FritzBox 7490 als kaskadierter Router (?)

[Netz-Paul]

Hallo,

ich habe folgendes vor:

Ich benötige meine FritzBox 7490 vor allem als LAN-Router, um damit Geräte in einem bestimmten IP-Adressbereich zu halten. Der Internatanschluss soll über ein bestehendes WLAN-Netzwerk kommen- dessen Signale soll die FritzBox empfangen. Zunächst mal ist die gute Kommunikation zwischen den Geräten des LAN sehr wichtig. Ein Internet von außen ist dafür ja nicht wichtig.

Nun möchte ich die in diesem 'internen Netzwerk' angeschlossenen Geräte (mindestens eins davon) auch von außen erreichen können; idealerweise per VPN (z.B. von FritzBox zu FritzBox). Hier fängt nun (hoffentlich nicht!) das Problem an:

Anscheinend nennt sich das 'kaskadierter Router' (ACHTUNG: kann aber auch sein, dass es andere, bessere Lösungen gibt!).

Hierzu steht in der Anleitung:

-------

FRITZ!Box als kaskadierten Router einrichten​

Im Betrieb als kaskadierter Router nutzt die FRITZ!Box die vorhandene Internetverbindung Ihres anderen Routers, stellt aber dennoch ein eigenes, von dem Router getrenntes, Netzwerk zur Verfügung. Dabei gilt Folgendes:

• Die Firewall der FRITZ!Box ist aktiviert.
• Die mit der FRITZ!Box verbundenen Computer, Smartphones und anderen Geräte erhalten ihre IP-Einstellungen von der FRITZ!Box.

Voraussetzungen / Einschränkungen​

• Der Zugriff aus dem Netzwerk des anderen Routers auf Geräte, die an der FRITZ!Box angeschlossen sind, ist nicht möglich.
• Die Nutzung von MyFRITZ! ist nicht möglich.
• Funktionen, für die eine öffentliche IP-Adresse benötigt wird (z.B. Portfreigaben und eingehende VPN-Verbindungen), sind nicht oder nur eingeschränkt nutzbar.
• Die FRITZ!Box und der andere Router müssen verschiedene IP-Netzwerke verwenden.

-------

Dies macht natürlich die ganze Planuing zunichte, wenn es nicht umgehbar ist:

• Der Zugriff aus dem Netzwerk des anderen Routers auf Geräte, die an der FRITZ!Box angeschlossen sind, ist nicht möglich.

Fragen:

1) Gibt es dazu clevere Workarounds?
2) Gibt es alternative Betriebsmodi der FritzBox außer als 'kaskadierter Router'?
3) Noch irgendwas anderes, an was ich nicht gedacht habe?


Danke schonmal im Voraus!

 

[blurrrr]

Hier fängt nun (hoffentlich nicht!) das Problem an

über ein bestehendes WLAN-Netzwerk

Wenn Du Zugriff auf den vorgelagerten Router hast, könnte das funktionieren (Portweiterleitung vom vorgelagerten Router auf Deinen), allerdings weiss ich nicht, ob die Fritzbox da bei z.B. Wireguard mitspielt, aber das kann Dir bestimmt irgendwer hier sagen, der das auch am laufen hat

Eine andere Möglichkeit... Naja, wenn Du ein getrenntes Netz haben willst, wohl eher nicht. Würdest Du auf das getrennte Netz verzichten, könnte man eine Fritzbox als einfachen Accesspoint samt Switch konfigurieren (oder halt einfach einen Repeater mit LAN-Ports nutzen).

Nun hast Du ja bereits eine Fritzbox...

Ich benötige meine FritzBox 7490

... von daher würde ich einfach mal sagen: Probier es doch einfach mal aus. Sofern Du Zugriff auf den vorgelagerten Router hast... Etwas schlimmeres als "funktioniert nicht" kann halt nicht bei rum kommen. Pack die Fritzbox halt hinter den anderen Router, richte die Fritzbox ein (glaube, eine myFritz-Adresse braucht diese Fritzbox dann auch noch, weil ansonsten nix mit Wireguard ist), auf dem vorgelagerten Router brauchst Du dann auch etwas in Richtung DynDNS (wie z.B. MyFritz, DuckDNS, etc.), sofern Du keine statischen WAN-IPs hast (was meist nur Business-Kunden haben). Wenn das alles durch ist, Portweiterleitung vom ersten Router auf den zweiten Router (Port für Wireguard-VPN) und dann kommt es ggf. darauf an, wie die Fritzbox das so sieht, ggf. muss man die VPN-Config noch händisch zusammenbasteln und dann importieren, aber ich vermute schon, dass sowas klappen wird.

