Firewall-Routing-Problem

Für mich sieht das so aus, als ob die Firewall den Verkehr nicht durchlässt. Ist SERVER1 ein Proxy? Jedenfalls interpretiere ich das so, als ob der Ping über den SERVER1 zur Firewall geht (die .254 hat), und diese lässt ihn dann nicht durch...


kingkong

wenn ich deine adresse verfolge kommt folgendes:

Routenverfolgung zu e-control.at [83.65.230.70] über maximal 30 Abschnitte:

1 9 ms 3 ms 3 ms [*hier steht mein Router*] [192.168.2.1]
2 * * * Zeitüberschreitung der Anforderung.
3 44 ms 43 ms 43 ms 217.0.69.162
4 51 ms 50 ms 56 ms vie-sb2.VIE.AT.net.DTAG.DE [62.154.14.78]
5 50 ms 50 ms 50 ms at-vie05b-ri1-pos-5-0.aorta.net [213.46.173.89]
6 51 ms 51 ms 51 ms at-vie01a-ra3-ge-5-1-0-0.aorta.net [213.46.173.201]
7 53 ms 82 ms 56 ms vie1-tg-01-001.shuttle.vien.inode.at [213.46.173.62]
8 53 ms 69 ms 72 ms vie4-po-40-000.shuttle.vien.inode.at [212.41.253.42]
9 * * * Zeitüberschreitung der Anforderung.
10 * * * Zeitüberschreitung der Anforderung.
11 *


Hast du mal versucht, den Ping länger laufen zu lassen? Du siehst ja bei mir, dass ich auch erstmal einen Timeout hatte. Vielleicht braucht deiner dann noch länger, damit der Ping weitergehen kann?!

Welche Seiten gehen denn außerdem nicht?

Und zu guter Letzt: Macht die Zywall das überhaupt, dass die Rechner ins Internet gelassen werden ohne den Firewall-Schutz? Es soll ja auch Geräte geben, in denen man das erst explizit zulassen muss (ich muss selbst gestehen, dass ich keine ZyXEL - Geräte mein Eigen nennen kann).

Dur wirfst hier aber ziemlich wild Begriffe durcheinenader die nicht gerade helfen das Problem zu lösen. Was hast du denn nun ein doofes passives Modem oder einen Router ??
Ein Modem was ..nur durchroutet gibt es nicht ! Das kann dann nur ein Router mit integriertem DSL Modem sein...

Auf traceroute darfst du dich nicht verlassen, denn viele Provider filtern diese Packete. Traceroute ist ICMP Typ 30 wie du hier selber nachlesen kannst:
http://de.wikipedia.org/wiki/Internet_Control_Message_Protocol

Besser ist du pingst mal einen Host im Internet an der sich sicher pingen lässt wie z.B. der Heise Server unter der 193.99.144.85.
Das sollte in jedem Falle durchgehen, sonst hats du generell ein Problem mit der Konfig der Firewall was das ICMP Protokoll anbetrifft !

Servus aqui, auch mal wieder da :D

Die Aussage mit dem Modem verstehe ich auch nicht ganz. Was meinst du damit? Ein Modem, das im Netz des Providers hängen soll? Habt ihr vielleicht einen direkten Ethernetanschluss, den der Provider ans Haus liefert, und über den ihr dann eure Firewall und den ganzen Rest anschließt? Dementsprechend hinge der "Hauptrouter" dann im Providernetz, aber die ZyWall ist "euer" Router (der dann eben eure Clients zu diesem Hauptrouter routet). Oder hängt vor der ZyWall noch ein Modem?
(@aqui: die ZyWall hat ja kein eingebautes Modem, wie es bei den normalen Consumerroutern der Fall ist, oder?)

Dann hat dir der Kollege meiner Meinung nach was falsches erzählt. Ein Modem kann nicht routen, sondern moduliert nur Signale ( http://de.wikipedia.org/wiki/Modem ).

Vielleicht habt ihr eine Standleitung, und da das Modem sich dort nicht wie bei einer dynamischen Verbindung jedesmal anmelden muss, um IP,etc. zu bekommen, sagt der Kollege, dass es sich nicht einwählt (ist eigentlich sowieso ein falscher Ausdruck denke ich - bei DSL hat man ja keine Wählverbindungen im herkömmlichen Sinne).

Das Modem leitet die Daten moduliert weiter (es routet aber nicht! ), und die Gegenstelle des Providers routet sie dann weiter. Insofern wäre deine Aussage plausibel, wenn ihr einen Ethernet-Anschluss hättet, aber so ist das Modem kein Teil des Provider-Netzes (auch wenn es der Provider vielleicht stellt).

