PPPoE Passthrough

[PsychoMantis]

Leute, wie wir wissen hat AVM viele Möglichkeiten eingebaut, die man in der ar7.cfg und voip.cfg per Hand einstellen kann (was offiziell natürlich nicht geht und nicht supportet wird). Weiß jemand, ob AVM vielleicht mittlerweile auch pppoe-passtrhough wieder eingebaut hat? Also dass man das mit irgendeinem Parameter in der ar7.cfg aktivieren kann (inoffiziell natürlich).

 

[PsychoMantis]

Bin mir nicht sicher, ob die Frage was mit dem Threadtitel zu tun hat.
Ist es möglich von einem PC, der hinter der Fritzbox hängt eine PPPoE-Session aufzubauen, wenn die Fritzbox selbst hinter einem Modem hängt (DSL-Modem der Fritte deaktiviert)?

 

[RalfFriedl]

Wenn die Box als IP-Router betrieben wird, leitet sie keine PPPoE Pakete weiter, weil PPPoE nicht IP-basiert ist.

 

[scolopender]

Auch das ist PPPoE-Pass-Through. Internes oder externes Modem spielt keine Rolle. FB und externes Modem unterhalten sich per PPPoE, nicht TCP/IP oder so. Wenn die FB kein PPPoE-Pass-Through kann, geht es auch mit externem Modem nicht.

G., -#####o:

 

[rollo]

Modem und PC müssen im gleichen Netzwerkabschnitt sein, dann klappt es sofern der DSL-Anbieter das zulässt


jo

 

[scolopender]

Was verstehst Du unter "Netzwerkabschnitt"?

G., -#####o:

 

[Tippfehler]

Das DSL-Modem (LAN) müsste auch direkt am Switch angeschlossen werden.
Evtl. braucht man einen zusätzlichen Switch. Von dem geht dann ein zweites Kabel an LAN1 der Fritzbox. Damit auch die Fritzbox im Netzwerk ist, schließt man auch noch ein Kabel zwischen LAN2 (oder 3 oder 4) und dem selben Switch an.
Ob es auch ohne Switch geht, muss man mal probieren.
(LAN1 und LAN2 per Netzwerkkabel zusammen klemmen, an LAN3 das DSL-Modem und an LAN4 den Rechner.)

 

[scolopender]

Wo ist da dann "PPPoE-Pass-Through"?

G., -#####o:

 

[Tippfehler]

Das ist dann nur noch "PPPoE-Pass".

 

[PsychoMantis]

Eigentlich müsste man doch theoretisch nur irgendwo in der ar7.cfg einstellen, dass sich die vier LAN-Ports zusätzlich wie ein Switch verhalten sollen - wenn das überhaupt geht.

 

[RalfFriedl]

Natürlich kann man das einstellen, es ist sogar die Standard Einstellung der Box. Das einzige Problem ist, dass sie sich dann tatsächlich wie ein Switch verhält und eben nicht wie ein Router.

 

[ast]

PPPOE als Einwahl für einen Firmenzugang halte ich technisch für nicht relevant, da man dadurch ja alle anderen Zugangstechnologien außer DSL (Kabelinternet, UMTS) aussperrt. Und mit PPPOE Tunneln (z.B. über SSH), die man theoretisch etablieren könnte, kann man auch ohne PPPOE-PT im Router die Verbindung aufbauen.

Insgesamt sehe ich die Brisanz in dieser Diskussion nicht.

Entschuldigung, dass ich einen so alten Thread wieder auftaue, aber hier passt es.

Zuallererst: Es gibt sehr handfeste Gründe reine (V)DSL Modems zu verwenden:
Ich habe einen VDSL Anschluss mit fester/statischer IP Nummer. Diese IP Nummer muss ich auf meinem Server terminieren, da ich ein komplettes /24 per IPsec darüberroute. Mein Firewall Rechner hat keine Default Route ins Netz meines Providers, nur eine Hostroute zum Provider Gateway für meinem BGP4 Router beim RZ Hoster und ist daher netzwerktechnisch erstmal von außen "tot".

Trotzdem laufen darauf aber Netzwerkdienste, die die eine IP Nummer, die ich von meinem Provider habe, nach außen verwenden und die dementsprechend eine default Route ins Netz des Providers brauchen. Zuvor jemand fragt: Das eingesetzte Betriebsystem ist FreeBSD, welches prozessabhängige Routing-Tabellen kennt.
Dazu kommt noch die im System verbaute "Virtualisierungsplattform" (sehr unrein gesprochen), die es erlaubt, virtualisierte Instanzen mit beliebigen Routingtabellen zu betreiben. Sehr lecker und mit Linux so nicht zu machen.

