aif-get
Goto Top

Routing-Problem über zwei Netzwerke

Hallo,
habe ein Ping-Problem bei meinem LANCOM Router. Folgendes Szenario besteht:

Netzwerk A: 192.168.1.0/24
LANCOM GW A: 192.168.1.1/24

Netzwerk B: 192.168.10.0/24
LANCOM GW B: 192.168.10.1/24
Fritzbox WLAN ACCESSPoint B: (Intern: 192.168.10.2) <-> (WLAN Netzwerk: 192.168.100.1)

Netz A -> LANCOM A <--- VPN ----> LANCOM B --- Fritzbox --- WLANNetz

Folgendes Problem: Rechner aus dem 192.168.100.0/24 Netz B kann ping auf 192.168.1.0/24 Netz A abegeben. Umgekehrt klappt dies nicht. Wieso?
Netzwerk A und B lassen sich unterienander ohne Probleme anpingen.

Die Routingtabellen sind folgendermassen gesetzt:

LANCOM A: 192.168.100.0/24 GW: 192.168.10.2

LANCOM B: 192.168.1.0/24 GW: 192.168.1.1

Habe ich hier etwas übersehen? Vielen Dank schonmal für eure Hilfeface-smile

Content-Key: 356015

Url: https://administrator.de/contentid/356015

Printed on: April 19, 2024 at 03:04 o'clock

Member: aqui
aqui Nov 24, 2017 updated at 13:08:53 (UTC)
Goto Top
Ein Thread den wir gefühlt 3 mal am Tag bekommen hier, aber heute ist ja mal wieder Freitag face-wink

Du hast die FritzBox vermutlich falsch angeschlossen bzw. konfiguriert. Und zwar hast du sicher fälschlicherweise den WAN Port mit dem Lancom Netz B über den FB LAN1 Port verbunden. Im Setup also das interne xDSL Modem über LAN1 gebypassed.
Kann das sein ??
Damit die FretizBox transparent als WLAN Accesspoint arbeiten kann muss es aber zwingend einer der LAN Ports sein.
In deinem Setup ist die NAT Firewall auf der FritzBox dann aktiv und blockiert sämtliche Zugriffe von außen auf das WLAN Netzwerk: 192.168.100.0 /24

Fazit: Hiesiges Tutorial lesen und die FritzBox richtig als einfachen WLAN Accesspoint anschliessen:
Kopplung von 2 Routern am DSL Port
Member: aif-get
aif-get Nov 24, 2017 at 14:20:49 (UTC)
Goto Top
Hallo, das müsste ich vor Ort nochmal nachprüfen, da ich das netz selbst nicht zusammen gesteckt habe , aber danke schonmal dafür face-smile

Andere sache noch die mir im LANCOM aufgefallen war, die ich aber selbst noh bei keinem mal gesehen habe, war die Meldung: Warnung: möglicher Duplex-Konflikt

Ob dies damit zusammenhängt?

lg
Member: aqui
aqui Nov 24, 2017 updated at 14:33:04 (UTC)
Goto Top
das müsste ich vor Ort nochmal nachprüfen
Als kompetenter Netzwerker macht man sowas auch immer vorher, bzw. weiss das was man konfiguriert hat und dokumentiert das auch face-wink

Der Duplex Konflikt passiert wenn du am Lancom irgendwas dran hast was zwingend nur Half Duplex kann oder dieses per LLDP oder CDP dem Switch signalisiert (sofern er diese Protokolle versteht).
Das kann sein das ein Endgerät physisch nur Half Duplex kann oder bei der Autonegotiation gepatzt hat und ins Half Duplex gefallen ist.
Damit kann der interne Switch im Lancom dann ein Problem bekommen. Ein Half Duplex Endgerät kann ja nur entweder senden oder empfangen zu einer Zeit niemals aber beides was Full Duplex Endgeräte können.
Der Switch müsste aber dann Daten zwischenpuffern für die Zeit wo ein Half Duplex Client nix empfangen kann.
Bei solchen internen Billigswitches gibts aber keinen Port Puffer oder nur sehr sehr wenig, der Switch schmeisst also die Pakete gnadenlos weg und es kommt zu Retransmissions im Netzwerk was sich dann in Performance Einbuße (Langsamkeit) äußert.
Das sollte man immer fixen sowas.
Entweder mit einem Kabeltausch (wenns physische Ursachen sind) oder der statischen Speed und Duplex Konfig an beiden Ports, Switch und Endgerät. Ansonsten besteht immer Gefahr das das Netzwerk lahmt.
Member: aif-get
aif-get Nov 28, 2017 updated at 09:33:58 (UTC)
Goto Top
Hallo,
habe mir die fritzbox ma angeschaut und es ist nur ein Kabel im port 1 ETH Anschluss gesteckt.

