[Gelöst] LAN mit Subnetzen in der be.ip plus konfigurieren

[bubblegun]

Entweder bin ich schon zu alt um richtig lesen zu können, oder mir fehlt sonstwas. Jedenfalls hab ich das Gerät jetzt als ganz normalen Router/Telefonanlage eingestellt. Inzwischen funktioniert es auch schon teilweise. Mit der SIF komme ich noch nicht ganz klar. Meine Telefonanlage kann ich von außen erreichen, passt. Für meine IP-Cams habe ich eine Gruppe eingerichtet, und da hab ich wohl irgendwas vergessen, denn da komm ich auf keine einzige Kamera.
Mein Fehler vorher war, dass ich den Haken bei "Immer verbunden" irgendwie übersehen hab, da ging er nach einer Zeit natürlich offline. Das war aber nicht alles, auch die kurzen Flachbandkabel im Netzwerkschrank hatten teilweise Verbindungsprobleme, weshalb ich nicht mehr auf das zweite Subnetz kam. Die hatt ich deswegen genommen, weil die üblichen kurzen Patchkabel im Netzwerkschrank von der Fronttüre halt doch ganz schön eingeklemmt werden.
Was jetzt noch zu tun ist:

• Die SIF für meine Netzwerkkameras muss ich noch richtig konfigurieren, die Zusammenfassung zu einer GRuppe hat mir da was verbogen, weil die Telefonanlage (außerhalb der Gruppe) ja erreichbar ist.
• Mein SIP-Konto läuft auch nicht mehr, jedenfalls schlägt (nach einer ersten Anmeldung) jetzt die Verbindung fehl
• Mit WLAN hab ich mich noch nicht ausgiebig befasst. Die Anmeldung über den Radius-Server klappte gar nicht, aber auch ein neues WLAN mit WPA2 ist zwar sichtbar, scheitert aber bei der Anmeldung des Clienten.

Vielleicht kann mir ja einer Tipps geben, wo ich dran drehen soll, oder was ich Euch konkret berichten soll, damit mir einer helfen kann.

 

[bubblegun]

Mutig wie ich bin, hab ich die ganzen Wandwarzen mit den alten Geräten schon mal abgebaut, mein Büro wirkt viel lichter
Leider bin ich noch nicht ganz durch mit meiner Konfiguration. Damit ich in aller Kürze nachfrage, wie mir gehlfen werden kann, eins nach dem anderen:

• Die ganze Angelegenheit mit NAT und SIF ist mir noch nicht ganz eingängig. Merkwürdiger Weise komm ich über das WAN auf meine Telefonanlage (im gleichen Subnetz wie die Kameras) aber eben nicht auf die Kameras. Gestern Nacht noch einmal alles überprüft, gleiche Einstellungen, unterschiedliche Quellports, TCP 80 als Zielport, trotzdem geht nix
  Bei meiner Synology komm ich mit Portweiterleitung auf die Photostation, aber trotz Portfreigabe komm ich nicht auf die Diskstation, die wär eigentlich wichtiger.
  
• WLAN hab ich eingerichtet, es funktioniert auch die Nachtschaltung. Allerdings nur als WPA2-PSK, die Einrichtung mit dem Radiusserver klappt leider noch nicht.
  
• Die Funktion WLAN-Controller hatte ich irgendwie überhaupt nicht überrissen, war ich zu dumm das zu verstehen. Kann ich da auch meine abgesetzten AP's in Garage und Hinterhof steuern?
  Frage ich vorab mal, bevor ich da jetzt wieder etwas verbiege.

 

[bubblegun]

Eigentlich wollt ich mich nicht alleine in meiner Autistengruppe unterhalten, sondern möglicherweise um etwas Hilfe bitten. Die Beiträge zu Portweiterleitung, NAT und Firewall sind etwas dürftig (beantwortet), die Anleitungen von bintec dazu auch sehr dürftig oder unverständlich. Wenn ich nach so einer Anleitung Brot backen wollte, würd ich vermutlich einen Stein produzieren. Aber das was dazu von den "Spezialisten" bei Youtube produziert wird ist so grottenschlecht, dass man mit der Betrachtung von dem Quatsch nur sinnlos Zeit vergeudet.
Also mir ist es gelungen (warum kann ich eben nicht nachvollziehen) eine Portweiterleitung zu meiner Synology Fotostation und zu meiner Telefonanlage zu erstellen. Mit einer Portfreigabe zu meiner Synology Diskstation kann ich auch da vom WAN aus zugreifen. Nur auf meine IP-Cams komme ich nicht. Wenn ich über den Assistenten eine Portfreigabe auf eine Kamera mache, löscht mir der Assi dann wieder die vorherige Weiterleitung. Hat da noch einer Idee, oder kann ich hier nur autistisch meine eigenen Erfahrungen mit NAT und SIF schildern, damit die anderen nicht so alleine sind?

