Probleme mit zweiter Fritzbox, die eine vorhandene Fritzbox als Modem nutzen soll

[crizis]

Guten Morgen zusammen,

ich habe ein Problem mit einem (vielleicht etwas ungewöhnlichen) Fritzbox-Setup.

Es gibt eine FRITZ!Box 6591, die in der ersten Wohnung als Router/Modem die Verbindung zum Internet herstellt. Eine weitere 6591 in der zweiten Wohnung ist per LAN-Kabel an die erste Box angeschlossen und soll über den LAN1 die erste Box rein als Modem zur Herstellung ihrer eigenen Internetverbindung nutzen. Die beiden Boxen sollen kein Mesh untereinander herstellen, die Netze sollen voneinander getrennt sein.

Also habe ich die zweite Box als kaskadierten Router gemäß AVM-Anleitung (https://avm.de/service/wissensdaten...FRITZ-Box-als-kaskadierten-Router-einrichten/) konfiguriert. In diesem Netz arbeiten zudem zwei Fritz-Repeater 1200 AX. Die zweite Box und die Repeater spannen wiederum ein Mesh auf. Die Einrichtung hat einwandfrei funktioniert, das Problem ist aber nun, dass manche Dienste in diesem Netz nur sporadisch oder gar nicht funktionieren. Wenn sich z. B. mein iPhone frisch ins WLAN einwählt, kann es ganz normal Mails abrufen. Nach 5-10 Minuten funktioniert das nicht mehr, über den Status „Verbinden“ kommt die Mail-App nicht mehr hinaus. In den WLAN-Einstellungen des iPhones wird dann „Keine Internetverbindung“ angezeigt. U. a. den Browser kann ich jedoch weiterhin normal nutzen. Wiederum andere Apps können keine Verbindung zum Internet herstellen.

Am Smart TV kann das interne OS bzw. die Magenta TV-App normal eine Verbindung herstellen, über den Waipu TV-Stick geht es nicht. Das Ganze setzt sich so fort, mancher Dienst läuft problemlos, mancher nur sporadisch oder gar nicht.

Bei der initialen Konfiguration wurde der zweiten Box die IP 192.168.178.2 zugeteilt, die erste Box hat die 192.168.178.1. Gateway und DNS-Server sind, wie aus der Anleitung zu entnehmen, die erste Box (192.168.178.1). Subnet ist bei beiden 255.255.255.0.

Was mache ich falsch? Gibt es noch eine andere Möglichkeit, meine Wunsch-Konfiguration zu realisieren? (Getrennte Netze, separate WLANs), Mesh im Netz der zweiten Box). Konfiguriere ich die zweite Box als Mesh-Repeater der ersten Box (diese als Master) und gleichzeitig als IP-Client, läuft alles problemlos, allerdings sind dann alle Geräte im ersten Netz sichtbar und die zweite Box kann kein Mesh mit den Repeatern aufspannen. Ein Mesh aus erster und zweiter Box sowie den Repeatern ist auch nicht gewünscht, da ich dann das WLAN der zweiten Box aufgeben müsste.

Vielen Dank für jeden hilfreichen Tipp

 

[Barungar]

Wenn ein Teil geht und ein anderes Teil nicht geht.

Fallen mir grundsätzlich zwei Punkte an, wo man weiter forschen könnte. Das ist eine DNS und das andere ist IPv4/IPv6.
Um Dein Kaskaden-Konstruktu auszuschließen... kannst Du vergleichbare Fehlerbilder erzeugen, wenn Du nur über die erste FritzBox verbunden bist?

Und nur als Anmerkung... "kaskadierte Router" so wie Du es gebaut hast, hat nix mit "FritzBox nur als Modem nutzen" zu tun.
Interessant wäre noch, welches IP-Subnetz spannt denn die zweite FritzBox auf?

 

[starb]

Ich habe auch Probleme mit diesem Setup.

Ich hab hier unter Diagnose bei meiner FB 7520 mit FW8.0 diese Meldung:

MyFRITZ!
MyFRITZ! ist für diese FRITZ!Box aktiv. Das AVM-DynDNS-Update ist gescheitert

Unter Settings/Internet/MyFritz!-Konto sieht alles soweit normal aus, aber die angedeutete LED in der Zeile ist grau.

Ist das ein Bug?
Allerdings zeigt auch ein "ping xyz.myfritz.net" : Der Name oder der Dienst ist nicht bekannt.

