Unitymedia Firewall hinter FB 6490 und die richtigen IP Settings / Umstellung auf RIP FW 6.75

[tq1199]

Die pfsense hängt jetzt immer noch am LAN 4 der FB. LAN 2 bis 4 sind automatisch im Bridge Modus. Also eigentlich müsste er doch alles durchleiten. Eine Firewall dürfte im Bridge Modus nicht aktiv sein.

Hast Du evtl. ein anderes Gerät, das Du zum testen, an einen anderen LAN-Anschluss der FB anschließen kannst und mit der IP .41 als default gateway konfigurieren kannst, um festzustellen ob dieses Gerät mit seiner statischen IP-Adresse aus dem Internet per Ping erreichbar ist?

 

[tomcatcw]

Habe noch eine alte Fritzbox 7390. Die könnte ich dranhängen und dahinter einen PC mit der IP.42. Kann ich heute abend probieren. Muss heute arbeiten gehen.


Gesendet von iPhone mit Tapatalk

 

[tq1199]

Habe noch eine alte Fritzbox 7390. Die könnte ich dranhängen und dahinter einen PC mit der IP.42.

Nein, ... warum noch eine FritzBox-7390 dazwischen? Verbinde den PC (mit der IP .42) direkt mit deiner FritzBox-cable.

 

[addicted]

Mich wundert irgendwie auch, dass wenn ich ein Ping mache auf xx.xx.xx.43 scheine ich innerhalb des LAN zu bleiben, da die Antwortzeiten ziemlich kurz sind:

Wieso wundert Dich das? Die ist doch lokal:

<i>
</i>xx.xx.xx.43 link#2 UHS lo0

Die hast Du doch so in der Routingtabelle, also vermutlich auch auf lo0 eingerichtet.

 

[tomcatcw]

Habe noch eine alte Fritzbox 7390. Die könnte ich dranhängen und dahinter einen PC mit der IP.42.

Nein, ... warum noch eine FritzBox-7390 dazwischen? Verbinde den PC (mit der IP .42) direkt mit deiner FritzBox-cable.

Ok, gute Idee. Werde ich Abend so probieren und euch berichten.

Ich habe zwischenzeitlich auch mit UM nochmal gesprochen. Man hat mir nochmal andere DNS-Server gegeben, aber daran kann es doch nicht liegen, oder?


Gesendet von iPhone mit Tapatalk Pro

 

[tomcatcw]

Mich wundert irgendwie auch, dass wenn ich ein Ping mache auf xx.xx.xx.43 scheine ich innerhalb des LAN zu bleiben, da die Antwortzeiten ziemlich kurz sind:

Wieso wundert Dich das? Die ist doch lokal:

<i>
</i>xx.xx.xx.43 link#2 UHS lo0

Die hast Du doch so in der Routingtabelle, also vermutlich auch auf lo0 eingerichtet.

Die habe ich als Virtual IP (IP Alias) eingerichtet auf WAN. Für mich ist das nicht logisch. Ich hätte gedacht, dass ich beim ping das LAN über das WAN verlasse, um dann extern die .43 anpinge. Aber ich bin kein Netzwerk Techniker.


Gesendet von iPhone mit Tapatalk Pro

 

[tq1199]

... DNS-Server gegeben, aber daran kann es doch nicht liegen, oder?

Es liegt nicht an den DNS-Server.

 

[tq1199]

Ich hätte gedacht, dass ich beim ping das LAN über das WAN verlasse, um dann extern die .43 anpinge.

Ja, das LAN wird verlassen, aber nur bis zum (WAN-)gateway. Mit einem icmp-traceroute sollte das sichtbar sein. Z. B. so ähnlich:

<i>
</i>:~$ mtr -4nr -c 2 -i 2 46.###.###.##
Start: Wed Oct 4 11:48:07 2017
HOST: xxxxxx Loss% Snt Last Avg Best Wrst StDev 1.|-- 192.168.178.1 0.0% 2 2.1 2.3 2.1 2.5 0.0 2.|-- 37.##.##.1 0.0% 2 10.7 13.0 10.7 15.3 3.2 3.|-- ??? 100.0 2 0.0 0.0 0.0 0.0 0.0

Deine IP .43 ist ja auch mit "dig +short myip.opendns.com @208.67.222.222" aus dem Internet, als _externe/öffentliche_ IPv4-Adresse "sichtbar".

