Fritzbox als Modem, Asus Router für VPN und DECT Telefone verbinden

[skillwilde]

Hallo Leute,

bevor ich Wild herum bestelle würde ich gerne hier mal nachfragen, ob das, was wir versuchen überhaupt so möglich ist.
Wir haben drei Standorte, welche mit VPNs verbunden werden müssen zum ein und ausbuchen von Waren.
Alle Anschlüsse haben zwischen 2 und 3 eigene Rufnummern und Telefone, derzeit über DECT an Fritzboxen angeschlossen.
Zwei der Anschlüsse sind bei der Telekom, einer bei Unitymedia.
Standort A läuft über eine 7530 mit 100/40 Mbit und ist der Standort mit dem "Hauptserver"
Standort B läuft über eine 6490 mit 250/20 Mbit
Standort C läuft über eine 7590 mit 100/40 Mbit

Nun zur Frage.
Ist es möglich, die Fritzboxen alle in einen Bridge Modus zu setzen, dahinter einen Asus Router alles erledigen zu lassen inkl. VPN und dann aber die Telefone per DECT trotzdem über die Fritzbox laufen zu lassen? Ist die DECT Station der Fritzbox im Bridge Modus deaktiviert ?
Der Grund ist, dass die Fritzboxen für unsere VPN Verbindungen leider nicht ausreichend Schnelligkeit bieten und wir je nach Standort und UP/Download Aufgabe zwischen 400kbit/s und 900kbit/s rumdümpeln. Der Asus Router an jedem Standort soll da Abhilfe schaffen und die volle Geschwindigkeit der Anschlüsse zulassen.

Beste Grüße,

Skillwilde

 

[Madman1209]

Hi,

für meine Begriffe und sofern ich das richtig verstehe - das wird gewerblich / professionell genutzt? - hat hier weder Asus noch eine FritzBox etwas verloren, sondern vernünftig eingerichtete, gewartete, professionelle Hardware.

VG,
Mad

 

[gaym0r]

Bridge-Modus ist soweit ich weiß nicht (mehr) möglich, zumindest nicht offiziell und nur mit viel frickeln.
Geht aber auch ohne Bridge-Modus wunderbar, via "Exposed Host".
Dann funktioniert auch DECT weiterhin und man kann auch die *.myfritz.net Adressen benutzen um die VPN-Tunnel aufzubauen. Ob die Asus-Router das ganze aber besser können als die Fritzboxen... Dazu kann ich keine Aussage treffen.

 

[skillwilde]

@Madman1209 Ja das ganze wird gewerblich genutzt, aber nur weil etwas gewerblich genutzt wird, bedeutet das leider nicht, dass dein Chef genug Geld und Interesse in die Hand nehmen möchte. Man könnte nämlich auch sagen, dass wir an jedem Standort eigentlich eine Gigabit Anbindung benötigen, die ist aber auch schon zu teuer und das Problem soll trotzdem möglichst gut gelöst werden.

@gaym0r Wie würde man das denn dann genau machen? Die VPN Tunnel würden wir dann nicht mehr über die myfritz Adressen laufen lassen sondern als multiple Side to Side VPN vom ASUS Router selber. Laut Erfahrungsberichten schaffen die Asus Router bis zu 227mbit bei 250mbit Anbindung, dass würde bereits deutliche Verbesserung bringen.

 

[Madman1209]

Hi,

mag alles sein, aber ein Profi richtet euch das vermutlich in einem Tag ein und die Hardware dafür ist jetzt auch nicht unbezahlbar. Gerade, wenn es um Geschäfts- oder Kundendaten geht ist das kein Kavaliersdelikt mehr!

VG,
Mad

 

[skillwilde]

Ich denke nicht das ich meinen Chef davon überzeugen kann, jemanden kommen zu lassen für etwas was seiner Meinung nach funktioniert und dafür dann auch noch mehrere Tausend Euro in die Hand zu nehmen.
Könnten wir daher möglichst bei der aktuellen Situation bleiben um das Problem möglichst effektiv und kostengünstig zu lösen?

 

[corvus]

Richtige Firewall / Router hinter der Fritzbox als exposed-Host einrichten und gut. Hab damit auch schon zig Sophos Firewalls laufen.
Sehe in der Konstellation auch für den professionellen Betrieb kein Problem, auch denn ich inzwischen bei Sophos zB direkt VDSL-Module für den SFP-Slot bekomme.
Kostet aber halt trotzdem gleich 2-3x soviel wie eine für den Anschluss geeignete Fritzbox.
Aber ASUS Router dahinter? Naja.

