Fritzbox 6660 Cable zu OPNsense mit Bridge?

[Marsinatorrr]

Hallo

unzwar habe ich eine Fritzbox 6660 Cable (Vodafone Cable 1Gbit) und möchte nun mit einen z.b. Protectli OpnSense als Firewall nutzen.

Nun gibt es Anscheinend 2 Methoden :

die 1. wäre die Fritte in dem "Bridge/Modem" Modus zu versetzen und direkt am OpenSense das WAN mit öffentlicher IP anzunehmen, somit wäre die Fritte wirklich nur noch durchreiche und mein Ziel wäre erriecht. Genau das wollte ich eben auch und habe in meiner Fritte die Option freigeschaltet (Sicherung erstellt, Menü aktiviert, Prüfsumme und hochgeladen) schwupp Bridge Mode... aber irgendwie bekomme ich keine IP durchgereicht. Weiß nicht ob das nun nich am CPE Wert liegt. kein Plan.. AVM gibt für die Boxen kein Support in Sachen Bridge und Vodafone meinte sie können nur ihre Vodafone Station in Bridge Modus versetzen (Jagut klingt mit eienr max CPE von 1 auch logisch, da die Fritte immer eine IP behalten will und das will die Vodafone Station bestimmt nicht). Alsooo vom Kundensupport eine Vodafone Station geben lassen und diese Freischalten. oder eben :

Methode 2 : "Die einfache und funktionierende Lösung wäre auf der Fritzbox eine Route zur Firewall für deine Home-Netze einzutragen. Dann braucht man kein NAT mehr auf der Firewall und die Fritzbox kann ganz normal verwendet werden. Leider ist der Eintrag von statischen Routen auf der Fritzbox etwas versteckt. Wenn man das aber mal gefunden hat kann man auf den ganzen komischen Kram mit dem BridgeMode komplett verzichten. " nur komm ich ja dann wieder dahin zurück das die Fritzbox aufgaben wie z.b. NAT übernimmt und nicht meine neue OpnSense Firewall... hat da jemand jetzt schon erfahrungen gemacht oder soll ich mir die Vodafone Station ordern und gut ist der lachs.



hatte auch gedacht das ich was in der OpnSense einstellen muss aber anscheinen kommt da echt nichts aus meinen selbsternannten "WAN" Port?

Aktuell habe ich die Fritzbox 6660 Cable nun an Lan2 in Bridge Mode und das Kabel geht zur Firewall auf igc0 , an igc1 steckt mein LAN also Laptop in dem Fall.
Netzwerk in der Fritte ist 192.168.188.1
und OPNSense 192.168.189.1

Die Konsole sagt:
... with a lower CurHopLimit sent from MAC on igc0 <current = 255, received = 64> ignored

Jemand ein Plan? dankeschön!

 

[blurrrr]

Netzwerk in der Fritte ist 192.168.188.1
und OPNSense 192.168.189.1

Cool, auch wenn ich so garnicht fit in den Thema bin, aber das hatten wir hier letztens...

Fritzbox-Netz = 188
Fritzbox-Gastnetz = Fritzbox-Netz +1 ( = 189)

Dann wird das so nicht funktionieren... Setz das Netz der Fritzbox z.B. mal von 188 auf 187 (dann wäre das Gastnetz 188). Die Netze wären dann somit 187,188, 189 (und nicht 188,189,189, wie sie anscheinend derzeit sind). Alternativ gibste der Fritzbox einfach etwas völlig anderes... Ich hab sowas in der Art hier auch laufen (mit 2 Routern/Leitungen).

 

[Marsinatorrr]

Cool, auch wenn ich so garnicht fit in den Thema bin, aber das hatten wir hier letztens...

Fritzbox-Netz = 188
Fritzbox-Gastnetz = Fritzbox-Netz +1 ( = 189)

Dann wird das so nicht funktionieren... Setz das Netz der Fritzbox z.B. mal von 188 auf 187 (dann wäre das Gastnetz 188). Die Netze wären dann somit 187,188, 189 (und nicht 188,189,189, wie sie anscheinend derzeit sind). Alternativ gibste der Fritzbox einfach etwas völlig anderes... Ich hab sowas in der Art hier auch laufen (mit 2 Routern/Leitungen).

