neue Anfrage (W)LAN absichern/separieren

[tagedieb]

Hallo zusammen

ich wollte nach der sehr schönen Wikianleitung und dem Thread hier im Forum mein Netzwerk auch etwas sicherer gestalten

leider komme ich hier nicht weiter und würde mich über Hilfe freuen

Voraussetzung:
FB 7590
Zotak Xbox mit Debian (incl Fhem)
3 Netgar smart manages plus switch (noch nicht eingerichtet)
auf der zbox läuft dhcp mit  bind9 und isc-dhcpd
Cap1200 Ericson Wlan Router/AP mit VLan möglichkeit
und viele angeschlossene Geräte

meine routingtabelle vom Zotak

Code Auswählen Erweitern

Kernel-IP-Routentabelle
Ziel            Router          Genmask         Flags Metric Ref    Use Iface
default         zotak           0.0.0.0         UG    100    0        0 enp3s0
10.10.0.0       10.10.0.2       255.255.255.0   UG    100    0        0 enp3s0
10.10.0.2       0.0.0.0         255.255.255.255 UH    100    0        0 enp3s0
172.16.1.0      0.0.0.0         255.255.255.0   U     100    0        0 enp3s0
192.168.0.0     0.0.0.0         255.255.0.0     U     100    0        0 enp3s0



Meine IP  von Zotak und FB incl angelegter Routen

Code Auswählen Erweitern

die FB hat die IP 172.16.1.1 NM 255.255.0.0
Zotak IP 1 192.168.1.1 NM 255.255.0.0   GW 192.168.1.1
          IP 2 172.16.1.2  NM 255.255.255.0 GW leer

Route auf FP
Netzwerk 192.168.0.0  NM 255.255.0.0 GW 172.16.1.2
DHCP auf FB aus (DNS noch an)



in der Netzwerkanzeige der FB sind etliche Geräte mit einer neuen IP vom neuen DHCP Bereich 192.168.1.xxx zu sehen

ich komme aber nur ins Internet, wenn mein Laptop eine IP im "Rahmen der FB" hat 172.16......

was habe ich übersehen?
Hilfe wäre toll

vg

[tagedieb]

Hallo Wuppi68

ich habe im Tread gelesen, das du auch bind9 und isc-dhcpd verwendest
hast du  dnsmsaq deinstalliert?

vg

[Wzut]

Netzwerk 192.168.0.0  NM 255.255.0.0 GW 172.16.1.2

das wird als erstes schon mal nicht gehen , das GW muss eine Adresse sein die sich mittels IP & Mask erreichen lässt Bzw. bei dir eher leer
da
IP 2 172.16.1.2  NM 255.255.255.0 GW leer
und hier würde ich als GW die 172.16.1.1 der FB eintragen
schau dir auch nochmal deine SM an, warum macht du zum Teil so große Netze mit 255.255.0.0 ?
reichen nicht auch 254 Adressen pro Range und /24 SM ?

[tagedieb]

Hallo Wzut

danke das du für mein Problem Zeit hast
die NM 255.255.0.0 habe ich der Anleitung entnommen
Ip Vergabe jetzt  wie folgt

IP FB 172.16.1.1 255.255.255.0 GW ist keine Eingabemaske vorhanden

IP Zotak 1.IP 172.16.1.2 NM 255.255.255.0 GW 172.16.1.1
      2.IP  192.168.1.1 NW 255.255.255.0  GW 192.168.1.1

meine routen sehen jetzt so aus

Code Auswählen Erweitern

Ziel            Router          Genmask         Flags Metric Ref    Use Iface
default         gateway         0.0.0.0         UG    100    0        0 enp3s0
10.10.0.0       10.10.0.2       255.255.255.0   UG    100    0        0 enp3s0
10.10.0.2       0.0.0.0         255.255.255.255 UH    100    0        0 enp3s0
172.16.1.0      0.0.0.0         255.255.255.0   U     100    0        0 enp3s0
192.168.0.0     0.0.0.0         255.255.255.0   U     100    0        0 enp3s0
192.168.1.0     0.0.0.0         255.255.255.0   U     100    0        0 enp3s0
-


doch vom Netzwerk aus komme ich auch jetzt nicht ins Internet

[Wzut]

doch vom Netzwerk aus komme ich auch jetzt nicht ins Internet

Mit Netzwerk meinst du die beiden Netze 192.168.0.0/24 und 192.168.1.0/24 ?
Spiel es doch einfach mal durch :
Bsp das Gerät hat die 172.16.1.10 und will nach 8.8.8.8 , d.h es greift als nächster Hop die 172.16.1.1 (FB) die weiss das sie dafür das Paket nach draussen schicken muß ( auch der Rückweg der Antwort ist klar )
Jetzt ein Gerät mit der IP 192.168.1.10 das auch nach 8.8.8.8 will. Quizfrage wo ist der nächste Hop ? -> bei  192.168.1.1
und wie geht es von da aus weiter ? irgendwie muß das Paket ja ins 172.16.1.0 Netz und das wird scheitern da der Weg raus aus 192.168.1.0 wieder auf 192.168.1.1 zeigt :

Code Auswählen Erweitern

2.IP  192.168.1.1 NW 255.255.255.0  GW 192.168.1.1
IMHO müsste hier das GW leer bleiben. Kannst du aber schön selbst testen und verfolgen wenn du auf dem Quell Gerät z.B. mal "tracert 8.8.8.8"  in einem DOS Fenster eingibst (WIN) unter Linux wäre das "traceroute 8.8.8.8" in der Shell.