 

[tomcatcw]

Also ich habe es soeben getestet: Notebook mit .43 Gateway .41, den DNS Adresse und subnetz 255.255.255.248 an die FB, kein Ping, kein tracert/traceroute nix.

Die Adresse wird mit bei .43 wird bei wieistmeineip.de angezeigt, habe Internet aber werde von außen nicht gefunden. Getestet über Heise.de Ping und traceroute.

FB bzw. UM-Problem oder?


Gesendet von iPhone mit Tapatalk Pro

 

[addicted]

Ich würd sagen, wir haben eine Fehlkonfiguration noch nicht ganz ausgeschlossen.

tq hatte ja zwischenzeitlich mal ne Liste von Befehlen getippt, die auf der pfSense nicht kappen, weil das kein Linux ist.
Vielleicht kannst Du den Laptop mal von einem Linux-USB-Stick booten, dort die gleiche Netzwerkkonfig einstellen (.43) und dann damit nochmal die Diagnosen machen?

Aber ansich würde ich hier auch schon Hilfe vom Businesskundensupport erwarten. Soviel wie das kostet, dürfen die auch was dafür tun.

 

[tomcatcw]

Ok, ich hatte noch einen Linux Rechner rumstehen und hier die Ausgaben:

<i>
</i>sudo mtr -4nr -T -i 3 -c 2 -a xx.xx.xx.43 -P 53 8.8.8.8
[sudo] Passwort für christian:
Start: Wed Oct 4 20:17:10 2017
HOST: ubuntu-test Loss% Snt Last Avg Best Wrst StDev 1.|-- xx.xx.xx.41 0.0% 2 0.4 0.4 0.4 0.5 0.0 2.|-- 134.3.248.1 0.0% 2 9.4 9.2 9.0 9.4 0.0 3.|-- 172.30.12.89 0.0% 2 10.3 9.7 9.2 10.3 0.0 4.|-- 84.116.191.49 0.0% 2 16.1 16.7 16.1 17.3 0.0 5.|-- 84.116.132.178 0.0% 2 15.8 16.0 15.8 16.3 0.0 6.|-- 213.46.177.42 0.0% 2 16.8 17.2 16.8 17.7 0.0 7.|-- 108.170.251.129 0.0% 2 16.0 15.9 15.9 16.0 0.0 8.|-- 108.170.232.241 0.0% 2 19.6 25.5 19.6 31.4 8.4 9.|-- 8.8.8.8 0.0% 2 333.5 467.9 333.5 602.4 190.2

sudo tcpdump -vvven host 8.8.8.8 and 'tcp[tcpflags] & (tcp-syn) != 0'
tcpdump: listening on enp2s0, link-type EN10MB (Ethernet), capture size 262144 bytes
^C
0 packets captured
0 packets received by filter
0 packets dropped by kernel

<i>
</i>sudo tcpdump -c 5 -vvven dst host xx.xx.xx.43 and icmp
tcpdump: listening on enp2s0, link-type EN10MB (Ethernet), capture size 262144 bytes
^C
0 packets captured
0 packets received by filter
0 packets dropped by kernel

<i>
</i> ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 inet 127.0.0.1/8 scope host lo valid_lft forever preferred_lft forever inet6 ::1/128 scope host valid_lft forever preferred_lft forever
2: enp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000 link/ether 00:1a:80:1f:a9:60 brd ff:ff:ff:ff:ff:ff inet xx.xx.xx.43/29 brd xx.xx.xx.47 scope global enp2s0 valid_lft forever preferred_lft forever inet6 fexx::e8xx:4dxx:2cxx:4c7b/64 scope link valid_lft forever preferred_lft forever
3: wlp6s0: <BROADCAST,MULTICAST> mtu 1500 qdisc mq state DOWN group default qlen 1000 link/ether 00:1b:77:f2:66:52 brd ff:ff:ff:ff:ff:ff

<i>
</i>route -n
Kernel-IP-Routentabelle
Ziel Router Genmask Flags Metric Ref Use Iface
0.0.0.0 xx.xx.xx.41 0.0.0.0 UG 100 0 0 enp2s0
xx.xx.xx.40 0.0.0.0 255.255.255.248 U 100 0 0 enp2s0
169.254.0.0 0.0.0.0 255.255.0.0 U 1000 0 0 enp2s0

