OpenWRT Router hinter Fritzbox

[Puhbaer]

Hallo zusammen,

Ich bin absoluter Neuling mit OpenWRT und wäre um jede(n) Rat und Unterstützung sehr dannkbar. Ich habe mir vor kurzem einen Router mit OpenWRT für mein privates HomeOffice zugelegt und würde diesen jetzt auch gerne hinter einer Fritzbox 7490 in betrieb nehmen. Installiert ist bereits OpenWRT 19.07.1

Bei der ersten in Betriebnahme, habe ich doch die sehr umfangreichen Einstellungsmöglichkeiten gesehen, welche mich dann doch etwas verwirrt haben und ich sehr wahrscheinlich niemals brauchen werde.

In der Pipline befindet sich also folgendes Projekt:

Fritzbox7490

Die FB soll sich als Modem weiterhin einwählen können und auch weiterhin die TK-Funktionen wie Drucker/Fax und Telefon übernehmen.


OpeWRT-Router

Dieser soll in einem unabhängigen Subnet hinter der Fritzbox eingebunden werden und folgende Funktionen übernehmen:

1.) Bereitstellung Internet über Fritzbox (ein.- und ausgehend).
2.) Bereitstellung Drucker und Fax über Fritzbox (ein.- und ausgehend)
3.) NAS-Server nur im internen Netz
4.) Mobilgeräte (Handys, Tablet) für Internet und E-Mail
5.) Reciver für Internetradio und Updates (ein.- und ausgehend)
6.) Notebook und PC für Internet und E-Mail mit SSH Zugriff auf externen Webserver beim Provider (ein.- und Ausgehend)
7.) Interne Geräte können ruhig untereinander korrespondieren.

Ich hab jetzt mal den Router mit den Werkseinstellungen über Kabel an den Lanport1 1 an die Fritzbox angebunden. Ins internet komme ich schon mal. Was allerdings noch nicht funktioniert ist W-Lan und der Drucker.

Ich bin mir dessen sicher das dies so noch nicht richtig sein kann.
Vielleicht kann mir da ja jemand weiterhelfen…


Gruß Andre

 

[d2boxSteve]

Du musst in der Fritzbox eine Route zum Netz hinter dem OpenWRT setzen.

z.B. hat OpenWRT 192.168.0.0/24 und FB üblicherweise 192.168.178.0/24 dann könnte das in der FB so aussehen:

Netz 192.168.0.0/24 ist erreichbar über 192.168.178.5 (wenn der OpenWRT am WAN Port eben die .5 aus dem FB-Netz hat).

Damit sollte dann alles hinter dem OpenWRT ins Internet kommen.

 

[Harry Bo]

Wie heißt Dein OpeWRT-Router ? Meiner ist ein Turris Omnia

 

[d2boxSteve]

Das Ganze hat aber wenig mit OpenWRT zu tun, selbst wenn du in der Funktion einen ASUS oder sonst einen Router einsetzt, man muss immer die "Rückroute" ins Netz auf dem ersten Gerät am Internetanschluß richtig setzen.

Ergänzung (12. Februar 2020)

Zu deinen Funktionen:

vom Internen OpenWRT Netz kommst du dann bereits ins FB-Netz, für die andere Richtung musst du deine gewünschten Sachen in der Firewall erst freischalten. Von "Außen" nach "Innen" ist standardmäßig ja bei jedem Router alles gesperrt.

Portforwards aus dem Internet werden erst auf der FB eingerichtet, Ziel der OpenWRT. Auf dem OpenWRT dann zum entsprechenden Gerät nochmal ein Portforward.

 

[leipziger1979]

OpeWRT-Router

Dieser soll in einem unabhängigen Subnet hinter der Fritzbox eingebunden werden und folgende Funktionen übernehmen:

Warum muss die Box mit NAT dahinter ihr eigenes Netzwerk haben?
Richte den WRT Router doch als IP CLient ein und habe alles in einem Netz.

 

[Wilhelm14]

...unabhängigen Subnet hinter der Fritzbox...
...Bereitstellung Drucker und Fax über Fritzbox...
...Interne Geräte können ruhig untereinander korrespondieren...

