Zwei Netzwerke mit Zugang zum Glasfasermodem?

[hohmannc]

Hallo!
Folgendes Problem besteh bei mir. Irgendetwas in meinem Netzwerk scheint meine Alarmanlage (Lupusec) zu bombardieren, sodass das Interface nicht mehr aufrufbar ist. Hänge ich die Alarmanlage an eine zweite Fritzbox (alleine) scheint es kein problem zum geben und das Alarmanlage bleibt erreichbar.

Bis ich den Fehler näher herausgefunden habe, würde ich gerne in einem zweiten Netzwerk/Fritzbox also auch Zugriff auf das Internet haben, sodass ich über eine Portfreigabe den Zugriff auf die Alarmanlage über das Internet ermöglichen kann.

Wie stelle ich es also am besten an, dass ich ein zweites Netz zb 192.168.188.X und 192.168.178.X habe und dennoch vollen Zugang zum Internet habe, um zb eine Portfreigabe zu ermöglichen.
Ich hatte auch mit einem VLAN über meinem Switch bereit experimentiert, aber sobald es in einem anderen Netz (192.168.178.X) ist, bekommt es nicht mehr das Internet der Fritzbox (192.168.188.1) und schon gar nicht funktioniert dabei die Port Weiterleitung.
Ich hoffe es war nicht zu wirr und ihr könnt mir helfen!

 

[madmax2010]

e Alarmanlage (Lupusec)

ist sie extern erreichbar?

Zugriff auf das Internet haben, sodass ich über eine Portfreigabe den Zugriff auf die Alarmanlage über das Internet ermöglichen kann.

nvm. ja ist sie..

Ok, bist du dir sicher, dass sie nicht von extern von Fremden genutzt wird? Sicherheitslücken sind in so produkten leider eher die Regel. Sowas sollte nicht aus dem Internet erreichbar sein.

welchen switch hast du denn da? Default vlan hast du auf den Ports gelassen?
was du beschreibst sind eher subnetze, nicht Vlans. Bei letzteren steht dir wohl die fritzbox im weg.
Nicht sicher wie viel Fritzboxen da erlauben. Hast du noch einen router im netz / kann der switch ein bisschen routen? Welcher Switch ist das da? Welches Glasfaser Modem?

beschreib doch mal deinen aktuellen Netzaufbau

Als router kann ich den hier im Prinzip empfehlen: https://geizhals.de/ubiquiti-edgerouter-x-sfp-er-x-sfp-a1271802.html - da kann auch direkt glasfaser dran
Ebenso hier: https://mikrotik.com/product/hex_s

 

[redjack1000]

FritzBox und VLAN geht nicht.

Zwei Netze in freier Konfiguration, bietet die Fritzbox nicht an.

Bleibt dir in Augen folgendes:

1. Gastnetzwerk nutzen
2. Zweiten Router in Betrieb nehmen
3. Einen Router anschaffen, der deinen Ansprüchen gerecht wird.

Cu
redjack

 

[hohmannc]

@madmax2010

naja initial ist sie erreichbar, aber sie stürzt auch ab, wenn ich die Sportfreigabe rausnehme. Ich denke es hat was mit meinem Rasp Pi zutun!
nach Möglichkeit würde ich es irgendwie mit den 2 Fritz!Boxen die ich habe realisieren; es soll ja keine dauerhafte Lösung sein.

@redjack1000
daher wäre ja mein plan 2 FritzBoxen aktuell zu nehmen, die aber gleichwertig aufs Internet zugreifen können...wenn das ginge...

 

[UweP44]

Alles was wir bisher über Deinen Internetzugang wissen:
"Glasfasermodem"

Auf der Basis sage ich mal pauschal NEIN, geht nicht, dass man da zwei Router direkt an das Modem ranhängt.
Ansonsten halt den uns unbekannten Provider fragen ob der das unterstützt.
...

Anderer Lösungsansatz zum eigentlichen Problem...

Irgendetwas in meinem Netzwerk scheint meine Alarmanlage (Lupusec) zu bombardieren, sodass das Interface nicht mehr aufrufbar ist.

