ASUS RT-AC68 Router Firewall Fehlfunktion?
Hallo zusammen,
bin langsam am zweifeln über .....
Also:
Habe einen KD Internetanschluss mit Fritzbox (FB) und einigen Clients. Funktioniert gut.
Einer der Clients ist aber ein ASUS TR-AC68U Router (AS). Dieser hängt mit seinem WAN Anschluss mit Fritzbox Netz und mit seinem LAN Anschluss an meinem "inneren"+"sicheren" Switch.
Gewünscht wäre FB Netz für halb öffentliche Geräte, z.B. Webcams, die ich mit anderen teile, Musik, usw. dieses Netz ist aus dem Internet via MyFritz und div. Tunnels erreichbar. Funktioniert alles.
Nun möchte ich aber ein komplett privates Netz für mich, also hinter dem AS.
Habe nun festgestellt, dass ich aus dem AS Netz die Geräte im FB Netz erreiche, was auch gewollt war.
ABER: Aus irgend einem Grund erreichen die FB Geräte die AS Plattenstabel ebenfalls!!!
Firewall auf AS ist angeschaltet. KEINE Portauslösung, KEINE Port Forwarding, KEINE DMZ, lediglich NAT Passthrough für IPSec
IPv6 ist als Verbindungstyp deaktiviert.
Was ist da los???
Viele Grüße
bin langsam am zweifeln über .....
Also:
Habe einen KD Internetanschluss mit Fritzbox (FB) und einigen Clients. Funktioniert gut.
Einer der Clients ist aber ein ASUS TR-AC68U Router (AS). Dieser hängt mit seinem WAN Anschluss mit Fritzbox Netz und mit seinem LAN Anschluss an meinem "inneren"+"sicheren" Switch.
Gewünscht wäre FB Netz für halb öffentliche Geräte, z.B. Webcams, die ich mit anderen teile, Musik, usw. dieses Netz ist aus dem Internet via MyFritz und div. Tunnels erreichbar. Funktioniert alles.
Nun möchte ich aber ein komplett privates Netz für mich, also hinter dem AS.
Habe nun festgestellt, dass ich aus dem AS Netz die Geräte im FB Netz erreiche, was auch gewollt war.
ABER: Aus irgend einem Grund erreichen die FB Geräte die AS Plattenstabel ebenfalls!!!
Firewall auf AS ist angeschaltet. KEINE Portauslösung, KEINE Port Forwarding, KEINE DMZ, lediglich NAT Passthrough für IPSec
IPv6 ist als Verbindungstyp deaktiviert.
Was ist da los???
Viele Grüße
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 316445
Url: https://administrator.de/forum/asus-rt-ac68-router-firewall-fehlfunktion-316445.html
Ausgedruckt am: 11.04.2025 um 13:04 Uhr
43 Kommentare
Neuester Kommentar
Dieser hängt mit seinem WAN Anschluss mit Fritzbox Netz und mit seinem LAN Anschluss an meinem "inneren"+"sicheren" Switch.
Also eine simple Router Kaskade mit doppeltem NAT wie sie hier beschrieben ist, richtig ?Kopplung von 2 Routern am DSL Port
ABER: Aus irgend einem Grund erreichen die FB Geräte die AS Plattenstabel ebenfalls!!!
Das kann nur sein wenn auf der Asus Kiste das NAT (Adress Translation) ausgeschaltet ist im Setup. Anders ist es technishc unmöglich, denn Geräte aus dem FritzBox LAN könnten so niemals die NAT Firewall des ASUS Routers überwinden.Ausnahme natürlich du hast Mist gebaut bei der Konfiguration oder der Verkabelung !
Das o.a. Tutorial erklärt dir ja genau was zu machen ist damit es richtig funktioniert.
Ganz ausschliessen kann man die Asus Router selber als Ursache aber nicht. Deren Firmware oist löchrig wie Schweizer Käse. Die sind ja berühmt berüchtigt für ihr mehr als gruselige bis keine Sicherheit
http://www.heise.de/newsticker/meldung/Asus-muss-20-Jahre-lang-seine-Ro ...
http://www.heise.de/security/meldung/Asus-Router-schutzlos-bei-Angriffe ...
http://www.heise.de/security/meldung/Kritische-Schwachstellen-in-zahlre ...
Die Liste zu den Schwachstellen bei ASUS ist ellenlang. Schlimm auch deren Policy das zu (nicht) fixen ode rnur langsam bis gar nicht. Ein Grund von solchen Teilen die Finger zu lassen.