Aber wie gesagt, musst ja nix neu kaufen, hast alles da, einfach mal ausprobieren

 

[Netz-Paul]

Hallo,

ohje... das Blöde ist: das vorgelagerte W-LAN ist ein öffentliches Uni-Netz, da kann ich froh sein überhaupt einen Anschluss zu bekommen, von besonderer Konfigurierung wage ich da gar nicht zu träumen. Den eigenen, privaten Adressbereich brauche ich in jedem Fall, sonst funktionieren die Sachen dahinter nicht (PCs müssen miteinandere kommunizieren können).

Ich hatte schon gedacht, die Lösung aller Probleme gefunden zu haben... Das ist jetzt echt ein Reinfall. :-/

Der einzige 'Workaround', der mir dazu einfällt (wenn es überhaupt einer ist...?) wäre ein LTE-Zugang über Mobilfunk, was aber sehr suboptimal wäre.

Noch irgendeine Idee das Prinzip zu verwirklichen, mit oder FritzBox?

 

[blurrrr]

was aber sehr suboptimal wäre.

Naja, "suboptimal" können andere Konstrukte auch sein

Ich habe von Uni-Netzen und euren Zugängen keine Ahnung, aber... Man könnte ggf. hingehen und zwischen Deinem Netz und einem angemieteten vServer einen dauerhaften VPN-Tunnel aufspannen (dabei muss sich Deine Seite mit dem VPS verbinden, andersrum geht es nicht!). Somit hättest Du einen Tunnel zwischen Deinem internen Netz und dem VPS (Site2Site). Der Client verbindet sich nun zum VPS (Roadwarrior) und die Pakete laufen dann vom Client, durch die Roadwarrior-Verbindung über den VPS durch den Tunnel in Dein internes Netz.

Das funktioniert alles "nur", wenn die Uni die VPN-Geschichten nicht blockert (davon würde ich aber initial erstmal ausgehen). Vielleicht fragst Du da einfach mal wen, der für die IT verantwortlich ist, ob Du so ein Konstrukt überhaupt fahren darfst (ggf. ist es auch schlichtweg verboten). Man muss sich ja nicht unnötig in die Nesseln setzen...

 

[Netz-Paul]

Hmm... also von FitzBox zu FritzBox im VPN-Tunnel (vorausgesetzt, das wird im Uni Netzwerk nicht blockiert) geht nicht?

 

[blurrrr]

Ungefähr so:

Client ----Roadwarrior----> VPS (oder anderweitiges) <====Site2Site==== Fritzbox

"<" und ">" geben jeweils die Einwahlrichtung an. Kann aber auch aller für Nüsse sein, wenn das Uni-Netz VPN-Verbindungen unterbindet

 

[NorbertHH]

Also, die Fritzbox 7490 kann nur über den DSL-Port mit einen anderen Netz verbunden werden. LAN zu LAN kann nur die 7590 über ihren WAN-Port und in der Tat dann als kaskadierter Router, das funktioniert bestens. Die 7590 nimmt sich in dieser Konfig eine DHCP-Adresse aus dem vorgelagerten Netz und über Portfreigaben kannst Du dann auch aus dem Uni-Netz auf Geräte, die am Switch der Fritzbox hängen, zugreifen. Ggfs. kannst Du sogar VPN auf der Box aktivieren, voll transparent auf das isolierte Netz zuzugreifen. Du musst halt schauen, in wie weit es ein Netzwerkmonitoring gibt, das deine Fritzbox „entlarvt“ und dann auch blockiert…

 

[Netz-Paul]

Bin gerade verwirrt weil mich meine minimalen Netzwerkkenntnisse hier im Stich lassen

Also ich hatte mir die FritzBox7490 extra zu diesem Zweck zugelegt, da sie noch das aktuelle Fritz OS und alle VPN Möglichkeiten hat.
Einen kaskadierten Router einrichten kann sie auch. Bei der Einrichtung der FritzBox7490 kann man im Dialog sinngemäß einstellen, dass die Internetkonnektierung von einem anderen WLAN kommen soll; in der oben verlinkten Dokumentation steht:

Die FRITZ!Box nutzt dann die vorhandene Internetverbindung Ihres anderen Routers, stellt aber dennoch ein eigenes, von dem Router getrenntes, Netzwerk zur Verfügung.

