Routing Telekom VDSL mit cisco 896VA

Hallo,

ich versuche das routing einzustellen.
Die pppoe-Einwahl funktioniert.
Ich bekomme eine IP, ein GW und zwei Nameserver.
Die beiden übergebenen Nameserver kann ich anpingen, sonst aber nichts.

Hat jemand eine Idee?

Content-Key: 375772

Url: https://administrator.de/contentid/375772

Ausgedruckt am: 01.08.2021 um 23:08 Uhr

Mitglied: tikayevent
tikayevent 01.06.2018 um 22:09:02 Uhr
Goto Top
Die ACL 111 und die NAT-Definition fehlen.
Mitglied: aqui
aqui 02.06.2018 aktualisiert um 13:37:56 Uhr
Goto Top
Guckst du hier:
https://www.administrator.de/wissen/cisco-880-890-router-konfiguration-a ...
Dort steht wirklich ALLES was du zu dem Thema wissen musst !

Fehler in der o.a. Konfig:
  • In den DHCP exclude IPs (Ausschluss) gibt man IMMER Hostadressen an aber niemals IP Netze (Hostbits auf 0) wie bei dir.
  • Domain Name in der DHCP Konfig fehlt
  • Kommando bridge-group 1 fehlerhaft und tödlich in Interface gig 8 und dessen Subinterface !! Sollte mit no bridge-group 1 entfernt werden. Damit ist auch das BVI Interface völlig überflüssiger (Konfig) Ballast !
  • Google (8.8.8.8) als Nameserver anzugeben machen heutzutage nur noch Dummies. Jeder weiss mittlerweile das Google dann die privaten Surfdaten und Profile mit Dritten vermarket und verkauft. Unsinn sowas, denn den lokalen DNS Server bekommt man eh automatisch per PPPoE vom Provider. Fazit: besser entfernen !
  • Sommerzeit Umstellung fehlt vollständig: clock timezone CET 1 0 und clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
  • Die Firewall Kommandos ip inspect name firewall tcp und ip inspect name firewall udp gehören logischerweise ans Ende der ip inspect Kommandos und niemals an den Anfang, denn dann werden die protokollspezifischen Inspect Kommandos der Firewall gar nicht ausgeführt. Logisch, denn alles ist TCP oder UDP.
  • 2 Firewall Definitionen firewall und myfw sind natürlich Blödsinn, da nur eine verwendet werden kann !
  • Die Firewall ist außerdem gar nicht aktiv, da das Kommando ip inspect myfw out auf dem Dialer Interface komplett fehlt ! Tödlich aus Sicherheits Sicht. Ein show ip inspect hätte das auch sofort gezeigt.
  • NAT overload Kommando fehlt, so das keinerlei Paket aud dem lokalen Netz ins Internet ge"NATet" werden kann und damit keinerlei Traffic rausgeht ! Auch hier hätte ein show ip nat trans das sofort gezeigt.
  • Der Konfig Zugriff aus dem Internet ist NICHT gesichert ! (ACL 23 im Tutorial) Hier fehlt die angegebene ACL acl_access auch für IPv6.
  • Telnet sollte man deaktivieren. SSH Zugriff mit transport input telnet ssh fehlt.

Fazit:
Viele und heftige Kinken in der Konfig die dringenst einer Korrektur bedürfen sollte es sicher sein und auch funktionieren !
Das o.a. Cisco Tutorial schreibt dir genau wie. Halte dich am besten genau daran !
Mitglied: magheinz
magheinz 02.06.2018 um 14:34:59 Uhr
Goto Top
unter anderem aus dem Link heraus habe ich die konfig gebaut.
Das chaos entstand nach der Umstellung von ADSL2+ nach VDSL. Ich habe von diesen Consumeranschlüssen nicht so die große Ahnung, es geht hier nur um unseren Test-Anschluss.

Die Firewall ist im Moment gewollt offen für alles. Läuft die Verbindung kommt wieder die Standard-ACL von uns drauf.

Ich glaube ich fang das Teil noch mal von vorne an. Das zweite Gerät hängt noch am ADSL-Anschluss und funktioniert. Die Config wollte ich einfach übernehmen und nur das Interface anpassen.