Logge ich mich mit https://myfritz.net ein, dann sehe ich meine Box und ihre IPv6 Adresse.

Ausserdem muss man noch wissen (sie Footer), dass die 7520 als kaskadierte Box hinter einer 7590 hängt, also nicht direkt im Internet. Die hat daher auch keine öffentliche IPv4 Adresse.

Trotzdem - sollte doch alles gehen. Was könnte ich ggf falsch konfiguriert haben? Mit IPv6 bin ich noch ziemlich unerfahren.


Edit:
Hab noch folgendes in den Netzwerkeinstellungen gefunden: Wobei das nur das untere angekreuzt ist. Ich will da nichts ohne Ahnung verschlimmbessern:

Weitere IPv6-Router im Heimnetz​

Auch IPv6-Präfixe zulassen, die andere IPv6-Router im Heimnetz bekanntgeben

Diese FRITZ!Box stellt den Standard-Internetzugang zur Verfügung

---
Auch dyndns ist irgendwie komisch. Natürlich hab ich nur eine locale IPv4, aber die IPv6 sollte ja ok sein. Die melde ich an meinem dyndns Dienst hat und ich kann sehen, er hat die auch bekommen. Ein Ping auf diese Adresse schlägt aber trotzdem fehl. Könnte das gleiche Problem sein, dass der ping die kaskadierte Box nicht erreicht - aber warum?

 

[Barungar]

Was liefert denn ein "nslookup"? Bevor man mit Ping was versucht, sollte man die DNS-Records prüfen.
Ich vermute mal, dass ein ungültiger A-Record gesetzt ist/wird.

 

[starb]

Ich kenn das tool nicht. Den Aufruf auf die dyndns url der Modem-Box und der kaskadierten Box sind nahezu identisch, mit Ausnahme der "serial".

Der Anfang ist immer (ob dyndns oder myfritz Dienst):

Server:        127.0.0.53
Address:    127.0.0.53#53

Non-authoritative answer:
*** Can't find cm0xxxxxxxxxhm.myfritz.net: No answer

Authoritative answers can be found from:
myfritz.net
    origin = ns2.myfritz.net
    mail addr = admin.avm.de
    serial = 3xxxxxxxxx4
    refresh = 20
    retry = 20
    expire = 86400
    minimum = 1

 

[Barungar]

Demnach gibt es weder einen A noch einen AAAA Record für Deinen myfritz-DynDNS-Namen.
Somit hat Deine FritzBox zumindest in soweit recht, dass sie den nicht registrieren konnte.
Und ohne A oder AAAA Record auch kein Ping - außer Du gist die IP anstatt des Namens an.

 

[starb]

Das verstehe ich insofern nicht, als dass die Antwort auf den Befehl nslookup fast gleich ist, und bei der einen Adresse geht es und bei einer anderen nicht. Ausserdem ist sowohl in myfritz als auch beim dyndns Anbieter zumindest eine IPv6 Adresse vorhanden.
Diese IPv6 Adresse kann ich aus meinem (kaskadierten) Netz anpingen, aber schon mal nicht aus dem Netz des Routers (und offensichtlich) nicht aus dem Internet. Blockiert da eine FW? Muss ich da was freigeben für?

 

[Barungar]

Ich sage mal aus der Ferne bzw. ohne konkrete Daten kann ich Dir nur theoretisch helfen.

Du müsstest zwei myfritz.net-Adressen haben. Die von der ersten FritzBox, die sollte auch funktionieren. Und die myfritz-Adresse von der zweiten FritzBox, die nicht wirklich klappt.

Welche Ressource-Typen haben die beiden myfritz? Haben beide gültige A und AAAA Records? Ich glaube bei der zweiten myfritz hatten wir ja schon festgestellt, dass zumindest DU sie nicht auflösen kannst. Aber hast Du mal über einen anderen DNS-Server versucht als Deinen (im Router).

Die IPv6 der zweiten FritzBox wird ihre interne IPv6 sein, die kannst Du natürlich nur aus ihrem Netz anpingen - solange Du keine ICMPv6-Freigaben erstellst. Die zweite FritzBox muss mindestens zwei IPv6-Adressen haben. Die im Netz des ersten Routers und die in ihrem eigenen Netz. In ihrem eigenen Netz kannst Du beide anpingen. Und im Netz des ersten Routers, kannst Du nur die IPv6 der zweiten FritzBox anpingen, die im Netz des ersten Routers liegt. Bis Du halt eine Freigabe für ICMPv6 machst.

