Kein Routing zwischen 2 Netzten

eSpezi

Servus Medikopter,

da hast Du ja was tollkühnes zusammengebastelt ;-)
Damit bekommst Du kurz- bis mittelfristig nur Ärger

Ich würde folgendes vorschlagen:
Du hast ja bereits alle LANs an der pfSense.
Nun lass diese auch ihre Arbeit tun und richte sie bei allen LANs als Default Gateway ein.
Die beiden WANs (1x PPoE Modem, 1x Speed Port) richtest Du als 2 WANs auf der pfSense ein. (ich würde evtl. auch versuchen den ollen Speedport durch ein einfaches DSL Modem zu ersetzen - das erspart Dir wahrscheinlich später noch Ärger).
Nun bist Du erstmal Chef im Netz und kannst alles nach Belieben über die pfS steuern, ohne an Clients Änderungen machen zu müssen.

Wie es jetzt weiter geht hängt davon ab, was gewünscht / gefordert ist.
Erstmal solltest Du die Firewall Regeln für die Netze anpassen (z.B. welches Netz darf auf ein anderes, usw.)
Für den Internetzugang könnte man z.B. die beiden WANs per Gateway Gruppen für Loadbalancing und/oder Failover konfigurieren.
Auch eine feste Zuweisung der einzelnen LANs zu einem bestimmten WAN ist durch die Zuweisung des entsprechenden Gateways in einer Firewall Regel des jeweiligen LAN Interfaces machbar.

Am besten vorher erst einmal ziemlich genau zu Papier bringen, was wie laufen soll, dann tut man sich beim Konfigurieren viel leichter und ist flotter - ist zumindest meine Erfahrung.

Viel Erfolg!
Harry

medikopter

Hallo Harry,

Das ist genau das was ich möchte. Am besten soll die Pfsense alles machen. Nur weiß ich nicht wie ich das insoweit konfigurieren kann. Das mit dem Failover ist perfekt da eine Leitung oft rumspackt.

Dann müsste ich auch keine statischen routen setzten an den Clients.

Allerdings kann ich den Speedport nicht extra an ein Interface setzten, da ich nicht die Möglichkeit habe noch ein Kabel dahin zu ziehen. Wenn du mir verrätst wie ich das einrichte und wie ich Gateways eintragen und schalten muss wäre ich dir sehr dankbar. Den Speedport kann ich leider nicht ersetzten da er auch ISDN Telefonie macht.

Wexxler

Wenn es wirklich ISDN ist und kein VOIP kannst du den Speedport wohl ersetzen (deaktivieren) für das Internet.

Es gibt dort die Funktion das Internet zu deaktivieren und den Speedport als Modem zu nutzen. Dann erparst du dir auf jedenfall ein weiteres Routing und kannst die sense nutzen

medikopter

Man kann die Speedport auf jedenfall so deaktivieren das sie nur als Modem fungiert und trotzdem Telefonie geht, habe ich gerade nach gelesen.
Allerdings kann ich sie trotzdem nicht an ein extra Interface an der sense schalten.

eSpezi

Servus Medikopter,

Du kannst zur Not auch den Speedport verwenden.

Es kann jedoch nur klappen, wenn Du alle WANs als Interfaces an der pfSense hast.
Die beste und stabilste Lösung wäre natürlich ein Kabel zwischen Speedport und pfSense.
Wenn das nicht geht könnte man z.B. ein vorhandenes CAT5 (oder besser) Kabel doppelt belegen. Dafür gibt es spezielle Adapter, die auf einer Seite einen RJ45 Stecker und auf der anderen 2 RJ45 Buchsen haben. Nachteil: mehr als 100MBit und/oder PoE gehen nicht über so eine Verbindung weil dafür die 4 Paare eines CAT Kabels in 2x2 (2 je Buchse) aufgeteilt werden.
Variante 2 wären 2 VLANs auf der Leitung. Die pfS könnte damit umgehen, auf der Speedport Seite müsstest Du einen Switch/NIC haben, der mit einem getaggten VLAN umgehen kann. Außerdem ist das nicht 100% sicher, weil u.U. zwischen den VLANs Daten durchsickern könnten.
Wenn CAT-Kabelmäßig überhaupt nichts geht gibt's nur noch den Versuch über HomeNet via 2-Draht oder Coax (Antenne), PowerLine, oder WLAN Bridge. Alles, bis auf erst genanntes, nicht sehr zuverlässig und mit nennenswerten Kosten verbunden.