Wenn das tatsächlich der Fehlergrund ist, dann einfach mal einzeln die anderen Geräte im Netzwerk abhängen/ausschalten bis man das findet das da am stören ist.

 

[madmax2010]

naja initial ist sie erreichbar, aber sie stürzt auch ab

was tut denn dann noch? hast du die erreichbarkeit mal debugged?
ist es nur dsa Webinterface, oder gleich der ganze port? Wie viel und welcher traffic geht dahin

Ich denke es hat was mit meinem Rasp Pi zutun!

warum? was? und wie? welche dienste laufen darauf und welche hast du mal geshuttet?


2 Fritzboxen sind da bestenfalls fummelig. Kannst halt mit jeder 1 netz aufspannen, die blos getrennt bleiben sollten, eine hängt am glasfasermodem, die andere FB an der ersten.
Die 2. Fritzbox gibt nur eine route zur ersten und diese uebernimmt das restliche routing.

 

[chrigu]

bitte erstelle eine kurze skizze mit allen geräten und den internen IP. mir ist vieles nicht klar

 

[hohmannc]

Alles was wir bisher über Deinen Internetzugang wissen:
"Glasfasermodem"

Auf der Basis sage ich mal pauschal NEIN, geht nicht, dass man da zwei Router direkt an das Modem ranhängt.
Ansonsten halt den uns unbekannten Provider fragen ob der das unterstützt.
...

Anderer Lösungsansatz zum eigentlichen Problem...

Wenn das tatsächlich der Fehlergrund ist, dann einfach mal einzeln die anderen Geräte im Netzwerk abhängen/ausschalten bis man das findet das da am stören ist.

ja nur leider tritt der Fehler manchmal erst nach 3d auf, sodass es etwas schwer ist den Fehler zu finden!

Ergänzung (20. April 2022)

was tut denn dann noch? hast du die erreichbarkeit mal debugged?
ist es nur dsa Webinterface, oder gleich der ganze port? Wie viel und welcher traffic geht dahin

Anping ist möglich, interface ist nicht abrufbar oder mit app verbindbar; per code lässt sie sich aber steuern, wenn sie wieder erreichbar ist, sieht man auch, dass sie Automationen weiter ausgeführt hat.

warum? was? und wie? welche dienste laufen darauf und welche hast du mal geshuttet?

div. smarthome Steuerung und auch ein adapter der die Alarmanlage steuern kann...deaktiviere ich diesen tritt der Fehler trotzdem auf,

2 Fritzboxen sind da bestenfalls fummelig. Kannst halt mit jeder 1 netz aufspannen, die blos getrennt bleiben sollten, eine hängt am glasfasermodem, die andere FB an der ersten.
Die 2. Fritzbox gibt nur eine route zur ersten und diese uebernimmt das restliche routing.

dann bin ich weiter im selben ip Bereich...

Ergänzung (20. April 2022)

bitte erstelle eine kurze skizze mit allen geräten und den internen IP. mir ist vieles nicht klar

Modem
-> Fritzbox 192.168.188.1
LAN2 -> Alarmanlage 192.168.188.21
LAN3 -> Netgear Switch 192.168.188.92 -> 2x AP + div. geräte u.a. RaspPi

Plan wäre 2. Netzwerk eröffnen mit 192.168.189.X in dem nur die Alarmanlage ist, diese jedoch internet zugriff hat inkl portweiterleitung um aus dem netz erreichbar zu sein. sie soll aber im getrennten Netz zu allen anderen geräten sein!

 

[benjiman]

Hast du ein PiHole auf dem Raspi am Laufen? Mal die Logs durchgeschaut ob die Alarmanlage nach Hause funken will und Amok laeuft weil der Pi blockt?

