[fli4l] fli4l (mit DMZ) hinter Fritz Box

[Peter Schiefer]

Hallo Thomas,

Am Fri, 1 Jul 2016 18:15:16 +0200 schrieb Thomas Grunenberg:

> Sorry für die vielen Tippfehler!

passiert mir auch ;)

> So sieht es aus:
> ########################################
> Internet - Fritz Box - 192.168.230.222
> 
> 192.168.230.223 - fli4l - 192.168.238.222 LAN
>                          - 192.168.237.222 DMZ
> 
also IP_NET_N='3'
und
IP_NET_x='192.168.230.223/24'
IP_NET_x='192.168.238.222/24'
IP_NET_x='192.168.237.222/24'

> Auf dem fli4l habe ich das forwarding so eingerichtet:
> prot:udp any 192.168.230.223:9987 DNAT:@pc06 (die ursprüngliche 240 war 
> vertippt)
> ########################################
> 
> Die ursprüngliche Konfiguration konnte mit PPPoE ins Internet und ich 
> such noch alle Stellen, die ich ändern muss. Da wurde das NAT gebraucht?
> 
> Das mit dem NAT habe ich nicht ganz verstanden: Der fli4l soll "einfach" 
> zwischen den Netzen "routen": Aus 192.168.230.* soll nichts nach 
> 192.168.238.*, aus 192.168.230.* sollen nur bestimmte Protokolle/Ports 
> (über Regeln auf dem fli4l eingestellt) nach PC06.

ob geroutet oder genattet wird bestimmst du in den PF_ROUTING_* und
PF_POSTROUTING_* Einträgen
 
> Muss ich das NAT noch irgendwie ausschalten? Wie?

wenn Du kein NAT (MASQURADE) am fli4l machst, muss Du definitiv Routen für
das LAN- und DMZ-Netz in der FritzBox eintragen.

> Mein Wunsch ist es, die forwarding Regeln nur in einem Router (am 
> liebsten dem fli4l) einzustellen. Deswegen habe ich das mit dem exposed 
> host versucht. Mein Bild dazu: Die Fritz Box leitet allen Verkehr der 
> reinkommt an den fli4l und der macht praktisch das gleiche (als PPPoE 
> noch ging).

= der fli4l muss NAT machen damit es für die FritzBox so aussieht, als ob
aller Netzverkehr vom fli4l selber kommt (Source-Adresse der
Netzwerkpakete)
 
> Die eigentliche Idee dahinter steckt in der Zukunft: Falls ich mal 
> meinen Provider wechseln muss, brauche ich nur die Fritz Box 
> (Anbieter-Router) wieder so einstellen, dass das 192.168.230.* 
> bereitgestellt wird und alles ungefiltert am den fli4l geht.

das würde Dir einen Anbieterwechsel vereinfachen, jedoch handelst Du Dir
damit die Probleme des doppelten NAT (am besten mal googeln) ein.

Gruß Peter