Fritzbox Weiterleitung zu Subnetz

[nielscho]

Moin

ich habe folgenden Netzwerkaufbau

Fritzbox mit IP 192.168.25.1 als Router der den Internetzugang herstellt.
Hierran verbunden per Kabel (Lan Port auf LAN Port) ein TP-Link Router als AP im hinteren Teil des Hauses (192.168.25.2, DHCP aus).

Nun von einem anderen Gebäude ein TP-Link mit DD-WRT der im Client Mode eine Verbindung zu dem W-Lan des TP-Link herstellt.
Der DD-WRT hat die Adresse 192.168.25.6 nach außen im "Fritznetzwerk" und intern die 192.168.2.1.
An diesem sind 3 Netzwerkgeräte mit angeschlossen (192.168.2.200,-.203,-207).

In der Fritzbox ist eine statische Route in das Netz 192.168.2.0 mit der 25er-Adresse des DD-WRT gesetzt.

Wenn ich mich nun im Netz der Fritzbox befinde kann ich alle Endgeräte im 2er anpingen und die jeweiligen Weboberflächen per Browser erreichen.

Frage ist nun wie ich diese Geräte aus dem Internet erreichen kann.
Als Gerät im Heimnetz wird in der Fritzbox nur der DD-WRT mit seiner Adresse 192.168.25.6 aufgelistet.
Wenn ich versuche in der Fritzbox eine Freigabe zu erstellen und hier die IP manuel eingebe auf 192.168.2.200 so erhalte ich die Fehlermeldung "IP-Adresse nicht verfügbar".

Wie kann ich also eine Weiterleitung zu diesen Geräten einrichten?

mfg
Nielscho

(PS: Habe schon versucht im DD-WRT ein Portforwarding einzurichten von 192.168.25.6 Port 80 auf 192.168.2.200 Port 80 sowie 192.168.25.6 Port 81 auf 192.168.2.203 Port 80 etc. Jedoch komme ich hierrüber aus dem Fritznetzwerk durch Eingabe der IP im Browser nicht auf den jeweiligen Webserver des Endgerätes)

 

[chrigu]

du musst die weiterleitung am hauptrouter (dort wo internet angeschlossen ist) eintragen und entsprechende statische routen eintragen.

kleiner hinweis: port 80 ist https und sollte nicht auf einzelne geräte "gesperrt" werden.
wenn es um ein webserver geht, stelle den port auf einen im 5000er bereich ein und leite entsprechend weiter.

 

[d0ner]

Hier stand Unfug, hab gelesen, die Geräte kämen nicht ins Internet

PS: Port 80 ist der HTTP Port. Der HTTPS Port ist 443...

 

[ms007]

... port 80 ist https und sollte nicht auf einzelne geräte "gesperrt" werden. ...

Zunächst mal ist Port 80 http, nicht https. Und das sollte "von außen nach innen" sehr wohl gesperrt sein. "Von innen nach außen" selbstverständlich nicht.

Frage an den TE zur Klarstellung: Welche Dienste Deiner Geräte im internen Netz willst Du denn von außen erreichen können?

 

[Merle]

Außen nach .25.6:80 weiterleiten, am .2.1 dann .25.6:80 auf .2.200:80 weiterleiten.
Bei passenden Routen und Freischaltungwn geht das. Der AP ohne NAT kann ignoriert werden.

 

[Raijin]

Mal eine generelle Frage: Ist das gewollt, dass die Geräte hinter dem DD-WRT Router ein eigenes Subnetz haben?

Genau genommen läuft der nämlich aktuell nicht als WLAN-Client, sondern im WISP-Modus. Dabei wird die WLAN-Verbindung als WAN konfiguriert und zwischen WLAN (WAN) und dem LAN sitzen dann auch NAT und Firewall. Im WLAN-Client-Modus wiederum, fügt der Router das WLAN banal ausgedrückt einfach dem internen Switch hinzu, d.h. alle Geräte am LAN des Client-Routers bekommen ihre IP trotzdem vom DHCP des Internetrouters.

Die Frage ist also: Soll das so sein? Wenn ja, ok, dann brauchst du am DD-WRT-Router eine Portweiterleitung, weil im WISP-Modus die Verbindung WLAN<->LAN durch NAT/Firewall getrennt ist. Wenn nein, dann ist der DD-WRT-Router falsch konfiguriert. Als normaler WLAN-Client sollte es eigentlich so sein wie oben beschrieben, alles im selben Subnetz. Eine Portweiterleitung bzw. Route ist dann nicht erforderlich, weil quasi alle an einem großen Switch hängen und im selben IP-Bereich sind.

Im WISP-Modus (kann bei DD-WRT auch anders heißen, ka) wäre es so, dass folgendes tun musst.

1. In der Fritzbox eine Route ins Subnetz des DD-WRT-Routers anlegen musst (Gateway = WLAN-IP des DD-WRT-Routers)
2. Eine Portweiterleitung für die benötigten Ports im DD-WRT-Router einrichten, damit die W(L)AN zu LAN Firewall/NAT durchgeht
3. Für den Zugriff von extern auf Geräte im DD-WRT-Subnetz eine Portweiterleitung von extern xxx auf DD-WRT-IP Port xxx und dort entsprechend wie in 2. zum Endgerät weiterleiten.

