1 Internetverbindung 2 Router 2 Netze - Wie?

[errox]

Hallo Leute,

damit es einfacher zu erklären ist: Erstmal ein Bild:

Es handelt sich hierbei um eine Fritzbox 7122 und einen TP-Link TL-WR941ND.

Die Fritzbox verbindet sich mit dem Internet und hat mehrere PCs / Handys (via Wlan) mit sich verbunden.

Der TP Link Router ist mit dem WAN Port des TP Link und des LAN Ports der Fritzbox verbunden.

Somit haben die PC's die auch mit dem TP Link Router verbunden sind internet.

Soweit so gut.

Wie verbindere ich es aber, dass die PCs der Fritzbox sich nicht mit den PCs des TP Link Routers verbinden können?

Also 2 Netze mit einer Internetverbindung?

Vielen Dank!

###########

Ich kenn viele die den Hintergrund wollen. Desshalb:

Das ganze soll für eine Gastronomie sein.

In dem TP Link Netz sind Kasse (Orderbird) und AppleTV und ausgewählte Geräte, die beides Steuern sollen.

In dem Fritzbox Netz sind die Gäste.

Warum sollen es 2 Router sein? Weil wenn ich nicht will (oder besser gesagt der Besitzer) dass die iPad Kassen ins Netz gehen und in facebook sein sollen kann ich einfach den WAN Port ausstecken (Ja, das ist in einem Seperaten Raum, den kann man nicht so einfach wieder abstecken)

[Eye-Q]

Wie verbindere ich es aber, dass die PCs der Fritzbox sich nicht mit den PCs des TP Link Routers verbinden können?

So, wie Du es aufgezeichnet hast, sollten die Geräte, die per LAN oder WLAN an der Fritzbox hängen, nicht auf Geräte, die per LAN oder WLAN am TP-Link hängen, zugreifen können.

Falls im Moment die Geräte, die per LAN oder WLAN an der Fritzbox hängen, auf die Geräte, die per LAN oder WLAN am TP-Link hängen, zugreifen können, wäre der TP-Link falsch konfiguriert (Stichwort Portweiterleitungen/Freigaben).

Grund: Da der TP-Link mit seiner WAN-Schnittstelle an der Fritzbox hängt, werden alle Verbindungen, die aus der Richtung der Fritzbox kommen, geblockt. Das ist ja das Prinzip eines Routers mit Firewall am WAN-Port, dass erstmal alle Verbindungen von "außen" (was für den TP-Link jedweder Verkehr, der von der Fritzbox kommt) geblockt werden, außer es werden Ports weitergeleitet.

Anders wäre es, wenn der TP-Link mit einer seiner LAN-Schnittstellen an der Fritzbox hinge, denn dann würde der ja als Switch und Access Point fungieren und somit die Firewall (die zwischen WAN- und LAN-Port ist) außer Kraft setzen.

Aktuell dürfte es so sein, dass die Geräte an der Fritzbox in einem anderen Subnetz sind als die Geräte, die am TP-Link hängen, richtig? Wenn ja, dann ist das richtig konfiguriert.

Ein Vorschlag, wie das noch ein bisschen sicherer gestaltet werden kann: bei aktuellen Fritzboxen gibt es die Möglichkeit, ein "Gäste-WLAN" einzurichten, die daran angemeldeten Geräte dürfen dann per se nur auf das Internet und nicht auf Geräte im LAN (was für die Fritzbox ja auch der TP-Link ist) zugreifen. Ich weiß nicht, ob das bei der 7122 auch möglich ist, da solltest Du mal schauen. Gegebenenfalls muss die Firmware aktualisiert werden, wenn das erst ab einer bestimmten Firmwareversion möglich ist.

[Crash2001]

Ansonsten kannst du eventuell auch Firewallregeln einrichten, dass Traffic aus dem Netz der Fritzbox nicht in das Netz des TP-Link gehen dürfen (und/oder andersherum).

P.S.:

Fritzbox 7122 oder 7112? 7122 finde ich auf der Fritzboxseite bei AVM nicht.

@Eye-Q:

Das liegt an keiner Firewall o.ä., sondern an NAT/PAT, bei dem die IP-Adressen hinter der WAN-IP-Adresse "versteckt" werden und somit der Router nicht weiß, an wen ein von außen initialisiertes Paket gehen soll, wenn es nicht an einen Port geht, der explizit auf einen der Hosts weitergeleitet ist. Ist das nicht der Fall, wird der Traffic am Router verworfen und nicht an alle angeschlossenen Rechner geschickt.