Das wird jetzt nicht auf DSL beschränkt- mir wäre das auch nicht erklärlich, denn es dürfte ja keine Rolle spielen von wo die Internetkonnektierung des vorhergehenden WLANs kommt (DSL oder sonstwas).

Daher ist mir dies unverständlich:

Also, die Fritzbox 7490 kann nur über den DSL-Port mit einen anderen Netz verbunden werden.

Zur FritzBox7590:

LAN zu LAN kann nur die 7590 über ihren WAN-Port und in der Tat dann als kaskadierter Router, das funktioniert bestens.

'LAN zu LAN' im weiteren Sinne, als auch ohne Kabel 'WLAN zu WLAN'?
Denn ein kabelgebundens LAN kann ich vor Ort baulich nicht herstellen, es kommt nur eine Konnektierung zu dem bestehenden WLAN infrage.

Sollte es mit einem Kabel einfacher werden, dann fällt mir noch Folgendes ein:

Ich habe hier noch einen weiteren Router, nämlich Huawei Mobile WiFi Pro2 E5885L
Dies ist ein kleiner LTE-Router mit RJ45- Anschluss. Wenn ich nun von dort aus die FritzBox7490 konnektiere, würde sich dann etwas ändern?

Ich habe hier übrigens noch einen Hub rumstehen: Allied Telesyn CentreCOM 3016TR
Ich weiß gerade nicht, ob der in meinem Vorhaben irgendeine sinnvolle Rolle spielen kann


Nochmal kurz zur Erinnerung, worum es mir geht:

• Herstellung eines LANs mit festgelegten IP-Adressen, so dass die dort angeschlossenen Geräte kommunizieren können
• Erreichbarkeit dieses LANs von außen, idealerweise VPN
• Als Tor zur Außenwelt steht ein WLAN eines Uni-Netzwerks zur Verfügung, darüber sollte das möglichst funktionieren. Im deutlich schlechteren Fall könnte auch versucht werden die Erreichbarkeit über einen LTE-Router hinzubekommen, der wiederum per Kabel an die FritzBox angeschlossen werden könnte.

 

[NorbertHH]

Also, zunächst einmal bleiben wir bei dem ursprünglichen Vorhaben und den darin beschriebenen Geräten:
Hier das AVM-Dokument speziell für den Einsatz der FB 7490 als kaskadierter Router
https://avm.de/service/wissensdaten...FRITZ-Box-als-kaskadierten-Router-einrichten/
Die Anbindung geht hier über LAN (Port 1 der FB), eine Anbindung über WLAN ist da gar nicht erwähnt… Sorry, das hatte ich in meinem letzten Beitrag falsch beschrieben.

 

[Netz-Paul]

Uuppss.. ich fange immer erst mit dem zweiten Satz beim Lesen an (den hatte ich oben zitiert- danach schien es so, als sei jede Art von Konnektierung möglich). Aber nein:

Sie können Ihre FRITZ!Box für den Betrieb als kaskadierter Router einrichten und über ein Netzwerkkabel mit Ihrem anderen Router verbinden.

Also doch, ein Netzwerkkabel für die FritzBox7490.

Allerdings kommt jetzt eine weitere schlechte Nachricht, nämlich nun auch bezüglich der FritzBox7590:

Sie können Ihre FRITZ!Box für den Betrieb als kaskadierter Router einrichten und über ein Netzwerkkabel mit Ihrem anderen Router verbinden.

Exakt dasselbe für die FritzBox7590

Also entweder die FritzBox7590 kann noch irgendwas anderes, was die FritzBox7490 nicht kann, und zur Lösung des Problems beiträgt oder ich könnte bei der FritzBox7490 bleiben oder die FritzBoxen sind einfach nicht die richtigen Geräte zur Problemlösung.