Dann stellt sich mir noch die Frage, delegiert die erste FritzBox ein Präfix an die zweite FritzBox, normal sollte sie das tun.

 

[starb]

Danke schon mal, ich denke wir sind auf dem richtigen Weg.
Also für die erste (Router) Box geht alles. Auch wenn nslookup mir nichts anderes zeigt als für die zweite Box, vielleicht liegt es daran, dass ich ja im hinteren kaskadierten Netz bin - die Namensauflösung funktioniert jedenfalls.

Jetzt fängt es an für mich kompliziert zu werden. Gibt es "Nur interne" IPv6? Ich dachte immer der Sinn der langen IP wäre es global zu sein? Also was muss ich in dem Router einstellen - das sind verblüffend viele Möglichkeiten in Internet/Zugangsdaten/IPv6 und auch in Heimnetz/Netzwerk/Netwerkeinstellungen...

Das delegieren von Präfix hab ich irgendwo schon mal gelesen. Problem ist ich verstehe nicht wirklich wer was delegiert und warum, daher ist das für mich wie Juristen- oder Steuer deutsch..

(Die kaskadierte Box hab nur eine (lokale IPv4) und eine IPv6 und einen IPv6 Prefix. Da ist eingestellt IPv6 aktiv, aber bei IPv6 Anbindung ist nur gewählt: Native IPv4 Verbindung verwenden (?) - was immer das bedeutet.)

 

[Barungar]

Es gibt verschiedene Arten von IPv6-Adressen... https://forum.heimnetz.de/threads/die-ipv6-adressen-sehen-aber-komisch-aus.387/post-5793

In den meisten IPv6-Netzen hat jeder Teilnehmer in der Regel zwei bis drei IPv6-Adressen. Die meisten haben dabei eine LLA-, ULA- und GUA-Adresse.

Mit intern meinte ich im konkreten Fall zwar eine GUA, aber da die FritzBox auch als Firewall agiert, ist die GUA (obwohl Global) im zweifel von außen (vor der FritzBox) nicht erreichbar, so lange man keine Freigabe erteilt.

(Die kaskadierte Box hab nur eine (lokale IPv4) und eine IPv6 und einen IPv6 Prefix. Da ist eingestellt IPv6 aktiv, aber bei IPv6 Anbindung ist nur gewählt: Native IPv4 Verbindung verwenden (?) - was immer das bedeutet.)

Okay, wenn der kaskadierte Router, eine IPv6 und ein Präfix hat, dann hat die erste FritzBox also eines delegiert.
Das kannst Du in der ersten FritzBox auch prüfen, in der Netzwerk-Konfiguration gibt die auch an, welche Präfixe sie delegiert.
Und in der ersten FritzBox müsstest Du denn eine Freigabe für "delegierte Netze" auf die zweite FritzBox machen. Das wäre schonmal ein erster Schritt in Richtung erreichbar machen.

 

[starb]

Ja, in der Box1 sehe ich das delegierte Netz. Dazu gibt es einige Settings die ich alle nicht verstehe. Hier mal nur die angekreutzten
Router Advertisement im LAN aktiv: check
Unique Local Addresses (ULAs) zuweisen: check

Weitere IPv6-Router im Heimnetz :​

Auch IPv6-Präfixe zulassen, die andere IPv6-Router im Heimnetz bekanntgeben: check
Diese FRITZ!Box stellt den Standard-Internetzugang zur Verfügung:check
mittel: check
DNSv6-Server auch über Router Advertisement bekanntgeben (RFC 5006): check (den sehe ich auch in Box2)

DHCPv6-Server im Heimnetz:​

DHCPv6-Server in der FRITZ!Box für das Heimnetz aktivieren: check
DNS-Server und IPv6-Präfix (IA_PD) zuweisen: check
Ist das korrekt?


Ok, also in der Box1 gibt es bereits eine Portfreigabe für die Box2, nämlich für Wireguard (was nebenbei funktioniert).
Also der WG Port der Box2 ist für IPv4 und IPv6 freigegeben (UDP).
Die restlichen Settings sind:
IPv4 (kein exposed Host)
IPv6 (Ping6 freigeben, FW für delegierte IPv6 Präfixe dieses Geräts öffnen, Host ist nicht exposed!)
Also die beiden Haken bei IPv6 hab ich jetzt neu gesetzt. War das richtig? Noch was? Bis jetzt scheint es keine Auswirkungen zu haben.