Ich weiß gar nicht, ob man NAT/PAT bei den Fritzboxen überhaupt ausschalten kann.

Bearbeitet 2. Dezember 2013 von Crash2001

[errox]

Hallo,

erstmal danke für die Antworten :-)

1. Korrektur: Fritzbox 7112 (Handbuch)

2. Was mir aufgefallen ist: Wenn ich mit dem TP Link verbunden bin, kann ich auf die Fritzbox und auf den TP Link Router zugreifen (Konfigurationsseite und die Geräte im Netz). Wenn ich mit der Fritzbox verbunden bin, kann ich auf die Fritzbox Geräte aber nicht auf die TP Link Geräte zugreifen (Das ist wie es bereits Eye-Q gesagt hat).

Die Frage: Wie kann ich das sperren, dass die TP Link nicht auf die fritzbox zugreifen kann?

Gruß errox

[Crash2001]

Hmmmm Firewallkonfiguration finde ich in der Doku dazu jetzt gar nicht.

Ein VPN-Tunnel direkt ins Internet wäre eine Lösung, aber dafür braucht es wieder zusätzliche Sachen.

Da du ja denke ich mal nicht nur den Zugriff auf die Fritzbox (FB) selber, sondern auch auf das komplette Netz der Geräte, die an der TB hängen sperren möchtest, wird das so vermutlich nicht ohne zusätzliche Hardware gehen.

Was du allerdings machen könntest, wäre den TP-Link-Router ans DSL zu hängen und die Fritzbox an diesen zu hängen - also die Geräte andersherum anordnen.

Doof ists halt dann nur mit den Weiterleitungen, da du erstmal im TP-Link-Router weiterleiten musst auf die FB und dort dann nochmal eine Port-Weiterleitung einrichten müsstest.

Eine andere Alternative wäre eventuell noch, die einen Accesspoint zu besorgen und diesen am TP-Link-Router anzustöpseln als Brücke ins WLAN der Fritzbox und auf dieser aktivieren, dass die WLAN-User nicht miteinander sprechen dürfen.

Ich bin mir aktuell nicht sicher, ob es auf der Fritzbox auch die Option gibt, dass sie aus dem WLAN-Netz nicht konfiguriert werden kann, oder ob das automatisch der Fall ist, wenn man den beschränkten WLAN-Zugang aktiviert (nur ins Internet).

Alternativ könnte man auch den TP-Link per WLAN direkt an die Fritzbox hängen (eventuell ist die Eintragung der MAC-Adresse vom TP-Link-Router auf der FB dann notwendig) und wieder die entsprechende WLAN-Option auf der FB aktivieren... müsste man mal ausprobieren, ob das funktioniert.

[Eye-Q]

Die Frage: Wie kann ich das sperren, dass die TP Link nicht auf die fritzbox zugreifen kann?

Da der TP-Link am LAN-Port der Fritzbox hängt und es in der Fritzbox meines Wissens nach keine Möglichkeit bietet, die LAN-Ports voneinander abzuschotten, geht das nicht.

Dafür wird eine Firewall mit mehr Funktionalitäten benötigt, die auch die LAN-Ports voneinander abschotten kann, z.B. eine Sophos UTM oder ähnliches.

[BlackVictory]

einfach mal ein bisschen subnetting betreiebn ???

[Crash2001]

Subnetting bringt dich hier nicht weiter, denn damit der Zugang zum Internet möglich sein soll, müssen Routen für die Kommunikation zwischen den Netzen vorhanden sein.

Was hier etwas bringen würde, wären vlans, was jedoch von der Hardware nicht unterstützt wird.

[BlackVictory]

einen 2-ten Router kaufen...

[Crash2001]

Was soll da ein zusätzlicher Router (außer er unterstützt Accesslists oder hat eine integrierte Firewall) bitte bringen, bzw. wo würdest du diesen überhaupt hinsetzen wollen? :confused:

Schmeiss doch bitte nciht einfach so mit Schlagwörtern um dich, sondern wenn du was schreibst, dann schreib auch, was man damit machen sollte, bzw. wo diesen einzusetzen.

Ansonsten könnte ich genauso auch "einen L3-Switch kaufen" hinschreiben. Damit geht das mit Sicherheit - nur weiß der Threadersteller und alle anderen dann dennoch nichts mit der Aussage anzufangen, wie ich mir das vorstelle konfigurationsseitig.