Es scheint alles korrekt konfiguriert zu sein. Problem scheint also eher wohl an der Brücke: 192.168.10.1 zu 192.168.100.1 in der FB zu liegen. Vielleicht denkt die FB da immernoch an eine art NAT/FW und verwirft die pakete aus dem 192.168.10.0/24 Netz face-sad

Die hiesige Anleitung bespielt eher das Szeneario, dass nur ein Netz genutzt wird.

Könnte hier eine anpassung iwrgendwo an der Konfiguartionsdatei der FB helfen? Kennt sich da jemand aus?

Danke face-smile
Member: aqui
aqui Nov 28, 2017 updated at 10:14:11 (UTC)
Goto Top
Sie "denkt" nicht nur ans NAT sie macht es auch !!
Die NAT Funkltion ist in der FB NICHT abschaltbar wie oben schon mehrfach gesagt wurde.
Damit ist dann KEIN transparentes Routing zwischen den beiden IP Netzen mehr möglich, denn die NAT Firewall sorgt immer dafür das das nur eine Einbahnstrasse ist.

Für ein transparentes Routing zwischen den beiden IP Netzen ist die FB definitiv die falsche Hardware, eben weil die NAT Funktion hier nicht deaktivierbar ist in der Konfig. Transparentes Routing ist damit dann nie richtig möglich.
Du musst hier zwingend auf einen anderen Router ausweichen wie eben DD-WRT, OpenWRT oder den oben genannten preiswerten Mikrotik.
Es muss auf alle Fälle ein Router sein der abschaltbares NAT hat !
Mit der FB kommst du de facto nicht weiter, da wird dir keiner in welchem Forum auch immer helfen können.
Member: aif-get
aif-get Nov 28, 2017 at 10:32:54 (UTC)
Goto Top
OKay, dann hat sich das wohl erledigt, da wir schon MESH Netze auf das ganze haus mit fritz repeatern verteilt haben. Also sollte da die Fritzbox durchaus bestehen bleiben.
Member: aqui
aqui Nov 28, 2017 at 10:37:59 (UTC)
Goto Top
Gruselig. Kabelbasierende Infrastruktur oder wenigstens Power LAN wäre da immer die bessere Lösung. Aber nundenn...
Du kannst ja die Kopplung auch mit einem zusätzlichen Router machen. Damit wäre das sofort gelöst.
Ein Bein ins .10.0er netz, eins ins .100.0er Netz und fertig ist der Lack. Elegante Lösung für 30 Euro.
Mit einem mit OpenWRT geflashten TP-Link 841D sogar für 15 Euro face-wink !
Member: aif-get
aif-get Nov 28, 2017 at 15:39:47 (UTC)
Goto Top
Könnte man nicht intern auf dem LANCOM einen VLAN port für das 100er netz setzen und dann zum 10er routen? Oder hab ich da grade nen Denkfehler am späten Abend? ;)
Member: aqui
aqui Nov 28, 2017 at 18:16:56 (UTC)
Goto Top
Ja, das geht natürlich auch. Der Lancom kann ja mehrere Interfaces.
Member: aif-get
aif-get Dec 02, 2017 updated at 00:32:27 (UTC)
Goto Top
Alles klar dann werde ich das mal in angriff nehmen face-smile

Achso nochmal ne frage, mir ist aufgefallen, dass zwar ein ping von dem 100er netz auf das 192.168.2.0 möglich ist, aber keine Netzwerkfreigaben im in diesem .2er Netz geöffnet werden könnne. Ist dies ein Indiez für das NAT der Fritzbox oder doch irgend etwas anderes? Der DNS Server ist gesetzt und auch ein \\192.168.2.30\FReigabe klappt nicht.
Member: aqui
aqui Dec 04, 2017 at 11:33:34 (UTC)
Goto Top
aber keine Netzwerkfreigaben im in diesem .2er Netz geöffnet werden könnne
Jeder Netzwerker weiß das sog. Netzwerkfreigaben ohne DNS immer mit UDP Name Service Broadcasts im Netzwerk bekannt gemacht werden.
UDP Broadcasts werden aber prinziepienbedingt NICHT von einem Router weitergeleitet. Netzwerken erste Klasse, Grundlagen.... face-wink
Die Lösung ist aber kinderleicht und schnell gemacht indem du die Freigaben statisch bei Windows in die Datei hosts oder lmhosts einträgst.
Guckst du hier:
XP-Home mit 2 Kabelgebundenen und WLAN PCs
Member: aif-get
aif-get Dec 05, 2017 updated at 08:36:30 (UTC)
Goto Top
Das ist schon richtig soweit.
Aber, es wird ein DNS Server genutzt, der liegt auf der IP 192.168.2.250 und kann auch über die Namensauflösung erreicht werden aus dem 192.168.100.0/24 Netz. Also da klappt alles mit ping etc. auch FW auf dem Windoze ist aus.