Grad mal ausprobiert und die OPNSense auf 192.168.192.1 gesetzt, leider kein Effekt. immmernoch unter IP = 0.0.0.0
Wenn ich in einen anderen Port von der Fritte gehe bekomme ich auf den WAN Port eine Heimnetz IP (192.168.188.35) das wäre ja dann aber doppel NAT + Doppel Firewall.

Das sagt mir aber das der Port und das Bridge ja schonmal stimmen.. nur irgendwie kommt entweder aus dem Bridge Port keine öffentliche IP oder ich hab in der OPNSense was falsch eingestellt das er die nicht annimmt.

 

[the other]

Moinsen,
hier ist die Fritzbox einfach eingerichtet (keine Extras, lediglich zwei PWL wegen VPN). Die hinterhängende pfsense bekommt die benötigten IP Adressen...
Wie ist denn deine Einstellung für das WAN Interface auf der *sense (gern screenshot)?

 

[the other]

Moinsen,
upsie, den 2. Teil deiner Frage irgendwie verloren:
ich habe hier sogar (Achtung: erst Hinsetzen!) DOPPEL NAT und das ohne irgendwelche für mich und mein setting störenden Einflüsse.
Es ist IMHO und AFAIK relativ egal im privaten setting ob nun die Fritzbox das Tor zur Außenwelt darstellt und NAT macht, die *sense dahinter dagegen nicht, oder ob du es alles auf die *sense legst. Dafür dann aber ein extra Gerät neu kaufen (und dann auch noch ein Vodafonebranded Teil)...wäre ich zu geizig für.

 

[blurrrr]

das wäre ja dann aber doppel NAT + Doppel Firewall.

Da kümmer Dich erstmal garnicht drum, das kann man später ganz leicht beheben (statische Route + NAS aussschalten), aber wichtig ist erstmal, dass es läuft.

Via IPv6 scheinst Du doch auch eine öffentliche IP zu kriegen? Von einem Bridge-Mode sehe ich da derweil allerdings recht wenig, da intern (hinter der Fritzbox) ja wohl noch im "private" Adressen zum Einsatz kommen. Also weder gibt es eine öffentliche IP hinter der Fritzbox, noch wird die Fritzbox als reines Modem genutzt (was vor Ewigkeiten auch mal funktionierte).

Wenn wir das jetzt einfach mal "alles" rauslassen... Du hast eine Fritzbox, ggf. mit Dualstack (IPv4+IPv6), bekommt die pfSense WAN-seitig (hinter dem Router) eine öffentliche IPv6- und eine private IPv4-Adresse. Heisst erstmal, dass die pfSense selbst (ohne irgendwas dahinter) bereits Internetzugriff haben sollte. Es gibt auf der pfSense sicherlich auch entsprechende Tools (z.B. einfach mal "ping" oder "traceroute"), welche über die WebGUI erreichbar sind. Damit kannst Du erstmal ein paar Dinge testen:

ping 8.8.8.8

oder auch direkt mit Namensauflösung:

ping google.de

Falls der obere nicht funktionieren sollte, kannst Du auch mal einen Traceroute starten und schauen, wo es hängt. Bevor das nicht ordnungsgemäß funktioniert, musst Du Dich um irgendwelche Dinge hinter der pfSense sowieso nicht kümmern

 

[Boxenluder]

Nur mal als Tipp. Die 192.168.188.0/24 wird von den Fritzboxen intern als Gastnetz reserviert (im Fallback-Fall). Wer also mit "behandelten" *.export-Dateien hantiert, sollte sich besser von vorneherein ein anderes vorletztes Tupel als die 188 für seine Experimente aussuchen. Dabei können z.T. unerklärbare Nebeneffekte auftreten, die eher einfach zu umgehen wären.

 

[Marsinatorrr]

Ich verauch jetzt mal auf alles zu antworten.

Also meine Fritte hat eine öffentliche IPv4 (hab ich damals bei Vodafone angerufen und schwupp hatte ich die) ansonsten eben die Ipv6.

Wenn ich jetzt an einen Bridge Port von der Fritte zur WAN opnsense gehe bekomme ich die Ipv6 aber keine Ipv4...
(Ins Internet komme ich auch net, DNS Probe Startet)
Und keine aktualisierung der Sense geht.

