Internet Box 2, eigener Router, VPN Port, Port Forwarding

Prieldauplio81

Ich habe bei meiner Recherche mit schränken erfahren das ich die IB2 gar nicht in Bridge Modus verdammen kann… schade

Nun zu meinen Fragen;

1)Wenn ich unter Statische Routen meinen Router (AX200) konfiguriere, Funktionieren noch dinge wie Portweiterleitung und Vpn?

2)Wie ist das spielt das eine Rolle, wo ich den Vpn habe (IB2 oder AX200) um in das netz vom AX200 zu kommen?

3)Ich würde gerne im Netz vom AX200 einen Daten Server mit NextCloud betreiben. Klappt das mit der Portweiterleitung, wenn ich das Im AX200 konfiguriere?

Werner

@Prieldauplio81

Also um es kurz zu sortieren:

Statische Routen haben rein gar nichts mit einem VPN -Zugriff zu tun, sondern dienen lediglich dazu Brücken für Zugriffe zwischen verschiedenen Netzen zu definieren, also quasi den Clients in einem Netz den Zugriff auf ein anderes Netz zu ermöglichen.

Da Du ja sowieso in den Bride Mode schalten wolltest, brauchst Du ja das eigene Netz der Internetbox sowieso nicht, deshalb hier die einfachste Variante:

- alles inkl. VPN-Server im eigenen Router/Netz definieren

- auf der Internetbox den DMZ-Modus auf die IP-Adresse Deines eigenen Routers freischalten

und bereits fertig ist Dein eigenes kaskadiertes Netz.

Ausser das die öffentliche IPv4 nicht an das Subnetz weitergeleitet wird, hast Du dann schon fast einen Bridge Modus…

Da der DMZ-Modus die eingehenden Ports gleich bündelweise auf Deinen eigenen Router weiterleitet brauchst Du dann auch keine einzelnen Portweiterleitungen mehr.

Eine gesonderte Frage ist dann noch wo Du die Nachführung Deines DynDNS platzierst, falls Du diesen für Deinen VPN-Zugriff benötigst.

Aber wenn Du das nicht selbst herausfindest, melde Dich lieber wieder, wenn Du dann bei diesem Extra-Thema angekommen bist.

kaetho

Hi @Prieldauplio81

ich habe die IB3, die lässt sich auch nicht in den Bridge-Modus versetzen.

Trotzdem habe ich einen Raspi mit Nextcloud hinter einer UDMpro in Betrieb. Das funktioniert wunderbar.

- meine UDMpro ist in der DMZ der IB. So werden alle Ports, die nicht schon anderweitig auf der IB selber weitergeleitet werden, auf die UDMpro weitergeleitet. Funktioniert wunderbar, man muss dann halt auf dem kaskadierten Router selber wieder angeben, wohin die Portweiterleitung soll.

- Zudem habe ich eine statische Route auf die UDMpro gesetzt, damit ich auch aus dem Netz der IB auf das Netz der UDMpro komme

- DynDNS habe ich auch eingerichtet, die Nachführung ist aber auf der IB eingerichtet (zum Einen habe ich eine DynDNS-Adresse über den Swisscomdienst eingerichtet, zum Anderen habe ich noch einen bei Infomaniak, der aber auch auf der IB "angezogen" wird)

- so kann ich auch aus dem Internet meine Nextcloud im kaskadierten Netz über meine Adresse ansprechen. Auch der Desktopclient im Firmennetz kommt so locker auf meine nextcloud.

Einzig eine VPN-Verbindung auf meine UDMpro habe ich noch nicht eingerichtet, weil das bis jetzt nicht nötig war. Ich gehe, wenns denn sein muss, über eine VPN-Verbindung der IB auf die UDMpro, geht ja mit der statischen Route. Aber direkt, das müsste ich mal ausprobieren...

Also zu 1) und 3), ja passt. Zu 2) kann ich aktuell nicht sagen.

Werner

Variante 2 geht auch und ist übrigens mein produktiver Standard- Setup für einen Open VPN Server.

Wenn der VPN-Server auch im eigenen Netz ist, braucht man auch keine statische Route um dem Swisscomnetz zusätzlich zu erlauben ins interne Netz durchzugreifen.

Die statische Route, wie von @kaetho erwähnt, macht nur dann wirklich Sinn, wenn man tatsächlich vor hat, im Swisscom-Netz auch eigene Clients zu betreiben, welche dann zusätzlich zu den Ressourcen im Swisscom-LAN auch noch auf das separate interne Netz durchgreifen dürfen sollen.

Das ganze ist aber auch noch eine Architekturfrage:

Nichts gegen die Swisscom, aber da ich aus grundsätzlichen Überlegungen Provider-Abhängigkeiten möglichst immer vermeide und auch gar keinen ISP im eigenen produktiven internen Netz haben möchte, ist die Top-Down statische Route bei mir bewusst nicht definiert.

Dafür ist dann mein eigenes Netz so aufgebaut, dass ich jederzeit 1 oder mehrere Internetzugänge von beliebigen Providern meiner internen WAN-Schnittstelle vorhängen kann.

DeanZ

Hallo @Prieldauplio81

Konnten dir die Antworten von @Werner und/oder @kaetho weiterhelfen? Ich freue mich auf ein Feedback deinerseits.