 

[nielscho]

Mal eine generelle Frage: Ist das gewollt, dass die Geräte hinter dem DD-WRT Router ein eigenes Subnetz haben?

Genau genommen läuft der nämlich aktuell nicht als WLAN-Client, sondern im WISP-Modus. ....

In der Doku vom DD-WRT wird dies als Client Mode bezeichnet.
Es gibt weiterhin noch die "Client Bridge" der dann dem erwähnten "richtigen" Client Entspricht.

Hatte zuerst auch diese Client-Bridge eingerichtet. Problem war das die Fritzbox mir dann immer "nur" 1 Gerät von den angeschlossenen 3en angezeigt hat. Immer mit verschiedener Ip, jedoch selbe MAC. Gehe daher davon aus das die Fritzbox damit nicht ganz klar kam das die 3 Geräte eigentlich über 1 MAC-Adresse (nähmlich die vom DDWRT) zu erreichen waren.
Mit dieser Konfiguration würde natürlich die Weiterleitung nach draußen auch leichter fallen.

Frage an den TE zur Klarstellung: Welche Dienste Deiner Geräte im internen Netz willst Du denn von außen erreichen können?

Hier geht es um die Webserver von IP-Kameras. Diese sind jeweils auch noch mit Benutzername/Kennwort geschützt.

du musst die weiterleitung am hauptrouter (dort wo internet angeschlossen ist) eintragen und entsprechende statische routen eintragen.

würde ich ja gerne. Aber bei der Fritzbox bekomme ich beim manuellen Einrichten die Fehlermeldung das "Die IP Adresse nicht verfügbar" ist. Wohl aus dem Grund weil sie im anderen Subnet liegt.

@Merle
wie jetzt genau?
Beim DD-WRT sieht das Feld für die Weiterleitung so aus:
Anhang anzeigen 606121

Habe jetz eingetragen:
Source: 192.168.25.6 (Adresse des WRT im Fritz Netzwerk)
Port from: 80
IP-Adress: 192.168.2.200 (Gerät das Erreichbar sein soll)
Port to: 80

Damit sollte dann doch wenn ich im Fritznetzwerk bin das Geärt an x.x2.200 über die 192.168.25.6 erreichbar sein?
Habe gerade gesehen das ich hier evtl den Fehler habe. Anstelle von x.x.25.6 muss hier wohl 0.0.0.0 eingetragen werden.
Dies werde ich heute Nachmittag erst ausprobieren.

mfg
Nielscho

 

[Raijin]

Überall dort wo eine NAT-Grenze ist, musst du eine Portweiterleitung einrichten. Das ist zum einen natürlich die Fritzbox (Internet <-NAT-> WLAN+LAN) und zum anderen der 2. Router (FritzWLAN <-NAT-> LAN). Heißt: Du musst dann für den externen Zugriff auf ein Gerät hinter dem 2. Router in der Fritzbox eine Weiterleitung auf die IP des 2. Routers einrichten (weil die Fritzbox das Gerät dahinter durch NAT nicht sieht). Im 2. Router musst du dann den Traffic wiederum an das Gerät im internen Subnetz weiterleiten. Ungefähr so:

Extern Port 1234 --> Fritzbox Weiterleitung an Router#2 Port 1234 ---> Router#2 Weiterleitung an Server Port 1234

Es ist aber schon komisch, dass der richtige Client-Modus nicht funktioniert. Ist jetzt nicht so ungewöhnlich, dass man einen WLAN-Router als Client nutzt und am Switch mehrere Geräte anklemmt.

 

[nielscho]

... Ungefähr so:

Extern Port 1234 --> Fritzbox Weiterleitung an Router#2 Port 1234 ---> Router#2 Weiterleitung an Server Port 1234

alles klar, das werde ich heute mal ausprobieren.

Dazu jetzt mal aber eine hoffentlich nicht zu doofe Frage:
Wenn ich im Netz der Fritzbox im Browser die Adresse eines Gerätes aus dem Subnetz eingebe, dann werde ich, weil eine statische Route eingerichtet habe, auf das Gerät "geroutet". Also wenn ich es richtig verstanden habe geht die Anfrage aus der Adresszeile an die Fritzbox, die weiß das das 2er Netz am 2 Router hängt (statische Route) und leitet mich dahin weiter, der 2te Router leitet mich an das jeweilige Gerät weiter.
Warum kann ich dann nicht auf der Fritzbox eine Weiterleitung von Außen auf eine "nicht vorhandene aber routbare" Adresse im Netz der Fritzbox einrichten und werde von da dann weitergeleitet wie es auch passiert als wenn ich direkt im Netzwerk der Fritzbox diese Adresse eingebe?

mfg
Nielscho

 

[Raijin]

Nein, ganz so läuft das nicht.