Nehme an, dass es mit dem NAT Der FB zusammenhängt und die cifs pakete einfach nicht zurückgeben werden können? Trotz der korrekten anfrage nach diesen?

Davon abgesehen, ist LMHOSTS / WINS überhaupt noch relevant, wenn man doch DNS nutzt?
Member: aqui
aqui Dec 05, 2017 updated at 16:48:32 (UTC)
Goto Top
Aber, es wird ein DNS Server genutzt, der liegt auf der IP 192.168.2.250
OK, dann ist die Sache einfach. Dann musst du jedem Client nur diesen DNS mitteilen, statisch oder per DHCP und logischerweise muss diese DNS natürlich für alle IP netze auch die entsprechenden Records haben der Endgeräte Hostnamen und Domains.
Dann klappts natürlich auch ohne statische Host Tabelle...logisch !
Wenn du ein nslookup <hostname> oder dig <hostname> am CLI eingibst sollte er die richtige IP anzeigen und zwar sowohl ohne als auch mit Domain Anhang.
Tut er das nicht ist der DNS Server falsch konfiguriert !
Nehme an, dass es mit dem NAT Der FB zusammenhängt
Nein das ist Quatsch. Die FB macht ja kein NAT wenn du sie richtig als NUR AP angeschlossen hast:
Kopplung von 2 Routern am DSL Port

Soll sie allerdings routen und du nutzt den WAN Port der FB (via LAN1) dann hast du in der Tat ein NAT Problem.
Die FB Hardware wäre dann ungeeignet denn dort lässt sich das NAT nicht abschalten im Setup was dann in deinem Design zwingend erforderlich wäre.
Mit NAT ist kein Transparentes Routing möglich ! Logisch, denn die NAT Firewall verhindert den Zugriff von der WAN Seite vollständig.
Damit ist das dann eine routingtechnische Einbahnstrasse, quasi wie eine Firewall.
Du solltest die FB dann (wenn Routing zwingend erforderlich ist) am besten tauschen gegen einen kleinen 40 Euro Mikrotik Router mit WLAN AP wie z.B. den hexAP.
Oder ein 15 Euro TP-Link 841N mit OpenWRT ginge auch wenns ne Geldfrage ist.
Damit klappt das dann sofort fehlerlos !
Ne FritzBox kann das nicht !
Member: aif-get
aif-get Dec 06, 2017 at 21:47:03 (UTC)
Goto Top
Das nslookup und dig klappt beides mit erfolgreicher Namensauflösung, nur leider bleibt es dabei, dass die freigaben einfach nicht zu erreichen sind aus dem Netz 192.168.100.0/24 aus dem 192.168.10.0/24 Netz klappt dies ohne Probleme.

Ich komme also nicht drum herum, da nen VLAN zu machen und die FB direkt in dieses VLAN Netz zu legen?
Member: aqui
aqui Dec 07, 2017 updated at 09:15:26 (UTC)
Goto Top
nur leider bleibt es dabei, dass die freigaben einfach nicht zu erreichen sind
Das kann dann nur noch ein Firewall Problem sein.
Bedenke das die Windows Firewall alles gnadenlos blockt was Absender IPs hat die NICHT aus dem lokalen LAN hat.
Das ist in einer gerouteten Umgebung wie deiner ja immer der Fall ! Du musst also die lokale Firewall so einstellen das der Druck- und Filesharing Dienst auch Zugriffe mit anderen Absender IPs zulässt.
Ohne das klappts nicht.
Ganz sicher aber ist es das NAT was nicht deaktivierbar ist in der FB. Die FB ist vollkommen ungeeignete für bidirektionales Routing. Das ist das Grundproblem.