Liebe Grüsse

DeanZ

Prieldauplio81

Ja, natürlich vielen dank @Werner @kaetho.

Bitte entschuldigen Sie das ich mich erst jetzt melde. Ich bin etwas überforderte mit den ganzen Fachbegriffe und bin dran das Ganze zu verstehen.

Ich verstehe nur noch nicht ganz was die IB2 macht, wenn ich einen oder mehre Router in den statischen Routen konfiguriere und was meint Ihr mit DMZ?

wird jeder zusätzlich Router der angeschlossenen wird so zu einem eigenen Vlan oder ein vollständig eigenes Netzwerk? wie kann ich mir das vorstellen? Ich kenne mich damit nur beschränkt aus.

Ich habe mir nun Gedanken gemacht was ich brauche:

Ich möchte zwei eigen Router im Netz der IB2 betreiben. Eine AX200 für ein Privates Netz (tv, Drucker und Personal Computer's). Und einem Vpn, dass ich von unterwegs remote an meinem Pc Arbeiten kann. Dann einen zweiten Router für meine Server. Und im Netz der IB2 einen Dns Service (auf einem Pi4) um Adressen und Werbung zu blocken. Und falls nötig noch einen zusätzlichen Vpn im Netzt der IB2 um von unterwegs den Dns Service zu nutzen.

So sollte das doch gehen, wenn ich das richtig verstanden habe

Vielen Dank nochmals für Ihre Hilfe 😉

Nun zum ursprünglichen Problem.

So weit ich das verstehe kann ich vom Netz des ersten Routers in das Netz des zweiten. Also funktioniert auch der Dns in beiden Netzen. Um meinen Nextcloud aus dem Internet zu erreichen muss ich zweimal den Port weitergeben (IB2 und in meinem Router)?
Die Geschichten mit den zwei vpn macht mir auch noch etwas mühe, aber das ist ein Problem für später.

ist das Netzwerk so sinnvoll?

ich erhoffe mir so ein sicheres Heimnetzwerk, wenn ich die Server ein eigenes Netz haben.

(Die Server dienen zur Bereitstellung von Studien Unterlagen und Rechenleistung)

Lg und einen schönen Abend allerseits

ps: Ich hoffe, dass ich Sie nicht überstrapaziere mit meinen ewigen Fragen.

Werner

@Prieldauplio81

Eigentlich stehen schon sehr viele Details in den Antworten von @kaetho und mir, was Dir aber vermutlich noch fehlt, ist eine Grundsatz-Einführung ins Thema von Routerkaskaden, um überhaupt mal ein wenig an Überblick zu gewinnen.

Deshalb hier ein Link auf einen bereits 8-jährigen Heise-Artikel, welcher aber bezüglich Förderung des Netzwerkverständnisses immer noch aktuell ist:

https://www.heise.de/ct/artikel/Router-Kaskaden-1825801.html

Anschliessend kannst Du dann vielleicht besser beurteilen, ob Du da überhaupt damit beginnen willst.

Nachtrag: Der im Artikel verwendete Begriff DMZ ist netzwerktechnisch korrekt, darf aber nicht mit dem auf der Internetbox der Swisscom falsch verwendeten Begriff DMZ-Modus verwechselt werden.

kaetho

Hallo @Prieldauplio81

mit "DMZ" ist in der IB eine "demilitarisierte Zone" gemeint. Der Begriff stimmt aber nicht ganz, es ist vergleichbar mit der Funktion "exposed host" bei den Fritzboxen -> es werden einfach alle Portsan das Gerät weitergeleitet, das du da unter DMZ definiert hast.

Ports, die du schon anderweitig unter Portweiterleitungen definiert hast, werden aber nicht weitergeleitet.

Du kannst nur genau ein Gerät in die DMZ stellen. Mehr geht nicht.

- ein Raspi mit pihole als Werbeblocker im Netz

- VPN, um von aussen auf dein Netzwerk zuzugreifen und einzelne PCs dann per Remote zu erreichen

- Server betreiben

- DDNS Dienst nutzen

- Nextcloud betreiben

für all das brauchst du aber grundsätzlich keinen weiteren Router hinter der Internetbox. Damit kann die IB selber bereits umgehen.

Und ganz ehrlich, wirklich "sicherer" in Form von "nicht gehackt werden können von aussen", wird es grundsätzlich erst mal nicht, wenn du einfach einen zweiten Router hinter die IB stellst.

Willst du trotzdem einen zweiten Router hinter die IB stellen, machst du das am einfachsten, indem du diesen Router in die DMZ stellst. Dann musst du erst mal keine Portweiterleitungen mehr auf der IB aktivieren, um auf den 2.Router zu kommen. Aber da musst du dann definieren, wohin die Portanfragen von aussen gehen sollen (z.B. auf die Nextcloud). Mit dem DDNS-Dienst, der du auf der IB aktivierst, kommst du so auch ins 2.Netz.

Willst du nun von einem Gerät in deinem IB-Netz auf dein Netz vom 2.Router kommen, dann richtest du eine Statische Route ein. Aber auch hier: vom Sicherheitsaspekt her ist das wieder eine neue Lücke.