Alles klar, also die übliche Konstruktion wie auch bei uns in der Arbeit.

Hast du schonmal versucht, heise.de anzupingen bzw. tracert auszuführen. Klappt das alles so wie es soll? Zum Vergleich schonmal mein tracert:


Routenverfolgung zu heise.de [193.99.144.80] über maximal 30 Abschnitte:

1 11 ms 94 ms 98 ms *meinRouter* [192.168.2.1]
2 * * * Zeitüberschreitung der Anforderung.
3 45 ms 83 ms 82 ms 217.0.69.166
4 53 ms 62 ms 113 ms 217.239.40.177
5 55 ms 89 ms 72 ms 193.159.227.118
6 54 ms 100 ms 89 ms heise2.f.de.plusline.net [213.83.46.196]
7 57 ms 74 ms 84 ms redirector.heise.de [193.99.144.80]

Ablaufverfolgung beendet.


Wenn das gehen sollte würde ich auch sagen, dass der Fehler beim Provider liegt...

Das widerspricht sich ja schon in sich. Ein Modem kann niemals routen !!!

Die Beschreibungen zum Zyxel sind mehr als spärlich und auf der Zyxel Seite selber gibt es das Produkt gar nicht...

Man kann aber sehr leicht feststellen ob es ein Router oder Modem ist: Relevant dafür ist ob auf diesem Geräte deine Provider Zugangsdaten für den PPPoE Zugang konfiguriert sind oder nicht.
Sind sie es nicht ist zu vermuten, das es wirklich nur ein Modem ist und die eigentliche Einwahl ins DSL Netz des Providers durch die Zywall 5 geschieht.

So oder so ist hier auch vermutlich der Filter. Was bringt ein Ping auf den heise Server ?

@aqui: Ich wollte sehen, ob der Server ganz normal angesprochen werden kann - siehe das Gegenteil oben. Und bei dem heise.de - Server wusste ich, dass das alles grundsätzlich geht!
Interessant auch deine Wortwahl: "... sehr leicht feststellen...ist zu vermuten..." ?!?! Egal, aber dass ein Modem nicht routet habe wir beide ja schon geschrieben, er weiß es jetzt...

madmax103, was ich nicht verstehe: Oben hast du doch geschrieben, ihr habt ein ZyXel Prestige 700 und dahinter kommt direkt die ZyWall 5, jetzt sagst du aber, ihr habt das P-793H noch zwischendrin - was stimmt denn nun? Und sofern ihr den P-793H wirklich im Einsatz habt: Wozu? Kann sein, dass ich da einfach nur auf dem Schlauch stehe, aber bei mir in der Arbeit ist es definitiv so, dass die Firewall auch routet, und direkt am SHDSL-Modem hängt.

In jedem Fall kannst du wirklich mal versuchen, testweise die Firewall dort auszuschalten...

Ok, dann ist de facto ein Router und kein Modem ! Das steht ja auch so eindeutig in der Produktbeschreibung.
Die provider Zugangsdaten werden also vermutlich hier konfiguriert ?!

Du solltest dann schrittweise vorgehen. Erstmal normal einen Laptop oder PC zum Testen direkt an den Zyxel Router anschliessen und einen Ping etc. auf dein Zielnetz ausführen.
Das muss dann sicher klappen, und damit kannst du dann den Router schonmal komplett aus der Problemkette ausschliessen.

Folglich kann es dann nur noch eine Einstellung an der Zywall 5 sein !

Gut...ich dachte schon, du meinst einen echten prestige 700 (den gibt es nämlich auch, nur ist das ein ziemlich altes Gerät). Oben hattest du das "series" nicht dabei stehen, deshalb hab ich es nicht gewusst.

Kannst du die Firewall in dem Gateway irgendwie abschalten? Oder hat da nur der Provider Zugriff?

EDIT: @aqui: Wenn er doch heise.de ohne Probleme anpingen kann? Warum glaubst du, dass es hilft, wenn er einen lokalen Rechner anpingt? Ich sehe gerade den Nutzen nicht. Vielleicht stehe ich einfach mal wieder auf dem Schlauch, und du kannst es mir erklären.

@kingkong
Nein, da hast du Recht das wäre Unsinn. Ich meinte auch das er erstmal ohne die FW mit einem einzelnen Test Rechner vor der FW "heise.de" pingen sollte um ein Router Problem sicher auszuschliessen.

Wenn das aber schon geht, dann ist es natürlich kein Router Problem sondern schlicht und einfach vermutlich ein falsche Firewall Setup wie so oft..

Wie kommt ihr denn auf die Maske?

Jedenfalls das Thema bitte auf gelöst setzen, wenn sonst keine Fragen mehr bestehen. Danke.


Gruß,
kingkong