Optimalerweise würde ich aber dennoch zB Sophos SG1xx-rev.3-Firewalls mit dem optionalen SFP DSL-Modulen nutzen.

Alternativ: Sophos SG am Hauptstandort (mit fester IP) und eigenem DSL-Modul, Außenstellen mit normaler Fritzbox und Sophos RED; die braucht nur DHCP von der Fritzbox und Internet, mehr nicht, ist in wenigen Minuten eingerichtet. Bringste selbst dem doofsten Endnutzer telefonisch noch bei das anzuschließen.

 

[gaym0r]

@gaym0r Wie würde man das denn dann genau machen? Die VPN Tunnel würden wir dann nicht mehr über die myfritz Adressen laufen lassen sondern als multiple Side to Side VPN vom ASUS Router selber. Laut Erfahrungsberichten schaffen die Asus Router bis zu 227mbit bei 250mbit Anbindung, dass würde bereits deutliche Verbesserung bringen.

Haben die Standorte feste IP-Adressen? Bei einer Site-2-Site VPN-Verbindung muss min. eine öffentliche IP-Adresse einer Seite bekannt sein und entsprechend konfiguriert sein - entweder durch feste öffentliche IP-Adressen oder über DynDNS Adressen (z.B. myfritz.net)
Wie soll es sonst gehen? Irgendeine Seite muss ja die Verbindung initiieren und dazu muss eine Gegenseite bekannt sein.

Ich weiß nicht genau wie bei Asus die VPN-Config abläuft. Als Gegenstelle trägst du halt die öffentliche IP-Adresse einer der anderen Standorte ein, die Fritzbox dieses Standortes wird dann den Traffic weiterleiten zum Asus-Router, welcher ja als Exposed Host konfiguriert wurde.

 

[Lawnmower]

Ich würde das alles so lassen wie es ist und einfach den VPN Verkehr von einer entsprechenden Appliance machen lassen (sicher nicht mit Asus Routern) - die kosten nicht viel (z.B. https://geizhals.at/ubiquiti-unifi-security-gateway-usg-a1213487.html). An den Fritzboxen muss dann bloss das Port Forwarding eingerichtet werden.

 

[Nizakh]

Die Idee mit dem ASUS Router halte ich für Käse, dass ist nichts Professionelles und kann auch wenig.
Wenn es nur um einen gesteigerten VPN Durchsatz geht: Lass die Fritzboxen vor Ort, deaktiviere in denen das VPN. Hol dir für jeden Standort einen Raspi 4 und bau dann via OpenVPN oder IPSec (Bsp. StrongSwan) die Site-to-Site Verbindung auf.

Die Frage die sich stellt: Wie firm bist du in Netzwerktechnik?

Selbstverständlich wäre es am sinnvollsten Ihr lasst euch durch einen Spezialisten in Rat und Tat unterstützen. Wenn ich schon höre mehrere Standorte und keine vernetzte/zentrale Telefonie oder Site-to-Site VPN via Fritzbox...
Dann ist das halt Unpassend in einer Firmenumgebung.

 

[gaym0r]

@Nizakh
Und du hälst es für professioneller eine Software, die im Alpha-Stadium ist, auf einem Raspberry laufen zu lassen?

 

[snakesh1t]

Die Fritzbox lässt sich ohne Probleme als Modem nutzen! Dein Provider muss dort aber ggf. eine Custom Firmware drauf laden, bei NetCologne ist dann der LAN Port 4 durchgereicht und ein Router dahinter kann dann die PPPoE Einwahl vornehmen. Geht auch im Geschäftskundenbereich!

 

[skillwilde]

@corvus bei deiner Lösung würden wir uns da also mit der Hauptfirewall und 2 Appliances bei ca. 1200€ bewegen wenn ich mir das gerade richtig angesehen habe? Die werben ja damit, dass es total einfach ist alles einzurichten, dass wäre eigentlich gut wenn ich mal nicht mehr in der Firma bin und mein Chef sowas selber machen müsste.

@gaym0r Feste IPs sind an Standort A und B eingerichtet. Im Prinzip muss auch nur B mit A und C mit A kommunizieren können. C und B müssen sich theoretisch nicht verständigen.

@Lawnmower Könntest du das eventuell etwas erläutern? Ich kann da nicht genau folgen, wie das Gerät im Beispiel die VPN Verbindung entsprechend schneller gestalten würde.

