Internetzugang bei mehreren VLANs über dd-wrt router

Du meinst diesen Absatz?

"Sollen auch alle weiteren VLANs über den DD-WRT direkt ins Internet ohne einen weiteren Router im externen Netz, dann muss für diese VLAN IPs auch nch das Masquerading aktiviert werden unter Service -> "Local DNS" und "DNSmasq".
Hier dann im Feld "Additional DNSMasq Option" zusätzlich zu den bestehende Einträgen alle VLANs für die es relevant sein soll eintragen:
interface=vlan3
interface=vlan10
Je VLAN in dem auch NAT gemacht werden soll, eine Zeile!"

Unter Services habe ich den Punkt "DNSMasq" dort war "DNSMasq" auf Enable und "No DNS Rebind" auf Disable
Local DNS habe ich jetzt auf Enable gesetzt und unter "Additional DNSMasq Options" folgendes eingetragen: "interface=vlan3".

Trotzdem komme ich nicht auf den vorgelagerten Internet-Router. Wobei ich auch nicht ganz verstehe, was mit "ohne einen weiteren Router im externen Netz" gemeint ist. ist das nicht mein Internet-Router? Auch will ich ja kein NAT zwischen den einzelnen VLANs, bis auf VLAN2, zu dem sollen alle über NAT gehen.

Folgendes hatte ich schon eingestellt:
Das jetzt laut Tutorial:

Hallo,
gerade getestet:

• im VLAN4 liegende Geräte sind aus dem VLAN3 auch nicht erreichbar.
• aus VLAN1 komme ich auf Geräte im VLAN1, VLAN3, VLAN4 und VLAN2

Ich komme nochmal auf die FORWARD-Chain zurück.
Regel 1: alles was existierende Verbindungen betrifft durchlassen
=> ok
Regel 2: scheint eine Standard-Regel zu sein http://lartc.org/howto/lartc.cookbook.mtu-mss.html
=> denke das ist auch ok
Regel 3: betrifft das Generic Routing Encapsulation Protocol
=> da sehe ich keine Notwendigkeit das auch für andere IP-Bereiche zuzulassen, oder?
Regel 4: Point-to-point tunnelling protocol
=> da sehe ich auch keine Notwendigkeit das auch für andere IP-Bereiche zuzulassen
Regel 5: die lan2wan-Chain ist leer, kann also auch ignoriert werden
Regel 6: wozu ist die überhaupt da?
Regel 7: die brauche ich meiner meinung nach auch für VLAN3 und VLAN4
Regel 8: die vermutlich auch, aber was macht die?
Regel 9: trigger_out muss ich mir heute abend mal ansehen, dachte aber die war auch leer
Regel 10: auch die benötige ich vermutlich für VLAN3 und VLAN4 um Zugriffe zw. den VLANs zuzulassen

Ist das totaler Mist, was ich mir hier überlegt habe oder kann ich es damit mal versuchen?
Ich setze auch gerne nur einen Haken im DD-WRT, wenn es den gibt. Laut dem Tutorial an dem ich mich orientiert habe
http://www.dd-wrt.com/wiki/index.php/VLAN_Detached_Networks_%28Separate ...
welches auch weitgehend dem von aqui erwähnten Tutorial zum einrichten von VLANs auf DD-Wrt entspricht sollte eigentlich folgendes der Fall sein:
"After these steps all clients are able to retrieve an IP via DHCP, can access the internet and each other."
Hab ich was übersehen?
Die im von aqui erwähnten Tutorial erwähnten DNSmasq-Einstellungen habe ich auch probiert ohne Erfolg.
Ich bin mir jetzt wo ich das schreibe allerdings nicht mehr sicher, ob ich den Router danach neu gestartet hatte, das probiere ich auch nochmal.

