krasz1000
Goto Top

PFSense via PPPoE ins Internet

Hallo zusammen,

Ich hoffe ihr könnt mir hier weiterhelfen bin nämlich echt langsam am verzweifeln.

Folgendes Szenario:

Ein Kunde von mir bekommt an mehreren Außenstellen eine PFSense Firewall (NETGATE).
Diese soll zukünftig die VPN Verbindungen zum HQ und zum Rechenzentrum übernehmen.
Da für dieses Vorgehen die PFSense eine Feste Public IP benötigt lass ich die PFSense via PPPoE die Verbindung zum Internet aufbauen.
Davor befindet sich eine FritzBox 3490 diese soll dann als Modem dienlich sein.

Dies klappt auch soweit einwandfrei.
Leider bekomme ich es aber nicht hin das an der Fritz Box angeschlossene Geräte egal ob LAN oder WLAN eine Internet Verbindung über die PFSense aufbauen.

Da ich nicht die ganze Zeit beim Kunden vor Ort sein kann hab ich mir zuhause eine Ähnliche Konstellation aufgebaut bloß mit einem Speedport w921v anstatt einer Fritzbox. Das Ergebnis ist aber das selbe.

Aktuell ist es so:
Der WAN Anschluss der PFSense ist mit dem Speedport verbunden, darüber wird die Öffentliche IP abgefragt durch PPPoE.
Zusätzlich ist das LAN Interface der PFSense als DHCP-Client konfiguriert und auch mit dem Speedport verbunden.
Das heißt DHCP übernimmt der Speedport um ein einheitliches Netz aufzubauen.

Die PFSense selber hat Internet und kann auch z.B.: Google anpingen.
Das interne Netz kommt aber leider nicht raus.

Ich danke im Voraus über eure Antworten.

LG Krasz1000

Content-Key: 1462283459

Url: https://administrator.de/contentid/1462283459

Printed on: February 25, 2024 at 12:02 o'clock

Member: Looser27
Solution Looser27 Nov 03, 2021 at 16:52:44 (UTC)
Goto Top
Leider bekomme ich es aber nicht hin das an der Fritz Box angeschlossene Geräte egal ob LAN oder WLAN eine Internet Verbindung über die PFSense aufbauen.

Wie denn auch? Nur die pfsense hat die Einwahldaten. Also kleinen Switch an den LAN Port der pfsense und die Fritte leer gemacht. Fürs WLAN nen kleinen AP. VOIP dann über ein entsprechendes Telefon direkt oder eine Voip Basis wie die N510IP.

Gruß Looser
Member: erikro
erikro Nov 03, 2021 at 17:16:17 (UTC)
Goto Top
Moin,

Zitat von @Krasz1000:
Ein Kunde von mir bekommt an mehreren Außenstellen eine PFSense Firewall (NETGATE).

OK.

Diese soll zukünftig die VPN Verbindungen zum HQ und zum Rechenzentrum übernehmen.

Auch ok.

Da für dieses Vorgehen die PFSense eine Feste Public IP benötigt lass ich die PFSense via PPPoE die Verbindung zum Internet aufbauen.

Nochmal ok.

Davor befindet sich eine FritzBox 3490 diese soll dann als Modem dienlich sein.

Da würde ich was anderes nehmen. Aber wahrscheinlich sind die Fritten vorhanden.

Dies klappt auch soweit einwandfrei.

Warum auch nicht. Deine Konfiguration sieht also so aus:

LAN/WLAN ---- pfsense ---- fritte (nur Modem) ---- Internet

Leider bekomme ich es aber nicht hin das an der Fritz Box angeschlossene Geräte egal ob LAN oder WLAN eine Internet Verbindung über die PFSense aufbauen.

Und was Du erwartest, dass es funktioniert ist:
LAN/WLAN ---- pfsense ---- fritte (nur Modem) ---- Internet
                                  |
                             weitere Geräte

Siehst Du jetzt selbst, warum das nicht funktionieren kann? Du musst schon die Geräte hinter die pfsense und nicht hinter die zum Modem degradierte Fritte hängen.

hth

Erik
Member: aqui
aqui Nov 03, 2021, updated at Nov 04, 2021 at 08:28:25 (UTC)
Goto Top
Davor befindet sich eine FritzBox 3490 diese soll dann als Modem dienlich sein.
Eine klassische Router_Kaskade also mit doppeltem NAT und doppeltem Firewalling.
das an der Fritz Box angeschlossene Geräte
Das ist auch völliger Quatsch, denn dort sollten doch bei einem Firewall Konzept niemals Endgeräte sein ! Damit führst du das Firewall Konzept ja völlig ad absurdum, denn für die Firewall ist an ihrem WAN Port ja das "böse" Internet logisch also das sie von dort nichts ins lokale Netz lässt.
Überdenke also besser nochmal dein Konzept bevor du solch eine designtechnischen Unsinn machst. Die Kollegen oben haben ja schon alles dazu gesagt.
Besser wäre es dann die pfSense gleich ganz wegzulassen oder... Die FritzBox durch ein reines NUR Modem wie Vigor 160 oder Zyxel VMG3006 zu ersetzen was technisch eh die bessere Lösung wäre.
Guckst du hier:
Preiswerte, VPN fähige Firewall im Eigenbau oder als Fertiggerät
Fazit:
Endgeräte haben im WAN Koppelnetz der Kaskade nichts zu suchen. Das ist immer Punkt zu Punkt. Auch das WLAN der FritzBox sollte man tunlichst deaktivieren oder wenn, dann einzig nur das Gast WLAN aktiv lassen.
Member: Looser27
Looser27 Nov 03, 2021 at 18:49:58 (UTC)
Goto Top
Eine klassische Router Kaskade also mit doppeltem NAT und doppeltem Firewalling.