<i>
</i>arp -av
b2b-xx-xx-xx-41.unitymedia.biz (xx.xx.xx.41) auf c8:0e:14:e2:0a:75 [ether] auf enp2s0
Einträge: 1 Ignoriert: 0 Gefunden: 1

<i>
</i>ip n s
xx.xx.xx.41 dev enp2s0 lladdr c8:0e:14:e2:0a:75 STALE

 

[addicted]

Geh nochmal die Ausgaben der Befehle durch, da taucht nochmal Deine IP auf.

Wie lautet denn die MAC-Adresse der Fritzbox? Passt die zu der in der Ausgabe von "arp -av" oder "ip n s"?

Wenn Du auf der Linux-Kiste "tcpdump -nve -i enp2s0" laufen lässt (starten und einfach aktiv lassen) und während dessen
a) die Kiste von einem anderen System an der Fritzbox anpingst,
b) die Kiste von einem anderen System hinter der pfSense anpingst,
c) die Kiste von einem System von ausserhalb (z.B. Mobilfunknetz, etc.) anpingst,
d) in einer zweiten Shell auf dem System "ping -c3 8.8.4.4" eingibst,
was sind dann die Ausgabe des laufenden tcpdump-Befehls?
Insb. interessiert mich, in welchem Szenario eingehende Pakete ankommen, und von welchen MAC-Adressen die dann stammen.

 

[tomcatcw]

Geh nochmal die Ausgaben der Befehle durch, da taucht nochmal Deine IP auf.

Wie lautet denn die MAC-Adresse der Fritzbox? Passt die zu der in der Ausgabe von "arp -av" oder "ip n s"?

Wenn Du auf der Linux-Kiste "tcpdump -nve -i enp2s0" laufen lässt (starten und einfach aktiv lassen) und während dessen
a) die Kiste von einem anderen System an der Fritzbox anpingst,
b) die Kiste von einem anderen System hinter der pfSense anpingst,
c) die Kiste von einem System von ausserhalb (z.B. Mobilfunknetz, etc.) anpingst,
d) in einer zweiten Shell auf dem System "ping -c3 8.8.4.4" eingibst,
was sind dann die Ausgabe des laufenden tcpdump-Befehls?
Insb. interessiert mich, in welchem Szenario eingehende Pakete ankommen, und von welchen MAC-Adressen die dann stammen.

Danke dir.

Also wenn ich diesen Befehl eingebe, dann hört das Terminal gar nicht auf Informationen auszuspucken. Da kann man gar nicht erkennen, wenn da sein einzelner Ping kommt.

Außerdem, ich bin definitiv nicht anpingbar. Es sehe da keinen Unterschied, ob ich das so mache oder über heise.de/ping und dann meine ip xx.xx.xx.43 anpingen will.

Hier mal ein Aufzug.

<i>
</i>xx.xx.xx.43.35472 > 23.53.166.213.443: Flags [R], cksum 0xfc65 (correct), seq 1700981304, win 0, length 0
22:15:01.048086 c8:0e:14:e2:0a:75 > 00:1a:80:1f:a9:60, ethertype ARP (0x0806), length 60: Ethernet (len 6), IPv4 (len 4), Request who-has xx.xx.xx.43 tell xx.xx.xx.41, length 46
22:15:01.048115 00:1a:80:1f:a9:60 > c8:0e:14:e2:0a:75, ethertype ARP (0x0806), length 42: Ethernet (len 6), IPv4 (len 4), Reply xx.xx.xx.43 is-at 00:1a:80:1f:a9:60, length 28
22:15:01.262769 c8:0e:14:e2:0a:75 > ff:ff:ff:ff:ff:ff, ethertype ARP (0x0806), length 60: Ethernet (len 6), IPv4 (len 4), Request who-has xx.xx.xx.42 tell xx.xx.xx.41, length 46
22:15:02.274974 c8:0e:14:e2:0a:75 > ff:ff:ff:ff:ff:ff, ethertype ARP (0x0806), length 60: Ethernet (len 6), IPv4 (len 4), Request who-has xx.xx.xx.42 tell xx.xx.xx.41, length 46
22:15:03.285756 c8:0e:14:e2:0a:75 > ff:ff:ff:ff:ff:ff, ethertype ARP (0x0806), length 60: Ethernet (len 6), IPv4 (len 4), Request who-has xx.xx.xx.42 tell xx.xx.xx.41, length 46
22:15:03.443305 00:1a:80:1f:a9:60 > c8:0e:14:e2:0a:75, ethertype IPv4 (0x0800), length 66: (tos 0x0, ttl 64, id 33874, offset 0, flags [DF], proto TCP (6), length 52) xx.xx.xx.43.37080 > 23.23.170.207.443: Flags [.], cksum 0xdb96 (incorrect -> 0x4735), ack 2022, win 523, options [nop,nop,TS val 2242061639 ecr 508056725], length 0
22:15:03.560055 c8:0e:14:e2:0a:75 > 00:1a:80:1f:a9:60, ethertype IPv4 (0x0800), length 66: (tos 0x0, ttl 230, id 15937, offset 0, flags [DF], proto TCP (6), length 52) 23.23.170.207.443 > xx.xx.xx.43.37080: Flags [.], cksum 0x527e (correct), ack 7497, win 176, options [nop,nop,TS val 508059254 ecr 2242056567], length 0
^C
1623 packets captured
1640 packets received by filter
17 packets dropped by kernel

