Zyxel PM7300, Asus Zen XT8 Mesh - Umstellung auf Swisscom

Thydney1970

Hallo zusammen

Ich bin gezwungen mein Internet und auch TV auf Swisscom umzustellen und stehe momentan bei einigen Punkten mit meinen Kenntnissen an und auch ist der technische Swisscom-Support seit Tagen nicht in der Lage, mir meine Fragen zu beantworten. Ich bin kein Netzwerkspezialist, ich habe mich über die Jahre in die Materie eingearbeitet und verfüge deshalb maximal über fortgeschrittene Kenntnisse. Damit zu Hause aber alles fehlerfrei, korrekt und optimiert funktioniert mit Swisscom habe ich momentan so einige Fragezeichen.

Konkret geht es um Swisscom Internet 10GB und Swisscom blue TV. Den Glasfaseranschluss habe ich direkt in der Wohnung bei meinem Serverschrank.

Von meinem bisherigen Anbieter hatte ich ein Sagemcom Modem als AP in Verwendung und dahinter steht mein privates Asus-Mesh bestehend aus 3 Asus Zen Wifi XT Routern. Meine Wohnung ist vollvernetzt, inklusive einem aufwendigen KNX-Smarthome mit über 400 Adressknoten.

Grundsätzlich habe ich weder Lust noch sehe ich einen Sinn dahinter, infolge Providerwechsel mein gesamtes Netzwerk neu zu konfigurieren, samt VPN und sonstigen Remote Accesses für KNX etc. Da mir eine Swisscom Internet Box im Routermodus nur Probleme bereitet, überlege ich mir, einen Zyxel PM7300 Router als AP im Bridgemodus zu betreiben und dahinter mein bisheriges privates Asus ZenWifi Netzwerk unverändert weiter zu betreiben. Jedoch ist mir hierzu einiges noch nicht ganz verständlich und deshalb bin ich für Unterstützung zur Lösungsfindung froh.

Im jetzigen IST-Zustand gehe ich vom Sagemcom-Modem mittels CAT7 LAN auf meinen 1. Asus-Router und von dort dann mittels weiterem CAT7 LAN Kabel auf den Unifi 28 Port Switch. Der Unifi Switch ist mit einem entsprechenden Patchpanel direkt verbunden worüber das gesamtes LAN (Cat7 verkabelt) versorgt wird. TV-Boxen, PC, TV’s, Heimkino und Mediaplayer sind per LAN an den Netzwerkdosen und Switches verbunden, welche über das Patchpanel und den Unifi Switch schlussendlich verbunden.

Wie muss ich nun genau vorgehen und wo sind welche Einstellungen an Zyxel PM7300 und den Asus Zen Wifi XT8 Routern vorzunehmen, um sowohl Internet wie auch blue TV fehlerfrei zu betreiben können?

In den Asus Routern sind die Optionen IGMP Multicast Proxy und IGMP Scooping bereits aktiviert. VLAN-ID ist momentan noch nicht konfiguriert und würde ich anhand des angehängten Links entsprechend vornehmen.

Wie richte ich IPTV auf einem Router ein?

Nun bin ich mir nicht sicher, ob ich so das Ganze gebacken bekomme für den fehlerfreien Betrieb und ob das so alles korrekt konfiguriert wäre für Swisscom. Auf VPN und Remote Access bin ich zwingend angewiesen und ein Ausfall respektive fehlerhafte Konfiguration von privatem Netzwerk, Internet und TV wäre in meiner Wohnung mehr als Fatal.

Hat jemand ein ähnliches Setup ?

Für Tips und Support bin ich enorm dankbar. Vielen Dank.

POGO 1104

Thydney1970
Da mir eine Swisscom Internet Box im Routermodus nur Probleme bereitet

Was sind denn das für “Probleme” ?

Ansosten kann hier sich Kollege @Werner einige Inputs geben

PowerMac

Thydney1970 Erst mal die Frage, was du unter “AP” verstehst, denn aus dem Zusammenhang deiner Ausführungen scheint mir, dass du damit wohl keinen WLAN-Accesspoint meinst (“Sagemcom Modem als AP”, “Zyxel PM7300 Router als AP”). Weiter gehe ich davon aus, dass von den Asus Zen Wifi XT-Geräten nur eines als Router fungiert und die anderen als Accesspoints, korrekt?

Dein Setup verstehe ich so, dass du fürs WLAN und das Routing Asus-Produkte, und fürs LAN einen Ubiquiti-Switch einsetzt. Du schreibst, dass du auf dem Router die Funktion IGMP Multicast-Proxy bereits aktiv hast; wird diese bereits von deinem jetzigen Anbieter aktiv genutzt und funktioniert sie? Dann stehen die Chancen gut, dass es auch mit Swisscom funktionieren wird.

IGMP Snooping ist eine Layer-2-Funktion, die du primär auf dem Unifi-Switch aktivieren müsstest (das muss man bei Unifi für jedes VLAN individuell aktivieren). Das verhindert vor allem unnötigen Netzwerktraffic.

