Fritz!Box als IP-Client - DHCP-Server möglich

[Cappuccio]

Kann man den DHCP-Server einer Fritz!Box aktivieren, wenn man diese als IP-Client eingerichtet hat? Die IP der Fritz!Box selber soll statisch sein.

 

[tifa]

Ja geht aber du muss das Netzwerk trennen

 

[Cappuccio]

Danke für die Antwort. Ja, die Rechner, die an der Fritz!Box selber angeschlossen werden, müssen in einem anderen IP-Bereich laufen. Das ist so gewünscht und das hast du mit Trennen wohl gemeint. Die Firewallfunktionalität lässt sich im Client-Modus vermutlich nicht aktivieren.

Anderes Thema:
NAT/Masquerading lässt sich bei der Fritzbox wohl nicht deaktivieren, wenn man diese als kaskadierten Router einrichtet, um Doppel NAT zu vermeiden. Oder gibt es da einen Trick?
https://avm.de/service/wissensdaten...ox-fur-Betrieb-mit-anderem-Router-einrichten/

 

[tifa]

Falls du alles durchschleusen willst kannst mit DMZ probieren
Oder Port FW 1-65535 UDP-TCP

 

[Cappuccio]

Du meinst vermutlich den exposed host. Dann ist der DHCP-Server allerdings wieder weg. Ich habe selber noch keine Fritzbox.

Vermutlich ist die IP-Client-Variante + DHCP-Server das was ich ggf. benötige.

Hintergrund: Bin am überlegen eine Fritzbox in meine DMZ der IPFire zu stellen. Dort steht aktuell ein OpenWRT Router, der aber im Endeffekt dort nur Switch + DHCP-Server spielt. Da ich zukünftig auch Telefonie nutzen möchte (Internetanbieterwechsel), überlege ich den OpenWRT-Router durch eine Fritzbox zu ersetzen.

 

[tifa]

Ich hab so gedacht
bsp.
DSL - ROUTER OPEN WRT (Exposed Host / DMZ ) - FB
DSL - 192.168.1.0/24 - DMZ an FB hat Feste IP bsp 192.168.1.254 - FB eigenes IP Range 192.168.100.1/24

Ich nutze 4 FB mit 2 GW - 1 DHCP Server alles in einem IP Range
so das ich schnelle GW wechseln kann

 

[Raijin]

Da liegen wohl ein paar grundsätzliche Missverständnisse vor, wenn ich mir das so durchlese - oder wir unterhalten uns gerade über ein XY-Problem (dazu unten mehr).

Kann man den DHCP-Server einer Fritz!Box aktivieren, wenn man diese als IP-Client eingerichtet hat? Die IP der Fritz!Box selber soll statisch sein.

Es wäre auch reichlich sinnfrei, wenn der DHCP-Server selbst den DHCP-Server, also sich selbst, nach einer IP fragen müsste, oder nicht? Der DHCP-Server selbst hat daher stets eine statische IP, weil er ja nun mal gerade für die dynamische IP-Vergabe verantwortlich ist.

Ja, die Rechner, die an der Fritz!Box selber angeschlossen werden, müssen in einem anderen IP-Bereich laufen.

Wenn die Fritzbox als IP-Client arbeitet, ist es egal ob ein Gerät direkt an der Fritzbox angeschlossen, mit ihrem WLAN verbunden oder an einem x-beliebigen anderen Switch im selben Netzwerk angeschlossen ist - auch um 38 Ecken. Der IP-Client-Modus trennt nichts ab, die Fritzbox ist dann nur ein Access Point mit integriertem Switch und somit ist alles, was auf irgendeinem Weg über beliebige Switches zur Fritzbox kommt, "an der Fritzbox angeschlossen". Eine Unterscheidung zwischen direkt oder indirekt angeschlossenen Geräten gibt es nicht, wenn du das so gemeint haben solltest.

Die Firewallfunktionalität lässt sich im Client-Modus vermutlich nicht aktivieren.