@Nizakh Die Idee habe ich auch schon beim durchsuchen des Forums gelesen. Ich selber habe zwar eine Ausbildung in Netzwerktechnik, aber ich würde mich nicht als Netzwerktechniker bezeichnen. Die Lösung erscheint mir als könnte ich das irgendwie hinbekommen, allerdings könnte ich bei Problemen keine schnelle Lösung erarbeiten, da ich nur 1 Semester Linux hatte.

Vielen Dank für die zahlreichen Lösungvorschläge. Ich versuche mir jeden einzelnen anzusehen und zu verstehen, wie wir das in unserem Unternehmen realisieren können.

 

[Nizakh]

Hier stand Mist

 

[gaym0r]

@Nizakh
Und hast du dafür eine Quelle? Laut Website:
Work in Progress
WireGuard is currently working toward a stable 1.0 release. Current snapshots are generally versioned "0.0.YYYYMMDD" or "0.0.V", but these should not be considered real releases and they may contain security quirks (which would not be eligible for CVEs, since this is pre-release snapshot software). This text will be removed after a thorough audit.

Bis zuletzt hat der Entwickler davon abgeraten Wireguard produktiv einzusetzen.

 

[dj-melo]

ipfire oder pfsense schachteln hinter die fritz boxen als exposed host und die vpn etc machen lassen gut ist's.

https://www.pfsense.org/products/ oder https://www.lightningwirelabs.com/products/ipfire/appliances

 

[gaym0r]

Och Leute... Es gibt für so ein Szenario vermutlich 100 mögliche Lösungen, die einen mehr die anderen weniger teuer. Macht jetzt keinen Sinn ihm das alles vorzuschlagen, wenn sein Chef kein Geld in die Hand nehmen will und er das über die Asus-Router umsetzen möchte.

 

[meph!sto]

@Madman1209 Ja das ganze wird gewerblich genutzt, aber nur weil etwas gewerblich genutzt wird, bedeutet das leider nicht, dass dein Chef genug Geld und Interesse in die Hand nehmen möchte. ...

Interessant wird es, welcher €-Schaden entsteht, wenn eure VPNs ausfallen (aufgrund von Consumerware in einem prof. Umfeld).
Meist relativieren sich da die Mehrkosten einer prof. Lösung sehr schnell.

 

[ChAiN SaW]

Och Leute... Es gibt für so ein Szenario vermutlich 100 mögliche Lösungen, die einen mehr die anderen weniger teuer. Macht jetzt keinen Sinn ihm das alles vorzuschlagen, wenn sein Chef kein Geld in die Hand nehmen will und er das über die Asus-Router umsetzen möchte.

Die Frage ist, ob die jetzt schon vorhanden sind oder erst gekauft werden sollen, weil der Chef vllt privat mit ASUS zufrieden ist oder es ihm jemand empfohlen hat.
Falls sie nicht vorhanden sind, wäre wohl diese Variante die beste.

Ich würde das alles so lassen wie es ist und einfach den VPN Verkehr von einer entsprechenden Appliance machen lassen (sicher nicht mit Asus Routern) - die kosten nicht viel (z.B. https://geizhals.at/ubiquiti-unifi-security-gateway-usg-a1213487.html). An den Fritzboxen muss dann bloss das Port Forwarding eingerichtet werden.

 

[skillwilde]

Ich habe halt die Genehmigung und das Budget für die Asus Router bekommen, dass war schon schwierig genug. Wenn es besser und kostengünstigere Alternativen gibt, geht das natürlich auch, allerdings schien mir die generelle Möglichkeit mit den Asus Routern hinter der Fritzbox als schnellste und günstigste Lösung, leider wusste ich nur nicht ob die DECT Telefone dann noch funktionieren.

@meph!sto Das wird mein Chef nie interessieren, wir haben für 5€ im Monat weniger an Standort C eine 1&1 Leitung statt eine Business Telekom Leitung mit 24H Service. Bisher ist nie etwas schlimmes was ich nicht lösen konnte passiert, daher ist es ihm nicht bewusst was das für Folgen hat.

@ChAiN SaW Die Router sind noch nicht gekauft. Im Prinzip kümmere ich mich gerade um eine Lösung, da unser WaWi Verkäufer uns nicht darüber informiert hat, dass eine Fritzbox VPN viel zu langsam zum Arbeiten ist, aber gleichzeitig diese Lösung empfohlen hat...