Wenn ich nun an den Lan Port gehe zum WAN Port der sense, bekomme ich eine Home IP (192.168.188.35) von der Fritzbox, leider gleiches phänomen (kein Internet da DNS Probe Start) liegt vllt daran das die Fritte per DHCP mein PiHole mit 192.168.188.4 verteilt.
Aber Aktualisierungen in der Sense gehen

Das WAN Interface der Sense steht auf DHCP und DHCPv6, ganz original, schicke später nochmal ein Screenshot.

192.168.188.* ist schon immer mein heimnetz und funktioniert auf der fritte einwandfrei.

 

[blurrrr]

Wenn ich nun an den Lan Port gehe zum WAN Port der sense, bekomme ich eine Home IP (192.168.188.35) von der Fritzbox

Na das spricht aber sehr dafür, dass die öffentliche IPv4 am WAN der Fritzbox terminiert und es nach "innen" keine öffentliche IP gibt. Ich hab im Büro 5 öffentliche IP-Adressen und die fallen alle hinten aus der Fritzbox raus. Wenn Du via DHCP eine private IP bekommst, dann ist da nix mit öffentlicher IP hinter der Fritzbox. Ist meiner Meinung nach aber auch nur halb so wild... private v4, öffentliche v6 - hab ich hier auch laufen.

Wenn ich nun an den Lan Port gehe zum WAN Port der sense, bekomme ich eine Home IP (192.168.188.35) von der Fritzbox, leider gleiches phänomen (kein Internet da DNS Probe Start) liegt vllt daran das die Fritte per DHCP mein PiHole mit 192.168.188.4 verteilt.

Lass den piHole erstmal völlig aussen vor, gibt der pfSense irgendwas an DNS (8.8.8.8 oder was auch immer) und jut ist. Davon ab, bevor DNS relevant wird, ist erstmal "Routing" angesagt, daher auch der Hinweis bzgl. "ping 8.8.8.8" bzw. "traceroute".

Versteh mich nicht falsch, aber es nutzt genau "garnichts", wenn Du Dich um die Polsterfarbe der Sitze Deines Autos kümmern willst, wenn Du noch nichtmals eine Strasse zum fahren hast...

 

[the other]

Moinsen,
hier sind die Einstellungen wie folgt:
Fritzbox bekommt IPv4 (und alles für IPv6 also Adresse und Präfix mit 56er).

pfsense bekommt am WAN Interface eine feste IP aus dem Transfernetz zwischen Fritz und *sense, Upstream Gateway ist die IP der Fritzbox.

pfsense bekommt am WAN Interface ebenfalls die IPv6, hier via DHCPv6 von der Fritzbox, mit folgenden Optionen auf dem *sense WAN Interface:
- Only request an IPv6 Prefix (no address) > Check
- Send IPv6 prefix hint > Check
und zusätzlich hab ich hier noch für die anderen Interfaces IPv6 aktiv mit Track WAN sowie normal für IPv4 Statische IP

Damit bekomme ich private IPv4s (logo) für die Interfaces (und clients) sowie für diejenigen VLANs, die es bekommen sollen, werden aus dem /56er Block jeweils /64er geschnitten, extra Subnet ID dazu und bilden sich ihre GUA dann per SLAAC. Für die ULAs habe ich das unter DHCP6/RA eingerichtet...

Wie @blurrrr schon meinte: nimm den Pihole erstmal raus (muss ja nicht komplexer werden als zu Beginn nötig. Mach alles (DHCP, DNS) via *sense und schau, ob das geht.
Wenn deine *sense für die Interfaces alles stimmig erhält, dann mit Client testen, ob der das auch richtig bekommt...dann mal schauen, ob du mit Pihole dazwischen filtern kannst. Aber solange die Pflicht nicht läuft, musst du dir keine Gedanken über die Kür machen.

 

[Marsinatorrr]

sooo also hier nochmal paar Screens.

Ich hatte nun nochmal mit Vodafone gesprochen und sie wollten mir heut noch den Bridge Mode freischalten (ich bin gespannt)
Am Bridge Port selbst bleibt es dabei das nichts ankommt (0.0.0.0) kein Ping oder sonstwas. Ich weiß nicht ob es dazu noch ein Zusammenhang gibt zwecks Nativen IPv6 / IPV4.

Wenn ich aber ans LAN von der Fritzbox gehe bekomme ich die IP 192.168.188.35 aus meinen Heimnetz.