Wenn Punkt 3 gilt, kannst du Punkt 1 sein lassen und Punkt 2 wird ohne Punkt 1 auch einfacher sein.
Was genau versprichst du dir von Open-WRT?
Oder was genau ist dein Ziel mit anderen Worten beschrieben?

 

[Poati]

Schließe mich mal @Wilhelm14 an. Wozu das Ganze? Es sollte eigentlich alles mir der FB auch laufen. Wieso soll hinter der Fritzbox ein unabhängiges Subnet laufen, wo sich dann trotzdem alle Geräte befinden? Der Sinn von Subnetzen ist doch gerade die Aufteilung der Teilnehmer.

 

[Puhbaer]

Hallo zusammen,

erst einmal danke für die Antworten...

@Harry Bo
ist das denn nicht egal was für ein Gerät einsetze??? Ich denke es ist wichtiger, das es um OpenWRTZ geht und wie ich es einrichten kann. Es sollte heißen, dass ich das Gerät bereits mit installiertem OpenWRT gekauft ha

@Poati und @Wilhelm14
Der anlass ist der, dass ich nach dem letzten Windows Sicherheitsupdate (das NSA Update, angebliche Sicherheitslücke im Windows10) unheimlich viel Datentraffic auf der Leitung hatte. Und ich das über die Fritbox nicht wirklich einsehen und einstellen konnte. Technisch ist das leider nicht anders möglich, dass Drucker/Fax an der Fritbox angeschlossen bleiben müssen.

Das heißt, mir kommt es im wesentlichen darauf an, dass die restlichen Geräte, wie Tablets, Smartphones, Nas. PC und Notebooks sich hinter der Firewall des OpenWrt Routers befinden und ich so den Datenverkehr hier im Netzwerk besser kontrollieren kann. Sprich also nur den Drucker/Fax als Kombigerät den Zugriff auf das interne Netz hinter der Firewall gestatten möchte. Und eben halt Internet nutzen möchte.

Und da ich nur ein kleines Heimnetz betreibe auch kein großes IP-Netz benötige. Sicher hätte ich alles auf einer Fritzbox verwalten können wie bisher. Aber letzten Endes mit dem Kompromiss, eines geringeren Schutzes. Immerhin liegen auf der NAS die wirklich wichtigen um die es geht. Aber auch hier muss ich im internen Netz von dem einen oder anderen Gerät darauf zugreifen können, was aber von außen nach Möglichkeit nicht möglich sein sollte. Daher bietet sich mir nur diese Variante das Netz an dieser Stelle aufzuteilen. Es sei denn man kann intern mittels V-Ports noch einmal die Netze teilen für die NAS-Systeme.


Gruß Andre

 

[Raijin]

Wenn der WAN-Port des OpenWRT-Routers NAT bzw. Masquerade macht, brauchst du für den "Rückweg" keine Route in der Fritzbox, weder für Internetzugriffe hinter dem OpenWRT-Router noch für Zugriffe auf Drucker und Co.

Wenn der WAN-Port nicht NATtet, dann brauchst du definitiv die besagte Rückroute in der Fritzbox.

Wenn auch Zugriffe vom Fritzbox-Netz ausgehend auf Geräte hinter dem OpenWRT-Router gewünscht ist, brauchst du sowohl besagte Router als auch eine angepasste Firewall am WAN-Port des OpenWRT-Routers, weil sonst alles was von der WAN-Seite initiiert wird, gegen die Firewall rennt (wie es ja auch analog bei der Fritzbox am WAN-Port von außen ist). Alternativ Portweiterleitungen...

Generell sollte man aber nach Möglichkeit zusätzliches NAT im heimischen Netzwerk vermeiden. Es ist daher vorzuziehen, NAT im OpenWRT-Router abzuschalten, um so in vollständig geroutetes Netzwerk mit zwei Subnetzen herzustellen. Etwaige unerwünschte Zugriffe von der einen zur anderen Seite definiert man dann über entsprechende Firewall-Regeln.
Übrigens: In einem voll gerouteten Netzwerk inkl. Route in der Fritzbox kann man sogar in selbiger eine Portweiterleitung direkt auf eine IP hinter dem OpenWRT-Router einrichten. Doppeltes NAT ist also in keinster Weise notwendig.

