Bridge oder LAN? Vorteile und Nachteile?

karl047

Hallo Forum,
ich glaube es gab einmal ein Thread über das gleiche Thema: besser die pfSense seine eigene Verbindung mit der Internet selbst zu bauen, oder von einem anderen Router die Verbindung zu ziehen?
ich besitze ein Fritzbox, für die Verbindung zur Internet (mit fester IP Adresse), und die pfSense sitzt dahinter; seit ca. 2 Jahren gar kein Problem gehabt, es funktioniert echt gut :-)
Ich lese immer mehr im WEB dass Viele gehen weiter mit der Option „Bridge“ , und der Grund dafür bessere Sicherheit und vermeiden von „Doppelt NAT“ (obwohl das Letzte keine Probleme bei mir über die 2 Jahre verursacht hat, sobald die pfSense Box als exposed host im Fritzbox anerkannt ist !).
Was sagt unserer Moderator @JeGr dazu? weil er auch die gleiche Konfiguration hatte und vor kurzem (wie ich in einem Thread gelesen habe) auf Bridge umgestiegen ist.
gibt es deutlich Vorteile mit Bridge Modus? baut die pfSense dabei die Verbindung zur Internet ohne Probleme? oder bleibt LAN Verbindung sicherer?

ich danke euch alle im Voraus.

VG,
Karl

Bob.Dig

Möchte mal ergänzen, wie sieht es insbesondere mit IPv6 aus? Da ich demnächst den ISP wechsle, muss ich mir einen passenden Router zulegen, schwanke hier zwischen Speedport Smart 2-3 oder einer Fritz Box 7520 und aufwärts. Gibt es konkrete Empfehlungen für eine Funktionierende Prefix Delegation beim rosa Riesen?

JeGr

@karl047 said in Bridge oder LAN? Vorteile und Nachteile?:

Ich lese immer mehr im WEB dass Viele gehen weiter mit der Option „Bridge“ , und der Grund dafür bessere Sicherheit und vermeiden von „Doppelt NAT“ (obwohl das Letzte keine Probleme bei mir über die 2 Jahre verursacht hat, sobald die pfSense Box als exposed host im Fritzbox anerkannt ist !).

Nope, ich hab das nicht wegen Problemen mit "Doppel NAT" gemacht, sondern einfach, weil plötzlich die Funktion in meiner Fritte aktiviert wurde (ohne irgendwelche Ankündigung) und ich das austesten wollte. Nachdem das für mich doppelt sinnvoll war, hab ich es auch an gelassen.
Das hat aber nichts mit besserer Sicherheit zu tun. Warum auch?

gibt es deutlich Vorteile mit Bridge Modus? baut die pfSense dabei die Verbindung zur Internet ohne Probleme? oder bleibt LAN Verbindung sicherer?

Ich hatte/habe zusätzlich das Problem mit einigen Fritzboxen, dass diese als Gateway in der pfSense plötzlich ohne Grund anfangen zu spinnen und auf Ping nicht mehr sauber antworten. Stellt man auf Bridge um (wenn man kann) ist das Phänomen natürlich weg, da man direkt seine Gegenstelle im Netz pingt. Umgehen konnte ich das auch indem ich schlicht eine andere IP als Monitoring GW eingetragen habe. Ist aber störend, war früher nicht so und kam erst in jüngerer Zeit mit diversen Fritzboxen auf. Gabs auch mehrfach Topics hier dazu dass da plötzlich Ausfälle sind, Internet aber noch normal läuft.

Aber nochmal um die Punkte aufzugreifen:

gibt es deutlich Vorteile mit Bridge Modus?

Das kommt ganz auf deine Anforderungen an. Solche Kisten mit uPnP und Co. laufen natürlich besser, wenn kein Doppel-NAT dazwischenhängt. Wenn "automagisches" Firewalling durch Konsolen und Co kein großes Thema ist und man manuell managed, hatte ich in all den Jahren auch keine großen Probleme.
Anderer Punkt KANN sein, dass dadurch, dass die Sense selbst das WAN hält und die public IP hat, gewisse Dienste wie DynDNS und Co besser/zuverlässiger laufen weil sie jetzt direkt mitbekommen, wenn es einen IP Change gab.

baut die pfSense dabei die Verbindung zur Internet ohne Probleme?