 

[stoney]

Eigentlich wollt ich mich nicht alleine in meiner Autistengruppe unterhalten, sondern möglicherweise um etwas Hilfe bitten

es scheint, als hätte nicht mal @Kalle2006 (als Bintec be.ip Koryphäe) Tipps für Dich parat, da heißt es leider 'abwarten und Tee trinken' oder selbst noch weitere Anstrengungen auf sich nehmen.

 

[_tms]

Ich denke schon, dass Kalle und auch andere durchaus noch Tips haben / hätten.

Ich persönlich hab' mich zurückgehalten, weil ich schlichtweg nicht mehr durchblicke, was du so alles machst.
Du hast bis heute deine Konfig nicht konkret beschrieben oder auch gepostet.
Wir haben alle keine Glaskugel und können nicht wissen, was sich zwischen deinen Beiträgen wieder alles an der Konfig ändert.
Du wolltest irgendwann mal zwei Netze haben. Ist das noch aktuell?
Funktioniert diese Konfig?
Welche Geräte hängen an welchen Netz?
Gibt es FW-Regeln für die Kommunikation?
Wie sieht überhaupt das Zielbild, das du umsetzen möchtest?
Fragen über Fragen...

Mal doch mal ein Bild, wie die Zielkonfiguration aussehen soll und gib' konkrete Infos zur bereits umgesetzten Konfig (inkl. etwaiger FW-Regeln).

Btw, haben deine IP-Cameras einen GW eingetragen? Und wenn ja, welchen?

 

[bubblegun]

O.K. Das mit den beiden Subnetzen hat ganz einwandfrei geklappt, hatte ich Dir auch auch schon dafür gedankt. Die beiden Subnetze können auch noch ungehindert miteinander kommunizieren, was ich später vom .37er Netz dann mit der SIF unterbinden möchte, so wie von Dir vorgeschlagen. Aber wie gesagt, eins nach dem anderen. LAN funktioniert einwandfrei, Haken dran. WLAN funktioniert auch, WLAN-Controller später, wenn ich damit meine abgesetzten AP's eventuell steuern kann, später. Rufe über SIP kommen rein, gehen auch auf die analoge Schnittstelle. Leider ist die Weiterleitung über den internen ISDN-Anschluss auf die Telefonanlage noch nicht o.k. und auch das IP-Telefon (im .37er Subnetz) findet den Server nicht, aber das kommt später, lass ma mal erst wech.
In diesem ersten .37er Subnetz sind all die Devices, die ich von außen erreichen muss, wie IP-Cameras, Synology-Nas, Telefonanlage. Auf das zweite Subnetz soll auch vom .37er Netz kein Zugriff möglich sein, das wollte ich später mit der SIF regeln, und nicht grundsätzlich das Subnetz als unsicher einstufen, weil ich von dem Netz aus arbeite und auf das .37er Netz Zugriff haben will.
Nun hatte ich -wie oben geschildert- die Portweiterleitungen eingerichtet, und auch nach Anleitung die SIF eingerichtet. Während ich auf die Telefonanlage und die Photostation Zugriff vom WAN aus hatte, konnte ich zu den Kameras keine Verbindung aufbauen. Alles überprüft, keine abweichende Konfig, und trotzdem klappte kein Zugriff. Und das sind die Dinge die mich so aus der Fassung bringen. Wenn ich einen Golfball ins Rough schlage, dann find ich ihn nicht, o.k. Aber wenn ich den Ball auf dem Fairway aufkommen sehe, und er ist wech, bekomm ich die Krise!
Ich hab eine weitere Anleitung für die Anlage jetzt gerade im Netz gefunden, und werde noch einmal NAT und Firewall konfigurieren, mir dabei Zeit lassen, damit das vielleicht doch die Fehler behebt und eine Lösung bringt. Aber die ganzen Anleitungen bei Youtube sind ja die reinste Katastrophe, und die Workshops halten sich zu dem Thema auch recht bedeckt.

### Zusammenführung Doppelpost by stoney ###

Btw, haben deine IP-Cameras einen GW eingetragen? Und wenn ja, welchen?

Mit der Frage kann ich jetzt nichts anfangen, was ist ein GW? Es handelt sich um Mobotix-Kameras, 3x D12, einmal M12 und einmal D22. Die liefern ihre Streams per NFS bei der Synology Disk-Station ab

 

[stoney]

Mit GW ist sicherlich das 'Gateway' gemeint, also die IP-Adresse welche für sämtliche "Anfragen" herhalten muss.

