IP Passthrough und Zyxel USG 40

[specialS]

Hallo zusammen,

Ich habe ein Swisscom DSL mit einem Centro Piccolo zuhause. Bis vor kurzem habe ich das Centro Piccolo als Bridge betrieben und meine Zyxel USG 40 Firewall als Router genutzt. Nun hat die Swisscom zum wiederholten mal ein automatisches Firmware Upgrade auf dem Centro Piccolo durchgeführt und die aktuelle Firmware unterstützt den Bridge Modus nicht mehr. Deshalb habe ich nun die Funktion IP Passthrough des Centro Piccolo verwendet. Die Konfiguration funktioniert eigentlich auch einwandfrei. Ich benutzte zwei VPN Verbindungen zu geschäftlichen Netzwerken (auch Zyxel USG 50) und diese täglich ohne Probleme. Aber nach einigen Tagen stürzt die USG ab, d.h. die CPU Auslastung steigt auf 99% und die FW ist kaum mehr zu erreichen. Ein Hardreset ist nötig. Im Logfile der USG finde ich ein Kernel panic nach etlichen DROP und DHCP Meldungen. Hat jemand das selbe Problem? Gibt es weitere Funktionen die sich stören können ausser IP Subnetze, welche ich eigentlich alle überprüft habe?

Besten Dank für die Rückmeldungen

Gruss specialS

[user109]

Du musst wieder die alte Firmware einspielen und das TR69 dekativieren, dann dir niemals wieder so etwas passieren. Siehe: Tuxone.ch

[specialS]

Also meinst du das es definitiv am IP Passthrough liegt?

[user109 · Accepted solution]

Ja, du musst den Picolo wieder in den Bridgemodus mit der alten Firmware bringen bringen, sonst funktioniert es nicht. Wenn es dann immer noch Probleme gibt, ist der Picolo hinüber. Von SC gibt es keinen mehr. Ich habe aber noch einige herumliegen.

[specialS]

Besten Dank für Deine Antwort. Ich werde die Piccolo bei nächster Gelegenheit wieder downgraden. 

Wie sieht es den mit den neuen SC Internetboxen aus? kann ich die mit meinem Setup verwenden? Es kann ja nicht sein, dass SC die Verwendung einer FW mit ihren Boxen verhindert!

Falls dies nicht zu komplex ist, würde mich schon interessieren wie das Piccolo meine FW zum Absturtz bringt. Hast du da eine Erklärung?

Gruss specialS

[user109]

Den Router im Bridgemodus zu betreiben , sieht Swisscom nicht gern, weil sie immer Probleme damit haben aus welchen Gründen auch immer,  die mir nicht bekannt sind. Deshalb kann es sein, das die neue Firmware Stress macht, weil Swisscom diesen Routermodi nicht getestet hat. Wenn du TR069 abschaltest, dann kann 1. kein FW upgrade, die Modifikation mehr verändern. 2. dein Router ist nicht mehr fremdgesteuert (von SC).

TR069 = Fernwartungsfunktion.

Mit den Internetboxen kannst du komplett dein Vorhaben beerdigen, wird nicht unterstützt (Bridgemodus).

Alternative ZyXEL VMG1312 Bridge, Zyxel P-870H-I Bridge oder Mikrotik für Fiberanschlüsse.

[CHnuschti]

---

@specialS schrieb:

Wie sieht es den mit den neuen SC Internetboxen aus? kann ich die mit meinem Setup verwenden?

---

Als überglücklicher Ex-Swisscommler, ich stosse täglich darauf an, soviel: Ich hatte früher auch dein Setup, wechselte dann auf die "neue" Internet Box Standard (Swisscom wollte es so?). Ich meine, die würden dir die Box wohl kostenlos austauschen.

Jedenfalls liess sich dort der Betrieb mit Zywall für mich ganz einfach als Teil des LANs betreiben (soweit ich es verstehe), ohne IP-Passtrough und derartiges. Bin leider nicht der Profi und benutzte VPN und derartiges auch nicht, funktionierte für mein 0815-Gebrauch hier jedenfalls:

http://supportcommunity.swisscom.ch/t5/Diskussionen-%C3%BCber-Ger%C3%A4te-und/Swisscom-Internet-Box-...

Gruss

[specialS]

Wenn ich das richtig verstehe, muss ich per 2017 sowieso auf eine Internetbox wechseln. Ich habe noch einen analogen Telefon-Alarm der ein Gerät im 24/7 Betrieb überwacht in einem Nebengebäude, welches den Hausanschluss benutzt um zu telefonieren und einen Alarm abzusetzten. Den kann ich ja nur weiterverwenden über die Piccolo (nicht Bridge) oder die Internetbox.

Habe heute auch nochmals die Möglichkeiten mit dem Piccolo ausprobiert und zwar in folgenden Varianten:

im NAT Modus: Internet läuft, Zywall hat wahrscheindlich keine Probleme, VPN kann ich nicht verbinden!

im IP Passthrough: Internet und VPN läuft, Zywall hat regelmässig Abstürze (Routingproblem private - öffentliche IP!)

im Bridge Modus: Internet und VPN läuft, Zywall hat auch keine Probleme

Ich habe die Piccolo nun wieder in den Bridge Modus gesetzt, sehe jedoch ein Problem für den wechsel auf die VOIP 2017! Werde bis dahin eine andere Lösung finden müssen. (Idee?? -> evtl. ein wechsel des Firewall Herstellers??)

Bis dahin werde ich die Piccolo im Bridge Modus betreiben.

