Kommunkation von 2 IPs aus unterschiedlichen Subnetzen (Fritzbox)

[lela_tabathy]

Ich möchte erreichen, dass zwei IPs aus unterschiedlichen Subnetzen miteinander kommunizieren können.
Ich beschreibe mein Setup mal so ausführlich ich kann:

Ich habe eine FritzBox 7581 die als Modem & Router fungiert. An dieser hängt ein Unify 24 POE Switch, am Lan1 und Lan4 Port.
Lan4 ist für Gast konfiguriert und erhält von er Fritzbox automatisch das IP-Subnetz 192.168.189.x

In meinem Switch sind zwei Netzwerke konfiguiert, einmal mein Hauptnetzwerk mit dem Subnetz 192.168.178.x und eben das Gäste-Netz mit 192.168.189.x als VLAN.
Funktioniert auch alles bestens.

Da an meinem Hauptnetz u.a. eine FreeNAS-Kiste hängt, habe ich die meisten Geräte, die davon getrennt sein sollen, ebenfalls in das Gäste-Netz gehangen – so z.B. auch meinen LG TV.

Nun habe ich auf meinem FreeNAS den Plex Media Server installiert. Dieser hat nun eine IP aus dem Hauptnetz bekommen, denn da hängt ja die Kiste auch dran: 192.168.178.62.

Jetzt soll aber natürlich mein TV mit der IP 192.168.189.42 auch auf Plex zugreifen können. Ich lerne den ganzen Netzwerkkram gerade erst, habe aber jetzt schon mal verstanden, dass ich eine Statische Route einrichten muss.
In meiner Fritzbox gibt es dafür zwar einen Menupunkt, dieser scheint aber eher dafür gedacht zu sein, andere Geräte die Internetverbindung von der Fritzbox nutzen zu lassen. Eine IP aus dem (Fritzbox-eigenen) Gäste-Netz kann ich da auch gar nicht eintragen.

Kann ich das mit meiner Hardware überhaupt so realisieren? Ich überlege ohnehin, die FritzBox als Router abzuschaffen, nur noch als DSL-Modem zu benutzen und mir eine Unify Dream Machine zu kaufen, da ich auch das Protect System von Unify benutzen will. In meinem Unify Controller gibt es zumindest Funktionen für Statische Routen, die ich aber ohne einen Unify Router (also USG, was ja in der Dream Machine verbaut ist) nicht verwenden kann.

Sofern es also mit meiner Vorhandene Hardware nicht klappen kann, wäre der Weg über den Unify-Router der bessere?

Danke für eure Hilfe!

 

[passat3233]

So ist es.
Es ist explizites Ziel des Gastnetzes, das man von dort aus nicht ins normale Heimnetz kommt.
Die beiden Netze sollen voneinander isoliert sein und sich nur den Internetzugang teilen.

 

[lela_tabathy]

Verstehe, dann ist meine beste Chance wohl tatsächlich auf einen anderen Router, also komplett auf Unify umzusteigen. Danke!

 

[passat3233]

Naja, mit einer statischen Route hebelst du aber die Isolierung der beiden Netze voneinander aus.
Kann man dem Plex nicht 2 IP-Adressen zuweisen?
Z.B. bei einem Windows-PC geht das rel. einfach.

 

[lela_tabathy]

Ich hatte diese Statischen Routen so verstanden, dass ich explizit nur die 2 IPs miteinander verknüpfen kann, oder ist das falsch? Das würde ja dem Rest der Isolation nichts antun, oder?

Zwei IPs zuweisen habe ich auch schon überlegt, aber noch nicht rausgefunden ob und wie das via FreeNAS geht. Aber das werde ich noch mal recherchieren, danke!

 

[hominidae]

Jetzt soll aber natürlich mein TV mit der IP 192.168.189.42 auch auf Plex zugreifen können. Ich lerne den ganzen Netzwerkkram gerade erst, habe aber jetzt schon mal verstanden, dass ich eine Statische Route einrichten muss.
In meiner Fritzbox gibt es dafür zwar einen Menupunkt, dieser scheint aber eher dafür gedacht zu sein, andere Geräte die Internetverbindung von der Fritzbox nutzen zu lassen. Eine IP aus dem (Fritzbox-eigenen) Gäste-Netz kann ich da auch gar nicht eintragen.

