DMZ eingerichtet, kein ping zum Router möglich

[grich]

Hallo,

ich wollte erstmals bei meinem 1781EF+ auch die DMZ verwenden.

Habe:

Unter Ethernet-Ports ETH4 auf LAN4 gestellt
Unter IPv4 ->Allgemein ->IP-Netzwerke beim vorhandenen Eintrag DMZ die IP 192.168.169.254, mask 255.255.255.0 eingestellt, Schnittstelle LAN-4, Tag 0, VLAN-ID 0

Das wars eigentlich schon. Von einem PC an LAN4 mit IP 192.168.169.1 ping 192.168.169.254: unreachable

Muss ich noch etwas konfigurieren? Die IPv4-Routing-Tabelle ist im Werkszustand, die Firewall-Regeln ebenso.

pings aus dem INTRANET beantwortet der Router hingegen.
Aus dem INTRANET wird auch ein ping auf die IP des Routers in der DMZ beantwortet, aber nicht auf die IP des PC in der DMZ.

Danke für Tipps
J.

[Dr.Einstein]

Hallo,

nutzt du für dein bestehendes Netzwerk "INTRANET" VLANs? Wenn ja, muss die DMZ ebenfalls ein VLAN ungleich 0 bekommen und passend in der VLAN Tabelle hinterlegt werden.

Unter Schnittstellen / LAN / LAN-Bridge / Port-Tabelle ist LAN-4 aber aktiv?

[grich]

Hi,

danke!! Ich wusste es liegt an etwas, womit ich mich nicht auskenne. VLAN stand auf 0.
INTRANET ist 1, DMZ jetzt 2.
Nun kann ich aus der DMZ den LANCOM anpingen.

Jetzt hänge ich leider am nächsten Problem:
vom INTRANET komme ich nicht in die DMZ
von der DMZ nicht ins Internet.

In der VLAN-Tabelle habe ich bei 1 nun nur Port LAN1 und bei 2 nur Port LAN4 angewählt. Ist das denn richtig? Wenn ich jeweils beide Ports anwähle, geht es allerdings auch nicht.

Die Geräte im INTRANET und der DMZ haben jeweils die IP des Routers in deren Netz als Gateway.
Muss ich noch etwas tun, damit der LANCOM zwischen diesen routet?

Ich verstehe nicht, was in der Routing-Tabelle dieser EIntrag bewirkt:
192.168.0.0 / 255.255.0.0, Tag 0, An, sticky für RIP, Router 0.0.0.0, Distanz 0, Mask: aus, Kommentar: block private networks
Block hört sich nicht gut an. Wenn ich die Route ausschalte, ändert sich aber nichts.

Im Endergebnis brauche ich dann noch ein Portforwarding, ein Webserver in der DMZ soll vom INTRANET und Internet erreichbar sein. Aber soweit bin ich ja noch nicht.


Danke
J.

[backslash]

Hi grich,

Jetzt hänge ich leider am nächsten Problem:
vom INTRANET komme ich nicht in die DMZ
von der DMZ nicht ins Internet.

bist du sicher, daß die Rechner in der DMZ auch diue Adresse des LANCOMs in der DMZ als Default-Gateway eingetragen haben?
kann es sein, daß auf den Rechnern in der DMZ eine Firewall läuft, die Zugriffe aus anderen Netzen blockiert (das ist z.B. bei fast allen NAS-Boxen die Default-Einstellung)

Ansonsten gilt: wenn INTRANET und DMZ nicht das gleiche Interface-Tag haben, daß du vom INTRANET auf die DMZ zugrefen kannst, aber nicht anders herum (zumindest, wenn du dem DMZ-Netz auch dne Typ "DMZ" gegeben hast) - das ist eine der ARF-Sichtbarkeitsregeln:

• nur Netze mit gleichen Inteface-Tags können sich sehen, außer:
• Netze mit Tag 0 können alle Netze sehen ("Supervisor"-Tag)
• Netze vom Typ "DMZ" können von allen Netzen gesehen werden

Ich verstehe nicht, was in der Routing-Tabelle dieser EIntrag bewirkt:
192.168.0.0 / 255.255.0.0, Tag 0, An, sticky für RIP, Router 0.0.0.0, Distanz 0, Mask: aus, Kommentar: block private networks
Block hört sich nicht gut an. Wenn ich die Route ausschalte, ändert sich aber nichts.

Die Route verhindert, daß private Netze ins Internet geroutet werden. Sie ist hier aber egal, weil das LANCOM seine direkt angebundenen Netze kennt und die Route daher nicht greift. Prüfen kannst du das über das Kommando "show ipv4-fib" im CLI

Gruß
Backslash

[grich]

Hallo,

leider habe ich beim Test heute morgen eine falsche IP angepingt (den Linux-Rechner in der DMZ selbst).

Das ursprüngliche Problem besteht in Wirklichkeit weiterhin, der Linux-Rechner in der DMZ 192.168.169.1 kann keinen ping auf 192.168.169.254 machen. Firewall ist laut iptables aus.

Hier meine Einstellungen:

lc1.jpg

lc2.jpg

lc4.jpg

[grich]

lc3.jpg

[grich]

Auf dem Linux-Rechner in der DMZ habe ich mal arp -an eingegeben:

? 192.168.169.254 at <incomplete> on ens33

Das sieht ja nicht gut aus. Der LANCOM antwortet also nicht mal auf arp. Die LED an LAN4 ist an und blinkt sogar. Der Linux-Recher steckt direkt und alleine drin.

Nachtrag: Habe nun noch einen Windows-PC in die DMZ genommen. Dieser und der Linux-Rechner können miteinander pingen. Der Windows-PC kann den Router auch nicht anpingen.

[backslash]

Hi grich,

Das ursprüngliche Problem besteht in Wirklichkeit weiterhin, der Linux-Rechner in der DMZ 192.168.169.1 kann keinen ping auf 192.168.169.254 machen

dann hast du ein grundlegendes Problem... Denn das MUSS einfach funktionieren, die sind ja im selben Netz - sowohl logisch (192.168.169.0/24) als auch physikaisch (Kabel vom Linux-PC zu LANCOM).

Hast du auf dem Linux-PC denn auch konfigureurt, daß er in seinem LAN das VLAN 2 verwenden soll - oder hast du zumindest einen VLAN-fägigen Switch zwischen LANCOM und Linux-PC, der das VLAN-Tagging macht?

Gruß
Backslash

[grich]

Hallo zusammen,

VLAN war das richtige Stichwort, das Zielsystem war gar nicht im VLAN. Das kommt davon, wenn man selten VLANs verwendet hat und noch nie ohne Switch.
Alles Weitere war im Anschluss problemlos zu konfigurieren.

Danke allen Helfern!

J.