Zwei Subnetze können nicht verbunden werden!

[dieterz1]

Hallo miteinander,
ich arbeite mich gerade in das Thema "Routing" ein. Um den Bezug zur Praxis herzustellen, habe ich mir folgendes Netzwerk aufgebaut: siehe Anlage unten

Mein Problem besteht jetzt darin das ich - von PC 1 ausgehend - den PC 4 nicht erreichen kann. Der Ping bleibt am WAN Port des Routers 2 "hängen" (Fehlermeldung am PC 1: "Antwort von 192.168.178.8: Zielport nicht erreichbar"
Umgekehrt (von PC4 nach PC1) funktioniert jedoch der Ping.

Ich suche jetzt schon einige Zeit im Internet nach einer Lösung, komme aber nicht weiter.

Zunächst dachte ich, ich müsse auch am Router 2 ein statisches Routing einrichten (was anscheinend aber nicht notwendig ist). Ich denke vielmehr, dass die Firewall am Router 2 die Ping-Anfragen abblockt. Leider habe ich überhaupt keine Ahnung, wie ich die Firewall konfigurieren muss, damit ich von Subnetz 1 (PC1,PC2, PC3, usw.) in`s Subnetz 2 (PC4, PC5, usw.) komme.

Im Wiki von OpenWRT bin ich noch auf folgende Anleitung gestoßen: http://wiki.openwrt.org/doc/recipes/routedclient#using.routing
Darin heißt es u.a.: "This kind of network topology is not possible when the client does NAT"

Da Router 2 (TP Link 1043ND) keine NAT-Abschaltung erlaubt, ist diese Netzwerk-Topologie nicht umsetzbar? Sollte nicht gerade NAT dafür sorgen, dass die Zieladresse des Ping-Pakets so geändert wird, dass es über den WAN Port zum richtigen LAN-Port gelangt?
PC1 (192.168.178.5) möchte einen Ping an 192.168.1.100 senden. Das Paket landet zunächst bei Router 1, der das Paket aufgrund des zuvor konfigurierten statischen Routings an den WAN-Port des Routers 2 (192.168.178.8) weiter sendet. Warum ist jetzt Router 2 nicht in der Lage, dass Paket von 192.168.178.8 an 192.168.1.100 weiter zu routen? Der Router kennt doch beide Adressräume, also wo ist das Problem?

Ich würde mich sehr freuen, wenn mich jemand weiterhelfen könnte.

 

[Pitam]

Der Router scheint die auf dem WAN Port ankommenden Pakete für WAN also Internet zu halten und lässt diese dann natürlich nicht weiter an die zu schützenden Endgeräte.

Wenn brauchst du eine Routerbridge Funktion bei welcher die Pakete nicht gefiltert werden.

 

[Xanta]

Und wenn du die statische auf beiden machst?

 

[Pitam]

Grade mal die Zeichnung angeschaut, musst du die Netzwerke trennen? Ansonsten setz den zweiten Router als Accesspoint. Also fixe IP im IP Bereich der Fritzbox, aber außerhalb vom DHCP der Fritzbox.
Dann die Verbindung zur Fritzbox über LAN statt WAN-Port.

 

[janosch]

1. Wozu zwei verschiedene Netze?

2. Der Wan Port des TP-Link musst als normaler Switch Port konfiguriert werden (Up-Link zur Fritz-Box). Oder du benutzt einen der Switch-Ports als Verbindung.

 

[GTrash81]

Der TP-Link muss die IP-Pakete "natten" (siehe NAT).
Dabei werden, je nach Senderichtung, die Empfangs/Sende-IP im Datenpaket ausgetauscht, damit die Netzwerkkomponenten wissen um welches Netzwerk es sich handelt.

 

[firexs]

Muss die statische Route nicht am PC eingetragen werden?

Also sowas wie:
route add 192.168.1.100 mask 255.255.255.0 192.168.178.8

Nur so als Idee.

lg
fire

 

[GTrash81]

Nicht wenn du einen Router im Netzwerk hast, der ist dafür zuständig.

 

[dieterz1]

Grade mal die Zeichnung angeschaut, musst du die Netzwerke trennen? Ansonsten setz den zweiten Router als Accesspoint. Also fixe IP im IP Bereich der Fritzbox, aber außerhalb vom DHCP der Fritzbox.
Dann die Verbindung zur Fritzbox über LAN statt WAN-Port.

Nun ja, einerseits wollte ich zwei verschiedene Subnetze benutzen, um das Routing besser zu verstehen (ich dachte nämlich, ein Router wäre in der Lage zwei Subnetze zu verbinden). Andererseits versprach ich mir mehr Komfort/Sicherheit (Subnetz 1 hat Vollzugriff [auch auf das Internet], während sich das Subnetz 2 nur mit dem Subnetz 1 unterhalten kann [und hier nur spezielle Dienste])
Übrigens: würde ich nur 1 Subnetz benutzen wollen, dann könnte ich auf den 2. Router eigentlich ganz verzichten (und stattdessen gegebenenfalls einen Switch installieren).

Der Router scheint die auf dem WAN Port ankommenden Pakete für WAN also Internet zu halten und lässt diese dann natürlich nicht weiter an die zu schützenden Endgeräte.

Wenn brauchst du eine Routerbridge Funktion bei welcher die Pakete nicht gefiltert werden.