Zur bridge: Ich brauche das WAN-Interface mit im intranet da ich den SFP-Port brauche. Wie bringe ich das sonst mit rein?
Mitglied: aqui
aqui 02.06.2018 aktualisiert um 15:07:41 Uhr
Goto Top
unter anderem aus dem Link heraus habe ich die konfig gebaut.
Kann nicht sein ! Dann hättest du keine solchen gravierenden Fehler wie oben gemacht !
Bzw. sie hätten dir bei einem show run sofort ins Auge springen müssen auch ohne Thread hier. ;-) face-wink
Ich glaube ich fang das Teil noch mal von vorne an.
Vielleicht keine schlechte Idee... ;-) face-wink write erase oder erase startup und dann reload ist hier dein Freund.
Nimm einen stinknormalen Texteditor, cut and paste dir da die Tutorial Beispielkonfig abschnittsweise rein, passe sie auf deine (IP, Interfaces, Passwörter etc.) Belange an, prüfe sie dann genau und (erst dann !) cut and paste sie zurück in deinen Router...fertsch.
Das zweite Gerät hängt noch am ADSL-Anschluss und funktioniert.
Hoffentlich nicht mit so gravierenden Fehlern wie bei dem obigen ?! :-( face-sad
Die Config wollte ich einfach übernehmen und nur das Interface anpassen.
Generell nicht falsch, nur genau hinsehen sollte man dann schon was man da dann neu eingibt !! Bzw. sollte dennoch mal was falsches reinkommen immer mit no wieder entfernen aus der Konfig.
Zur bridge: Ich brauche das WAN-Interface mit im intranet da ich den SFP-Port brauche.
Das kann eigentlich nur Unsinn sein...
Sorry, aber ein öffentliches Internet ungeschützt im Intranet ?? Meinst du nicht wirklich ernst, oder ?? Das wäre tödlich aus Sicherheits Sicht.
Oder hast du ein öffentliches Subnetz am Router ??
Dann sollte es eher so wie HIER aussehen wenn es richtig gemacht ist !
Mitglied: magheinz
magheinz 02.06.2018 um 19:03:44 Uhr
Goto Top
Ich will das WAN interface ja nicht im WAN haben sondern im intranet. Du hast mich da falsch verstanden.
gi8 ist das WAN-interface. Gi0-7 sind ein interner switch im 896VA

gi8 ist der Combo-port den cisco eigentlich als WAN-port vorgesehen hat, den ich aber nicht als WAN nutzen möchte.
Ich brauche halt den SFP-Port im Intranet.

Das andere Gerät hat eine andere ACL definiert. Mir geht es hier erst mal nur darum den Anschluss zum laufen zu bekommen. Die Sicherheit kann danach kommen, da außer dem router an diesem Anschluss nichts ist. Ab und An mal ein Notebook um unseren eigentlichen Internetzugang mal von aussen zu testen.

Das klingt jetzt etwas blöd, aber 90% der Zeit läuft über diesen Anschluss genau 0 Traffic.

Sonst habe ich Cisco ASR-Router. Das ist das erste mal das ich mich mit so einer xDSL-Geschichte rumärgern muss.
Mitglied: aqui
aqui 04.06.2018 um 10:31:52 Uhr
Goto Top
gi8 ist das WAN-interface. Gi0-7 sind ein interner switch im 896VA
Sorry, verstehe ich nicht :-( face-sad
Was genau willst du da machen ??
Auf dem Router das WAN auf einen anderen Port durchreichen und an dem Port steckt dann eine 886va der das eigentliche Routing macht ?!
Was soll der Sinn davon sein...
Nur damit man dieses komische Konstrukt versteht ??!
Ggf. hilft eine kleine Skizze ?!
den ich aber nicht als WAN nutzen möchte. Ich brauche halt den SFP-Port im Intranet.
Ja und ? Wo ist das Problem, du bist ja völlig frei in der Gestalung deiner Ports !
Der Router hat ja einen internen Gigabit Switch. Davon knappst du dir dann deinen WAN Port ab. Das geht nur über ein VLAN und zwar so (Auszug):
!
interface GigabitEthernet0
switchport mode trunk
switchport trunk allowed vlan 7
!
interface GigabitEthernet1
no ip address
!
interface GigabitEthernet2
usw...
!
int vlan 7
pppoe enable
pppoe-client dial-pool-number 1
!
interface Dialer0
description xDSL Einwahl Interface Internet
ip address negotiated
usw.