Solange die Fritte aber nur Modem ist, wie oben beschrieben ist es aber keine Kaskade.
Die Einwahl übernimmt in seinem Szenario ja die pfsense (wie es sich gehört).
Member: aqui
aqui Nov 04, 2021 updated at 08:27:57 (UTC)
Goto Top
Solange die Fritte aber nur Modem ist
Das ist heute nicht mehr möglich, denn die FritzBox lässt sich nicht mehr als reines NUR Modem konfigurieren. AVM hat diese Funktion entfernt so das die Box immer als NAT Router arbeitet.
Einzige Ausnahme ist hier die FritzBox 7412:
https://www.spiegel.de/netzwelt/gadgets/fritzbox-7412-als-dsl-modem-dect ...
https://www.heise.de/select/ct/2020/2/1578238295698254
Mit allen anderen FritzBoxen ist das immer eine Router_Kaskade mit doppeltem NAT und doppeltem Firewalling.
Member: Looser27
Looser27 Nov 04, 2021 at 08:36:33 (UTC)
Goto Top
Wenn dem so wäre, dürfte doch die Einwahl der pfSense via PPPoE nicht funktionieren.
Weiterhin müßten doch die Geräte an der Fritte ins Internet kommen. Da aber die Zugangsdaten nicht in der Fritte hinterlegt sind, baut diese doch keine Internetverbindung auf, sondern die pfSense.

Im Zweifelsfall würde ich die Fritte entsorgen und ein echtes Modem verbauen, z.B. Vigor.
Member: ChriBo
ChriBo Nov 04, 2021 at 08:57:15 (UTC)
Goto Top
Hi,
wer macht PPPoE ?
Die Fritzbox ? dann hast du eine Routerkaskade mit doppeltem NAT.
Die PFsense ? dann ist die Fritzbox als Modem konfiguriert, ist aber unwahrscheinlich, da dies bei den meisten Fritzboxen nicht mehr möglich ist, dein speedport kann es auch nicht.

Bersorge die "echte" Modems und lass dann die pfSense PPPoE machen, dann hast du auch kein Doppel-NAT.


Bei einer Routerkaskade mußt du auf allen Interfaces (auch WAN) <Block private networks and loopback addresses> disablen.

Gruß
CH
Member: aqui
aqui Nov 04, 2021 updated at 09:02:21 (UTC)
Goto Top
Die Frage ist ob sie das wirklich tut oder der TO das nur willkürlich annimmt. Normal arbeitet der WAN Port der pfSense per Default im DHCP Client Mode, zieht sich also alles automatisch von einer davor kaskadierten FB in deren lokalen LAN und baut darüber die Verbindung auf und nicht per PPPoE.
Normal lassen Provider keine multiplen PPPoE Sessions zu sollte die FB auch noch als PPPoE Endgerät eingewählt sein.
Das kann final aber sicher nur der TO beantworten was da wie wirklich rennt. Bis jetzt hat er ja noch keinerlei Feedback dazu gegeben oder das Interesse an einer zielführenden Lösung verloren. face-sad
Bei einem PPPoE Passthrough wäre es aber noch utopischer lokale Endgeräte im LAN der FritzBox ins interne Netz zu routen. Ganz im Gegenteil, das wäre noch fataler, denn dann hängt der WAN Port im öffentlichen Internet und die Endgeräte ungeschützt daran mit einer lokalen RFC 1918 IP des FB LANs. Gruselig...
Ein weiterer Grund warum das Design bzw. der Betrieb von Endgeräten im Koppelnetz ein NoGo ist und der TO dringenst diesen Unsinn überdenken sollte.
Im Zweifelsfall würde ich die Fritte entsorgen und ein echtes Modem verbauen, z.B. Vigor.
Wäre sicher die technisch beste Lösung.
Member: Krasz1000
Krasz1000 Nov 04, 2021 at 11:07:51 (UTC)
Goto Top
Also nochmal zur Klarstellung es macht defenitiv die PFSense PPPoE das heißt sie wählt sich mit den entsprechenden Zugangsdaten ein. Der Speedport bzw. die Fritte dient in dem Szenario als Modem.
Das heißt doppeltes NAT ist damit ausgeschlossen.

Sowohl bei der Fritte als auch beim Speedport lässt sich in den Einstellungen ein PPPoE Passthrough einstellen und dieser funktioniert auch einwandfrei man sollte natürlich zusätzlich die Zugangsdaten in der Fritte bzw. Speedport entfernen ansonsten versucht diese selbst immer wieder die Internet-Verbindung aufzubauen.

Ich dachte mir halt da eh ein WLAN Router in dem jetzt "Modem" verbaut ist kann ich diesen zusätzlich nutzen ohne zusätzliche HW anzuschaffen.
Member: Looser27
Looser27 Nov 04, 2021 at 11:10:14 (UTC)
Goto Top
Das kannst Du vergessen. Lösung dafür steht oben beschrieben face-wink
Member: Krasz1000
Krasz1000 Nov 04, 2021 at 16:57:40 (UTC)
Goto Top
Hab jetzt einen AP für 30€ gekauft und an die PFSense angeschlossen -> funktioniert.

Jetzt fungiert die Fritte nur noch als Modem so wie es sein sollte face-smile
Member: aqui
aqui Nov 05, 2021 at 09:55:52 (UTC)
Goto Top
Jetzt fungiert die Fritte nur noch als Modem so wie es sein sollte
👍