[Netzwerk] Routing zweier Netzwerke

[Lutz_KS]

Kurze Verständisfrage:

Habe bei mir zwei Netzwerke (Büro / Home) die in zwei Gebäuden sind und derzeit als ein grosses Netzwerk (192.168.0.xxx) konfiguriert und über eine Richtfunktstrecke miteinander verbunden sind.

Beide Standorte haben einen eigenen Internetzugang/Router.

Ich würde diese gern trennen (z.b. 192.168.1.xxx und 192.168.2.xxx), was jeweils intern ja auch kein Problem darstellt.

Wie realisiere ich jetzt den Zugriff auf das jeweils andere Netzwerk? Kann ich dies mittes zweiter Route (Fritz!Box) und (Cisco RV082 Dual-WAN VPN Router) und entsprechender Subnetmask hinbekommen oder benötige ich jeweils noch einen 2. Router?

Gruß Lutz

[dominikh]

Aus welchem Grund hast du 2 Router (Fritzbox und Cisco)? Verwendest du ein Gerät davon nur als Switch (OHNE Routing)?

[ctr]

@dominikh:
Er hat doch geschrieben er hat zwei Internetzugänge.


Je nachdem was Du mit der Kopplung erreichen willst, reichen evtl die vorhandenen Geräte deswegen wäre es hilfreich, wenn Du die Zielsetzung etwas klarer beschreiben würdest.
z.B.
Soll es Zugriffe von privat -> Büro und/oder Büro/privat geben?
Sollen diese abgesichert werden? (Schutzbedarf eher in welche Richtung?)
Sollen die Internetzugänge "geteilt" werden (können)?

[Lutz_KS]

@dominikh:
Er hat doch geschrieben er hat zwei Internetzugänge.

Genauer gesagt sogar drei, der Cisco ist ein Dual-Wan-Router. Da wir hier nur mit DSL 2000 gesegnet sind, teile ich die Lasten auf die drei Anschlüsse auf.

Soll es Zugriffe von privat -> Büro und/oder Büro/privat geben?

beide Richtungen wäre schön (z.B. für Backups von Büro nach Privat) oder Zugriff von zuhause auf Büroserver.

Sollen diese abgesichert werden? (Schutzbedarf eher in welche Richtung?)

Nicht zwingend erforderlich, wenns geht ist es schön, dann kommt z.b. der Praktikant nicht an meine Geräte zu Hause.

Sollen die Internetzugänge "geteilt" werden (können)?

Muss auch nicht sein, habe das über die Gateways bei den Rechnern geregelt, wer über welchen Zugang ins Internet soll/darf.

Prinzipell möchte ich z.B. vermeiden, dass irgendwer im Büro ein Gerät anschließt und eine feste IP vergibt, die bereits bei mir zu Hause genutzt wird und mir damit meine Haustechnik lahmlegt. Dies könnte ich mit einem anderen Subnetz verhindern.

[ctr]

Dann brauchst Du meiner Meinung nach ein Routing zwischen den beiden Netzen (Home/Office) anstatt wie bisher Bridging/Switching.
Der RV082 kann das nicht (hat nur LAN, Internet1 und Internet2/DMZ), die Fritzbox kann das auch nur rudimentär mit Gastzugang aber dann geht kein bidirektioneller Zugriff mehr.

Wäre also die Frage ob Du ein zusätzliches Gerät nehmen willst (kann auch eine alte Linux-Kiste sein) oder als Ersatz für die Fritzbox *oder* den RV082 ein Gerät welches gleich ein zusätzliches Netz anbinden kann.

Da der RV082 (je nachdem was Du damit machst) wohl sowieso nicht das gelbe vom Ei ist, würde sich vielleicht ein anderer Multi-WAN Router empfehlen an den dann gleichzeitig noch die Querverbindung ("Richtfunk") angeschlossen wird. Je nachdem wieviel Du "basteln" willst eignet sich dafür prinzipiell jeder Router der genügend physische Ports (mind 4) hat und auf dem OpenWRT läuft oder zB ein Lancom DSL/I-10+ (Auslaufmodell, sollte es günstig bei eBay geben).

[Filo]

Naja kommt auf die Einstellungen der Netzwerkmaske drauf an.....nimmst du eine Maske von 255.255.255.0, dann sind das zwei Broadcastdomänen. Die lassen sich dann auch nur per Router verbinden.

Da du nie Netze trennen willst, dann würde ich dir das eben genau so empfehlen.