 

[bubblegun]

@ Stoney: Ja auf den Kameras läuft ein Webserver, die Geräte haben eine feste IP zugewiesen bekommen. Ich speichere das alles als JPG-Stream, weil ich mit AktiveX nix am Hut hab.
@ all: Ich habe mich bemüht, dazu jetzt ein Schema zu erstellen. Das ganze .37.0 Subnetz beinhaltet alle Geräte, die ich von außen erreichen will und muss, außer WLAN-Geräte. Das Subnetz .10 muss Verbindung zum WAN und zum .37er Subnetz haben (für Konfigurationen) soll aber vom .37er Subnetz nicht erreichbar sein. Das ist eine Sache der Firewall-Einstellungen, sollte ich begreifen und bewerkstelligen, wenn ich wieder mehr Zeit hab. Da die Anrufe über den SIP-Anbieter hier auflaufen, hab ich erst mal ein analoges Phone drangehängt, Unifi IP-Phone wird später begradigt. Mir ist vor allem nicht verständlich, warum ich über WAN auf meine Telefonanlage und die Photostation zugreifen kann, aber die Kameras nicht erreiche. Es war eine identische Konfiguration, inzwischen hab ich das alles gelöscht, und werde heute Nacht wieder von vorne anfangen.
Einziger Unterschied seh ich gerade, die Kameras hängen an einem konfigurierbaren POE-Switch?

 

[_tms]

Die Frage nach dem GW auf den IP-Kameras hast du aber leider weiterhin nicht beantwortet.
Die GW Einstellung ist zwingend notwendig und die Frage danach wichtig, weil du feste IPs vergeben hast. Bei DHCP hätten die Kameras ihr Gateway automatisch bekommen.

Also nochmal:
Die Geräte, die trotz Port-WL nicht erreichbar sind: Welchen GW haben sie?

 

[bubblegun]

Sorry, bin etwas unkonzentriert: Gatewayadresse der Kameras ist die Adresse der be.ip plus, so wie für das NAS, die Telefonanlage und alle anderen Geräte die ins Netz wollen auch.
Inzwischen muss ich mich korrigieren, zwei Kameras hängen nicht an dem eingezeichneten POE-Switch, sondern an einem weiteren POE-Switch in der Garage, sind aber alle von außen nicht erreichbar, im Lan schon.

 

[bubblegun]

Ich wusste jetzt auch nicht, ob ich ganz einfach unkonzentriert war, aber inzwischen klappt das mit den Portweiterleitungen und Freigaben in vielen Fällen! Das kann aber nicht grundsätzlich befriedigen.
Von Beginn an klappte der Zugriff auf die ISDN-Telefonanlage und die Photostation.
Nach direkter Portfreigabe klappte auch der Zugriff auf die Diskstation (jeweils auf dem Synology-NAS)
Jetzt hatte ich alle Portweiterleitungen und Firewallfreigaben zu den Kameras -auf die kein Zugriff (immer über WAN) möglich war- gelöscht.
Nachdem ich das neu eingerichtet hatte, klappte das bei den ersten drei Kameras, danach war wieder Schluss. Es war auch nicht so, dass das alles rund lief, aber da können einem auch Fehler unterlaufen. jedenfalls musste ich einmal eine Freigabe löschen und neu konfigurieren, obwohl ich keinen Fehler entdecken konnte. Also von den geplanten neun +2 (für VOIP) Freigaben sind nur 7 wirklich erreichbar. Für heute mach ich Schluss, vielleicht geht morgen etwas weiter.
Ach nein, nach einem Neustart laufen jetzt alle Portfreigaben und Weiterleitungen, Gute Nacht!
Noch eine Frage, bevor ich mich in das Unternehmen stürze: Ist es möglich, die bereits angesprochenen AP's in der Garage und Hinterhof über den WLAN-Controller zu steuern, z.B. auch Nachtschaltung?

 

[bubblegun]

Nachdem die eigentliche Frage von _tms gelöst wurde, so unglaublich einfach zu lösen war, kann man den Thread hier dicht machen. Zusammenfassung der Lösung der ursprünglichen Frage:

• Man legt für en1-0 (br0) einen Netzwerkbereich fest und definiert das Gateway
• dann legt man für en1-4 einen weiteren Netzwerkbereich fest und definiert dafür das Gateway

Sicherlich wird es möglich sein br0 aufzutrennen und weitere Netwerkbereiche festzulegen, wenn es denn nötig sein sollte.
Die Problematik mit der Portweiterleitung ist mir noch nicht so ganz eingängig, warum es geht oder auch nicht geht, obwohl ich keinen Fehler in der Konfiguration finden konnte. Will aber nicht ausschließen, dass da Fehler von mir gemacht wurden. Im ersten Durchgang wollt ich das recht zügig durcharbeiten, eine Weiterleitung eingerichtet und funktionierte. Dann bei den anderen Weiterleitungen erst für alle NAT konfiguriert, dann in der Firewall alle Adressen eingetragen und zuletzt alle Filterregeln, was aber nicht funktionierte. Alles wieder gelöscht und einzeln alle Schritte nacheinander führte (fast) zum Erfolg. Die letzten beiden Freigaben liefen wieder nicht. Nach der Überprüfung und Feststellung der Fehlerlosigkeit, Gerät neu gestartet, und es ging. Dabei geholfen hat mir letztendlich auch diese Anleitung, die ich vorher nicht gefunden hatte.
Für die Konfiguration des WLAN-Kontrollers und meines Unifi-IP-Telefons mach ich einen neuen Faden auf, das ist erst mal zweitrangig.