Internetzugang einrichten: Terminologie Telekom<->Lancom

[mroesch]

Hallo,

derzeit läuft hier ein Lancom 1781A als Router und DSL-Modem an einer Telekom 16.000er Leitung.

Gestern wurde eine Standleitung (Company Connect) hinzu geschalten. Dazu bekam ich ein Blatt mit den IP-Parametern von der Telekom, die ich nun zu den abgefragten IP-Parametern des Lancom im Setup-Assistenten mappen muss. Und das gelingt mir nicht auf Anhieb.

Zur Konfiguration verwende ich das KB-Dokument Internetzugang über eine Plain-Ethernet-Verbindung (IPoE) einrichten

Von der Telekom habe ich folgendes genannt bekommen:

(1) Netzadresse xxx.xxx.xxx.1
(2) Gateway xxx.xxx.xxx.2
(3) Nutzadressen xxx.xxx.xxx.3 - 7
(4) Broadcast xxx.xxx.xxx.8
(5) Subnetz 255.255.255.248
(6) 3 DNS-Server

Im Setup-Assistenten wird gefragt nach:

(A) IP-Adresse
(B) Netzmaske
(C) Standard-Gateway
(D) 2 DNS-Server

Die Zuordnung
(2) zu (C) und
(6) zu (D)
ist klar.

Aber kommt in
(A) Adresse (1) oder die eine/erste Adresse von (3)?
(B) Adresse (5)?

Mit diesen Angaben habe ich es zumindest probiert, allerdings ohne Erfolg. Die externe Verbindung steht an ETH1 an, aber es findet kein Routing von und nach draußen statt.

Viele Grüße
Michael

[backslash]

Hi mroesch,

Aber kommt in
(A) Adresse (1) oder die eine/erste Adresse von (3)?
(B) Adresse (5)?

zu (A) kommt (1)
und zu (B) kommt (5)

völlig falsch aber sind diese Telekom-Werte:

(3) Nutzadressen xxx.xxx.xxx.3 - 7
(4) Broadcast xxx.xxx.xxx.8

Nutzadressen gehen nur von xxx.xxx.xxx.3-6 und die xxx.xxx.xxx.7 ist der Broadacst!
Die xxx.xxx.xxx.8 befindet sich bereits in einem anderen Netz!

Mit diesen Angaben habe ich es zumindest probiert, allerdings ohne Erfolg. Die externe Verbindung steht an ETH1 an, aber es findet kein Routing von und nach draußen statt.

Damit sollte es aber funktionieren... Es sei denn du willst beide Leitungen nutzen - dann mußt du über die Firewall auswählen, welche Pakete über welche Leituing gehen (oder eine Loadbalncer aufspannen). Wichtig ist, daß die Internetverbindung maskiert wird.

Wenn du die festen Adressen (xxx.xxx.xxx.3-6) nutzen willst, dann mußt du entweder passende Portforwardings einrichten oder eine DMZ mit IP-Adresse aus (1) und Netzmaske aus (5) aufspannen. Die Maskierungs-Option der Compoany-Connect-Route muß im Falle der DMZ-Nutzung auf "nur Intranet maskieren" stehen (und natürlich müssen die Server dann in der DMZ stehen und die DMZ-IP des LANCOMs als Gateway nutzen).

Gruß
Backslash

[Dr.Einstein]

mMn liegt da eine Fehler vor:

.0 Netzadresse
.1 ist die Gateway Adresse sprich der Cisco Abschlussrouter
.2 bis .6 kannst du an deine Router / Server etc vergeben
.7 Broadcast

[mroesch]

zu (A) kommt (1)
und zu (B) kommt (5)

Aber auch mit dieser Zuordnung bekomme ich keine Verbindung nach "draußen". Bzw. ich vermute eher keine rein, denn der Browser liefert keine 404 zurück, sondern scheint ewig auf Daten zu warten.

Muss man der Firewall mitteilen, dass Daten nicht mehr über den WAN-Port sondern über ETH-1 reinkommen? Könnte es an sowas liegen?

Nutzadressen gehen nur von xxx.xxx.xxx.3-6 und die xxx.xxx.xxx.7 ist der Broadacst!
Die xxx.xxx.xxx.8 befindet sich bereits in einem anderen Netz!

Entweder habe ich mich verzählt, die Telekom Mist aufgeschrieben oder du dich geirrt.
Die Netzadresse endet mit .184, das Gateway hat .185, .186 bis .190 sind explizit als belegbare Nutzadressen deklariert und die .191 ist der Broadcast.

Grüße
Michael

[backslash]

Hi mroesch,

Aber auch mit dieser Zuordnung bekomme ich keine Verbindung nach "draußen". Bzw. ich vermute eher keine rein, denn der Browser liefert keine 404 zurück, sondern scheint ewig auf Daten zu warten.

Das ist aber die Standardkonfiguration... Kannst du denn das LANCOM aus dem Internet anpingen (ich vermute mal es hat die .185) und per Browser darauf zugreifen (nachdem du es im LANCOM unter Management - Admin -> Zugriffs-Rechte -> vom entfernten Netzen erlaubt hast)

Muss man der Firewall mitteilen, dass Daten nicht mehr über den WAN-Port sondern über ETH-1 reinkommen? Könnte es an sowas liegen?

nein. Die Firewall referenziert WAN-Verbindungen über ihren Namen und nicht ihre physikalisches Interface. Was aber wichtig ist: Wenn du eine Deny-All-Strategie fährst, dann mußt du natürlich einkommende Sessions zulassen, z.B.:

Code: Alles auswählen

Name:    ALLOW-HTTP
Quelle:  alle Stationen
Ziel:    IP deines Webservers
Dienste: HTTP, HTTPS

Entweder habe ich mich verzählt, die Telekom Mist aufgeschrieben oder du dich geirrt.
Die Netzadresse endet mit .184, das Gateway hat .185, .186 bis .190 sind explizit als belegbare Nutzadressen deklariert und die .191 ist der Broadcast.

da hast du dich verzählt - 190 ist 6 und 191 ist 7 von 184 ernfernt...

Gruß
Backsalsh