Mit einem kleinen Mikrotik wärst du zum halben Preis besser bedient gewesen...und bedeutend sicherer.
Hallo,
das kann ja nicht sein, also schauen wir mal.
Die IPs sind geraten. Bitte transformieren.
Netz FB LAN z.B. 192.168.178.0/24
Netz Asus LAN z.B. 192.168.0.0/24
Netz Asus WAN z.B. 192.168.178.250
PC an FB 192.168.178.10
NAS an AS 192.168.0.10
Ich kannst also von dem PC mit der 192.168.178.10 das NAS per Ping/Browser/SMB unter 192.168.0.10 erreichen?
Das kann gar nicht sein, denn dein PC weiß, dass das Netzwerk 192.168.0.0/24 nicht sein Netzwerk ist. Also schickt er diese Datenpakete an sein Gateway. Das ist die FB unter 192.168.178.1.
Warum sollte die FB diese Daten an den AS schicken?
Und warum/wie sollte die FB die Daten sogar durch das NAT an das NAS senden?
Vieleicht PnP? Portweiterleitung?
Stefan
das kann ja nicht sein, also schauen wir mal.
Die IPs sind geraten. Bitte transformieren.
Netz FB LAN z.B. 192.168.178.0/24
Netz Asus LAN z.B. 192.168.0.0/24
Netz Asus WAN z.B. 192.168.178.250
PC an FB 192.168.178.10
NAS an AS 192.168.0.10
Ich kannst also von dem PC mit der 192.168.178.10 das NAS per Ping/Browser/SMB unter 192.168.0.10 erreichen?
Das kann gar nicht sein, denn dein PC weiß, dass das Netzwerk 192.168.0.0/24 nicht sein Netzwerk ist. Also schickt er diese Datenpakete an sein Gateway. Das ist die FB unter 192.168.178.1.
Warum sollte die FB diese Daten an den AS schicken?
Und warum/wie sollte die FB die Daten sogar durch das NAT an das NAS senden?
Vieleicht PnP? Portweiterleitung?
Stefan
Statische Router in der fritzbox oder ein Tunnel hinter den Asus?
lks
Dann ist irgendetwas an dem Router falsch konfiguriert, daß das Ding Pakete hinter seiner NAT-Firewall durchläßt oder Du hast gar kein NAT auf dem Asus aktiv.
lks
Auch in die richtige Richtung?
Häng mal eine sniffer dran und schau, wie die pakete aussehen. ob die Adressen korrekt übersetzt werden und welche MAC-Adressen drinstehen.
lks
Moin,
das ist schon klar, aber dann sollte doch am WAN Interface des ASUS auch die IP 192.168.178.10 sein und nicht die intere IP des ASUS Netzes. Die wird doch nur im LAN festgelegt.
aktuell (lt. den screens) hast du am WAN Interface die IP 192.168.100.10 und die ist m.E. falsch dort ist ja die FritzBox dran also 178.10
VG Daniel
das ist schon klar, aber dann sollte doch am WAN Interface des ASUS auch die IP 192.168.178.10 sein und nicht die intere IP des ASUS Netzes. Die wird doch nur im LAN festgelegt.
aktuell (lt. den screens) hast du am WAN Interface die IP 192.168.100.10 und die ist m.E. falsch dort ist ja die FritzBox dran also 178.10
VG Daniel
meine Kristallkugel hat sich gemeldet:
Du hast das so konfiguriert, daß Dein Asus-Router "verkehrt herum" angeschlosen ist. Du hast LAN udn WAN vertauscht und da wundert es mich nicht, daß Du auf Dein NAS komst. Denn das NAT geht in die andere richtung. Das ist kein Bug, sondern "works" as designed! Wenn du in den Clients im 192.168.178-er Netz eine lokale statische Router anlegst, dürftest Du ohne weiteres auf die Kisten ins 192.168.100-0-er Netz kommen.
Wie immer wäre es einfacher gewesen Dir den fehler in Deinem netzwerkdesign aufzuzeigen, wenn Du ein ordentliches Schaubild gemalt hättest und uns alle Informationen lieferst. So ist das nur lustiges herumraten, was der Fragesteller wieder verkehrt gemacht hat.