 

[hohmannc]

Hast du ein PiHole auf dem Raspi am Laufen? Mal die Logs durchgeschaut ob die Alarmanlage nach Hause funken will und Amok laeuft weil der Pi blockt?

ne hab ich nicht

 

[chrigu]

wenn du nur die ip änderst, ist die anlage zwar nicht mehr vom anderen netzwerk aus erreichbar (192.168.188.x zu 192.168.189.x) trotzdem kann irgendwas dazwischenfunken. du willst ja ursprünglich den übeltäter herausfinden, der die anlage stört. deshalb wäre es wichtig, was genau gestört wird (fehlermeldung) und welches gerät es verursacht (alles aus dem netz schmeissen und einzeln anschliessen und testen).

die einzige möglichkeit, zwei physisch getrennte netze mit zugriff zum internet zu haben ist über das gast-netzwerk, lan4 kannst du in der fritze umstellen oder gastwlan.

 

[bubu9]

IGMP-Snooping aktiviert?

 

[Raijin]

Ich denke es hat was mit meinem Rasp Pi zutun!

Wie kommst du auf den PI? Hast du einen konkreten Test gemacht und den PI vom Netz genommen? Willkürliches Rumgerate ist nämlich nicht sonderlich zielführend.

Plan wäre ...

Gleiches wie oben. Ohne konkret ermittelte Ursache ist das bestenfalls blinde Symptombekämpfung, egal was dein Plan ist. Vir einem Plan kommt erst die Fehleranalyse soweit es im Rahmen der Möglichkeiten ist. Wie gesagt, PI vom Netz nehmen bzw generell der Reihe nach alle Geräte. Wobei selbst deine Diagnose "Alarmanlage wird scheinbar bombardiert" ein reiner Schuss ins Blaue zu sein scheint, ohne handfeste Anhaltspunkte.


Wie dem auch sei, wenn du den Weg des zweiten Netzwerks gehen willst, ist das Gastnetzwerk leider keine Option, wenn Portweiterleitungen nötig sind, da diese im Gastnetzwerk in der Regel nicht funktionieren. Mag aber sein, dass es bei Fritzboxxen doch geht, keine Ahnung.

Eine Routerkaskade wäre dann eine Alternative. Aufbau wie folgt:


www
|
(WAN)
Fritzbox
(LAN - zB 192.168.178.1)
|
(WAN - zB 192.168.178.254)
2. Router (ggfs ebenfalle ne Fritte)
(LAN - zB 192.168.188.1)
|
(LAN - zB 192.168.188.123)
Alarmanlage

Portweiterleitungen dann zunächst in der Internetfritzbox Richtung WAN-IP der zweiten Fritzbox (192.168.178.254) und in der zweiten Fritzbox dann Richtung Alarmanlage (192.168.188.123).

So hat die Alarmanlage immer noch Internet, ist über die Portweiterleitungen erreichbar und kann auch aus dem Hauptnetzwerk noch genutzt werden, dann eben mit der 192.168.178.254 der 2. Fritte.

Das mag dein Problem lösen, aber wenn du die Ursache nicht kennst, kann das Problem jederzeit wiederkehren, auch im 2. Netzwerk.


Generell rate ich im übrigen von der Verwendung direkter Portweiterleitungen mit Nachdruck ab. Besser wäre eine VPN-Verbindung, mit der man von unterwegs das Heimnetzwerk nutzen kann als säße man auf der Couch - sicher verschlüsselt und nicht potentiell angreifbar und beliebig gefährlich aufgrund nicht gepatchter Sicherheitslücken, die ein Alarmanlagenhersteller im worst case komplett ohne nennenswerte IT-Kompetenz eingebaut hat.

 

[Merle]

Äußere Fritzbox:
WAN DHCP
LAN 192.168.178.0/24 (.1 für FB)
Alle Geräte anschließen außer dein Problemdings. Das LAN1 der ANDEREN FB (wenn eine mit Modem) oder WAN der FB (wenn kein Modem) an die äußere FB (LAN-Port) verkabeln.
Bei der inneren FB den inneren Netzbereich ändern, zB auf 192.168.180.0/24 (oder auch 188 im dritten Oktett, whatever).
NAT aus. Firewall aus. WAN Adresse fest vergeben aus Bereich der äußeren FB, zB 192.168.178.2/24.
An der äußeren FB eine Route setzen…
192.168.180.0/24 via Hop 192.168.178.2.
Fertig. Portfreigaben müssen nun außen erfolgen. Wenn NAT nicht deaktivierbar ist wird es etwas nerviger, dann ist jede Freigabe doppelt einzurichten.
Nimm für deinen Webserver keinen well known Port.
@Raijin: wir sind echt ziemlich synchron was die Lösungen angeht, seit Jahren 😂😂