Als DNS hab ich einfach mal in der sense 1.1.1.1 eingetragen.

Dazu habe ich auch Ping aber keine Anfrage aus dem LAN Interface wird bearbeitet (DNS Probe started)

 

[Marsinatorrr]

teil 2

 

[the other]

Moinsen,
hast du denn irgendwo ein Gateway eingetragen? Wird das via DHCP verteilt?
Hast du mal meine Variante versucht (Fritzbox NICHT im bridge, falls das überhaupt eine Option für dein Vorhaben sein sollte).
Also: Fritzbox im normalen Router modus, IPv4 für WAN der*sense statisch vergeben in der Fritzbox. *sense benötigt dann auf WAN die Einstellung feste IP UND ein eingetragenes UPstream Gateway.
Ja, ist dann ootb doppel NAT...aber zum testen...und dann würde ich ggf. (wenn dich doppel NAT nervt) das Fritzbox NAT lassen und das NAT auf der *sense deaktivieren...

 

[blurrrr]

https://www.heimnetz.de/anleitungen/router/avm-fritzbox/fritzbox-ipv6-pfsense/ wäre ja ggf. erstmal ein Einstieg (unabhängig von IPv4).

 

[the other]

Moinsen,
ich kenn die Oberfläche der OPNsense nicht.
Es wird da aber sicherlich etwas geben, was dem PFsense "Status" Reiter entspricht:
dort kannst du dir mit "Interfaces" einfach mal anschauen, wie die Konfig zusammengefasst aussieht, welche IPs verteilt wurden, wer DNS spielen darf, ob und wer das Gateway darstellt usw.
Wie gesagt, das gilt für PFsense, aber so verschieden ist das ja nicht bei denen...denke ich mal.

 

[tiermutter]

Es wird da aber sicherlich etwas geben, was dem PFsense "Status" Reiter entspricht:

Interfaces/Overview => Interface aufklappen:

 

[the other]

Moinsen,
Und ich sach's noch...

 

[tiermutter]

Oh, ganz frisch reingekommen: https://forum.opnsense.org/index.php?topic=32549.msg157515#msg157515

 

[Marsinatorrr]

alsooooo,danke für die Zahlreichen kommentare!

Die OpnSense läuft nun erstmal, aber nicht im Bridge Mode sondern eben über den Umweg.

Wenn ich das mit dem Bridge Mode probiere (egal ob Vodafone da nun was probiert freizuschalten oder nicht) bekomme ich nur "0.0.0.0" auf mein WAN Port.

Jetzt hätte ich natürlich die Option in 4 Wochen die Vodafone Station zu nehmen und diese soll 100% WAN haben (da sie sich warscheinlich keine IPV4 Krallt so wie die Fritte).
Nun habe ich es wie folgt gemacht:
Fritzbox -> LAN2 -> WAN -> OPNSense.

Also die OPNSense ganz normal ins Heimnetz gebracht, eine Feste IP gegeben und eine Portfreigabe mit "Exposed Host" somit wird die Firewall von Fritte für dieses Gerät ja ausgeschaltet und ich müsste KEIN Doppel NAT mehr haben wenn ich das richtig verstehe.

Danach habe ich noch DHCP und DNS in der OPNSense konfiguriert und GAANZ Wichtig, eine Firewall Regel erstellt die besagt das alle LAN Geräte nach Außen kommen, sonst geht eben kein Internet .

Sooooo eigentlich bin ich ja nun am Ziel, die Fritzbox "abschalten" (WLAN aus, alle Geräte abziehen) und gut.

Alternative wäre nun nochmal nach 4 Wochen die Vodafone Station (5€ weniger im Monat) und dann direkt WAN, mit öffentlicher IP an die OPNsense. wüsste aber nun eigentlich kein Vorteil...

 

[Barungar]

Also die OPNSense ganz normal ins Heimnetz gebracht, eine Feste IP gegeben und eine Portfreigabe mit "Exposed Host" somit wird die Firewall von Fritte für dieses Gerät ja ausgeschaltet und ich müsste KEIN Doppel NAT mehr haben wenn ich das richtig verstehe.

Falsch gedacht... die Firewall der FritzBox hat nichts mit dem NAT zu tun. Auch in dieser Konstellation hast Du ein Doppel-NAT. Das NAT der FritzBox und das NAT der OPNSense.