PC im VLAN1

Ethernet-Adapter LAN-Verbindung:
DHCP aktiviert. . . . . . . . . . : Ja
Autokonfiguration aktiviert . . . : Ja
IPv4-Adresse . . . . . . . . . . : 192.168.11.210(Bevorzugt)
Subnetzmaske . . . . . . . . . . : 255.255.255.0
Standardgateway . . . . . . . . . : 192.168.11.1
DHCP-Server . . . . . . . . . . . : 192.168.11.1
DNS-Server . . . . . . . . . . . : 192.168.11.1

ping auf den DD-Wrt Router - VLAN2 Adresse
ping 192.168.2.1
Ping wird ausgeführt für 192.168.2.1 mit 32 Bytes Daten:
Antwort von 192.168.2.1: Bytes=32 Zeit<1ms TTL=64
Antwort von 192.168.2.1: Bytes=32 Zeit<1ms TTL=64
Antwort von 192.168.2.1: Bytes=32 Zeit<1ms TTL=64
Antwort von 192.168.2.1: Bytes=32 Zeit<1ms TTL=64

ping auf den vorgelagerten Internetrouter
ping 192.168.2.2
Ping wird ausgeführt für 192.168.2.2 mit 32 Bytes Daten:
Antwort von 192.168.2.2: Bytes=32 Zeit<1ms TTL=63
Antwort von 192.168.2.2: Bytes=32 Zeit<1ms TTL=63
Antwort von 192.168.2.2: Bytes=32 Zeit<1ms TTL=63
Antwort von 192.168.2.2: Bytes=32 Zeit<1ms TTL=63

ping auf ein Gerät im VLAN3
ping 192.168.0.101
Ping wird ausgeführt für 192.168.0.101 mit 32 Bytes Daten:
Antwort von 192.168.0.101: Bytes=32 Zeit<1ms TTL=63
Antwort von 192.168.0.101: Bytes=32 Zeit<1ms TTL=63
Antwort von 192.168.0.101: Bytes=32 Zeit<1ms TTL=63
Antwort von 192.168.0.101: Bytes=32 Zeit<1ms TTL=63

ping auf ein Gerät im VLAN4
C:\Users\hesst>ping 192.168.1.2
Ping wird ausgeführt für 192.168.1.2 mit 32 Bytes Daten:
Antwort von 192.168.1.2: Bytes=32 Zeit<1ms TTL=63
Antwort von 192.168.1.2: Bytes=32 Zeit<1ms TTL=63
Antwort von 192.168.1.2: Bytes=32 Zeit<1ms TTL=63
Antwort von 192.168.1.2: Bytes=32 Zeit<1ms TTL=63

PC im VLAN3

Ethernet-Adapter LAN-Verbindung:
DHCP aktiviert. . . . . . . . . . : Ja
Autokonfiguration aktiviert . . . : Ja
IPv4-Adresse . . . . . . . . . . : 192.168.0.10(Bevorzugt)
Subnetzmaske . . . . . . . . . . : 255.255.255.0
Standardgateway . . . . . . . . . : 192.168.0.1
DHCP-Server . . . . . . . . . . . : 192.168.0.1
DNS-Server . . . . . . . . . . . : 192.168.0.1

ping auf den DD-Wrt Router - VLAN2 Adresse
ping 192.168.2.1
Ping wird ausgeführt für 192.168.2.1 mit 32 Bytes Daten:
Antwort von 192.168.2.1: Bytes=32 Zeit<1ms TTL=64
Antwort von 192.168.2.1: Bytes=32 Zeit<1ms TTL=64
Antwort von 192.168.2.1: Bytes=32 Zeit<1ms TTL=64
Antwort von 192.168.2.1: Bytes=32 Zeit<1ms TTL=64

ping auf den vorgelagerten Internetrouter
ping 192.168.2.2
Ping wird ausgeführt für 192.168.2.2 mit 32 Bytes Daten:
Zeitüberschreitung der Anforderung.
Zeitüberschreitung der Anforderung.
Zeitüberschreitung der Anforderung.
Zeitüberschreitung der Anforderung.

ping auf ein Gerät im VLAN3
ping 192.168.0.101
Ping wird ausgeführt für 192.168.0.101 mit 32 Bytes Daten:
Antwort von 192.168.0.101: Bytes=32 Zeit<1ms TTL=64
Antwort von 192.168.0.101: Bytes=32 Zeit<1ms TTL=64
Antwort von 192.168.0.101: Bytes=32 Zeit<1ms TTL=64
Antwort von 192.168.0.101: Bytes=32 Zeit<1ms TTL=64

ping auf ein Gerät im VLAN4
ping 192.168.1.2
Ping wird ausgeführt für 192.168.1.2 mit 32 Bytes Daten:
Zeitüberschreitung der Anforderung.
Zeitüberschreitung der Anforderung.
Zeitüberschreitung der Anforderung.
Zeitüberschreitung der Anforderung.

reich ich noch nach


Du meinst das Standardgateway?
WAN-Seitig: Default-LAN Einstellung:
Genau, Lan-Port X des Internet Routers auf WAN-Port des DD-Wrt

PC im VLAN1

tracert -d 192.168.2.1


tracert -d 192.168.2.2


Ablaufverfolgung beendet.