 

[Barungar]

IPv6 (Ping6 freigeben, FW für delegierte IPv6 Präfixe dieses Geräts öffnen, Host ist nicht exposed!)
Also die beiden Haken bei IPv6 hab ich jetzt neu gesetzt. War das richtig? Noch was? Bis jetzt scheint es keine Auswirkungen zu haben.

Ja, das ist gut... sowohl Ping6 als auch FW für delegierte IPv6 öffnen. Im Zweifel, da ich nicht weiß, welche Adressen die 2. FritzBox hat, wirst Du auch IPv6 Exposed Host aktivieren müssen, damit das IPv6 komplett durchgeschliffen wird und auch das myfritz.net für die 2. Box funktioniert.

Du hast zwar nun die delegierten Präfixe "freigegeben", aber damit immer noch nicht die IPv6 der 2. FritzBox selbst - das müsste erst das Feld "IPv6 Exposed Host" tun.

Ok, also in der Box1 gibt es bereits eine Portfreigabe für die Box2, nämlich für Wireguard (was nebenbei funktioniert).
Also der WG Port der Box2 ist für IPv4 und IPv6 freigegeben (UDP).

Wie klappt das denn, wenn der myfritz-Name der zweiten Box nicht funktioniert?! Oder verwendest Du den myfritz-Namen der ersten Box für die zweite Box?

 

[starb]

Ja, auch wenn ich kein gutes Gefühl hab die IPv6 auf full exposed zu setzen - geholfen hat es nicht
Wenn da steht, die FW ist dann nicht mehr aktiv, dann heißt das hoffentlich nur die FW der Box1, die Box2 sollte sich hoffentlich weiter schützen.

Ja, WG auf das Netz der Box2 funktioniert wenn ich dessen WG EInstellungen nehme, aber als Endpunkt die Box1 angeben. Dessen öffentliche IP ist bekannt und alles was an die WG Ports geht wird auf Box2 weitergegeben.

Es gibt neben der Portfreigabe auch eine Fritzbox-Freigabe. Das hatte ich auch mal probiert, hat aber nicht funktioniert. Keine Ahnung warum, aber ich denke das ist alles das gleiche Problem.

 

[starb]

Ich glaube fast an einen Bug in der FB was diesen Kaskadierten Mode anbelangt. Wenn ich trotz exposed host diese Meldung bekomme: in Diagnose:
MyFRITZ! ist für diese FRITZ!Box aktiv. Das AVM-DynDNS-Update ist gescheitert.
Und gleichzeitig kann ich in myfritz die korrekte IPv6 sehen. Irgendwie kommt die Überprüpfung nicht durch.

 

[Barungar]

Ich glaube fast an einen Bug in der FB was diesen Kaskadierten Mode anbelangt.

Ohne Dir zu Nahe zu treten. Ich vermute noch nicht, dass die FritzBox da einen Fehler (Bug) hat. Um das zu sagen, ist die Diagnose noch nicht weit genug gegangen (für meinen Geschmack).

Ich versuche es mal so zu kurz wie Möglich zu erläutern. Deine FritzBox 1 hat eine öffentliche IPv4, eine (externe) öffentliche IPv6 und ein öffentliches IPv6-Präfix. Darüber hinaus hat Deine FritzBox 1 eine (interne) öffentliche IPv6 aus dem vom Provider delegierten IPv6-Präfix. Damit ist Deine FritzBox 1 grundsätzlich vollumfänglich erreichbar, z.B. für Wireguard.

Deine FritzBox 2 hat keine öffentliche IPv4, sondern ledigliche eine (interne) private IPv4 von der FritzBox 1 erhalten. Zusätzlich hat Deine FritzBox 2 eine (interne) öffentliche IPv6 aus dem Präfix der FritzBox 1 und weiterhin hat die FritzBox 2 eine (intern, interne) öffentliche IPv6 aus dem von der FritzBox 1 delegierten IPv6-(Sub-)Präfix.