Eine Route leitet dich nur in die Richtung, die nächste Zwischenstation. Der PC hat als Standard-Gateway die Fritzbox. Wenn du nun eine IP im 2er Netz anpingst bzw. im Browser eingibst, schickt der PC den Traffic an die Fritzbox (das Ziel ist ja "extern", also Gateway). Die Fritze hat wiederum eine statische Route und schickt die Daten 1:1 weiter an den 2. Router. Der wiederum blockiert durch NAT bzw. die Firewall.

Stell dir das Szenario einfach eine Ebene höher vor. Wenn ich bei mir eine Route eintrage, die Traffic ins 25er Netz an deine öffentliche IP schickt - öffentliche IP@ Fritzbox = Haupt(W)LAN-IP von Router#2 - dann sagt deine Fritzbox doch auch "nö, geht nicht".

Für den Zugriff durch ein NAT braucht man eine Portweiterleitung. Ein 08/15 Router ist KEIN normaler Netzwerkrouter, sondern ein Internetrouter. Deswegen ist zwischen WAN und LAN fest eine Firewall bzw. NAT eingebaut. Der Einsatzzweck solcher Kisten ist eben "ein isoliertes Netzwerk in einem übergeordneten Internetz erstellen". Mit einem dedizierten Router wie einem EdgeRouter, einem MikroTik oder vergleichbaren Netzwerkroutern (oder ein Router mit DD-WRT/OpenWRT) kann man eben auch echte Netzwerke routen.

 

[nielscho]

So,
hat geklappt.

Fehler war die Weiterleitung im DD-WRT. Hier durfte bei "Source" nichts eingetragen werden damit der gesamte Verkehr weitergeleitet wird.
Nun ist die Weiterleitung wie folgt:

Internet ---Fritzbox-->DD-WRT-Router-->Endgerät

vielen Dank für die Tipps und das Wissen.

Gruß
Nielscho

 

[thuffir]

Hatte zuerst auch diese Client-Bridge eingerichtet. Problem war das die Fritzbox mir dann immer "nur" 1 Gerät von den angeschlossenen 3en angezeigt hat. Immer mit verschiedener Ip, jedoch selbe MAC. Gehe daher davon aus das die Fritzbox damit nicht ganz klar kam das die 3 Geräte eigentlich über 1 MAC-Adresse (nähmlich die vom DDWRT) zu erreichen waren.
Mit dieser Konfiguration würde natürlich die Weiterleitung nach draußen auch leichter fallen.
...
Aber bei der Fritzbox bekomme ich beim manuellen Einrichten die Fehlermeldung das "Die IP Adresse nicht verfügbar" ist. Wohl aus dem Grund weil sie im anderen Subnet liegt.

Welche Fritzbox Version hast du? In der aktuelle Version (6.80, 6.81) verhindert ein Fehler genau das was du hier versuchst:
https://avm.de/service/fritzbox/fritzbox-7390/wissensdatenbank/publication/show/3298_FRITZ-Box-meldet-Die-IP-Adresse-ist-nicht-verfuegbar/

FRITZ!Box meldet "Die IP-Adresse ist nicht verfügbar"

Beim Versuch eine Portfreigabe in der FRITZ!Box einzurichten, wird die folgende Fehlermeldung angezeigt:
"Es ist ein Fehler aufgetreten.
Fehlerbeschreibung: Die IP-Adresse ist nicht verfügbar.
Bitte geben Sie Ihre Daten noch einmal ein. Sollte der Fehler erneut auftreten, wenden Sie sich bitte an den AVM-Support."

1 IP-Adresse liegt in anderem IP-Netzwerk (Subnetz)
Durch einen Fehler in FRITZ!OS 6.8x können in der FRITZ!Box keine Portfreigaben für Geräte angelegt werden, die sich in einem nachgeschalteten IP-Netzwerk (Subnetz) befinden, z.B. im IP-Netzwerk eines mit der FRITZ!Box verbundenen, zusätzlichen Routers.
Wir arbeiten an einer Lösung und werden diese so schnell wie möglich in einem FRITZ!OS-Update für die FRITZ!Box bereitstellen. Einen Termin für das Update können wir noch nicht nennen.

Ergänzung (9. März 2017)

Nachtrag: In der Version 6.83 ist es immer noch nicht behoben...

 

[Raijin]

Das Problem des TE wurde längst behoben. Hintergrund war, dass er in der Portweiterleitung des untergeordneten Routers eine Source-IP angegeben hatte. Damit sagt man einem Router aber, dass eine Portweiterleitung nur gilt, wenn sie von exakt dieser IP-Adresse aus angewählt wird. Er hat die Source-IP rausgenommen und alles läuft wie gewünscht.

 

[thuffir]

Das Problem des TE wurde längst behoben.

Das war mir schon klar. Meine Antwort bezieht sich aber auf die Bridge-Konfiguration was er als erstes versucht hat. Ich habe nämlich das gleiche Problem, dass man mit dem aktuellen FritzOS keine Portweiterleitungen zu Subnetzen oder zu "gebridgeten" Geräten anlegen kann. (Was nachweislich mit anderen (z.B. OpenWrt) Geräten schon funktioniert hat.)