Nein, weil die Fritzbox dann nur ein Switch + Access Point und ggfs noch mit Telefonie-Funktion ist. Die Firewall findet nur zwischen WAN und LAN+WLAN statt. Als IP-Client gibt es jedoch kein WAN und somit auch keine Firewall. Innerhalb eines Switches hätte die Firewall so oder so keine Eingriffsmöglichkeiten, wenn keine VLANs unterstützt werden (was leider so ist, also nix VLAN).

Hintergrund: Bin am überlegen eine Fritzbox in meine DMZ der IPFire zu stellen. Dort steht aktuell ein OpenWRT Router, der aber im Endeffekt dort nur Switch + DHCP-Server spielt. Da ich zukünftig auch Telefonie nutzen möchte (Internetanbieterwechsel), überlege ich den OpenWRT-Router durch eine Fritzbox zu ersetzen.

Das klingt für mich wenig sinnvoll. Warum stellt IPFire nicht sinnvollerweise den DHCP-Server für alle Netzwerke, die an ihr zusammenlaufen? In der Regel ist es nämlich der zentrale Router, der den DHCP-Server stellt und eine Auslagerung in einen externen DHCP-Server erfolgt nur, wenn man handfeste Gründe hat wie zB pihole oder ein vollwertiger Server mit AD und allem pipapo.

Ein übliches Setup sähe daher exemplarisch so aus (Annahme: IPFire hängt via WAN am Internet):

www
|
(WAN)
IPFire
(LANs)
|
+ (LAN1 @ 192.168.0.1/24 + DHCP .100 - .200) -----Heimnetzwerk----- Switches, APs, Endgeräte
|
+ (LAN2 @ 192.168.1.1/24 + DHCP .100 - .200) ----------DMZ---------- Switches, APs und Server


Was da jetzt noch ein zusätzlicher OpenWRT-Router und/oder eine Fritzbox sollen, die den DHCP-Server bereitstellen, erschließt sich mir nicht. Ich sehe da keinerlei Vorteile. Zwischen IPFire und OpenWRT werden die DHCP-Möglichkeiten noch gleichwertig sein, aber die Frizbox bietet wie für einen Consumer-Router üblich nur die absoluten Basics. Warum also die Firzbox DHCP spielen lassen



Vielleicht ist es sinnvoller, wenn du nochmal ganz von vorne anfängst. Mach eine Skizze des aktuellen Stands, berichte von den Problemen, mit denen du dich dadurch konfrontiert siehst und beschreibe anschließend was dein Ziel ist und wohlgemerkt nicht wie du dieses Ziel zu erreichen gedenkst. Das führt nämlich unweigerlich zu einem XY-Problem, weil du am Ende plötzlich irgendeine Krücke mit der Unterstützung des Forums baust, weil das Forum gar nicht genau weiß was du da überhaupt veranstaltest und es womöglich eine viel sinnvollere Lösung gegeben hätte.

Ich sehe hier schon Antworten kommen, in denen an den internen Config-Dateien der FB rumgehackt wird, um auf Biegen und Brechen die Antwort zu "Wie DHCP-Server als IP-Client aktivieren?" zu liefern, während die Antwort auf "Ich habe folgende Probleme mit DHCP in der DMZ mit OpenWRT, was tun?" womöglich komplett anders aussehen und ggfs sogar viel viel einfacher sein würde (zB DHCP in IPFire aktivieren).

 

[Cappuccio]

Danke für das Posting.

Ich habe vergessen zu fragen, ob die Fritz!Box im Client Modus auch DNS anbieten kann?

Wenn die Fritzbox als IP-Client arbeitet, i...

Das ist mir alles klar aus dem obigen Abschnitt. Habe das obige nur geschrieben, da der Kollege von Trennung gesprochen hatte oder ein weitere Mitlesen mit irgendetwas um die Ecke kommt.

Nein, weil die Fritzbox dann nur ein Switch + Access Point und ggfs noch mit Telefonie-Funktion ist. Die Firewall findet nur zwischen WAN und LAN+WLAN statt.

Davon bin ich ursprünglich ausgegangen.

Als IP-Client gibt es jedoch kein WAN und somit auch keine Firewall. Innerhalb eines Switches hätte die Firewall so oder so keine Eingriffsmöglichkeiten, wenn keine VLANs unterstützt werden (was leider so ist, also nix VLAN).

