"Multi-NAT" (?) Bereiche auf einem Modem/Router

[woodomat]

Liebe Community,

ich habe meinen DSL-Anschluss vor kurzem von dynamischer auf statische IP umstellen lassen und nicht eine, sondern vier solche statische IPs zugewiesen bekommen. Von denen ist genau eine Adresse für mich nutzbar, die drei übrigen sind für Gateway, Broadcast-Adresse und das DSL-Modem reserviert.

Wenn ich das Prinzip dahinter korrekt verstanden habe, wird das via NAT realisiert, d.h. eine nach wie vor dynamische (und für mich nicht ersichtliche) IP-Adresse im Hintergrund wird auf das mir zugeteilte statische /30 Netzwerk umgeschrieben.

Soweit so gut.

Ich würde nun gerne hinter der für das Modem (das gleichzeitig auch WLAN- und Ethernet-Router spielt) reservierten IP-Adresse ein privates NAT einrichten lassen und das - ausschließlich via WLAN nutzen. Die Ethernet-Ports sollten im NAT des /30 Netzwerks bleiben.

Anwendungsszenario: Via WLAN diversen Clients IP-Adressen aus einem 192.168.x-Bereich zuteilen (die dann ihrerseits über die öffentliche IP des Modems geroutet werden) und am Ethernet-Port des Modems einen kleinen Server betreiben, der die letzte verfügbare öffentliche statische IP bezieht. Ich würde aus Überlegungen der Energieeffizien gerne vermeiden ein Modem UND einen eigenen WLAN-Router aufzustellen. U.a. auch deshalb weil der dedizierte WLAN-Router dann die letzte öffentliche IP bekäme und ich den Server nur umständlich via Port-Forwards zugänglich machen könnte.

Bevor ich mich nun beim ISP meines Vertrauens mit einer derartigen Anfrage lächerlich mache: Meinem technischen Verständnis nach müsste das theoretisch schon gehen - aber hat jemand von Euch ein derartiges Setup schon mal ausprobiert bzw. erfolgreich am laufen. Wenn ja mit welchem Endgerät?

Viele Grüße
W.

[jutta]

also: die normale loesung waere, dass du einen wlan-router nimmst (dafuer geht eigentlich jeder) und ihm wan-seitig die eine ip adresse gibts, von der der provider dir gesagt, hat, dass sie zur freien verfuegung ist. ausserdem musst du ihm ebenfalls wan-seitig den gateway und die subnetzmaske 255.255.255.252 eintragen.

lanseitig kannst du dir private ip-bereiche aussuchen.

deinen server muesstest du dann aber an der lan-seite deines routers anschliessen und die noetigen ports forwarden.

die einzige freie oeffentliche ip adresse sowohl einem am modem angeschlossenen server und einem ebenfalls am modem angeschlossenen) router zu geben, geht eigentlich nicht. aber ich glaube mich erinnern zu koennen, dass unser zauberer zid so ein szenario trotzdem schon einmal erfolgreich aufgebaut hat.

frage: um welches produkt von welchem provider geht es und welches modem hast du? kannst/darfst du die konfiguration des modems ggf. veraendern?

[woodomat]

Genau, die "normale" Lösung wäre:

1) hinter dem Modem noch einen eigenen (WLAN-)Router zu betreiben,
2) diesen an einen der Ethernet-Ports des Modems anzuschließen,
3) wo er die letzte verfügbare öffentliche IP-Adresse des /30er-Netzes bezieht,
4) diese in privates NAT umschreibt und Geräten eine private IP (z.B.) aus dem 192.168.x.x-Bereich zuweist.

Die Lösung gefällt mir aber nicht. Denn wozu zwei Geräte verwenden (und eine öffentliche IP "verschenken"), wenn es evtl. auch mit einem einzigen geht. Ich meine damit folgendes: Das Modem selbst hat ja auch bereits ein WLAN-Modul, das in der o.a. Standard-Konfig unnötigerweise brach liegt - wozu WLAN am Modem aktivieren, wenn ich ohnehin nur eine EINZIGE IP vergeben kann.