...auf? Ja tut sie. Läuft eben bei Kabel per DHCP, bei PPPoE via gleichnamigem Protokoll und die pfSense macht direkt das Internet auf. Public IP hängt dann auf der Kiste statt vornedran auf der Fritte. Bei Kabel scheint(!) es zusätzlich so zu sein, dass die Fritte die pfSense durchschaltet zum Verteiler und man dadurch per DHCP eine andere(!) IP bekommt als die FritzBox selbst. Die hat selbst auch noch IP und IP6 weil sie ihren Kram wie VoIP etc. ebenfalls noch am Start hat. Im Prinzip werden also 2 Verbindungen über Kabel aufgebaut mit unterschiedlichen IPs. Habe ich mir an der Stelle tatsächlich zu Nutze gemacht indem ich meine Sense mit 2 Kabeln mit der Fritz verbunden habe. Port 2 und 4. Port 2 ist gebridged, Port 4 nicht. Port 4 ist auf WAN2 der Sense genauso klassiche konfiguriert wie wohl bei dir als statische IP hinter der Fritte als exposed Host konfiguriert. Dadurch bekomme ich quasi das gleiche Internet nur mit 2 unterschiedlichen IPs und einmal hängt aktiv die Fritte dazwischen, einmal nicht. Ist ganz praktisch, nicht wegen der zwei IPs - die sind ja eh beide ähnlich - sondern weil man so über die eine Leitung das WAN der anderen Leitung testen kann und umgekehrt. Somit kann ich mein "WAN" testen, was bislang so einfach nicht möglich war (außer via VPN nach außen und von dort aus dann testen). Und ggf. kann man Geräte via anderer IP rausschicken.

oder bleibt LAN Verbindung sicherer?

An der ändert sich gar nichts. Ob die Sense jetzt vorne noch ein Gerät mehr oder weniger hat, spielt keine Rolle. Wie soll also die Verbindung "sicherer" oder nicht sein? Das hat mit der Verbindungsmethode nichts zu tun. :)

Edit zu IPv6:

IPv6 ist dann natürlich noch eine ganz anderen Sache. Da wird es nicht besser, wenn vornedran noch mehr Router stehen. Vor allem wenn die teils zu doof sind, ordentliche Prefix-Delegation zu machen. Mit IPv6 würde ich auf jeden Fall versuchen eine sehr direkte Verbindung hinzubekommen. Am besten direkt mit Modem davor oder eben dem next-best-thing.

Cheers
\jens

karl047

@JeGr Vielen Dank für die reichliche Antwort, wie immer :-) ich werde zunächst deine Idee probieren mit den 2 Verbindungen, so dass ich die Hauptverbindung durch Bridge Modus habe, und die Zweite per LAN zum Austesten usw.

nonick

@Bob-Dig Ich glaub da kann man eine klare Empfehlung geben, keins von denen sondern einen Vigor165 als Modem im Bridge-Modus. Funktioniert mit der Telekom sehr zuverlässig und ist in dieser Kombination (Vigor130/165) auch häufig anzutreffen.

Bob.Dig

@nonick Danke. Wäre auch der Vigor 166 möglich bei einem VDSL-250er-Anschluss?
Mein Problem mit den Vigors und den anderen "Modems" ist aber, dass sie nicht wirklich billiger als eine Fritzbox wären. Daher meine Frage, was würde ich wirklich gewinnen? Verlieren würde ich vermutlich die Telefonie etc., dafür würde, wie von Jens schon angesprochen, UPnP laufen... habe ich was vergessen? IPv6? Dazu liebäugle ich auch noch mit einem Gebrauchtkauf.

nonick

@Bob-Dig said in Bridge oder LAN? Vorteile und Nachteile?:

Wäre auch der Vigor 166 möglich bei einem VDSL-250er-Anschluss?

Zu dem Vigor166 kann ich nichts sagen. Da es scheinbar der Nachfolger vom 165 sein soll und das DSL-Profil 35b unterstützt, wird das möglich sein.

Mein Problem mit den Vigors und den anderen "Modems" ist aber, dass sie nicht wirklich billiger als eine Fritzbox wären. Daher meine Frage, was würde ich wirklich gewinnen?

Wenn ich schon die Möglichkeit habe, würde ich auf jeden Fall auf doppeltes NAT verzichten.

IPv6?

IPv6 war noch nie ein Problem mit dem 130/165 Modellen.

Dazu liebäugle ich auch noch mit einem Gebrauchtkauf.

Das wäre nicht so mein Fall. Man weiß nicht, ob man ein „vor-selektiertes Gerät“ mit irgendwelchen Macken bekommt.