Mit OpenWRT lässt sich IMHO entsprechendes bauen (auch wenn man es nicht benötigt).

Das klingt für mich wenig sinnvoll.

Doch ist es. Siehe unten.

Warum stellt IPFire nicht sinnvollerweise den DHCP-Server für alle Netzwerke, die an ihr zusammenlaufen? In der Regel ist es nämlich der zentrale Router, der den DHCP-Server stellt und eine Auslagerung in einen externen DHCP-Server erfolgt nur, wenn man handfeste Gründe hat wie zB pihole oder ein vollwertiger Server mit AD und allem pipapo.

Weil ich das so haben möchte, aufgrund von IPFire-"Defiziten" bzw. um diese Defizite zu umgehen.

IPFire in der Version ist eingeschränkt. Das ist eine sehr gute Firewall aber mit folgenden Limits (zumindest in der Version 2.x):

Man hat nur vier Zonen und mit VLANs geht nicht viel:

Red - Internet
Green - Internes Netz
Blue - weiteres Internes Netz, das per default nicht auf Green zugreifen kann (muss freigegeben werden); i.d.R. für WLAN gedacht
Orange - DMZ => nur mit statischer IP (also kein DHCP) und kein DNS: https://wiki.ipfire.org/configuration/firewall/rules/dmz-setup

Da ich nur diese Zonen habe (die Beschränkungen soll in Version 3.x fallen aber wann die kommt steht in den Sternen) muss ich mit denen klar kommen (es sei denn ich würde die Fritz!Box in Blue packen => hätte VoIP/SIP aber lieber in der DMZ).

Green und Blue möchte ich für meinen privaten Kram nutzen.
Orange, also die DMZ, für weiteres, da es keinen weiteren Zonen gibt. Daher die Idee, in Orange ein weiteres Netz aufzubauen. Es muss ein DNS + ein DHCP-Server entsprechend in Orange geben (oder mann muss auf den Clients in Orange statische IP-Adressen einrichten, sofern man das kann).

Daher die Frage mit der Fritz!Box. Mit OpenWRT klappt das. Nur würde ich eben gerne auch VoIP/SIP haben. Das würde wohl mit OpenWrt gehen, wenn man einen Asterisk installiert. Habe aber wenig Lust mich damit zu beschäftigen und da die Fritz!Box wohl einen recht guten Firmwaresupport hat, würde ich diese gerne anstatt den OpenWRT-Router in der DMZ für das Szenario nutzen. Ich könnte die Fritz!Box auch einfach an den OpenWRT-Router im Client-Modus anstecken: Dann habe ich aber zwei Geräte und somit höheren Stromverbrauch.
Das ist der Hintergrund.



Eine andere Möglichkeit wäre die Fritz!Box als kaskadierten Router zu betreiben. Aber dann hat man DoppelNAT (unschön; ggf. statische Routen). Hier könntest du mir als Netzwerkexperte weiterhelfen. Masquerading/NAT könnte man auf Orange/DMZ abschalten: https://wiki.ipfire.org/configuration/firewall/masquerading

Ein übliches Setup sähe daher exemplarisch so aus (Annahme: IPFire hängt via WAN am Internet):

www
|
(WAN)
IPFire
(LANs)
|
+ (LAN1 @ 192.168.0.1/24 + DHCP .100 - .200) -----Heimnetzwerk----- Switches, APs, Endgeräte
|
+ (LAN2 @ 192.168.1.1/24 + DHCP .100 - .200) ----------DMZ---------- Switches, APs und Server


Was da jetzt noch ein zusätzlicher OpenWRT-Router und/oder eine Fritzbox sollen, die den DHCP-Server bereitstellen, erschließt sich mir nicht. Ich sehe da keinerlei Vorteile. Zwischen IPFire und OpenWRT werden die DHCP-Möglichkeiten noch gleichwertig sein, aber die Frizbox bietet wie für einen Consumer-Router üblich nur die absoluten Basics. Warum also die Firzbox DHCP spielen lassen

Siehe oben.