Du kannst weitere Netze in der Fritzbox in die Routing-Tabelle eintragen, ja.
Das Gastnetz kennt die Fritte ja schon, daher bringt es Dir nix. Ebenso ist der Filter aktiv, dass man vom Gastnetz nur ins I-Net kommt...das lässt sich auch nicht ändern.

Du kannst ein drittes Netz nehmen für Deine Smarten Geräte.
Leider kann die Fritte kein VLAN.
Ein anderer Router wäre die bessere Option. Ob es ein Unifi sein muss...naja, das wird (D)eine persönliche Entscheidung
Wenn die Fritte noch Telefonie macht, kannst Du die aber so einfach nicht ablösen....

 

[Digi-Quick]

Statische Routen werden auf dem Router eingetragen und gelten für das gesamte Netz und nicht für den einzelnen Host!
Um dann die Kommunikation auf explizit einen bzw. 2 Hosts einzuschränken bedarf es einer Firewall - im einfachsten Fall sowas wie IP-tables

 

[underclocker2k4]

Man kann statische Routen auch für einzelne Hosts eintragen. Dazu nimmt man die Maske /32 und damit ist das Subnetz, für welches die Route gelten soll, gleich der Host-Adresse des Gerätes. Ob das Spaß macht? Muss man mögen.
Dieses Vorgehen kann man wunderbar für die Funktion "more specific route" nehmen.

192.168.0.0/24 nach 192.168.3.0/24 via 192.168.1.1
Und parallel kann man eintragen
192.168.0.100/32 nach 192.168.3.0/24 via 192.168.2.1
Und damit geht 192.168.0.100 via 192.168.2.1 und alles anderen gehen über 192.168.1.1.
Geht wunderbar mit policy based routes, wenn man es denn hat. Aber die FB ist eh kein (richtiger) Router.

In Kombi mit "more specific route" geht dann auch sowas
192.168.0.0/24 nach 192.168.3.0/24 via 192.168.1.1
Und parallel kann man eintragen
192.168.0.100/32 nach 192.168.3.10/32 via 192.168.2.1

Das geht, zumindest ohne den PBR-Anteil, auch mit normalen Routern. (Fritzbox ist auch keiner normaler Router)
Zumindest wenn sie den RFC richtig umgesetzt haben.

Man kann also, unabhängig von Metriken und anderen Späßen, auch mittels Static und PBR ziemlich bekloppte Sachen bauen. Wie gesagt, muss man aber mögen.

 

[hominidae]

Statische Routen werden auf dem Router eingetragen und gelten für das gesamte Netz und nicht für den einzelnen Host!
Um dann die Kommunikation auf explizit einen bzw. 2 Hosts einzuschränken bedarf es einer Firewall - im einfachsten Fall sowas wie IP-tables

...ist immer die Frage, wie "breit" das "gesamte" Netz ist...das hat @underclocker2k4 ja oben schon erklärt.
Die Fritte kann auch mir sowas umgehen, nutze das selbst für meine VLANs im Router hinter der Fritte.
Das Problem ist, dass der TE das Gastnetz verwendet, welches die Fritte schon kennt und man an die Firewall-Rules nicht rankommt.
Ergo, ohne einen "richtigen" Router geht es nicht.

 

[Digi-Quick]

Wo widerspricht das meiner Aussage?
Bei einem /32 Netz gibt es keine Hostadresse mehr, da die IP nur noch Netzwerkadresse ist
Anders ausgedrückt: ein Host mit einer /32 Netmask kann keine Netzwerkverbindung haben, da ein Netzwerk mindestens 2-unterscheidbare Teilnehmer erfordert

Die kleinste Netmask ist /30 (30 Bits für die Netzwerkadresse, 2 Bits für 4 dedizierte Adressen.
- Netzwerk
- Gateway
- Host
- Broadcast

Bei einem /31 Netz wäre es nur noch Netzwerk + Broadcast, bei einem /32 Netz wäre es nur noch Netzwerk.

 

[Hexcode]

Die Aussage ist schonmal falsch - für Punkt zu Punkt sind /31 nutzbar.
Und /32 als Route bezeichnet wie du schon richtig bemerkt hast exakt einen Host. Macht gerade bei Firewallregeln durchaus Sinn die auf /32 zu begrenzen.
Also was genau willst du hier gerade erklären?