habe es hiermit nochmal probiert und mich mit Handy im 3G Netz ohne WLAN angepingt. Nix kommt an:

<i>
</i>sudo tcpdump -c 5 -vvven dst host xx.xx.xx.43 and icmp
tcpdump: listening on enp2s0, link-type EN10MB (Ethernet), capture size 262144 bytes
^C
0 packets captured
0 packets received by filter
0 packets dropped by kernel

 

[addicted]

Im Rahmen der ARP-Pakete kommen nochmal Deine vollständigen Adressen vor.

Ich hatte ansich gedacht, dass Du da parallel keinen anderen Traffic mit machst. Dann sieht man auch nur die Pings.

Man sieht aber auf jeden Fall, dass die FB ARP macht und dass die FB (wenn die MAC-Adresse denn c8:0e:14:e2:0a:75 ist) auch den Traffic weiterleitet.

Von daher könnte sehe ich das Problem jetzt eher wieder irgendwo ab der pfSense. Beispielsweise fragt die FB auch, wer denn die .42 haben könnte, und niemand antwortet (was man an der wiederholten Broadcast-Anfrage sieht). Und die Adresse sollte doch auf der pfSense aktiv sein, oder nicht?

Kannst du die Adressen noch anders hinzufügen als "virtuell"?

 

[tomcatcw]

Das kapiere ich jetzt nicht. Woher weiß er jetzt was von der .42, welches die pfSense ist. Da hing ja eben nicht mehr dran. Hätte ich neu starten sollen?

Eine andere Möglichkeit als Virtuell gibt es nicht in der pfSense. Lies man hier in speziellen pfSense ist das genau die Vorgehensweise. Die erste frei verfügbare IP .42 in meinem Fall wird dem WAN Port der pfSense zugeordnet, die verbleibenden 4 Adressen als virtuelle hinzugefügt.

 

[addicted]

Wenn sie nicht dran hing, erklärt das wieso ARP nicht beantwortet wurde.
Wir wissen ja nicht, wie Du testest. Ich nahm jetzt an, dass Du während des Tests auf dem Linux-System die anderen Komponenten nicht veränderst. Die Testbedingungen sollen ja so gut es geht den realen Bedingungen entsprechen. Bringt doch nichts, irgendwas zu testen, wenn man den Fehler mglw. grad abgeklemmt hat.

Ich denke an dieser Stelle macht es auch nicht so richtig Sinn, noch weiter planlos herumzustochern. Ich würde sagen, Du meldest das als Störung bei UM, lässt nen Techniker kommen, und der soll Dir zeigen wie er das mit seinem eigenen Laptop so hinkriegt, dass er angepingt werden kann.
Die 99,- Euro musst Du dann ggf. als Lehrgeld hinnehmen.

 

[tomcatcw]

Jup, danke trotzdem für deine Geduld.

 

[tomcatcw]

Leute ihr werdet es nicht glauben: Es funktioniert - meine Freude ist noch verhalten aber es funktioniert erstmal soweit.