Falls Du eine Verkabelungsmöglichkeit findest - so habe ich mehrere solcher Konfigurationen am laufen:
WAN Interfaces konfigurieren, z.B. WAN1 PPPoE, WAN2 Speedport
In System -> Routing -> Groups eine Gateway Gruppe für die WANs nach Wunsch anlegen
Weitere Infos hierzu: https://doc.pfsense.org/index.php/Multi-WAN_2.0

Damit die erstelle(n) Gateway Gruppen genutzt werden, müssen diese in den Firewall Regeln jedes LANs explizit als Gateway angegeben werden. Dabei ist zu beachten, dass sämtlicher Traffic bei einer Regel mit konfiguriertem Gateway sofort in dieses geschickt wird, wenn dieser nicht durch eine vorherige Regel behandelt wurde. Damit kann man sich schnell den Weg in andere interne LANs abschneiden.
Also erst einmal alle Regeln für die internen Netze erstellen, OHNE explizite Angabe des Gatewas und erst DARUNTER die Regeln ins Internet MIT Angabe des Gateways.

Gruß
Harry

medikopter

Das mit den Adapter hört sich gut an wusste nicht das es sowas gibt. Hinter dem Speedport hängt noch ein switch reicht es wenn ich ab da die Adapter benutze oder muss ich direkt vom Speedport an extra gehen?

eSpezi

Du musst je einen Adapter in die RJ45 Buchse in der Wand und die zugehörige Patchpanel Buchse stecken.
Wie geschrieben machen die Adapter nichts anderes, als die Adernpaare eines (voll belegen) CAT Kabels auf 2 Buchsen aufzuteilen. Da ist nur Kabel involviert, keine Elektronik. Es darf daher NICHTS außer dem reinen CAT Kabel dazwischen sein.

Hier ein Beispiel, wie sowas aussieht:
http://www.amazon.de/Equip-Anschlussverdoppler-Cat-RJ45-Stecker/dp/B000LRTEPY/ref=sr_1_1?ie=UTF8&qid=1411032848&sr=8-1&keywords=cat+splitter

Wexxler

@medikopter:

Man kann die Speedport auf jedenfall so deaktivieren das sie nur als Modem fungiert und trotzdem Telefonie geht, habe ich gerade nach gelesen.
Allerdings kann ich sie trotzdem nicht an ein extra Interface an der sense schalten.

Japp, wie bereits erwähnt aber nur wenn es sich wirklich um ein ISDN Signal handelt und nicht um VOIP. Beachte das bitte sonst geht deine Telefonie nicht mehr am Speedport.

eSpezi

Kann mich Wexxler nur anschließen und möchte ergänzen, dass das auch keine langfristige Lösung sein wird, da die Tage von ISDN bei der Telekom schon gezählt sind…

Wexxler

Jupp, leider. Es sei denn man besteht auf bestimme Dienstmerkmale die ein ISDN Kanal bietet die VOIP nicht kann. Dann darf man seinen Anschluss behalten (vorerst) ;D

medikopter

Alles klar danke sehr.
Werde mir diese Adapter mal bestellen, wenn es soweit ist schreibe ich dann hier nochmal ob es geklappt hat.

Ja (noch) haben wir ISDN wird wohl Anfang nächsten Jahres umgestellt -.-