Eine verbreitete Vorgehensweise in deiner Situation ist, den Swisscom-TV-Boxen ein separates VLAN zuzuweisen und diese dann direkt mit der Swisscom Internetbox zu verbinden. Dein internes Netz kannst dann bleiben wie es ist. Damit VPN etc. weiter funktionieren, musst du auf der Internetbox den internen Router als DMZ-Host definieren (simpler, aber etwas weniger sicher) oder die Portforwardings auf der Internetbox einzeln nachbauen (mühsam, geringfügig sicherer). Für die IPv6-Konnektivität solltest du zudem noch eine Prefix Delegation auf der Internetbox einrichten.

Ob das Ganze mit so einem Zyxel-Dings ohne Internetbox weniger Probleme macht weiss ich nicht.

Werner

Thydney1970

Es ist recht einfach ein Asus-Netzwerk kaskadiert hinter einer Swisscom Internetbox zu betreiben und selbst mache ich das bereits seit ca. über 15 Jahren, einfach seit es überhaupt Swisscom Internetboxen gibt.

Den ebenfalls möglichen Weg die Swisscom Internetbox als Internetzugang durch ein Fremdprodukt zu ersetzen erachte ich deshalb für völlig unnötig, viel komplizierter und auch viel fehleranfälliger.

Als Einstieg in eine mögliche Folgediskussion deshalb nachfolgend einfach mal kurz das Grundkonzept:

Dein ganze bereits vorhandenes internes Netz lässt Du völlig unverändert. Einzig den Bezug der IP-Adresse über die WAN-Schnittstelle musst Du ev. noch auf „automatisch via DHCP“ einstellen, falls da aktuell noch etwas anderes drin wäre
Du musst sicherstellen, dass sich das IP-Netz Deines Asusnetzes nicht mit dem IP-Netz der Internetbox überschneidet. Der Default-Bereich der Internetboxen ist 192.168.1.0/24, falls Dein Asusnetz sowieso einen anderen IP-Bereich hat, kannst Du den IP-Bereich der Internetbox auf Default belassen, sonst musst Du ihn auf etwa überscheidungsfreies abändern, z. B. 192.168.13.0/24.
Dann schliesst Du die WAN-Schnittstelle Deines internen Netzes via LAN-Kabel an einem LAN-Port der Internetbox an schaltest die ganze Gerätekette beginnend mit der Internetbox ein und grundsätzlich sollte die ganze Installation damit schon mal problemlos laufen.

In einem zweiten Schritt gibt es dann noch zwei zusätzliche Themen:

falls Du die TV-Boxen überhaupt im internen Netz betreiben möchtest, muss die ganze Gerätekette von der Internetbox bis zur TV-Box Multicast-tauglich konfiguriert sein. Ev. könntest Du da Probleme mit Deinen Ethernet-Switches kriegen, die Du dann nachkonfigurieren musst, oder alternativ ein separates VLAN von der Internetbox quer durch Dein internes Netz hindurch mit tagged-Ports bis zur TV-Box durchschlaufen.
für den VPN-Zugriff aus dem Internet musst Du Dich noch um DynDNS und die notwendigen Portweiterleitungen kümmern. Am einfachsten ist es einen DynDNS aus der unterstützten Auswahl direkt auf der Internetbox zu verwenden und ihn auch durch die Internetbox nachführen zu lassen. Alternativ funktioniert aber auch ein Service im internen Netz, welcher die öffentliche IPv4-Adresse nicht von der WAN-Schnittstelle, sondern direkt aus dem Internet ableitet. Bei den Portweiterleitungen ist es eine Frage der benötigten Menge, falls es unter ca. 5 sind (selbst benötige ich übrigens genau 4 für 4 verschiedene VPN-Server im internen Netz, wobei je 2 davon Open VPN Server und WireGuard sind, welche je einen dedizierten privaten Port benötigen), würde ich sie einzeln und transparent weiterleiten, falls Du sie bündelweise benötigst, kannst Du aber auf der Internetbox auch den DMZ-Modus auf Dein internes Netz einschalten, dann kriegst Du sie gleich (fast) alle.

Das wäre mein Vorschlag, wie Du am einfachsten zur für Dich besten Lösung kommst.
Probiere es doch einfach mal aus und schaue wie weit Du damit kommst.
Würden dann damit doch noch nicht alle Deine Anforderungen erfüllt, kann man dann in einzelnen Punkten auch noch weiter in die Tiefe gehen.

Thydney1970

Hallo Werner

Vielen Dank für deine ausführlichen Zeilen und Erklärungen. Bei mir ist es so, dass ich mein internes, privates Netzwerk komplett auf dem IP-Bereich 192.168.2.xxx konfiguriert habe. DynDNS-Service wird von Asus kostenlos zur Verfügung gestellt und ist aktiviert und entsprechend konfiguriert. Der Betreiber von meinem KNX-Smarthome hat mir jedoch ausgesagt, dass es im Zusammenhang mit KNX und den Swisscom Internetboxen seit je her Probleme gibt, auch mit dem DMZ-Modus. Ich hatte bis anhin ausschliesslich Modems im Bridgemodus bei mir installiert und kenne mich mit dem DMZ-Modus überhaupt nicht aus. DHCP-Modus ist bereits auf automatisch eingestellt.