Weitere Frage: Hat die Swisscom einen technischen Dienst, der sich mit solchen Probleme auskennt? Am Helpdesk ist man ja jeweils überfordert, da lohnt es sich nicht anzurufen!

Danke euch allen für die Antworten

Gruss specialS

[compa]

Hallo specialS

Umstellung auf ALL IP 2017:

Für den analogen Telefon Alarm im Nebengebäude, fragst Du am besten den Hersteller der Alarm Anlage, ob er auch eine System hat, welches den Alarm über das Mobile Netz absetzen kann.

So wie das heute für Lift Alarme und ähnliches gemacht wird.

Gruss compa

[user109]

@specialS es gibt dem Myservice von SC für Spezial sachen, wie VPN und Firewall config.

Hast Du TR069 abgeschaltet auf dem Centro Picolo ???

Du benötigst keine Internetbox, wegen der Telefonie der Alarmanlage, Swisscom lehn jegliche Haftung ab wenn die Alarmanlage an einen Telefonanschluss über ALLIP betrieben wird.

Es sei denn der Hersteller der Alarmanlage bewilligt diesen Bertrieb an einem Allip-Anschluss.

Es ist die beste und sicherste Lösung die Alarmanlage per Mobilfunk anzubinden, wie es @compa schon erwähnt hat. 

[user109]

@specialS es gibt dem Myservice von SC für Spezial sachen, wie VPN und Firewall config.

Hast Du TR069 abgeschaltet auf dem Centro Picolo ???

Du benötigst keine Internetbox, wegen der Telefonie der Alarmanlage, Swisscom lehn jegliche Haftung ab wenn die Alarmanlage an einen Telefonanschluss über ALLIP betrieben wird.

Es sei denn der Hersteller der Alarmanlage bewilligt diesen Bertrieb an einem Allip-Anschluss.

Es ist die beste und sicherste Lösung die Alarmanlage per Mobilfunk anzubinden, wie es @compa schon erwähnt hat. 

IP Passthrough funktioniert nur im Brige-Modus sauber, du bereits heraus geunden hast.

[user109]

@specialS es gibt dem Myservice von SC für Spezial sachen, wie VPN und Firewall config.

Hast Du

Spoiler

TR069 abgeschaltet

Spoiler

Es ist cwmp (TR-069) zu deaktivieren.

auf dem Centro Picolo ???

Du benötigst keine Internetbox, wegen der Telefonie der Alarmanlage, Swisscom lehn jegliche Haftung ab wenn die Alarmanlage an einen Telefonanschluss über ALLIP betrieben wird.

Es sei denn der Hersteller der Alarmanlage bewilligt diesen Bertrieb an einem Allip-Anschluss.

Es ist die beste und sicherste Lösung die Alarmanlage per Mobilfunk anzubinden, wie es @compa schon erwähnt hat. 

IP Passthrough funktioniert nur im Brige-Modus sauber, du bereits heraus geunden hast.

[specialS]

Den TR069 habe ich ausgeschaltet, wie auf tuxone.ch beschrieben.

Für den Alarm werde ich nach einer GSM Lösung suchen. Entstehen dabei Abo-Kosten?

Ich werde das Setup nun so lassen, bis ich wirklich (wahrscheindlich 2017) gezwungen bin etwas zu ändern.

Besten Dank euch allen

Guss specialS

[user109]

@specialS 

du musst ab 31.03.2017 nix ändern, nur Filter oder Splitter entfernen und den Router direkt mit der Telefonleitung verbinden und die option Festnetz künden (spart 15.-CHF/Monat), da ja dann die Alarmanlage über Mobilfunk läuft.. Du musst dich schlau machen, was für ein Abo du für die Mobilfunkanbindung deiner Alarmanlage brauchst. Meiner Meinung langt das billigste Prepaid-Abo, aber mache dich unbedingt schlau, was Du wirklich brauchst, ist von Anlage zu Anlage verschieden.

Gruss User109

[specialS]

Inzwischen habe ich mit dem Hersteller bzw. mit dem Lieferant des Telefonalarm gesprochen und er hat mir bestätigt, dass der Alarm mit ALLIP funktioniert. Es ist ein Octalarm T System. Ich habe bei Swisscom nun ein Vivo S bestellt und die Internetbox eingerichtet. Der Telefonalarm funktioniert einwandfrei, bei richtiger Verkabelung. 

Die Internetbox habe ich im DMZ Betrieb (alles wird an eine interne IP weitergeleitet, die Firewall bekommt keine öffentliche IP mehr). Bisher funktioniert in diesem Modus alles inkl. meinen VPN Verbindungen. Ich kann mir das nicht ganz erklären, weshalb meine Firewall, ohne öffentliche IP die VPN Verbindungen machen kann.

Swisscom TV nutze ich nicht, sollte aber wahrscheindlich kein Problem sein in meinem aktuellen Setup.

Ich werde auf jedenfall noch eine Weile testen. Bin aber im Moment sehr zufrieden, trotz Router-Zwang von SC, was ich nicht gutheissen kann!

Besten Dank für euere Ratschläge,

Gruss specialS

[XT]

Funktioniert dein Alarm auch nei Stromausfall?

[specialS]

Nein, dann funktioniert der Alarm nicht mehr. Vor der Umstellung funktionierte er auch bei Stromausfall. 

Um dies zu realisieren bräuchte ich eine GSM Lösung (welche ich evtl. noch aufrüsten werde) oder ein USV an der Internetbox.

Ich bin nicht sicher, ob es Sinn macht dies zu implementieren. Evtl. gibt es da andere Möglichkeiten den Stromausfall zu überwachen. Ist aber im Moment nicht von Priorität.

Gruss specialS