Muss es wirklich eine Routerbrigde Funktion sein? Ich dachte es würde ausreichen wenn ich einen Port öffne?
Nehmen wir einmal an, ich würde nur mit 1 Subnetz arbeiten, und ich möchte nun von außen (sprich: über das Internet) auf meinen lokalen NAS zugreifen. In diesem Fall muss ich doch auch nur einen Port öffnen, nicht wahr?

Das WAN-Interface am Router 2 (TP Link 1043ND) bietet mir übrigens folgende Konfig-Möglichkeiten:
- Static adress (diese Option habe ich gesetzt)
- DHCP client
- Unmanaged
- Dual-STack Lite (RFC6333)
- IPv6-in-IPv4
- IPv6-over-IPv4
- IPv6-over-IPv4
- DHCPv6 client
- Automatic Homenet
- PPP
- PPtP
- PPPoE
- PPPoATM
- UMTS
- L2TP
- Relay bridge

 

[GTrash81]

Du solltest schon eine LAN-Port benutzen oder den WAN-Port umkonfiguriern.
Ich weiß zwar nicht wie OpenWRT mit dem WAN-Port arbeitet, aber in der Regel werden Datenpakete aus allen privaten Netzen am WAN-Port verworfen.
Weswegen auch private IPs nicht im Internet geroutet werden.

 

[itm]

Wenn ich mich recht entsinne war das 192.168.178.0/24 Netz bei den Fritzboxen etwas eingeschränkt (in der Frimware).

 

[dieterz1]

Du solltest schon eine LAN-Port benutzen oder den WAN-Port umkonfiguriern.
Ich weiß zwar nicht wie OpenWRT mit dem WAN-Port arbeitet, aber in der Regel werden Datenpakete aus allen privaten Netzen am WAN-Port verworfen.
Weswegen auch private IPs nicht im Internet geroutet werden.

Damit umgehe ich aber komplett die Firewall, nicht wahr? Dann könnte ich ja gleich auf den Router verzichten und stattdessen einen stinknormalen Switch verwenden.
Kann ich als Administrator die Firewall nicht so auflockern, dass bestimmte Ports durchlässig werden? Ein Router sollte doch dazu in der Lage sein, oder?

 

[GTrash81]

Das hat nichts mit der Firewall zu tun, sondern den Regelungen der IANA.
Diese Gruppe hat festgelegt, dass keine private IP-Adresse über den WAN-Port reinkommen darf.
Diese Regel ist in allen Endekundengeräten fest integriert, damit niemand Schindluder treibt.
Was du eigentlich brauchst ist ein voll konfigurierbarer Router mit je einer Netzwerkkarte pro LAN-Port bzw. du musst den einzelnen LAN-Ports eine IP vergeben können. Sowas können z.B. Geräte von LANCOM oder Cisco (dementsprechend teuer).
Oder du schnappst dir einen alten PC, baust da zwei Netzwerkkarten rein und machst in via Linux-Konfiguration zum Router.

 

[MaverickM]

Du hast die Subnetz-Maske nicht angepasst.

 

[dieterz1]

Das hat nichts mit der Firewall zu tun, sondern den Regelungen der IANA.
Diese Gruppe hat festgelegt, dass keine private IP-Adresse über den WAN-Port reinkommen darf.
Diese Regel ist in allen Endekundengeräten fest integriert, damit niemand Schindluder treibt.
Was du eigentlich brauchst ist ein voll konfigurierbarer Router mit je einer Netzwerkkarte pro LAN-Port bzw. du musst den einzelnen LAN-Ports eine IP vergeben können. Sowas können z.B. Geräte von LANCOM oder Cisco (dementsprechend teuer).
Oder du schnappst dir einen alten PC, baust da zwei Netzwerkkarten rein und machst in via Linux-Konfiguration zum Router.

Danke für den Hinweis. Ich stelle mir jetzt aber die Frage, warum der Router "Port Forwarding" anbietet, wenn von außen grundsätzlich keine IP-Adressen reingelassen werden.
Ich habe gelesen das manche Anwender vom Internet auf das lokale NAS zugreifen (mittels dynDNS und Port Forwarding). D.h. in diesem Fallbeispiel gehts ja auch.

Du hast die Subnetz-Maske nicht angepasst.

Wie muss ich das verstehen? Die Subnet Mask wurde bewusst auf 255.255.255.0 gesetzt. Was ist daran falsch?

 

[MaverickM]

Wie soll denn der Router wissen, dass ein 192.168.178.x auch noch ein lokales Netz ist, wenn Du ihm dies nicht via der Subnetz-Maske mitteilst!?
Stell die Subnetz-Maske auf 255.255.0.0.

 

[dieterz1]

Wie soll denn der Router wissen, dass ein 192.168.178.x auch noch ein lokales Netz ist, wenn Du ihm dies nicht via der Subnetz-Maske mitteilst!?
Stell die Subnetz-Maske auf 255.255.0.0.

Noch einmal zu meiner Anforderung: ich möchte 2 verschiedene Subnetze miteinander verbinden. Wenn ich deine Subnetz-Maske verwende, habe ich nur noch 1 Subnetz (außerdem würde ich den Hostanteil von 255 auf 65000 erhöhen).

 

[MaverickM]

Du willst also 2 VLANs? Das klappt mit Consumer-Hardware nicht.

 

[dieterz1]

Danke für die klare Aussage.