Woran es schlussendlich lag schreibe ich morgen ausführlich.

Danke an alle, die mir mir Rat und Tat geholfen haben.


Gesendet von iPhone mit Tapatalk Pro

 

[tq1199]

Leute ihr werdet es nicht glauben: Es funktioniert - ...

Ja:

<i>
</i>:~ $ nc -zv ##.##.###.43 443
Connection to ##.##.###.43 443 port [tcp/https] succeeded!

und der Ping/traceroute auf die IPs .43 bzw. .42 geht auch

 

[Andreas1969]

Woran es schlussendlich lag schreibe ich morgen ausführlich.

Na, da bin ich ja mal gespannt :zwinker:

 

[tomcatcw]

Also wie versprochen, was schlussendlich zur Lösung führte: Ich habe mich nochmals direkt an die Fritzbox drangegangen und bin sämtliche Einstellungen durchgegangen. Unter „Internet > Freigaben“ fiel mir auf, dass dort zwar das Häkchen für „Bridge“ gesetzt war, jedoch stand ein klein geschriebener Hinweis darüber, dass man nun noch einen „Exposed Host“ für die öffentliche IP“ einrichten muss. Nun denn, dies habe ich gemacht und siehe da, ich konnte fortan die pfSense mit IP.42 anpingen. Mit der .43-46 ging es aber immer noch nicht. Dann habe ich diese IPs ebenfalls noch ergänzt und als Exposed Host freigeben und oh schau, es funktioniert. Ich komme nun auch wieder auf meine Webseite.

Dennoch verstehe ich nicht, warum nun ein Häkchen bei Bridge für die LAN Ports 2, 3 oder 4 gesetzt werden muss und zusätzlich noch ein Exposed Host. Das in dem alten Modus Bridge auf UM-Seite nicht so. Da reichten die Häkchen bei den Ports, an das man die pfSense hängen wollte. Ein zusätzliches Exposed Host war nicht notwendig.

Könnt ihr das bestätigen?

Also Danke nochmal an euch für die Geduld und Hilfe.

PS: Habe ich dadurch jetzt irgendwie ein Doppeltes NAT? Ne, oder?

 

[addicted]

Die Firtzzbox (Tippfehler, aber ich hab's so stehen lassen, weil's einfach mal wieder passt ...)

Also, der Unterschied zu vorher: Vorher war es eine Bridge, jetzt (mit RIP) ist das nicht mehr so. Die Bridge wird in Linux separat behandelt, insb. gilt für Traffic, der innerhalb der Bridge fließt: Keine Layer3 Firewall. D.h. dort geht erstmal jeglicher Traffic einfach durch.

Bei RIP fungiert die Fritzbox als Router, d.h. die beiden Ethernet-Ports WAN und LAN sind eben nicht als Bridge verbunden, sondern die Pakete laufen über Layer3 durch die Box. D.h. dass dann auch die Firewall ins Spiel kommt. Exposed Host setzt dann einfach nur eine Allow-Regel für weitergeleiteten IP-Traffic.

Das ist das korrekte Verhalten, aber halt nicht sonderlich schön dokumentiert. Muss man halt wissen, bzw. sollte einem vom Business-Support entsprechend mitgeteilt werden.


Natürlich hast Du kein Doppel-NAT. Du hast doch öffentliche Adressen an der pfSense.

 

[tomcatcw]

Ok, danke für die Info.

Man hätte sich hier deutlich Ärger und Zeit sparen können, wenn mir bei mind. 10 Anrufen, die ich mit UM hatte, jemand genau das erklärt hätte.

Aber vielleicht hilft dieser Thread jemanden, es gleich richtig einzustellen.

Gruß

 

[un1que]

@tomcatcw: Ich bin heute über das folgende Package bei pfSense gestolpert, nennt sich "routed" (hier gibt's eine kurze Info darüber: https://doc.pfsense.org/index.php/Routing_Information_Protocol_(RIP)). Kannst dir ja mal anschauen, sollte doch genau das sein, was du gebraucht hast?

 

[addicted]

Die pfSense bekommt den Zugang zu RIP aber nicht, der bleibt auf der FritzBox. Auf der pfSense konfiguriert man statische Routen (im Rahmen der Interface-Konfiguration werden die automatisch gesetzt).