Und bezüglich Routen auch das ist Banane - du kannst die Route am Router setzen, dann gilt sie für den Router und daran angeschlossene Netze (sofern der Router Default Gateway der jeweiligen Netze ist), du kannst aber genauso gut einem einzelnen Host eine Route mitgeben die nur für diesen Host gilt. Beispielsweise wenn du 2 Gateways hast die zu verschiedenen Netzen gehen, dann kannst du dem Client lokal sagen nutze für x Gateway a und für y Gateway b.
Klar, bei nem TV eher schwierig, aber grundsätzlich ist deine Aussage im ersten Beitrag inhaltlich falsch.

 

[Digi-Quick]

Zeige mir bitte einen PC, der einen Netmask von 255.255.255.255 hat und eine nutzbare Netzwerkverbindung auf genau dieser Netzwerkkarte hat!!
Per Definition ist das kleinste Netzwerksegment ein /30er Netz


Daß man statischen Routen zu unterschiedlichen Netzen via direkt erreichbarer unterschiedlicher Gateways auf dem Host definieren kann ist natürlich richtig, ist in diesem Fall aber nicht die Ausgangslage, da nur ein Gateway vorhanden ist!

 

[underclocker2k4]

Der Rechner muss keine /32er Maske haben, damit man die /32er Maske beim Routing verwenden kann.

Der Rechner kann die 192.168.0.123/24 haben und dennoch kannst du im Router die 192.168.0.123/32 als Route für einen spezifischen Host angeben. Diese gilt dann eben explizit nur für dieses eine Gerät.

Ansonsten verwendet man IPs mit einer /32 Maske als Loopback Adressen auf Routern. Und ja, man dann dann z.B. über eine eingestellte 192.168.0.123/32 den Router im Netzwerk erreichen.

Loopback with / 32

When we dealing with bgp, osp. Why do we especially use loopback interfaces with / 32!? Is there an advantage or something different from other subnets like 24.

networkengineering.stackexchange.com

 

[Hexcode]

Ich kann dir übrigens definitiv Systeme zeigen die mit ner /31er arbeiten... Kein Windows - Linux macht es aber mit und auch Enterprise Firewalls wie z.B. Fortigate-Produkte.

 

[underclocker2k4]

/31 macht bei point to point Netzen auch Sinn.
Sprich bei Transfernetzen zwischen 2 Routern (so ziemlich der Standardaufbau bei größeren Routerstrukturen) gibt es nur 2 Teilnehmer und da (kann) nimmt man dann /31 Masken.
Das muss aber vom Gerät unterstützt werden und das ist nicht die Regel.

Siehe auch:

Routing:: /31 die neue Art der Transfernetze | shellboy.org

shellboy.org

Die üblichen Verdächtigen können das.

 

[Hexcode]

Sag ich ja - geht mir darum das diese Aussage "/30 ist das kleinste nutzbare" nicht stimmt :P

 

[Digi-Quick]

Sag ich ja - geht mir darum das diese Aussage "/30 ist das kleinste nutzbare" nicht stimmt :P

Per Definition ist das kleinste Netzwerksegment ein /30er Netz

Point 2 Point ist kein Netzwerksegment, das gleiche gilt für Loopback!

 

[Hexcode]

Zeige mir bitte einen PC, der einen Netmask von 255.255.255.255 hat und eine nutzbare Netzwerkverbindung auf genau dieser Netzwerkkarte hat!!
Per Definition ist das kleinste Netzwerksegment ein /30er Netz

Mag ja sein - letztlich Berufe ich mich darauf wo du groß und breit meintest kleiner als /30 wäre nicht nutzbar. Und das stimmt so halt nicht. Netzsegment mag sein - weil du ne Netzid und ne Broadcast brauchst. Genau genommen ist das aber totale Verschwendung, da auch in nem /30er nur 2 Hosts existieren können. Dann kannst du auch direkt nen 31er nehmen und kannst in den gleichen Bereich 4 Rechner betreiben.
Ich mache das zb bei Hosts die in nem eigenen VLAN liegen und dort für immer allein bleiben werden. IP 1 ist dann Gateway und IP 2 der Host. Da ich nur begrenzte IP-Räume zugewiesen bekomme spare ich mir so eine Verschwendung der IPs.

 

[underclocker2k4]

Segment (Netzwerk) – Wikipedia

de.wikipedia.org

• Auf OSI-Layer 3 bei IP ist der Begriff Segment gleichbedeutend mit einem IP-Subnetz bzw. mit einer Broadcast-Domäne.