PC im VLAN3

tracert -d 192.168.2.1


tracert -d 192.168.2.2


Und danke für die Hilfe schonmal

Das Gateway in den Default-LAN Einstellungen habe ich jetzt auf 192.168.2.1 gesetzt, das VLAN2-Interface des DD-Wrt Routers, das müsste doch stimmen?
Ändert aber nichts.

Zu dem vorgelagerten Internet-Router will ich ja über NAT gehen, der soll den direkten Weg in das 192.168.0.0 /24er Netz überhaupt nicht kennen, sondern nur die DD-Wrt-Router VLAN2 IP 192.168.2.1

Das ist wieder ein DD-Wrt-Router, aber als reiner AP für WLAN konfiguriert.

Ich dachte das muss ich eintragen, damit alle Pakete die ins Internet sollen an die 192.168.2.1 gesendet werden, der dann über NAT diese an den vorgelagerten Internet-Router sendet.
Ich werde das mal rausnehmen. Muss ich die dazu auf 0.0.0.0 setzen?

Das Routing klappt NUR aus dem VLAN1 heraus, aus allen anderen nicht, also aus VLAN 4 komme ich auch nicht raus. VLAN3 hab ich immer nur genannt, weil ich damit angefangen habe zu testen. Es geht aber alles nur aus dem VLAN1, dem Standard-VLAN des Routers.

FW Regel auf dem PC? Ja!
FW auf dem DD-Wrt Router?
FW auf dem vorgelagerten Internet-Router Router? Der soll ja nur die VLAN2 IP des Routers kennen.
Wie gesagt die will ich ja überhaupt nicht und würde das auch ungerne einrichten. Ach, der kann das beim groben drüberschauen auch nicht. Ich kann dort keine statische Route eingeben. Ist ein Vodafon LTE-Router.

Da fällt mir noch ein, in dem Tutorial was ich als Vorlaghe genommen habe
http://www.dd-wrt.com/wiki/index.php/VLAN_Detached_Networks_%28Separate ...
und auch in deinem wird ja davon ausgegangen, daß der DD-Wrt Router direkt ans Internet angeschlossen ist.
Dort kann ich ja auch keine statische Route eintragen.
In dem DD-Wrt Tutorial steht explizit
Bei dir kommt das nicht so direkt zu Ausdruck, da dort nur erwähnt wird, daß Zugriff auf die Router IP eines anderen VLANs gegeben ist. Das geht bei mir ja auch.

Vielleicht noch erwähnenswert, ich haben als DD-Wrt Router einen Buffalo WZR-1750DHP mit Buffalo's Firmware DD-WRT v24SP2- (06/12/14) std

mit folgenden Befehlen auf dem DD-Wrt router komme ich dann auch vom VLAN3 ins VLAN4
iptables -I FORWARD 12 -i vlan3 -j trigger_out
iptables -I FORWARD 13 -i vlan3 -j ACCEPT

fehlt noch der Zugang zum VLAN2

Hallo,

die 12 und 13 als linenumber stimmt natürlich nicht, richtig ist 11 und 12
dann noch
iptables -t nat -I POSTROUTING 2 -o vlan2 -j SNAT --to-source 192.168.2.1
und ich komme auch ins Internet. Mir als Laie stellt sich hier immernoch die Frage, ist das so ok oder sicherheitstechnisch der Ober-GAU?
POSTROUTING-Chain sieht jetzt so aus:

wobei die 1. Zeile ja überflüssig ist, bzw. der src-adr-range in der 2. zeile auf den von VLAN3 angepasst werden müsste. Was sollte ich da machen? Da sowieso alle ins Internet sollen vermutlich die 1. Zeile raus?