Daher ist das keinesfalls auch nur annähernd durch Bordmittel einer Fritzbox abbildbar. Wenn ich es versuchen würde, bräuchte ich 2 VDSL Leitungen, eine für den IPsec Tunnel, einen für alle Dienste die unabhängig vom Tunnel sein sollen oder einen erheblich teureren Tarif in dem mir mein Provider ein Transfer Netz zur Verfügung stellen müsste.

Derzeit realisiere ich das mit einem altem Speedport 300HS Modem, dass allerdings in die Jahre kommt, daher suche ich nach Alternativen.

Das AVM die Option offiziell abgeschaltet hat um den "ich log mich zweimal ein, boaah"-Kindergarten, den man auch hier im Thread sieht, zu beenden, kann ich nachvollziehen.

Leider gibt es wie beschrieben auch handfeste technische Gründe, warum man eben kein NAT verwenden will/darf/kann und man die IP Nummer aus dem Netz des Providers nicht in der Fritzbox sondern auf einem richtigen Rechner haben will.

Nun bin ich auf den Weg aufmerksam geworden, in einer gespeicherten Config im Header

NoChecks=yes

und im ar7cfg

vdsl_resalearch = yes;

zu setzen, um PPPoe-Passthrough auch in aktuellen Firmware Releases wieder zu aktivieren.

Hat das jemand bereits ausprobiert? Lohnt es sich, hier weiterzuforschen? Und vor allem, kann man die Fritzbox daran hindern, selber einen PPP Link aufbauen zu wollen? Das Eingeben von falschen Zugangsdaten, dass die Fritzbox es nicht erfolgreich schafft, wäre keine Lösung, da sie es dann ja ständig versuchen würde. Konnte man das mit den alten Firmwares, die PPPoe-Passthrough noch offiziell anboten, verhindern? Laut den alten Beschreibungen dazu, war das von AVM nur gedacht, um zusätzliche PPP Sessions auf dem selben Link zu machen, was ich ja genau nicht will.

Gruß
.//. Arne

 

[frank_m24]

Erst mal muss man festhalten, dass VDSL überhaupt kein PPPOE mehr einsetzt, sondern direkt IP über VLANs verschickt. PPPOE Passthrough an einem VDSL Anschluss verbietet sich also von vornherein. Du suchst aber offensichtlich die Möglichkeit, eine Fritzbox als reines VDSL Modem einzusetzen, also sprich: Eine der VLAN IDs zum Rechner durchzubringen. Ich kenne keinen Weg, das zu realisieren, aber mangels VDSL hab ich mich auch nie damit auseinandergesetzt.

Von außen ist es natürlich schwer, Empfehlungen zu geben, aber ich würde einen IP Tunnel vom BGP Router zur Firewall in Betracht ziehen. Mit einem /24 Subnetz sollten sich ja genug öffentliche Adressen für die Endpunkte finden, damit du keine RIPE und IANA Vorgaben verletzt.

 

[ast]

Erst mal muss man festhalten, dass VDSL überhaupt kein PPPOE mehr einsetzt, sondern direkt IP über VLANs verschickt. PPPOE Passthrough an einem VDSL Anschluss verbietet sich also von vornherein. Du suchst aber offensichtlich die Möglichkeit, eine Fritzbox als reines VDSL Modem einzusetzen, also sprich: Eine der VLAN IDs zum Rechner durchzubringen. Ich kenne keinen Weg, das zu realisieren, aber mangels VDSL hab ich mich auch nie damit auseinandergesetzt.

Das ist leider nicht richtig oder zumindest Provider abhängig.
Schau Dir einen Entertain Anschluss der Telekom an, der wohl am geläufigsten sein dürfte.
Der IPTV Traffic geht wirklich direkt über die Leitung. Aber für die Datenverbindung wird auf Layer 2 ein PPP Handshake eingesetzt --- alleine schon weil die Telekom anders nicht authentifizieren kann.
Direkt IP verschicken geht nicht, da IP medienunabhängig ist und zwingend auf einen Physical Layer bzw. Data Link Layer aufsetzen muss.
Und genau dieser Data Link Layer von VDSL ist Ethernet nachgebildet und stellt VLANs in gewohnter Manier zur Verfügung.