Network segment - Wikipedia

en.wikipedia.org

A layer-3 segment in an IP network is usually called a subnetwork, formed by all nodes sharing the same network prefix as defined by their IP addresses and the network mask.[5] Communication between layer-3 subnets requires a router.

What is a Network Segment

www.inetdaemon.com

The term network segment is sometimes used to refer to a portion of the network between two networking devices such as between two switches or two routers.

Ein Netzsegment ist eine Teilmenge eines Gesamtnetzes.
Und Transfernetze zwischen Routern sind Teile des Gesamtnetzes und damit sind die Transfernetze ein Netzsegment. (oder mehrere, je nachdem)
Angewendet auf L3 ist ein Netzsegment das L3 (IP) Subnetz.
(es gibt Netzsegmente auch auf L1 und L2, wobei L1 Segmente bei geswitchten Netzwerken P2P-Verbindungen zwischen den Geräten sind)

192.168.0.0/24 ist ein Netzsegment - Segment A
192.168.1.0/24 ist ein Netzsegment - Segment B
192.168.0.1/24 gehört zum Netzsegment A
192.168.1.1/24 gehört zum Netzsegment B

192.168.3.0/31 gehört zum Netzsegment C (wobei es auch das Netzwerksegment beschreibt)
192.168.3.1/31 gehört zum Netzsegment C
192.168.3.2/31 gehört zum Netzsegment D (wobei es auch das Netzwerksegment beschreibt)
192.168.3.3/31 gehört zum Netzsegment D
192.168.3.4/32 gehört zum Netzsegment E (wobei es auch das Netzwerksegment beschreibt)
192.168.3.5/32 gehört zum Netzsegment F (wobei es auch das Netzwerksegment beschreibt)

Server:IPv4-Subnetze – manitu Wiki

wiki.manitu.de

RFC 4632: Classless Inter-domain Routing (CIDR): The Internet Address Assignment and Aggregation Plan

This memo discusses the strategy for address assignment of the existing 32-bit IPv4 address space with a view toward conserving the address space and limiting the growth rate of global routing state. This document obsoletes the original Classless Inter-domain Routing (CIDR) spec in RFC 1519...

tools.ietf.org

Dieses "ein L3 Subnetz muss eine NetzID, BroadcastIP und getrennte HostIPs enthalten" entspricht der Wissensvermittlung im Informatikunterricht in der Schule.
In einem /32 ist die NetID = HostIP.
In einem /31 ist die NetID = 1. HostIP und die BroadcastIP = 2. HostIP. Zwar spricht der Sender (der die NetID=1. HostIP hat) in einer P2P mit /31 quasi die BroadcastIP an, da aber die BroadcastIP = 2. HostIP ist, spricht der Sender damit also auch gleichzeitig gezielt den Empfänger an. Da es keine weiteren Empfänger gibt (da P2P), gibt es da auch kein Problem und mit sich selber spricht er auch nicht. Das sähe bei </31 Netzgrößen anders aus. Da dort der Sender via BroadcastIP alle anderen Hosts in dem Netzsegment ansprechen würde.

In Routingtabellen werden für die Netzadressen (NetID) die jeweiligen nächsten Hops eingetragen. Und die NetID beschreibt das Subnetz, sprich das L3 Netzwerksegment.
Und da die /32 neben der HostIP (z.B. Loopback-Adresse) gleichzeitig auch die NetID beschreibt, beschreibt es ebenfalls auch das L3 Netzwerksegment. Und da /32-Adressen hervorragend im (Gesamt)Netzwerk funktionieren, sind sie also auch nutzbar. (nur gibt es in diesem Netzwerksegment eben keine weiteren Mitspieler, bzw. existiert dieses Subnetz nur auf dem Router selber und wird nicht ausgedehnt)
Und genauso ist es auch mit der /31. Da beschreiben beide IP-Adresse gleichzeitig die NetID und BroadcastIP als auch die HostIPs der beiden beteiligten P2P-Partner. In diesem Netzsegment gibt es also nur 2 Mitspieler und keine Weiteren.
Und auch die /31 Adresse funktionieren hervorragend als Netzwerksegment eines Gesamtnetzwerkes. So ziemlich alle großflächigen Routerkonstrukte verwenden das Schema, auf der ganzen Welt.

Netzwerksegment bedeutet nicht zwingend, dass man dort mit seinem Laptop am Netzwerk teilnehmen kann.

