soll, klappt das Routing nicht mehr.

 

[Micha0815]

Oftmals geben die acesslist Aufschluss, wo es hakt.
LG

 

[Dirk11]

Danke für den "Anstupser", in der Tat war bei dem Drucker die netmask falsch eingetragen, 255.255.0.0 statt 255.255.255.0
BTW: Ortsfeste Gerätschaften bekommen immer eine feste IP, kein DHCP.
Ob das wirklich der Grund war, werde ich sehen, sobald er wieder in "Bereitschaft" geht.

 

[Dirk11]

Ob das wirklich der Grund war, werde ich sehen, sobald er wieder in "Bereitschaft" geht.

Jup, war es, danke nochmal!

 

[genuede]

BTW: Ortsfeste Gerätschaften bekommen immer eine feste IP, kein DHCP.

Allerdings ist DHCP weniger anfällig für Tippfehler! Namen und immer gleiche IP-Adresse kann man in der Fritzbox auch so festlegen.

 

[ausserirdischesindgesund]

Allerdings ist DHCP weniger anfällig für Tippfehler! Namen und immer gleiche IP-Adresse kann man in der Fritzbox auch so festlegen.

Und man braucht bei einer Änderung von DNS, Gateway, Netzmaske etc nur an einer Stelle was ändern. Klingt trivial, aber jedes Mal wieder zu überlegen wie der Laserdrucker konfiguriert wird, oder das Smarthome-Gateway, das nervt.

Sorry für Vollzitat, echt schwer das noch sinnvoll zu kürzen.

 

[koyaanisqatsi]

Moinsen

Für Geräte die immer die gleiche IP haben sollen empfehle ich die Vergabe über DHCP von IPs vor dem Adressbereich des DHCP-Pools.
So mach ich das zum Beispiel für meinen Asterisk, der immer die *.9 haben muss, sonst ist Chaos vorprammiert...

Warum nicht nach dem Pool?
Wenn VPN genutzt wird bekommen die VPN Benutzer die IPs ab: *.201
Wenn der Pool von 20-200 (standard) ist.

 

[Dirk11]

Ja. Vielleicht sollte ich das mal überdenken. Nicht wegen des Tippfehler, sowas passiert mir echt selten, aber generell.
Ich habe das "früher" nie gemacht, weil die Fritten echt richtig schlecht waren, sprich einfach aufgrund schlechter Erfahrungen wie "sämtliche bekannte Geräte nach Neustart vergessen" (das hat sogar die erste Firmware der 7590 bei mir noch gemacht) uswusf...
Ich nutze die auch erst seit irgendwann nach der Markteinführung der 7590 wieder komplett, vorher 15 Jahre openWRT und zuletzt seit Zwangsumstellung auf VoIP eine 7490 als reines Telefonie-Gerät.
Sind IMHO immer noch nicht optimal, aber mittlerweile brauchbar.

 

[koyaanisqatsi]

Naja, wenn du DHCP deaktivierst, biste halt auch eigenverantwortlich unterwegs, hochindividuell, sozusagen.
Find ich auch OK, solange, bis WIR zu IPv6 kommen

 

[chilango79]

Ich hab meine festen Geräte ausserhalb des DHCP-Pools konfiguriert. Also von .2 bis .19

 

[B612]

Also von .2 bis .19

Oder ab 220 geht auch wieder.

 

[chilango79]

Hmm da fangen die VPN-IPs an oder?

 

[KunterBunter]

Nur wenn mehr als 19 VPN-Verbindungen eingerichtet sind.

 

[B612]

mehr als 20 VPN-Verbindungen

Und das habe ich noch nicht mal geschafft.

 

[Dirk11]

Naja, wenn du DHCP deaktivierst, biste halt auch eigenverantwortlich unterwegs, hochindividuell, sozusagen.

Wer sagt denn, dass ich das mache?

Ich hab meine festen Geräte ausserhalb des DHCP-Pools konfiguriert. Also von .2 bis .19

So ähnlich mache ich das auch.

Nur wenn mehr als 19 VPN-Verbindungen eingerichtet sind.

Nein. Ich nutze erheblich darunter, und das passiert dennoch.

 

[B612]

19 VPN-Verbindungen

Ahja, jetzt:

Sogar ohne Berücksichtigung der arithmetischen Feinheiten.

 

[Dirk11]

Ich muss hier leider noch mein zweites Problem erläutern:
Ich kann nicht auf Fritzboxen zugreifen, welche hinter der ersten Fritzbox im entfernten LAN sind. Weder per Name noch per IP. Muss ich darauf wirklich einen User anlegen und Zugriff aus dem Internet oder wie das heißt aktivieren? Ich dachte, wenn ich per VPN zugreife, ist das "wie vor Ort sein"?

Die betroffenen Fritzboxen sind als Mesh-Client im LAN und haben eine feste IP.

 

[ausserirdischesindgesund]

Bei solchen Fragestellungen helfen Diagramme ungemein. Auch die Angabe der betroffenen Adressen/Netze.
Du hast irgendwas wie:


Bild gemäß Boardregeln als Vorschaubild eingebunden by stoney


Hast du andere Clients in dem Netz, wie in obigem Diagramm mit "Client2" bezeichnet?
Kannst du die pingen?
Kannst du die Fritzbox2 mit ihrer interenen Adresse (192.168.2.1) von deinem lokalen Client pingen, eine Route dorthin hast du vermutlich, weildie Fritzbox1 deine Defaultroute ist, aber hat auch dein Gegenüber eine Rückwärtsroute?

Solche Probleme kann man am einfachsten dadurch lösen, dass man sich mittels Pings im Netzwerkdiagramm "durchhandelt" und Hop für Hop schaut wie weit man kommt, und warum man an einer gewissen Stelle aussteigt. Pings sind das Mittel der Wahl, die kann man mit einem Paketdump sofort "sehen", ohne Schmerzen und komplzierte Filtermaßnahmen.

 

[Bastler1]

Die betroffenen Fritzboxen sind als Mesh-Client im LAN und haben eine feste IP.

D.h. auch per LAN oder WLAN angebunden? Welche Firmware haben alle Boxen => alles in die Übersicht eintragen