Bzw.
https://wiki.ipfire.org/configuration/network/zoneconf
https://wiki.ipfire.org/configuration/firewall/default-policy
https://wiki.ipfire.org/configuration/firewall/rules/dmz-setup

 

[Raijin]

Dadurch ist ehrlich gesagt nichts klarer geworden, sondern ich bin noch verwirrter. Ich hatte das bisher so verstanden, dass die Fritzbox den OpenWRT-Router innerhalb des DMZ-Netzwerks der IPFire ersetzen soll. Dabei sind irgendwelche Zonen in der Firewall bei IPFire nicht relevant, weil wir hier ja nur über DHCP sprechen und etwaige Konfigurationsprobleme von IPFire von verwendeter OpenWRT- bzw. Fritzhardware innerhalb des DMZ-Netzwerks vollkommen unabhängig wären.

Mich beschleicht das Gefühl, dass das XY-Problem noch viel größer ist, weil du scheinbar Probleme mit IPFire hast, aber anstatt hier eine Lösung dafür zu suchen, bastelst du zusätzliche Router in das Setup und weil das dann nicht so zu funktionieren scheint wie du dachtest, fragst du nun danach wie man das zum Laufen bringen kann. Wenn IPFire jedoch das eigentliche Problem darstellt, ist auch genau dort der Ansatzpunkt für eine Lösung zu suchen, zB indem man anstelle von IPFire pfSense oder dergleichen einsetzt.

KISS ist ein Grundprinzip in der Informatik, Keep It Simple, Stupid. Je mehr Geräte bzw. Router und Firewalls an der Geschichte beteiligt sind, umso komplexer wird das Zusammenspiel und es gibt ein VIelfaches an potentiellen Fehlerquellen. Wenn dann auch noch bunt zwischen (semi)professionellem Equipment und reiner Consumer-Hardware bunt gemischt wird, potenziert sich das ganze.


Ohne aber das komplette Netzwerk mit all seinen Komponenten, Netzwerken, Subnetzen und Funktionen zu kennen, kann ein Forum an dieser Stelle nicht mehr wirklich weiterhelfen. Frickellösungen, die als Workaround das zugrundeliegende Problem kaschieren, sind nie gut und fallen einem eher früher als später auf die Füsse.

Ich blicke bei dir auf jeden Fall nicht mehr durch und vermute, dass in deinem Netzwerk grundsätzlich etwas schiefläuft und du reine Symptombekämpfung betreibst.

 

[Cappuccio]

Mich beschleicht das Gefühl, dass das XY-Problem noch viel größer ist, weil du scheinbar Probleme mit IPFire hast, aber anstatt hier eine Lösung dafür zu suchen, bastelst du zusätzliche Router in das Setup und weil das dann nicht so zu funktionieren scheint wie du dachtest, fragst du nun danach wie man das zum Laufen bringen kann. Wenn IPFire jedoch das eigentliche Problem darstellt, ist auch genau dort der Ansatzpunkt für eine Lösung zu suchen, zB indem man anstelle von IPFire pfSense oder dergleichen einsetzt.

Die Alternativen sind mir bekannt. Allerdings läuft ja prinzipiell alles sehr gut und ein Wechsel macht man nicht mal einfach so (Zeit). Zudem ist IPFire (da Linux und nicht *BSD) wohl ein gutes Stück schneller (insbesondere auf relativ schwacher Hardware).
Möchte nicht ausschließen, dass ich *sense in die engere Wahl nehme aber aus Zeitgründen vermutlich eher nicht kurzfristig.

KISS ist ein Grundprinzip in der Informatik, Keep It Simple, Stupid. Je mehr Geräte bzw. Router und Firewalls an der Geschichte beteiligt sind, umso komplexer wird das Zusammenspiel und es gibt ein VIelfaches an potentiellen Fehlerquellen. Wenn dann auch noch bunt zwischen (semi)professionellem Equipment und reiner Consumer-Hardware bunt gemischt wird, potenziert sich das ganze.

Klar. Verstehe. Allerdings ist das was ich derzeit habe ja nichts weltbewegendes. Im Prinzip ein Switch und ein DHCP-Server in der DMZ und DNS (= auf einem Edgerouter mit OpenWRT).