Damit erzeugst du das VLAN 7 sendest das tagged am GigPort 0 raus wo du natürlich noch ein xDSL Modem anschliessen musst und mappst das VLAN Inmterface auf den Dialer um PPPoE dort zu machen.
Wenn du ein Modem hast was selber tagged, dann musst du den Gig0 Port als Access Port definieren.

Die Frage ist warum du es nicht auf dem Combo Port belässt, dir das leben damit sehr einfach machst und für das Interne dann einen simplen Medienwandler Kupfer auf Glas beschaffst ?!
https://www.amazon.de/DIGITUS-Professional-Medienkonverter-Gigabit-1000B ...
Oder mit SC
https://www.amazon.de/DIGITUS-Professional-Medienkonverter-1000Base-T-10 ...
dann brauchst du nur ein simles SC auf LC Patchkabel.
Mitglied: magheinz
magheinz 04.06.2018 um 10:42:30 Uhr
Goto Top
Der Router hat ja ein eingebautes Modem, wieso sollte ich da ein extra Moden nutzen?
Medienwandler will ich vermeiden wenn es nur irgendwo geht. wir haben hier in jedes Büro Glasfasern liegen an deren Ende pro Raum ein SG300 hängt. (ca 300 Stück) Wir haben lange genug mit Medienwandlern gearbeitet um sagen zu können: Taugt auf Dauer nichts.
Die 8Gi-Port brauche ich gar nicht. die liegen brach. Ich benötige nur den VDSL-Port und den Glasfaserport. Am Glasfaserport hängt dann ein Switch.

Am ADSL-Port machte der Router genau das. Das Chaos entstand erst durch die Umstellung auf VDSL. Bei über 30° im Büro scheint die Konzentration doch etwas zu schwinden...

Das zweite Problem ist das nicht ganz klar ist ob die Telekom sauber umgestellt hat. Da gab es doch erhebliche Schwierigkeiten weil die in ihrer Datenbank einen veralteten APL hatten den es gar nicht mehr gibt und das nicht glauben wollten.
Mitglied: aqui
aqui 04.06.2018 aktualisiert um 10:49:11 Uhr
Goto Top
Der Router hat ja ein eingebautes Modem,
Das ist dann intern IMMER fest mit dem WAN Port verbunden. Da hast du keine Chance das losgelöst davon zu betreiben. Siehe auch Hardware Guide zum Router.
Anderer Port bedeutet dann immer gleich externes Modem.
mit Medienwandlern gearbeitet um sagen zu können: Taugt auf Dauer nichts.
Ist sicher richtig aber mit dem Router hast du dann keine Wahl.
Entweder du nutzt das interne Modem, bist dann auf den Combo Port verhaftet und Medienwandler für das lokale LAN. Oder... anderer WAN Port, dann aber externes Modem.
Eine andere Wahl hast du nicht bei dem Modell.
Der SG300 hat doch auch Kupferports ?! Warum also den LAN Port dann nicht mit Kupfer verbinden ?!
Oder hast du Längen über 100 Meter ?
Mitglied: gierig
gierig 04.06.2018 um 13:45:10 Uhr
Goto Top
Ich Denke also bin ich sagte der Mensch verstehen gehört aber nicht immer dazu .

896VA
1 * XDSL Port
1 * GE Port (als SPF / Kupder Router Port
8 * GE Switch Ports.

Mister ARS magheinz hat nun den Router Port über ne Bridge an Vlan 1 gekoppelt
und ihn damit als weiteren "Switch Port" fürs Lokale LAN abgestraft
Ergo er hat nun 9 Switch Ports im Vlan1 (einer dann halt mit Fiber Einschub)

Macht man so wenn man nur ARS Router kennt und die billigen kleinen Büchsen nur mit der Kneifzange anfasst.
oder weil man es im irgendeinem Forum mal gesehen hat das man es machen kann...

@MagHeintz
Neben den ganzen Fehlern die Aqui schon aufgezeigt hat und denen die Er noch nicht erwähnt hat.
(die offensichtlich mit "passt schon" von Dir ignoriert werden).
Wenn die Switch Ports eh nicht benötigst. Warum ne Bridge zum Vlan1 und nicht gleich NAT und eine IP auf
die den "WAN Port" und fertig (und Switch Ports abschalten) ?