Nehmen wir folgendes fiktives Netz an: 130.140.150.160/30

- 130.140.150.160: Gateway
- 130.140.150.161: Modem (IP theoretisch frei nutzbar)
- 130.140.150.162: IP theoretisch frei nutzbar (in der Standard-Praxis aber für Router o.ä. benötigt)
- 130.140.150.163: Broadcast

Mich würde interessieren, ob es Möglichkeiten gibt, meinem Modem beizubringen, dass auf den Ethernet-Ports das 130.140.150.160/30er Netz aufgespannt wird, wobei das Modem selbst die IP 130.140.150.161 bezieht und somit 130.140.150.162 frei bleibt. (Das geht, denn das ist jetzt schon der Fall).

Gleichzeitig soll über die WLAN-Schnittstelle ein zweites, vom o.a. Beispiel unabhängiges privates NAT - nehmen wir der Einfachheit halber 192.168.100.0/24 aufgespannt werden. D.h. 192.168.100.0/24 via WLAN wäre öffentlich sichtbar als 130.140.150.161. (Ob und wie das geht weiss ich nicht). Wäre so was über Einträge im Routing lösbar?

Zusätzlich könnte ich an einem der Ethernet-Ports einen Server anschließen, der seinerseits unter der öffentlichen IP 130.140.150.162 erreichbar wäre. D.h. ich erspar mir Port-Forwards, die ich im Falle der Standard-Konfig am Router eintragen müsste und den Betrieb eines eigenen Geräts.

Also rein prinzipiell denk ich mir dass das schon gehen müsste - die Frage ist halt nur wie man mein Modem entsprechend konfigurieren kann bzw. ob es Modems gibt, die das können. Ich hab einen Student-ADSL-Anschluss von Silverserver, Modem: Pirelli PR.G AV4240.

[dadaniel]

Also mir ist kein Gerät mit eingebautem Modem bekannt, das sich in dem Umfang konfigurieren lässt.
Eventuell geht's mit einem Cisco, aber ohne IOS Kenntnisse stehst bei so einer Konfiguration gleich an. Weiters muss ein passender Modem-Teil verbaut sein. Bei Business oder Cable-Internetzugängen stehst oft schon mal an weil die Konfiguration des Modems total unterschiedlich ist und von den ISPs gar nicht zugänglich gemacht wird.

Hol dir ein paar zusätzliche IPs um ein paar Euro mehr und du ersparst dir den ganzen Ärger.

[jutta]

@woodomat: grundsaetzlich geht so ein aufbau, wie du ihn dir vorstellst, bei *manchen* modems/routern. zid hat mir sowas schon gezeigt, ich weiss aber nicht, ob er dabei einen cisco oder ein speedtouch verwendet hat.

bei dir ist die groesste komplikation, dass du dein modem nicht selbst konfigurieren kannst/darfst und dass auch die einstellungen nur zum teil bekannt sind, also das anschliessen eines selbst gekauften passenden routers nicht ganz trivial wird. setz dich am besten mit dem support von sil in verbindung. vielleicht hast du ja das glueck, dort auf einen technik-freak zu treffen, der sich fuer leicht perverse loesungen interessiert

beim ersten lesen hatte ich nicht mitbekommen, dass du die geschichte mit dem modem/router und ohne 2. router realisieren willst.

[zid]

hallo jutta,

wenn ich das richtig verstehe, will der w. einen mischansatz aus nat + routing fahren, und das geht auch beim pire- vollzugriff natürlich vorausgesetzt.
er hat die üblichen 2 möglichkeiten:

1. dual homed:
- das lan-intf kriegt zusätzlich eine ip aus dem /30er netz.
- am wan-intf geht man auf routing.
- man erstellt eine nat map samt acl, sodaß wirklich nur das private netz genattet/maskiert wird.

2. dmz (sicherer und ein must, wenn der server wirklich öffentlich verwendet wird):
- man nimmt einen ethport aus der lan bridge.
- der separierte ethport kriegt eine ip aus dem /30er netz.
- durch entsprechende firewall rules stellt man sicher, das man aus der dmz nicht aufs pire oder ins lan gehen kann.
- der rest ist dann gleich wie bei pkt. #1.

die große frage ist halt, mit welcher ip das private netz maskiert wird. und das hängt davon ab, ob die dialer ip

1. privat (= telekom stil) ist:
dann muß man zwangsläufig mit der freien ip des /30er netzes maskieren.

2. öffentlich (= eleganter stefan/ascus stil) ist:
da kann man die dialer ip zum maskieren verwenden, und es vereinfacht sich einiges bei den firewall rules.

lg
wo