Bliebe noch eine Option aus meinem letzten Posting in Betracht:

Vorschalten des Huawei Mobile WiFi Pro2 E5885L Routers, da dieser ja einen Kabelanschluss hat
und dieser eine Internet (WAN) Konnektierung via
a) LTE Mobilfunk
b) WLAN Extension (also hier tatsächlich Empfang des anderen WLAN-Systems)
bietet.

Fragt sich, ob ich die Geräte im von der FritzBox aufgespannten Netz dann von außen erreichen kann.
In Fall a) wäre das übers Mobilfunknetz iim Fall b) übers Uni-Netz mit dem entsprechenden Router. Von diesem speziellen Uni-Netz weiß ich nur, dass keine Ports gesperrt werden und der Zugang nur unter der physischen MAC Adresse beantragt werden kann.

Oder eine ganz andere Lösung, an die ich bisher noch nicht gedacht habe

 

[Spielebernd]

Die passende AL für die 7490 und 7590 wären hier:

https://avm.de/service/wissensdaten...ner-Zugang-uber-WLAN-in-FRITZ-Box-einrichten/

Über das Uni-Netz wäre ein Zugriff von außen nur über IPv6 möglich und nur wenn du keine Portfreigaben brauchst.

Über Mobilfunk hättest du soweit alles in der eigenen Hand eventuell lässt sich der Mobilfunkrouter auch nur als Modem schalten. Einzig der hier noch dazwischen funken könnte wäre dein Mobilfunkanbieter.

 

[Netz-Paul]

Die passende AL für die 7490 und 7590 wären hier:

https://avm.de/service/wissensdaten...ner-Zugang-uber-WLAN-in-FRITZ-Box-einrichten/

Dann hatte ich das doch noch richtig in Erinnerung... irgendwas war da doch. Ich meine, das auch im Einrichtungsprozess der FritzBox7490 so gesehen (und entsprechend eingestellt) zu haben.

Wie ist aber dies zu verstehen?

Der Zugriff von Geräten am WLAN-Router auf Geräte an der FRITZ!Box ist nicht möglich.

Das, was ich vorhabe, wird ja hier anscheinend ditrekt ausgeschlossen

 

[Spielebernd]

Ich kann dich auch falsch verstehen aber ich hatte verstanden das du von außen per VPN zur FB möchtest. Der Punkt bezieht sich auf Geräte die am Uni-Netz angeschlossen sind und hat nichts mit der VPN Verbindung zu tun.

 

[Netz-Paul]

Ja, von außen zur FritzBox, um dann auf die an der Fritzbox hängenden ('kaskadierter Router') Geräte zu kommen. Ich dachte, der Hinweis würde implizieren, dass ich nicht mehr auf (1) zugreifen kann.

(5) WAN Internet (außen) <---> (4) WLAN Router Uni-Netz <---> (3) kaskadierter WLAN Router FritzBox <---> (2) LAN internes Internet <---> (1) Endgeräte (PCs, etc.)

Also per VPN-Verbindung könnte ich doch über die Stationen (5) - (2) auf (1) zugreifen?

Dann wäre ich vermutlich da, wo mich der Kollege @blurrrr witer oben schonmal hingeschickt hat:

Ungefähr so:

Client ----Roadwarrior----> VPS (oder anderweitiges) <====Site2Site==== Fritzbox

"<" und ">" geben jeweils die Einwahlrichtung an. Kann aber auch aller für Nüsse sein, wenn das Uni-Netz VPN-Verbindungen unterbindet

Allerdings kann ich das noch nicht ganz nachvollziehen

 

[Spielebernd]

Richtig @blurrrr hat das schon sehr schön und ausführlich beschrieben.

Mal mit deinen Zahlen von 4 Richtung 2 geht nicht nur bis 3 das liegt an der Kaskade. VPN geht bis 3 also von 5 kommend geht es an 4 wird es hier abgewiesen wegen z.B. Port geschlossen dann ist hier Ende. Lässt es 4 zu 3 durch steht der Tunnel. Alles was im Tunnel ist ist 5 und 4 egal und können es nicht beeinflussen.