Daher bleibt immer noch die Problematik das du das NAT (IP Adress Translation) NICHT abschalten kannst auf dem WAN Port der FritzBox.
Damit ist ein transparentes Routing mit der FB generell unmöglich, da der Zugang ins andere Netz ja logischerweise dadurch immer nur aus einer Richtung passieren kann. Die andere Richtung ist durch das nicht abschaltbare NAT immer gesperrt. (NAT Firewall)
Beidseites Routing ist damit vollkommen unmöglich wie oben mehrfach gesagt. Die FB ist damit die falsche HW das zu lösen, die kann das nicht !
Da nützt dann natürlich auch der Firewall Tip von oben rein gar nix. Das generelle Problem liegt schon davor.

Fazit: Entsorge die FB und ersetze sie mit einem kleinen Mikrotik hexLite Router:
http://varia-store.com/Wireless-Systeme/MikroTik-RouterBoard/MikroTik-R ...
Damit hast du ein System was das wunderbar kann.
Alternative ein OpenWRT oder DD-WRT Router oder ne pfSense Firewall. Auf alle Fälle was OHNE oder mit abschaltbarem NAT !
Halte dich ganz einfach an das hiesige Routing Tutorial was alle diese Mechanismen zur Netztrennung auch für Laien en Detail erklärt:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
Einfach nur mal genau lesen face-wink
Member: aif-get
aif-get Dec 07, 2017 at 20:43:46 (UTC)
Goto Top
Hallo, das Problem dass die FB ungeeiegnet ist habe ich schon aufgenommen, und trotzdem kann ich das leider nicht einfach ersetzen. Wir haben ca 20 bis 30 Repeater im ganzen Haus verteilt und diese bauen ein Mesh netz auf, die Repeater sind ebenfalls von AVM.

Daher ja die idee: LANCOM: Port 1 VLAN Netz: 192.168.10.0/24 und VLAN 2: 192.168.100.0/24 Dort wird die Frotzbox direkt ins LAN integriert, also nichts mit WAN Port sondern direkt nur als WLAN Access Point.

Diese sollte doch gehen oder?
Member: aqui
aqui Dec 09, 2017 updated at 14:00:15 (UTC)
Goto Top
und trotzdem kann ich das leider nicht einfach ersetzen.
Das ist ja auch kein Problem !!
Dann kaskadierst du zur FB eben einen kleinen Miktotik Router der dir das VLAN Roaming macht und gut iss:

(Internet)===(FB)---Koppelnetz---(Mikrotik)===Tagged-Uplink===(VLAN Switch)

So ist dein Problem mit 35 Euro in 10 Minuten erledigt OHNE das du an der Gesamtstruktur rumfummeln musst. Einfacher und billiger gehts doch nun wirklich nicht, oder ?
Natürlich kannst du statt des MT auch einen LANCOM Router nehmen. Natürlich vorausgesetzt das dort NAT abschaltbar ist auf dem Koppelport zur FB !!
Member: aif-get
aif-get Dec 11, 2017 updated at 15:22:40 (UTC)
Goto Top
OKay, also ganz so wollte ich es nicht haben, weil wie gesagt das WLAN das die FRITZbox als AP gibt vorrausetzung sind.

wird eher so sein von links nach rechts:

ISP -- LANCOM (MODEM) -- ETH1 Port: Internes Kabelnetz -- Patchpanel | ETH2 Port: eignes Netz zur FB , die dann WLAN macht
Member: aqui
aqui Dec 11, 2017 updated at 18:30:53 (UTC)
Goto Top
Ist der Lancom wirklich ein reines Modem hier, oder hast du wieder laienhaft die technischen Begriffe Router und Modem verwechselt ?! face-sad
(Ein reines Modem macht KEIN aktives IP Forwarding sondern ist nur passiver Medienwandler z.B. zwischen xDSL Framing und Ethernet)

Die Lösung ist dann aber noch einfacher. Die FB spielt ja dann nur dummen WLAN Accesspoint.
Wie man das konfiguriert erklärt dir ein Tutorial hier im Forum:
Kopplung von 2 Routern am DSL Port
Member: aif-get
aif-get Dec 12, 2017 at 09:45:40 (UTC)
Goto Top
Nein, der LANCOM ist einfach nur der Gateway, der unter anderem das Modem spielt, wollte das nur in Verbindung zum ISP etwas heraustellen :D

Nungut, der LANCOM kann so ziemlich alles, ähnlich dem Microtik geräten. Daher sollte es ja nun so möglich sein, mit dem FB als reiner access pint ;)
Member: aqui
Solution aqui Dec 12, 2017 at 09:53:59 (UTC)
Goto Top
Ja, das Design ist mehr oder minder ne Lachnummer face-wink