Die NetID dient dazu, dass man nicht für jede einzelne IP-Adresse jeweils etwas (Route, Firewalleintrag) machen/eintragen muss, sondern es eben zusammenfassen kann und damit gleich alle anderen Mitgleider in dem Netzwerksegment auch gleich mit bedacht sind. Das bedeutet aber nicht, dass es zwingend weitere Mitspieler geben muss.
Es beschreibt also alle IP-Adressen, die sich darunter verbergen und auch wenn es nur eine einzige IP ist, so beschreibt /32 eben die Sammeladresse als auch gleichzeitig die spezielle Adresse.

Aber du darfst natürlich gerne mal die Definition raussuchen, dass /30 das kleinste Netzsegment ist.
In dem oben verlinkten RFC kann man auch Seite 6 nachlesen, dass /32 die kleinste angegebene Maske ist. Und da Masken eben Netzwerksegmente beschreiben, so beschreibt auf /32 ein Netzwerksegment.

Kann natürlich sein, dass alles Quark ist und die Netze, die auf der ganzen Welt so aufgebaut werden, auf ganz wundersame Weise funktionieren.
Und die etliche Gigabytes, die durch die Netze bei mir auf Arbeit, die mit genau diesem Schema von mit geplant und aufgebaut werden, gehen, auch nur rein zufällig funktionieren. Aber zum Glück wissen die Router nicht, dass das eigentlich nicht geht, was ich da mache. Also pssst, leise sein.


@Hexcode
Das oben diente auch nur der Untermauerung, auch mit ner Quelle.

 

[Digi-Quick]

Dieses "ein L3 Subnetz muss eine NetzID, BroadcastIP und getrennte HostIPs enthalten" entspricht der Wissensvermittlung im Informatikunterricht in der Schule.

Offenbar nicht nur dort.....
Im Zuge meines CNE-Zertifikats (Netware 3.11) vor rund 25 Jahren wurde das genau so vermittelt.
IP war damals noch das "kommende" Protokoll, IPX war bei Novell noch standard

und ich dache hier könnte ich mal "glänzen"

 

[0 8 15 User]

vor rund 25 Jahren wurde das genau so vermittelt.

RFC 3021 - Using 31-Bit Prefixes on IPv4 Point-to-Point Links, ist erst gut 20 Jahre alt.

 

[underclocker2k4]

Für Clientnetze (also Netzwerksegmente, wo man Endgeräte anschließt) gilt die Aussage bezüglich /30 auch.
Nur gibt es eben auch mehr als nur Clientnetze.

Die Welt der Netzwerke dreht sich weiter und das ziemlich schnell.

Und formal betrachtet stimmt das oben Gesagte auch nicht für Clientnetze. Denn man kann an ein Routerinterface auch direkt und dediziert ein Endgerät anschließen (auch via Switch) und das wäre dann auch ein L3 P2P Netz. Über den Sinn kann man streiten. Aber technisch ginge das. Das scheitert in aller Regel daran, dass die Endgeräte, bzw. die Betriebssysteme den oben genannten RFC nicht umsetzen. Viele Clients sind aber auch sehr Broadcast geil, was Router nicht sind.

Selbst heute der werden noch Router gebaut, die mit /31 nicht klarkommen und auch kein /32 Loopback können. Also selbst bei denen ist die Zeit vor 20Jahren stehen geblieben.

Daher sollte man sich im Bereich Netzwerk immer weiterbilden, ansonsten ist das Wissen irgendwann veraltet und stellenweise dann auch falsch.


Digi-Quick, du hast auch noch gelernt, dass IP = IP ist, obwohl es damals schon als v4 im IP-Header (v3 - da Entwicklungsstand für v4 - war ehr obsolet und v1 und v2 stammt aus den Anfängen des Arpanet) stand und man heute zwingend unterscheiden muss, ob man v4 oder v6 meint, da eben 2 gleichzeitig aktive Versionen existieren.
Und genauso wie Novells Netware Geschichte ist, genauso ist das vermittelte Wissen der Schulungen Geschichte, überholt aber stellenweise noch aktuell.
IP wurde Ende der 90er mit Netware 5 eingeführt und seit dem bewegte es sich in selben Netzwerksphären wie das restliche Netzwerk auch.
Also immer am Ball bleiben.
Evtl. fällt irgendwem noch ein, dass man die IP (die Bitfolge) auch noch als Gleitkommazahl interpretieren kann. Dann haben wir wieder ganz neue spannende Möglichkeiten...