Auf dem VLAN 8 wird nicht authentifiziert. Man holt sich per DHCP eine IP Nummer und los gehts. Hier wird nach Anschluss-ID die Services zugeordnet und dann kommst Du in die IGMP Hölle.
Auf VLAN7 wird mittels PPPoE Handshake Deine Benutzerkennung übertragen und Daten mittels PPP ausgetauscht.

Ich hänge zwar an einem Telekom Business VDSL Anschluss aber ich kann Dir gerne mal einen Wireshark Trace zeigen aus dem Du siehst, dass man an einem Telekom VDSL Anschluss zwingend einen PPP Handshake fahren musst. Bitte vergiss nicht, dass ich genau dies seit Jahren wie beschrieben praktiziere.
Ich will nur die wirklich alten Speedport 300HS Modems durch frischere Hardware austauschen.

Das mit den VLANs scheinst Du nicht ganz verstanden zu haben. Auf dem Medien-Segment von Outdoor DSLAM zum Modem hast auf Layer 2 VLANs um z.B. den Entertain Datenstream vom Datendienst zu trennen. Der Weg vom DSLAM in den Telekom Backbone ist für uns nicht relevant.

Auf der Strecke vom Modem zum Rechner gibt es keinen Grund mehr mit VLANs zu arbeiten, wenn Du nur einen logischen Link übertragen willst --- sprich wenn Dein Provider in Deinem Tarif kein IPTV nach Telekom Mundart anbietet.

Ich werde am Wochenende mal versuchen, ob man eine 7390 entsprechend modifizieren kann. Laut anderen Berichten im Netz geht das.

Von außen ist es natürlich schwer, Empfehlungen zu geben, aber ich würde einen IP Tunnel vom BGP Router zur Firewall in Betracht ziehen. Mit einem /24 Subnetz sollten sich ja genug öffentliche Adressen für die Endpunkte finden, damit du keine RIPE und IANA Vorgaben verletzt.

Das ist genau der Punkt. Ich verheize keine Teile meines /24 als Transfernetz und lokalisiere sie damit geographisch sondern ich delokalisiere mein gesamtes Netz verschlüsselt.

 

[PsychoMantis]

Ich habe genau die zwei oben genannten Punkte in meiner 7390er modifiziert. Dann von einem Windows-Rechner versucht eine PPPoE-Sessin aufzubauen. Erfolglos.

 

[RalfFriedl]

Erst mal muss man festhalten, dass VDSL überhaupt kein PPPOE mehr einsetzt, sondern direkt IP über VLANs verschickt.

Auch DSL läuft nicht zwangsweise über PPPoE, das ist in Deutschland zwar gängig, aber nicht unbedingt anderswo. In Österreich kenne ich Anschlüsse, die über PPTP laufen, und in Polen gibt es Anschlüsse, auf denen direkt IP-Pakete gesendet werden können. (Ich weiß nicht, inwieweit das repräsentativ für diese Länder ist.)
Letztlich sendet ein Modem Ethernet Frames zur Gegenstelle, und welche Bedeutung diese haben, wir auf einer höheren Ebene festgelegt.

 

[frank_m24]

Aber für die Datenverbindung wird auf Layer 2 ein PPP Handshake eingesetzt --- alleine schon weil die Telekom anders nicht authentifizieren kann.

Die Authentifizierung erfolgt über herkömmliches PAP/CHAP. Das ist richtig, aber erst mal unabhängig von PPP. Nach meinem Kenntnisstand kommt im VDSL Netz kein PPP mehr zum Einsatz, aber seis drum. Das hat auf dein Einsatzszenario so gut wie fast keinen Einfluss. Was du über die VLAN ID überträgst, ist erst mal egal.

Das mit den VLANs scheinst Du nicht ganz verstanden zu haben. Auf dem Medien-Segment von Outdoor DSLAM zum Modem hast auf Layer 2 VLANs um z.B. den Entertain Datenstream vom Datendienst zu trennen.

Genau. Und die eine, die den Datendienst überträgt, willst du zum PC bekommen, und zwar möglichst direkt transparent auf Schicht 2. Die andere kann im Modem terminieren, sofern vorhanden. Ich denke, ich habe schon verstanden, was du willst.

Das ist genau der Punkt. Ich verheize keine Teile meines /24 als Transfernetz und lokalisiere sie damit geographisch sondern ich delokalisiere mein gesamtes Netz verschlüsselt.

Ich vermute, daran wird über kurz oder lang kein Weg vorbeiführen. Und auch das Transfernetz kann verschlüsselt arbeiten. IPv6 wäre dafür ebenfalls eine Alternative, wenn du nicht an dein /24 Netz willst.