Ich gehe richtig der Annahme, dass in der von dir beschriebenen Kaskadierung und Konfiguration, WLAN and der Internetbox deaktiviert ist?

Bezüglich KNX muss ich mal noch schauen, auf welchem IP-Bereich dieses läuft.

Bei Verwendung eines Fremdrouters im Bridgemodus habe ich in meinen Asusroutern die Möglichkeit, VLAN-ID, IGMP Multicast und Scooping gemäss Beschreibung im angehängten Link im Eröffnungsbeitrag zu hinterlegen.

Ich danke dir für weitere Ausführungen/Erklärungen und freue mich von dir wieder zu hören.

Werner

Thydney1970

Für die Neuinbetriebnahme und zum Test, ob Dein Abo überhaupt korrekt läuft nimmst Du sowieso am besten die gratis mitgelieferte Internetbox.

Da sich Dein Asusnetz schon jetzt nicht mit dem Swisscom-Defaultnetz überschneidet, anschliessend Deinen Hauptrouter einfach mal an einen LAN-Port der IB hängen und ausprobieren.
Es könnte sogar sein, dass sofort alles läuft.
Falls nicht kann man anschliessend schauen wo es noch harzt.

Zwei Dinge noch:
- der DMZ-Modus der Internetbox ist etwas ganz banales und ersetzt lediglich einzelne spezifische Portweiterleitungen mit einer generellen Portweiterleitung aller Ports
- ob der standardmässige Asus-DynDNS (den ich übrigens nicht empfehlen würde, und eher durch den Swisscom- und/oder NO-IP-DynDNS ersetzen würde) im kaskadierten Betrieb korrekt läuft wirst Du ausprobieren müssen, denn ob er mit der Standard-Firmware ASUSWRT automatisch von der IPv4-IP der WAN-Schnittstelle auf einen externen Service wechselt, wie er es mit der Asus Merlin-Firmware macht, welche ich selbst verwende, weiss ich nicht.
Eigentlich ist es aber sowieso am besten den DynDNS direkt von der Internetbox nachführen zu lassen, denn sie ist mit ihrem direkten Internetzugang die originäre Quelle der öffentlichen IPv4 und somit immer am aktuellsten.

PS: In einem kaskadierten Setup benutzt man üblicherweise das WLAN der Internetbox nicht und schaltet es einfach generell aus. Es kann aber auch mal Situationen geben in welchen man es bewusst einschaltet um einzelne Geräte isoliert ausserhalb des eigenen internen WLAN/LAN direkt im Netz der Internetbox zu betreiben, z. B. eine blue TV-Box, oder irgendwelche IoT-Geräte, welche man gar nicht im eigenen internen Netz haben möchte. Das gleiche gilt übrigens auch für die übrigen LAN-Ports der Internetbox, welche man nur in Sondersituationen verwendet.

Thydney1970

Werner Anhand deiner Erläuterungen im Beitrag riskier ich nun den Start fürs erste mal mit der Internetbox, deaktiviertem WLAN und hoffe, dass alles fehlerfrei funktioniert.

Thydney1970

Thydney1970 Habe heute die IB5 erhalten plus meine beiden blue TV Boxen und morgen ist die Swisscom Umstellung. Ich hoffe das es problemlos klappt und so wie oben von dir beschrieben Werner.

Desweiteren habe ich mich entschieden, meine gesamte Hardware, sprich Router, Switches, auszutauschen und ein 10G/2.5G Netzwerk neu aufzubauen. Es gibt ein komplettes Unifi-Setup bestehend aus Dream Machine Pro Max, 1x Switch Pro HD 24 Port, 2x Switch Flex 9 Port 2.5G. Wifi wird über 2x U7 Pro XGS und 2x U7 Pro Max realisiert. Entsprechende SFP+ Moduke für die Verbindungen ebenfalls bereits erhalten.

Die Umstellung erfolgt in ca. 2 Wochen und da ich meine Wohnung netzwerkmässig vorausschauend geplant habe, habe ich für jeden RJ45 Anschluss eine separate Cat7 Leitung. Somit werde ich die Internetbox 5 über das Patchpanel direkt mit den blue TV-Boxen verbinden und auf der IP-Range 192.168.1.xxx betreiben. Daneben wird dann wieder auf der IP-Range 192.168.2.xxx mein privates UniFi Netzwerk angehängt. Inwiefern ich mit VLAN weitere Bereiche erstelle weiss ich noch nicht, jedoch habe ich so Gewissheit, dass blueTV keine Probleme bereitet und schlimmstenfall Swisscom auf ihre Geräte sieht. Alles andere geht den Provider nichts an und ist Privat ;-).