"Warum also die Firzbox DHCP spielen lassen"
https://wiki.ipfire.org/configuration/firewall/rules/dmz-setup
• There is no DHCP server available in the IPFire DMZ.
• There is no DNS server in the IPFire DMZ.

Ich blicke bei dir auf jeden Fall nicht mehr durch und vermute, dass in deinem Netzwerk grundsätzlich etwas schiefläuft und du reine Symptombekämpfung betreibst.

Es läuft alles und performant. Die Frage war halt ursprünglich nach den Features der Fritz!Box (um ggf. den OpenWRT-Router durch eine Fritz!Box zu ersetzen) und nicht nach meinem Netz.

 

[Raijin]

"Warum also die Firzbox DHCP spielen lassen"
https://wiki.ipfire.org/configuration/firewall/rules/dmz-setup
• There is no DHCP server available in the IPFire DMZ.
• There is no DNS server in the IPFire DMZ.

Interessant. Es war mir nicht bewusst, dass IPFire das offenbar nicht bietet. Dann kann ich die Suche nach einer Alternative nachvollziehen.

Die Frage war halt ursprünglich nach den Features der Fritz!Box (um ggf. den OpenWRT-Router durch eine Fritz!Box zu ersetzen) und nicht nach meinem Netz.

Es geht aber darum, dass man als Hilfeleistender alle nötigen Informationen bekommt. Ich setze IPFire beispielsweise nicht ein und dementsprechend wirkt das Setup dann einfach nur falsch.

Sei's drum, du kannst es natürlich auch mal so probieren:

• Fritzbox im Routermodus
• Fritzbox via LAN an IPFire DMZ
• Fritzbox WAN bleibt LEER
• Fritzbox DHCP konfigurieren

So arbeitet die Fritzbox zwar als DHCP, hat aber ihrerseits keine Internetverbindung, da WAN offen ist. Deswegen muss via DHCP auch direkt zB 8.8.8.8 als DNS verteilt werden, weil davon auszugehen ist, dass die Fritzbox ohne WAN die DNS-Queries nicht weiterleitet, wenn sie selbst als DNS fungiert. Wobei das auszuprobieren wäre (hab keine Fritzbox)

Ansonsten bliebe dir bei einer Fritzbox wohl nur die Routerkaskade, da zB ein MikroTik hAP AC2 keine Telefonie bietet und diese wiederum durch ein VoIP-Gateway (sei es die besagte Fritzbox oder zB Gigaset Go-Box) realisiert werden müsste.

Alles in allem wirft das allerdings die Frage auf, ob das DMZ-Netzwerk dann überhaupt die richtige Wahl an der IPFire ist, wenn das augenscheinlich so nicht gedacht ist.

 

[Cappuccio]

Interessant. Es war mir nicht bewusst, dass IPFire das offenbar nicht bietet. Dann kann ich die Suche nach einer Alternative nachvollziehen.

Ja. Sonst würde ich das ja nicht so machen. Mir ist schon klar, wo deine kritische Nachfrage herkommt. Ich kann mir schon denken, dass manchmal grundlos komische Dinge gemacht werden.

Es geht aber darum, dass man als Hilfeleistender alle nötigen Informationen bekommt. Ich setze IPFire beispielsweise nicht ein und dementsprechend wirkt das Setup dann einfach nur falsch.

Stimmt. Ich war allerdings schreibfaul und habe zudem auch nicht unbedingt damit gerechnet, dass hier jemand mit Netzwerk-Knowhow kritisch nachfragt.

Sei's drum, du kannst es natürlich auch mal so probieren:

• Fritzbox im Routermodus
• Fritzbox via LAN an IPFire DMZ
• Fritzbox WAN bleibt LEER
• Fritzbox DHCP konfigurieren

So arbeitet die Fritzbox zwar als DHCP, hat aber ihrerseits keine Internetverbindung, da WAN offen ist. Deswegen muss via DHCP auch direkt zB 8.8.8.8 als DNS verteilt werden, weil davon auszugehen ist, dass die Fritzbox ohne WAN die DNS-Queries nicht weiterleitet, wenn sie selbst als DNS fungiert. Wobei das auszuprobieren wäre (hab keine Fritzbox)

Danke. Ich habe ebenfalls noch keine Fritz!Box. Wobei die Client-Variante (oben Post von tifa) ggf. auch klappen könnte.