Was den myfritz.net-Status angeht, so sollte der wie folgt sein:

• myfritz-Name der FritzBox 1 mit öffentlicher IPv4 (A-Record) und (externer) öffentlicher IPv6 (AAAA-Record) - diese IPv6 ist jedoch nicht Teil des IPv6-Präfixes, das Deine FritzBox für ihre (internen) öffentlichen IPv6 nutzt!
• myfritz-Name der FritzBox 2 ohne öffentliche IPv4 und eine (interne) öffentliche IPv6 (AAAA-Record), diese IPv6 ist aus dem IPv6-Präfix der IPv6, um diese von außen erreichen zu können, muss es Freigaben auf diese IPv6 geben!

Die obrigen Angaben sollte man verifizieren. Gerade die AAAA-Records, und bedenke dabei die FritzBox 1 hat mehr als eine IPv6, es kommt auf die korrekte IPv6 im AAAA-Record an.

Die konkrete offene Frage für mich ist, was steht in den DNS-Einträgen des myfritz-Namens der FritzBox 2 bzw. welche IPv6 der FritzBox 2? Dabei reicht es zur "Diagnose" nicht, dass nur intern bei dir zu prüfen, dazu sollte man mehrere, externe DNS-Server befragen.

Ja, WG auf das Netz der Box2 funktioniert wenn ich dessen WG EInstellungen nehme, aber als Endpunkt die Box1 angeben.

Damit läuft das ganze dann über IPv4 als Wireguard-Verbindung, die von FritzBox 1 zu FritzBox 2 per Portweiterleitung läuft. An der Stelle kannst Du in der FritzBox 1 auch die IPv6-UDP Freigaben auf dei FritzBox 2 rausnehmen. Weil die werden nicht funktionieren. Es wird auf diese Art allgemein keine IPv6-Verbindung zu Deiner FritzBox 2 für IPv6 funktionieren.

Ja, auch wenn ich kein gutes Gefühl hab die IPv6 auf full exposed zu setzen - geholfen hat es nicht
Wenn da steht, die FW ist dann nicht mehr aktiv, dann heißt das hoffentlich nur die FW der Box1, die Box2 sollte sich hoffentlich weiter schützen.

Geholfen wird es schon haben, es gibt nur noch "Fehlumstände" die davor zuschlagen. Und nein, jetzt ist nicht "alles freigegeben", sondern nur das was an die FritzBox 2 per IPv6 geht. Und die FritzBox 2 hat weiterhin ihre Firewall in Richtung FritzBox 1 aktiv.

 

[starb]

Vielen Dank schon mal für dein Geduld und Mühe, das weiß ich sehr zu schätzen. Ich gehs mal der Reihe nach durch.

Unter Internet/OnlineMonitor/Verbindungsdetails sehe ich die externe öffentlich IPv4 und die IPv6 und einen Präfix.
Dabei ist der Präfix nicht einfach der vordere Teil der IPv6. Nehme an, dass dies nun der interne Präfix ist.
Nur die ersten beiden Gruppen (durch : getrennt) sind gleich, beide Präfixe besteht aber aus 4 Gruppen.
Und die beiden IPs sehe ich auch mit nslookup.

Unter Heimnetz/Netzwerk/Netwerkenstellung/IPv6 werden zwei Präfixe angezeigt, ein für das Heimnetz und eins für WAN
Heimnetz: 2003:ea:7f45:5700::/64 (identisch zum oben gefundenen Präfix)
WAN 2003:ea:7fff:1734::/64 (dieser Präfix passt zur oben genannten öffentlichen(?) IPv6)

Was aber ist eine "(interne) öffentliche IPv6 aus dem vom Provider delegierten IPv6-Präfix" und wo sehe ich die? Und wozu brauche die Box1 zwei öffentliche IPv6? Was ist eine interne öffentliche IP?
Nehme an, mit intern meinst du von der FB generierte IP's, externe werden vom Netzbetreiber vergeben.
Ich sehe eigentlich nur eine IPv6 und die passt zum WAN-Präfix.

Für mich sieht das so aus, als hätte ich keine externe öffentliche IPv6 (Provider Telekom)?
Die IPv6 die an den dyndns Dienstleister geht ist dann auch die einzige IPv6 der Box1 die ich sehe, nämlich eine mit dem externen IPv6-Präfix. : 2003:ea:7fff:1734

Im Moment funktioniert jedenfalls (aus dem Netz der Box1) kein ping -6 <dynds>, obwohl ich mit nslookup beide Adressen sehe.