Das globale Gate der FB ist .178.1 aber der Zugang ins AS Netz geht über das WAN Interface des AS mit 178.10 und von dort ins lokale 100.0
Mal mal ein Bild mit den Routern, den verbindungn und den IP-Adressen an dern Interfaces. Es reicht auch eine Bleistiftzeichnung, die man mit der Mobiltelefonkamera abfotografiert.
lks
Zitat von @pk-911:
Also wenn die Clients wissen was sich hinter der AS Firewall befindet werden sie durchgeschickt!
Also wenn die Clients wissen was sich hinter der AS Firewall befindet werden sie durchgeschickt!
Wie ich vermutete: der asus hängt verkehrt hrum im netz, wenn er den zugriff von links nach rechts verbieten soll.
Da wäre es sinnvoller stattdessen eine pfsense oder einen mikrotik hinzustellen und auf dem acls zu definieren.
lks
Zitat von @pk-911:
ja ich denke ein microtik wäre besser gewesen.
Aber der AS hängt nicht verkehrt rum! das 192.168.178.0 könnte doch (abgesehen von der priv. IP) Internet sein. Viele AS hängen dann genauso hinter dem DSL Modem. Nochmal: 192.168.178.10 ist der WLAN Anschluss des AS. Von dort sollten gar keine Pakete ins 192.168.100.0 gehen.
ja ich denke ein microtik wäre besser gewesen.
Aber der AS hängt nicht verkehrt rum! das 192.168.178.0 könnte doch (abgesehen von der priv. IP) Internet sein. Viele AS hängen dann genauso hinter dem DSL Modem. Nochmal: 192.168.178.10 ist der WLAN Anschluss des AS. Von dort sollten gar keine Pakete ins 192.168.100.0 gehen.
Gehen sie aber, wie Du gemerkt hast. Du mußt einen Router nehmen, der "WAN" über WLAN kann. Due hast eindeutig den falschen Router für diese Aufgabe. oder den ganz falsch konfiguriert. Selbst popelige Fritzboxen können das.
lks
Zitat von @pk-911:
Ja popelige FritzBoxen machen das genau so, das hab ich schon getestet.
Was meinst Du mit WLAN? VLAN vielleicht?
Ja popelige FritzBoxen machen das genau so, das hab ich schon getestet.
Was meinst Du mit WLAN? VLAN vielleicht?
Nein, ich meine das WLAN Interface Das muß als "WAN" konfiguriert werden.
Wie ist denn die Firewall-Konfiguration auf dem Asus?
lks
Zitat von @pk-911:
WLAN Interface ist abgeschaltet und spielt dort gar keine Rolle. In keinem Fall möchte ich es als WAN Interface sehen.
WLAN Interface ist abgeschaltet und spielt dort gar keine Rolle. In keinem Fall möchte ich es als WAN Interface sehen.
Wieso hast Du oben dann geschrieben, daß 192.168.178.10 per Wlan angebunden ist?
Nochmal: 192.168.178.10 ist der WLAN Anschluss des AS. Von dort sollten gar keine Pakete ins 192.168.100.0 gehen.
Nochmal: Wenn das alles per Kabel ist, muß 192.168.168.010 als WAN Interface definiert werden, NAT eingeschaltet und die Firewall passend konfiguriert werden.
NAT alleine nutzt nichts, weil das nur die ausgegehnden Pakete betrifft und nicht die eingehenden!
Man darf sich nicht davon täuschen lassen, daß die meisten Consumer-Router mit einschalten des NAT auch die "Firewall" aktivieren. NAt alleine verhindern nicht das routern der Pakete ins interne Netz!
lks
Na ja nach den Hiobsbotschaften die ASUS Router Systeme so auf sich vereinen sollte man wohl besser generell von denen die Finger lassen....
Das Feedback Verhalten vom Support spricht ja Bände...
Man muss sich nur mal vergewissern das es hier ja keinesfalls ein Banalbug ist. Eine NAT Firewall einfach so überwinden zu können ist schon mehr als fatal.
Dann auf Tauschstation zu gehen umso fataler...
Es bleibt spannend also. Mal sehen ob jemals was aus Asien zu dem Thema zurückkommt.
Das Feedback Verhalten vom Support spricht ja Bände...
Man muss sich nur mal vergewissern das es hier ja keinesfalls ein Banalbug ist. Eine NAT Firewall einfach so überwinden zu können ist schon mehr als fatal.
Dann auf Tauschstation zu gehen umso fataler...
Es bleibt spannend also. Mal sehen ob jemals was aus Asien zu dem Thema zurückkommt.