Ansonsten bliebe dir bei einer Fritzbox wohl nur die Routerkaskade,

Mit statischen Routen.

Es gäbe evtl. noch diese Option: https://wiki.ipfire.org/configuration/firewall/masquerading
NAT auf der IPFire abschalten in der DMZ. Was da wirklich passiert bezogen auf die Firewall ist mir aber nicht klar.

da zB ein MikroTik hAP AC2 keine Telefonie bietet und diese wiederum durch ein VoIP-Gateway (sei es die besagte Fritzbox oder zB Gigaset Go-Box) realisiert werden müsste.

Was taugen denn diese Gateway wie von Gigaset? Ich kann mich mehrfach erinnern in der Vergangenheit gelesen zu haben, dass viele Hersteller beim Thema Sicherheitsupdate bei VoIP-Hardware schlecht sind und Lücken lange offen stehen lassen. Da waren meine ich auch schon Hersteller wie SNOM negativ aufgefallen, die glaube ich bei den Telefonen als etwas "besseres" gelten.
Bei AVM hat man ja offenbar recht guten Support, was das Thema angeht.

Alles in allem wirft das allerdings die Frage auf, ob das DMZ-Netzwerk dann überhaupt die richtige Wahl an der IPFire ist, wenn das augenscheinlich so nicht gedacht ist.

VoIP/SIP in der DMZ hat wohl der ein oder andere IPFire-User.

Für mich ist das ein Workaround um das vermutlich größte Manko von IPFire 2.x zu umgehen und um mein Netzwerk trotzdem zu segmentieren.
Aktuell nutze ich (noch) kein Blue. Ist aber geplant. Am Anfang hatte ich das, was jetzt in der DMZ (Orange) steht ganz normal in Blue. Funktioniert problemlos mit meinem alten Edgerouter SFP, den ich auf OpenWRT geflashed habe. Den würde ich später als Switch für Blue verwenden, wenn das Fritz!Box-Szenario gut funktioniert (Doppel-NAT sollte ja im Notfall ebenfalls laufen).

Es ist aber ein Wechsel auf Glasfaser Telekom angedacht; dadurch ändert sich die Telefonie bei mir, die derzeit noch nicht über SIP läuft (und die möchte ich nicht in Green oder Blue haben). Die Fritz!Box kann ich notfalls als VDSL-Modem Übergangslösung nutzen, falls der Glasfaser-Anschluss noch nicht steht (was ich nicht hoffe; bin aktuell bei Kabel Vodafone).

 

[Cappuccio]

Zur Info: Es scheint nur die Router-Kaskade möglich zu sein, d.h. double NAT (oder eben als normaler Client - dann ist der DHCP-Server in der Fritz!Box selber deaktiviert und lässt sich auch nicht aktivieren).
Bei mir scheint damit dennoch alles zu laufen. Allerdings habe ich noch kein VoIP wirklich probiert. Und das könnte problematisch werden (hatte nur ganz kurz erfolglos einen alten Dus.net Account geprüft, der aber auch nicht im Client-Modus lief => Problem an anderer Stelle).

Ggf. geht das ursprünglich gewünschte Szenario über irgendwelches rumfrickeln, das so von AVM nicht vorgesehen ist (es sei denn ich nutze Blue anstatt Orange => wäre zu überlegen). Dass man masquerading abschalten kann, war wohl sogar mal in einer Labor-Firmware drin (habe es in irgendwo gelesen), ist dann aber wieder rausgeflogen.
Schade, dass AVM nicht mehr zulässt.

Ebenfalls habe ich aufgeschnappt, dass der SIP-Stack laut einem IPFire Entwickler wohl schlecht ist (aus welchen Gründen auch immer).

Mal sehen, was ich mache, wenn der neue Anschluss dann irgendwann da ist. OPNsense möchte ich auch nicht ausschließen.