[Ungelöst] Hilfe bei der Konfiguration von pfSense hinter einer FritzBox (NetCologne)

[tomator]

Hallo zusammen,

ich hoffe, jemand von euch kann mir bei meinem aktuellen Setup helfen. Ich möchte eine pfSense-Firewall hinter meiner FritzBox 7590 betreiben, die ich von NetCologne gestellt bekommen habe. Ziel ist es, doppeltes NAT zu vermeiden und die FritzBox idealerweise nur als Modem zu nutzen.

Mein aktuelles Setup:

-FritzBox 7590 von NetCologne DSL mit statischer ipv4

Was ich erreichen möchte :

2. pfSense-Firewall hinter die FritzBox klemmen und diese nur als Modem laufen lassen , die sämtliche Routing- und Firewall-Aufgaben übernimmt.






Mein Problem:
Die FritzBox fungiert standardmäßig als Router, was zu einer doppelten NAT-Situation führt. Das erschwert Portfreigaben erheblich. Ich möchte die FritzBox so konfigurieren, dass sie nur als Modem dient, wenn das überhaupt möglich ist. Falls das nicht geht, suche ich die bestmögliche Konfiguration, um die Nachteile des Doppel-NAT zu minimieren.

Fragen:

1. Kann die FritzBox von NetCologne überhaupt in den sogenannten „Bridge-Modus“ versetzt werden, sodass sie nur als Modem fungiert?


2. Falls nicht: Wie kann ich die FritzBox optimal mit der pfSense integrieren?


3. Gibt es weitere Einstellungen oder Dinge, die seitens NetCologne nötig sind, Zugangsdaten für den Internetanschluss?



Was ich bisher versucht habe:

Die FritzBox bietet anscheinend keinen direkten Bridge-Modus, zumindest habe ich keine entsprechende Option gefunden.

Portfreigaben auf der FritzBox einzurichten und die pfSense als „Exposed Host“ (DMZ) zu setzen, um zumindest den Traffic direkt weiterzuleiten, aber irgendwie kommt damit das portforwaring nicht durch und ich finde die Lösung sehr unsauber.

Diverse Forenbeiträge und Dokumentationen gelesen, aber nichts für NetCologne gefunden.Antworten sind teils widersprüchlich. Das ist das erste Mal das ich mich mit so etwas auseinandersetze was nicht vereinfacht, kann aber auch sein das ich etwas offensichtliches übersehe.


Falls jemand ein ähnliches Setup bei NetCologne betreibt oder Erfahrungen mit einer pfSense hinter einer FritzBox hat, wäre ich für eure Hilfe sehr dankbar!

Vielen Dank im Voraus und frohe Feiertage!

 

[Zyxx]

Bei AVM ist PPPoE Passthrough / Modembetrieb schon vor Jahren abgesägt worden.
Ich würde einen anderen Router besorgen der das kann (Speedport 4 Smart bspw.) da hinter die pfSense die Einwahl und alles andere übernehmen lassen.
Die alte Fritzbox kann dann weiterhin die Telefonie hinter der Sense machen, sofern benötigt.

 

[tomator]

Dann brauche ich vermutlich dann die Logindaten für NetCologne?

In der aktuellen Fritzbox sind die standardmäßig hinterlegt, kann diese aber nicht auslesen, also einfach bei NetCologne anfragen?

 

[Zeitmangel]

Bei AVM ist PPPoE Passthrough / Modembetrieb schon vor Jahren abgesägt worden.
Ich würde einen anderen Router besorgen der das kann (Speedport 4 Smart bspw.) da hinter die pfSense die Einwahl und alles andere übernehmen lassen.
Die alte Fritzbox kann dann weiterhin die Telefonie hinter der Sense machen, sofern benötigt.

1. Man müsste sich vorerst wirklich versichern, daß die pfsense sich einwählen kann bzw., daß der Smart 4 mit dem Netz von Netcologne läuft. Da gibt es meine ich 1-2 Kleinigkeiten zu beachten

2. Ich postuliere seit einem halbe Jahr, daß man die Ersteller der Lösungen mit entsprechenden Anfragen nervt. Denn ausgerechnet Ubikitty zeigte wie man das stressfrei verheiraten kann.

- Man kann ab 8.3.20 nur das NATing ausmachen. FERTIG. Das Routing natürlich belassen. Und alles andere auch.
- Das NATing dagegen auf der Fritzbox belassen - da eh nicht deaktivierbar - aber mit der schon ewig unterstützten statischen Route, wiederum das Routing lahmlegen.

Besser geht es nicht diesbezüglich. Eine Fritzbox die nur Modem + NAT + feste Route + Telefonie macht (+ Smarthome?), ist auch niemals mehr auch nur theoretisch ein Flaschenhals im Netzwerk. Auch die 75xx Fritzboxen mit MIPS sind dann mehr als schnell genug dafür. Es limitiert wenn denn nur die jeweilige LAN-Buchse.

Solange das aber nur Unifi kann, bleibt das natürlich nur eine Insellösung. Es wurde damit aber schonmal der Beweis erbracht, daß sowas keine Thema ist und daß es auch tatsächlich sauber wie auch sehr ordentlich rennt.
Jetzt dürfen ruhig die restlichen Verdächtigen nachliefern

Bzw. OnT: Die opnsense hat doch unter "Firewall/NAT/Outbound" die Möglichkeitet das NATen zu deaktivieren (?!) Man stellt es auf manuell um und definiert keinerlei Regeln. NATing ist dann aus und nothing mehr wird geNATet
Kann die pfsense das nicht?

 

[Zyxx]

Genau. Frag nach welche VLAN du brauchst und wie deine PPPoE Daten lauten.
Dann sollte das schon gehen. (Eventuell steht das da auch irgendwo auf der Website).

 

[Zeitmangel]

Ja. Richtig @Zyxx

Nur weil die "Telekom Hardware" kein DS-Lite unterstützt (RFC6333), weil das bei Telekom Anschlüssen nicht zum Einsatz kommt - aber bei NetCologne - bedeutet ja nicht, daß man sich damit nicht bisschen abkämpfen sollte, bevor man selbst feststellt, daß eine Umstellung der VLAN-ID von 7 auf 10 nicht alles ist.