Deine Ganze Konfiguration und das ganze drumherum liest sich eher wie ich bin schon mal an einem Karton eines
Cisco ARS Routers vorbeigegangen....bitte nicht persönlich nehmen ja ?
Mitglied: magheinz
magheinz 06.06.2018 um 14:28:07 Uhr
Goto Top
Das VLAN 1 mit der Bridge ist ein Überbleibsel weil der Router vorher an einer anderen Stelle eingesetzt wurde an der eben die Switchports+der SFP gebraucht wurden.
Der Tipp den Switch einfach abzuschalten und direkt mit gi8 zu arbeiten ist nicht blöd. Da der Router im Serverraum hängt fällt mir derzeit nix irgendwann mal an die Kupferport dran müsste. Andererseits muss es aber ja auch mit der bridge funktionieren. Ging ja vorher mit ADSL auch.

Ich fasse die Teile durchaus ohne Kneifzange an, habe aber nunmal nicht wirklich Erfahrung mit denen sondern sammel die gerade.
Alleine die Tatsache welches Interface jetzt aktiv ist und das sich das ändert wenn man von ADSL zu VDSL wechselt muss ich halt am lebenden Objekt lernen. Die Probleme habe ich sonst nicht da wir sonst direkt per Ethernet connected sind.
Firewall macht dann eine Firewall so dass der router nur routen muss und z.B. auch kein NAT macht.

Hier habe ich jetzt einen dialer, ein ethernet0, ein gi8 und gi0-7. Und jeder Port macht was anderes, Da muss man sich erst mal einarbeiten.
Da wir hier von einem Testanschluss reden an dem derzeit nicht ein Endgerät hängt, ist es nunmal wirklich problemlos und ohne Sicherheitsprobleme möglich hier auszuprobieren und am lebenden Objekt zu lernen.

Sobald wieder Zeit ist baue ich eine neue Konfig und setze den router einmal zurück.
Mitglied: aqui
aqui 06.06.2018 um 15:09:17 Uhr
Goto Top
ist ein Überbleibsel weil
Solche "Konfig Leichen" sollte man immer besser entfernen...
und das sich das ändert wenn man von ADSL zu VDSL wechselt
Ja, das liegt am internen Mapping des integrierten Hybrid Modems. ADSL ist fest auf die ATM Schnittstelle gemappt und VDSL fest auf Ethernet 0. Das kann man leider nicht "umbiegen".
Firewall macht dann eine Firewall so dass der router nur routen muss
Warum ? Das wäre Perlen vor die .... Die interne ZFW Firewall ist SPI basiert und so leistungsstark das sie das mit links macht. Warum also ein weiteres überflüssiges Gerät ?!
Und jeder Port macht was anderes, Da muss man sich erst mal einarbeiten.
Na ja...das ist ja mehr oder minder bei jedem Router auf der Welt so !
problemlos und ohne Sicherheitsprobleme möglich hier auszuprobieren und am lebenden Objekt zu lernen.
Das ist perfekt !
Dann mache doch erstmal eine simple Standard Konfig für VDSL mit den dazugehörigen Interfaces.
Sobald wieder Zeit ist baue ich eine neue Konfig und setze den router einmal zurück.
Das ist der richtige Weg !
Mitglied: magheinz
magheinz 06.06.2018 um 15:20:31 Uhr
Goto Top
Zitat von @aqui:

ist ein Überbleibsel weil
Solche "Konfig Leichen" sollte man immer besser entfernen...

Es war zu heiss...

und das sich das ändert wenn man von ADSL zu VDSL wechselt
Ja, das liegt am internen Mapping des integrierten Hybrid Modems. ADSL ist fest auf die ATM Schnittstelle gemappt und VDSL fest auf Ethernet 0. Das kann man leider nicht "umbiegen".

Ist ja auch kein Problem, muss man nur wissen. Ich habs halt jetzt gelernt.

Firewall macht dann eine Firewall so dass der router nur routen muss
Warum ? Das wäre Perlen vor die .... Die interne ZFW Firewall ist SPI basiert und so leistungsstark das sie das mit links macht. Warum also ein weiteres überflüssiges Gerät ?!

dieser router soll dann ja auch alles machen. Unsere eigentliche produktive Anbindung ist eine andere Hausnummer. Da nutzen wir andere Geräte(ASR 1001HX ASA/Firepower etc). Das sind 10GE Anbindungen. Das ist nix für einen 800er Router, da kaufen wir die vom Netzbetreiber empfohlenen Geräte.