 

[Puhbaer]

Danke erst mal an alle,

habe es jetzt erst mal geschafft, von meinem Notebook mit einem eigens angelegten Netz auf den Openwrt-Router zu gelangen. Muss jetzt nur noch die Routen in der Fritzbox anlegen. Aber dazu muss ich jetzt erst mal bis Morgen abwarten, da ist meine Frau wieder außer Haus arbeiten und ich hab dann wieder mehr Luft.
Der eine oder andere Kennt das Thema mit den Weibsen wahrscheinlich, wenn die net im Whatsapp tratschen können sind se krank und der Olle is schuld.

Aber was ich jetzt schon sagen kann, Open-WRT macht richtig Spaß damit zu arbeiten. 1000 mal besser als mit der Fritzbox...

 

[Puhbaer]

So hab jetzt mal ne Frage an euch wenn OpenWRT im WAN wie folgt konfiguriert ist:

IP: 192.168.50.5
Subnet: 255.255.255.0
Gateway: 192.168.50.1

Dann müsste die Rückroute doch in der Fritzbox wie folgt aussehen:

IP: 192.168.50.0/24
Subnet: 255.255.255.0
Gateway 192.168.50.5

In der Fritzbox muss dann DHCP deaktiviert sein

Sehe ich das richtig, oder hab ich da jetzt nen Denkfehler???

 

[Raijin]

Ja, du hast einen Denkfehler

www
|
Fritzbox
(LAN @ 192.168.50.1 / 255.255.255.0)
|
|
|
(WAN @ 192.168.50.5 / 255.255.255.0)
OpenWRT
(LAN @ x.y.z.1 / 255.255.255.0)

Route in Fritzbox:
Ziel - x.y.z.0 / 255.255.255.0
Gateway: 192.168.50.5


x, y und z musst du natürlich auf das lokale Netzwerk des OpenWRT-Routers anpassen.

 

[Puhbaer]

Also spreche ich damit lediglich LAN und Wifi zb. an???
z.B. Wie folgt:

LAN 192.168.110.1
Subnet: 255.255.255.0
Gateway 192.168.50.1

Richtig oder wieder nen Denkfehler???

WAN wird also auf der Rückroute garnicht angesprochen...
Wenn ich das jetzt richtig verstanden habe...

 

[Raijin]

Nein, nein....

Die Fritzbox hat ein eigenes Subnetz, bei dir der einfachheit halber mal das 50er genannt. ALLES was NICHT in diesem Subnetz liegt, wird die Fritzbox unweigerlich an IHR Standardgateway schicken, den Internetprovider.
Wenn du aber möchtest, dass die Fritzbox weiß, dass hinter dem OpenWRT-Router ein weiteres privates Subnetz - das 110er - liegt, das zu deinem Netzwerk gehört, dann musst du ihr das sagen, durch die Route.

Die Route in der Fritzbox muss daher lauten:

Route alles was als Ziel eine 192.168.110.x IP hat, an den OpenWRT-Router, der die 192.168.50.5 hat.

Ziel: 192.168.110.0
Subnetz: 255.255.255.0
Gateway: 192.168.50.5

Ergänzung (13. Februar 2020)

Großes Aber:

Das setzt wie ich oben schon erwähnt hatte voraus, dass NAT am WAN-Port des OpenWRT-Routers abgeschaltet ist. Sonst wird sowieso alles was vom LAN des OpenWRT-Routers Richtung Fritzbox geht geNATtet und andersherum wird alles was aus Richtung der Fritzbox durch den OpenWRT-Router soll durch die Firewall abgefangen (abgesehen von Antworten auf bereits hergestellte Verbindungen).

 

[Puhbaer]

Dann wäre bei dem LAN - Interface aber denke ich noch nen Fehler drinnen...

LAN 192.168.110.1
Subnet: 255.255.255.0
Gateway 192.168.50.1 <---- Die wäre doch dann falsch oder??

Die müsste doch dann lauten 192.168.50.5
Weil 192.168.110.1 übergibt an 192.168.50.5 und der reicht dann weiter an die fritzbox und dort müsste ich dann ne IP aus deren IP- Stamm nehmen... z.b. 192.168.224. 223 weil der Adressbereich 192.168.224.0/24 ist...