Und ja, die Box2 hat die interne IPv4 und die IPv6 hat, wobei die IPv6 wiederum zum Heimnetz-Präfix der Box1 passt, also die erste
4 Gruppen sind gleich.
Auch hier verstehe ich den zweiten Teil von dir nicht: "und weiterhin hat die FritzBox 2 eine (intern, interne) öffentliche IPv6 aus dem von der FritzBox 1 delegierten IPv6-(Sub-)Präfix."
Die eine IPv6 hat ja den Präfix des Heimnetzes ... dann ist die wohl nicht von aussen Erreichbar und das ist der Grund für das Problem?

 

[Barungar]

Heimnetz: 2003:ea:7f45:5700::/64 (identisch zum oben gefundenen Präfix)
WAN 2003:ea:7fff:1734::/64 (dieser Präfix passt zur oben genannten öffentlichen(?) IPv6)

Was aber ist eine "(interne) öffentliche IPv6 aus dem vom Provider delegierten IPv6-Präfix" und wo sehe ich die?

Das ist die IPv6 Deine FritzBox, die hinter der Firewall liegt, und die aus dem Subnetz des Präfixes ist. Die FritzBox zeigte diese Adresse in ihrer GUI nicht an (keine Ahnung, was sich AVM dabei gedacht hat). Aber wenn Du mit "nslookup fritz.box" wirst Du sie finden. Auf diese DNS-Abfrage wird dei FritzBox in der Regel antworten mit ihrer "privaten IPv4", der "internen IPv6 GUA" und der "IPv6 ULA".

Nehme an, mit intern meinst du von der FB generierte IP's, externe werden vom Netzbetreiber vergeben.

Ja und nein. In der Tat ist diese von der FritzBox "vergeben" aus dem vom Provider vergebenen Präfix. Viel wichtiger ist aber, dass sie hinter der Firewall Deiner FritzBox liegt, also im "internen Heimnetz" und nicht im "externen WAN-Netz". Um diese "öffentliche IPv6" zu erreichen, muss man sozusagen erst noch durch die Firewall der FritzBox durch.

Im Moment funktioniert jedenfalls (aus dem Netz der Box1) kein ping -6 <dynds>, obwohl ich mit nslookup beide Adressen sehe.

Das ist in der Tat aber sehr bedenklich. Weil eigentlich solltest Du Deine FritzBox über IPv6 anpingen können. Sonst stimmt noch etwas nicht.

Auch hier verstehe ich den zweiten Teil von dir nicht: "und weiterhin hat die FritzBox 2 eine (intern, interne) öffentliche IPv6 aus dem von der FritzBox 1 delegierten IPv6-(Sub-)Präfix."

Damit habe ich versucht auszudrücken, dass die FritzBox 2 eine IPv6 hat, die hinter zwei Firewalls liegt (2x intern), nämlich im internen Heimnetz der FritzBox 2 (welches aus dem Heimnetz der FritzBox 1 nicht erreichbar ist - wegen der Firewall in der FritzBox 2)...

 

[starb]

So, es gab einen Unfall bei mir, deswegen die Verzögerung. Eine Frage zum nslookup. Welches OS hast du dafür? Weil bei mir sieht das wie oben in Post5 schon geschrieben aus, und das deckt sich so gar nicht mit dem was du erzählst. Bin ich da auf dem ganz falschen Dampfer?

 

[Barungar]

nslookup ist typisch ein Microsoft Windows Befehl, und ich habe ihn auf einem Windows 11 Rechens geführt.
Und wenn ich per nslookup nach "fritz.box" frage erhalte ich eine private IPv4, eine interne IPv6 GUA und eine IPv6 ULA.



Es gibt zwar nslookup auch bei vielen Linuxen, aber da gibt es mit dig ein viel besseres Tool, so dass ich nslookup eigentlich nur unter Windows nutze. Die selbe DNS-Anfrage nach fritz.box per dig sieht dann so aus:

 

[starb]

Jetzt weiß ich was ich falsch gemacht hab. Ich hab von "aussen" also auf die dyndns-adresse drauf geschaut, nicht von innen auf die fritzbox. Pfff - so blöd.
Jetzt wird es interessant. Aus dem Netz der ersten Box aus sieht "dig fritz.box"(hier wird FB1 addressiert) so aus - also schon mal keine öffentliche IPv4?

Dann noch aus dem kaskadierten Netz, einmal dig auf die Box1 (192.168.178.1) und auf die Box2 (fritz.box, also hier ist fritz.box die andere).

Kannst du damit was anfangen?