[ctr]

Falsch
1. Dann sind die Netze *nur* durch die Konfiguration getrennt, genau das will der OP aber verhindern. Wenn ich jetzt eine IP mit der falschen IP (eben aus dem Home-Range) konfiguriere, kann ich damit in Subnetz B nichts machen, störe aber trotzdem das System in Subnetz A dessen IP ich gerade geklaut habe.
2. Brauche ich trotzdem noch ein Layer3 Gerät was zwischen Subnetz A und B routet ansonsten kann ich nicht von A nach B zugreifen, sind ja in unterschiedlichen Netzen.

[Filo]

Falsch
2. Brauche ich trotzdem noch ein Layer3 Gerät was zwischen Subnetz A und B routet ansonsten kann ich nicht von A nach B zugreifen, sind ja in unterschiedlichen Netzen.

Hab ich was anderes geschrieben? Er braucht einen Router um die beiden Broadcastdomänen zu verbinden. Und ein Router ist ein Layer 3 Gerät.

[ctr]

Sorry da hinten hatte ich nicht weitergesehen, leider ghet das aber weder mit dem einen noch dem anderen Gerät welcher bereits vorhanden ist, insofern läuft es auf ein anderes/neues Gerät hinaus und dann macht es Sinn auch auf Layer2 zu trennen.

[NickBlue]

Access Control Listc

delete.

[ctr]

Auch das ist nur eingeschränkt richtig.

Es lässt sich *nicht* mit der vorhandenen Hardware umsetzen: weder Fritzbox noch der RV082 unterstützen das zusätzlich Subnetz (weder logisch als secondary/overlay noch physisch mit einem seperatem Port).
Außer die Komponenten der Richtfunkstrecke (Anmerkung: Ich vermute hier handelt es sich einfach um ein WLAN mit direktionalen Antennen und keinen klassischen Richtfunk) können auf einmal auch routen (und dann auch noch komfortable ACLs), aber das bezweifle ich, dann wäre das wohl niemals als Bridge in Betrieb gegangen...

Die Aussage mit den ACL stimmt zwar, ist aber erst der zweite Schritt nachdem das logische Konstrukt steht.

Und zum Thema Layer2/3: IP Adresskonflikte werden an erster Stelle durch falsche IP/MAC-Zuordnung relevant. Dafür ist (zumindestens noch für IPv4) ARP verantwortlich was auf Layer2 arbeitet (oder zumindestens analog zu Layer2, denn wie wir ja alle wissen und sich heutzutage wegen IPv6 wieder alle beschweren lassen sich nIP nicht 1:1 zum OSI Schichtenmodell mappen).
Insofern macht eine Trennung "nur" durch Vergabe anderer IPs keinen Sinn, es muß auch sichergestellt sein dass die jeweiligen Netz voneinander getrennt sind.

[NickBlue]

delete.

[ctr]

Ui, Zertifizierungswettwerfen? Ich biete Nortel (teilweise früher noch Bay, ja das ist auch mehr als 10 Jahre her), 3Com, Cisco, Juniper, dazu 2 ISPs bei denen ich nicht nur gearbeitet habe, sondern die RIPE LIR begründet habe, inkl. BGP und allem drumherum... aber ich denke das tut nichts zur Sache. Hier gehts nicht um Enterprise-Routing, sondern eher darum zu verstehen was der OP will, vorherige Empfehlungen richtig zu deuten und verhindern dass falsche Aussagen zu kruden Lösungen führen.

Das es mit gemoddeter Firmware geht hatte ich vorher auch schon geschrieben, meine Rückfrage ob der OP basteln will hat er allerdings noch nicht beantwortet.

Und die angesprochenen Geräte können zwar mit gemoddeter Firmware konfiguriert werden, aber das möchtest Du doch nicht wirklich in den Kontext "professionelle Lösung" werfen oder? Sowohl der RV082 als auch die Fritzbox haben intern nur eine Ethernetschnittstelle, die mit irgendeinem Broadcom Switch an die Ports verteilt wird. Natürlich kann man diese auch wieder (intern mit VLANs) segmentieren, beim nächsten Factory-Default oder Major-Firmware Upgrade geht dann aber gar nichts mehr bis man es von vorne konfiguriert hat. Sowas würde ich niemandem *empfehlen*. Davon abgesehen benutzen gerade *diese* Geräte viele aus folgenden Gründen:
1. Fritzbox privat vom DSL-Provider, gerne auch mit automatischen Updates vom Netzbetreiber um den Support zu behalten
2. Dual-Link VPN Router für entweder rudimentäres DSL-Loadbalancing via ECMP mit NAT oder MLPPP. Beides würde ich weder auf einem DDWRT noch OpenWRT einen Nicht-Spezi per Hand konfigurieren lassen wollen.


Alles nicht persönlich gemeint...