 

[Netz-Paul]

VPN geht bis 3 also von 5 kommend geht es an 4 wird es hier abgewiesen wegen z.B. Port geschlossen dann ist hier Ende.

Ich stehe da leider stark auf dem Schlauch, sicher auch durch meine bescheidenen Netzwerkkenntnisse...

Also, mit VPN geht maximal von 5 bis 3, wenn der Tunnel durch 4 hindurchgeht. Was bedeutet es jetzt genau, wenn der Tunnel bei 3 endet? Denn Sinn und Zweck der Sache ist ja, dass ich die Geräte (1) mit z.B. einer Datenbank sehen kann. Ich hätte jetzt gedacht, wenn ich auf der FritzBox (3) bin, dann kann ich auch die Geräte (1) sehen, da diese ja über die FritzBox (3) geroutet werden. Jetzt bin ich total verwirrt

 

[Spielebernd]

Hast du doch richtig erkannt der Tunnel geht bis 3 und hier kommen dann alle Geräte die hier angeschlossen sind.

 

[NorbertHH]

Mach es dir doch einfach und hänge einen Fritz WLan Repeater per WLan in das Uni-Netz und da dann an das LAN-Port per Kabel von LAN1 zum Repeater deine als kaskadierten Router konfigurierte FB 7490 und fertig ist die Laube aus technischer Sicht…

 

[Netz-Paul]

Mach es dir doch einfach und hänge einen Fritz WLan Repeater per WLan in das Uni-Netz und da dann an das LAN-Port per Kabel von LAN1 zum Repeater deine als kaskadierten Router konfigurierte FB 7490 und fertig ist die Laube aus technischer Sicht…

Bitte nochmal ganz langsam für Dummies (also mich)...
Von wo genau soll meine FritzBox7490 jetzt externes Internet bekommen? Bitte mal ganz detailliert die ganze Kette, sonst kapiere ich es nicht.

 

[blurrrr]

Zum Thema von @NorbertHH :
Wenn die Fritzbox nur Internet via LAN beziehen kann(?), Du aber nur Zugriff von der Uni via WLAN bekommst, bräuchtest Du halt eine Lösung, die das WLAN der Uni an einen Netzwerk-Port an Deiner Fritzbox bringt. Eben zwecks Medium-Wechsel (WLAN <-> LAN). Vom Konstrukt her dürfte das dann so aussehen:

Uni-WLAN <---WLAN--> <(WLAN)Repeater(LAN)> <-> <---LAN---> <(WAN)Fritzbox(LAN)>

Und so ganz allgemein:
Du kommst von aussen nicht durch das Uni-Netz bis zu Dir, sondern lediglich raus. Kleines praktisches Beispiel: Du bist in einem Haus und kannst nur raus (Haus1). Wie kannst Du sicherstellen, dass Du wieder rein kommst, nachdem Du draussen bist? Du hast allerdings noch ein anderes Haus direkt nebenan, in welches Du auch von aussen hinein kannst (Haus2). Was nun vom Aufbau her passiert ist folgendes:

Aus dem Haus1, wo Du nur "raus" kannst (Uni-Netz), legst Du "ausgehend" den Kinderkrabbeltunnel rüber in Dein anderes Haus2. Somit bleibt eine Verbindung zwischen den beiden Häusern offen. Willst Du dann von extern in Haus1, musst Du zunächst Haus2 betreten (VPN/Roadwarrior), um dann durch den Kinderkrabbeltunnel (VPN/Site2Site) in Haus1 zu landen.

Das ganze Theater muss halt so sein (vor allem der Verbindungsaufbau bzw. die Richtung dessen). Ist allerdings nach wie vor sehr fragwürdig, ob das aus einem Uni-Netz überhaupt funktioniert. Irgendwer wird diese Netze auch administrieren, vielleicht solltest Du da einfach mal mit jemandem sprechen... Mitunter ist so ein Konstrukt auch untersagt, denn wenn man Deinen zusätzlichen Standort kapert und darüber in Dein Netz hinter dem Uni-Netz kommt, kann man von dort aus auch wieder ins Uni-Netz. Da haben die vermutlich eher keine Lust drauf...