 

[hohmannc]

Vielen Dank für die ausführlichen Erläuterungen - die Punkte habe ich mir leider auch schon gedacht … wollte es vielleicht nur einfach nicht wahr haben… na dann muss ich jetzt die Zeit investieren und alles nacheinander ausschalten… nützt nichts, dann dauert es vielleicht einen Monat, aber dann habe ich das Problem wenigstens behoben ….

 

[norKoeri]

Hasttest Du die Antworten von Raijin und Merle gesehen? Nicht dass sich die überschnitten. Wenn Du die zweite FRITZ!Box nicht als IP-Client sondern Router konfigurierst, dann hat die einen Firewall aktiv. Dann greift kein anderes Gerät (außer seiner FRITZ!Box) auf die Alarmanlage zu. Allerdings vermute ich eher FRITZ!OS 7 als Schuldigen. Die babbelt das Heimnetz gnadenlos zu … mein Tipps:

a) ältere FRITZ!Box noch mit FRITZ!OS 6 nehmen. Oder​

b) einen Switch vor die Alarmanlage und den Kram wegfiltern.​

Auf jeden Fall an den Hersteller der Alarmanlage melden, denn nichts von Außen bzw. im Heimnetz darf die Anlage kaputt machen. Das wäre ein Software-Bug in der Alarmanlage. Also mittelfristig diese tauschen.

Portfreigabe

Ist das vom Hersteller der Alarmanlage so gedacht?

 

[hohmannc]

Hasttest Du die Antworten von Raijin und Merle gesehen? Nicht dass sich die überschnitten. Wenn Du die zweite FRITZ!Box nicht als IP-Client sondern Router konfigurierst, dann hat die einen Firewall aktiv. Dann greift kein anderes Gerät (außer seiner FRITZ!Box) auf die Alarmanlage zu. Allerdings vermute ich eher FRITZ!OS 7 als Schuldigen. Die babbelt das Heimnetz gnadenlos zu … mein Tipps:

a) ältere FRITZ!Box noch mit FRITZ!OS 6 nehmen. Oder​

b) einen Switch vor die Alarmanlage und den Kram wegfiltern.​

Auf jeden Fall an den Hersteller der Alarmanlage melden, denn nichts von Außen bzw. im Heimnetz darf die Anlage kaputt machen. Das wäre ein Software-Bug in der Alarmanlage. Also mittelfristig diese tauschen.

Ist das vom Hersteller der Alarmanlage so gedacht?

danke für deine Nachricht!
ja habe ich gesehen und auch eine Möglichkeit!

Ich vermute es ist der Rasp Pi und zwar ein script was mit Websocket auf mein Busch-Jäger Free At Home zugreift (warum auch immer) wenn ich das deaktiviere, schmiert zuletzt die Anlage (bisher) nicht ab.

Portfreigabe ist vom Hersteller so angesehen ja. Würde ich aber grundsätzlich auch vermeiden, wenn nachher alles funktioniert!

 

[blackraven]

Anderen Router z.b Edgerouter 3 Lite
Da kannst du dann 2 Vlan laufen lassen.

 

[Raijin]

Ich vermute es ist der Rasp Pi und zwar ein script was mit Websocket auf mein Busch-Jäger Free At Home zugreift (warum auch immer) wenn ich das deaktiviere, schmiert zuletzt die Anlage (bisher) nicht ab.

Wenn dem so ist, liegt darin auch die Lösung und nicht in irgendwelchen Krücken mit Routerkaskade, VLANs, o ä.

Man bekämpft die Ursache und nicht die Symptome.

Ein Skript kann man ggfs anpassen, weil es sicher nicht "einfach so" spontan irgendwas tut.q