 

[Raijin]

Am LAN hat OpenWRT 192.168.110.1 / 255.255.255.0
Am WAN hat OpenWRT 192.168.50.5 / 255.255.255.0

Das Gateway wird entweder als separate Systemeinstellung getätigt oder dem WAN-Interface zugeordnet, je nachdem wie OpenWRT das in der GUI nu darstellt (hab kein OpenWRT zur Hand).

 

[Puhbaer]

anbei die Firewall mit NAT und die Interface Config als Bilder

 

[Raijin]

Laut Onkel Goggel muss man bei OpenWRT dazu den Betriebsmodus umschalten. Such mal nach "openwrt disable nat"

 

[Puhbaer]

So habe das ganze jetzt nochmal neu eingerichtet:

OpenWRT-Router Linksys WRT1900AC

LAN : 192.168.200.1
Sub : 255.255.255.0
Gate : 192.168.50.1

Mit DHCP an br-lan (switch v-lan eth0.1)

WLAN: 192.168.150.1
Sub : 255.255.255.0
Gate : 192.168.50.1

Mit DHCP an Wireless Master OpenWrt Lan

Wan: 192.168.50.5
Sub : 255.255.255.0
Gate : 192.168.50.1

Ohne DHCP an eth1


Fritzbox 7490

Richte ich auf der Fritzbox nun die Rückrouten ein
LAN 192.168.200.0/24
Sub 255.255.255.0
Gate 195.168.50.5

Wifi 192.168.150.0/24
Sub 255.255.255.0
Gate 195.168.50.5

Bekomme ich ne Fehlermeldug, von wegen unzulässig.
Auch dann wenn ich wie oben bebildert die Nateinstellung für das Masquerading und MSS clamping raus nehme bei WAN.

Also ich hab da nur noch nen speziellen Reiter in dem ich spezielle NAT Regeln einstellen kann.
Mom ich schau mal genauer und mach nen Sceenshot...

Ergänzung (14. Februar 2020)

So habe das ganze jetzt nochmal neu eingerichtet:

OpenWRT-Router Linksys WRT1900AC

LAN : 192.168.200.1
Sub : 255.255.255.0
Gate : 192.168.50.1

Mit DHCP an br-lan (switch v-lan eth0.1)

WLAN: 192.168.150.1
Sub : 255.255.255.0
Gate : 192.168.50.1

Mit DHCP an Wireless Master OpenWrt Lan

Wan: 192.168.50.5
Sub : 255.255.255.0
Gate : 192.168.50.1

Ohne DHCP an eth1


Fritzbox 7490

Richte ich auf der Fritzbox nun die Rückrouten ein
LAN 192.168.200.0/24
Sub 255.255.255.0
Gate 195.168.50.5

Wifi 192.168.150.0/24
Sub 255.255.255.0
Gate 195.168.50.5

Bekomme ich ne Fehlermeldug, von wegen unzulässig.
Auch dann wenn ich wie oben bebildert die NAT-Einstellung für das Masquerading und MSS clamping raus nehme bei WAN.

Und überall in den Howtos die ich mir anschaue muss außer diesen Einstellungen nix vorgenommen werden.

Also ich hab da nur noch nen speziellen Reiter in dem ich spezielle NAT Regeln einstellen kann.
Mom ich schau mal genauer und mach nen Sceenshot...

 

[Puhbaer]

Sooo, also wenn ich jetzt noch auf der Fritzbox für die Rückroute folgendes eingebe:

WAN : 192.168.50.1
Sub: 255.255.255.0
Gate: 192.168.50.5

Bekomme ich diese Fehlermeldung
[IMG]https://pics.computerbase.de/forum/attachments/765/765535-daed5f9f3f4db37ba4129401cc7ecfa5.jpg[/IMG]
Obwohl ich alle Interfaces konfiguriert habe
[IMG]https://pics.computerbase.de/forum/attachments/765/765536-52b8690a43ab468a04b8854516287c51.jpg[/IMG]

Ich denke diese Einstellungen sollten NAT deaktivieren.

[IMG]https://pics.computerbase.de/forum/attachments/765/765627-c47e5e89958c59c9750837a53badccb3.jpg[/IMG]
Machen se aber nüscht....
kopfkratz