Und jeder Port macht was anderes, Da muss man sich erst mal einarbeiten.
Na ja...das ist ja mehr oder minder bei jedem Router auf der Welt so !
problemlos und ohne Sicherheitsprobleme möglich hier auszuprobieren und am lebenden Objekt zu lernen.
Das ist perfekt !
Dann mache doch erstmal eine simple Standard Konfig für VDSL mit den dazugehörigen Interfaces.
Sobald wieder Zeit ist baue ich eine neue Konfig und setze den router einmal zurück.
Das ist der richtige Weg !

Ich hab halt leider nicht kontinuierlich mal einen Tag Zeit sondern muss das immer wieder dazwischen schieben. Dauert dann halt alles etwas länger.
Mitglied: aqui
aqui 06.06.2018 um 15:26:05 Uhr
Goto Top
Die Konfig macht man in 15 Minuten... face-monkey
Mitglied: magheinz
magheinz 06.06.2018 um 15:31:24 Uhr
Goto Top
Wenn ich die gerade mal hätte wäre ich froh drumm.
Die Antworten hier tippe ich zwischendurch am Handy...
Heiß diskutierte Beiträge
question
USB Adapter wie PoE? gelöst HournenharmaVor 1 TagFrageHardware5 Kommentare

Ich habe einen Kunden, der will in seinem Ford mit SYNC2 sein RazerPhone 2 nutzen. Das Problem ist, dass die USB-A Anschlüsse max. 5W geben, ...

question
Hyper-V - verwaiste Snapshots löschenbasdschoVor 1 TagFrageHyper-V26 Kommentare

Hallo, mein Veeam machte bei einer installation Probleme und konnte plötzlich die Snapshots nicht mehr löschen. Kein Problem, Disks konsolidiert, alte Snapshot Dateien gelöscht. Nun ...

question
Fritzbox 6591 - cable gigabit - Fax einrichten wie lösbar ? gelöst daswinimramVor 2 TagenFrageRouter & Routing14 Kommentare

Hallo Community und Admins ! Folgende Hardware : FRITZBOX 6591 an Vodafone Gigabit Kabelanschluss. 1 Rufnummer (SIP) eingetragen, funktioniert seit Jahren. Hintergrundwissen : Bei YodasPhone ...

question
USB 3 beißt sich mit 2,4Ghz Funkperipherie gelöst O-Two06Vor 1 TagFragePeripheriegeräte3 Kommentare

Hiho, ich habe nun schon einige Artikel über das leidige Thema gelesen, komme aber zu keiner Lösung. Ich habe Mini-PCs, bei denen nun leider mal ...

question
Fritzbox 7590 ersetzten gegen Modem + Router oder Router mit Modemindignus-estVor 1 TagFrageNetzwerke10 Kommentare

Hallo zusammen, nach langer Krankheit und Genesungszeit fasse ich jetzt mal wieder den Mut eine frage zustellen die mir schon seit längeren im Kopf herum ...

question
Ipv6 RouterliodiceVor 14 StundenFrageDSL, VDSL10 Kommentare

Hallo zusammen, ich hoffe ihr könnt mir weiterhelfen, ich benötigen einen ADSL Router (Kabelgebundenen) der IPv4 und IPv6 kann, also Dual Stack (DHCP Extern und ...

question
SSH Login nur möglich bei eingelogtem USERhell.wienVor 18 StundenFrageLinux Netzwerk17 Kommentare

habe einen Server (Debian) mit SSH (nur mit Public Key und auf einem Custom Port) und ufw aktiv. Ich kann mich nicht einlogen. Wenn ich ...

question
ProLiant DL380p G8 findet HP SAS-Festplatten MB3000FBUCN nicht ?IT-DAUVor 1 TagFrageServer-Hardware5 Kommentare

Hallo liebe Community! Kurz vorweg: ich bin Quereinsteiger in der IT-Branche und möchte nun als Vorbereitung zu meinem Ausbildungskurs bzw. für zu Hause ein bisschen ...