Bob.Dig

@nonick said in Bridge oder LAN? Vorteile und Nachteile?:

Das wäre nicht so mein Fall. Man weiß nicht, ob man ein „vor-selektiertes Gerät“ mit irgendwelchen Macken bekommt.

Ich kaufe auch lieber neu, aber hab schon 150 Tacken für Kabel und Dosen ausgegeben, nur um von einer gestörten 200er Kabelleitung auf eine hoffentlich ungestörte 250er VDSL-Leitung umsteigen zu können...

Hypothetisch gefragt, muss man den Vigor oder die Sense noch konfigurieren oder geht zumindest Internet OOTB in dieser Kombi? Wie sieht's mit anderen Modems aus, wie dem ZTE H186?

nonick

Hypothetisch gefragt, muss man den Vigor oder die Sense noch konfigurieren oder geht zumindest Internet OOTB in dieser Kombi?

Normalerweise wird der Vigor Router schon als Modem und mit VLAN Tag 7 ausgeliefert. In der Sense müssen dann nur noch die Zugangsdaten unter dem WAN Interface eingetragen werden. Für IPv6 kann man z.B. die schon etwas älter Anleitung nehmen. Bin mir nicht sicher, aber IPv6 muss vermutlich im Modem noch aktiviert werden.

NOCling

Die DSL Fritz laufen ja ganz gut, die 6490 Reihe ist halt ein Intel Puma und hatte da teilweise massive Probleme (Intel Puma Bug).
Ich hatte daher kein Bock mehr und wollte was gescheites vor der Sense mit ihren 50-100k Sessions, kommt jedenfalls keine Fritz klar.
Mir ist die 6490 bei viel Last immer wieder hängen geblieben. Besser gesagt, Box läuft sagt alles gut aber Internet funktioniert nicht mehr.

Also kam ein TC-4400 ins Rack und da ist ein Broadcom Chipsatz drin, der rennt einfach und die Firma kann einfach geile Modems bauen.

Das läuft hier seit 1,5 Jahren und seit 6 Monaten auch bei meinen Eltern.

Doppel NAT funktioniert, wer Spaß dran hat kann auch x mal NAT mache, aber man limitiert dann die krasse Leistung an Verbindungen pro Sekunde und max Sessions durch den gurken Router davor.

Ja man hat dann ggf. eine weitere Kiste als TK/DECT Station dahinter und ja das kostet ein wenig Energie.
Wird in meinen Augen aber durch den schnelle und zuverlässigen Betrieb aber wieder wett gemacht.

Die Ausfälle hier waren entweder Großraumstörungen oder Wartungsarbeiten im Segment oder ich habe in der Sense was verschraubt und die Pakete blieben hier stecken.

Bob.Dig

Ok, was käme denn da an TK/DECT Station dahinter in Frage?
Habe nämlich auch noch ein Faxgerät (MuFu-Drucker), auf das ich nicht verzichten möchte. Denke daher, es wird doch ein All-In-One. :)

NOCling

Habe eine Fritz 7430 dahinter, gerade per VPN verbunden da klingelte die Fritz Phone App im Büro.

Man muss die Fritz dafür aber mit Lan 1 in einer DMz ins Internet lassen und das lokale Netz mit einem weiterem LAN anbinden.

Nutzt man 1 Bein, dann kann die Box nur das direkte Netz was hier anliegt als LAN einstufen alles andere ist dann WAN. So funktioniert dann der App Zugriff per VPN nicht ohne NAT.

Bob.Dig

Je mehr ich lese, desto nervöser werde ich betreffend VDSL2-SuperVectoring.

Gibt es eigentlich bessere und schlechtere TAE-Kabel für VDSL, wegen Schirmung und ähnlichem?
Kann man Dose und Gerät auch ohne den TAE-Stecker verbinden?
Wenn ich die Fritzbox vorschalte, habe ich keine Probleme wegen Telefonie etc., eine pfSense kann dann immer noch exposed Host sein, ohne nennenswerte Probleme?
Wie sieht es nun mit der IPv6 Prefix-Weitergabe aus in dieser Konstellation, dazu hat noch niemand was konkretes geschrieben.

Mir ein Modem zu kaufen, um dieses davor anzuschließen und eine Fritzbox, um sie dahinter anzuschließen, kommt mir doch etwas viel vor, da bräuchte ich schon handfeste Gründe, um soviel Geld ausgeben zu wollen.

Was ich auch noch nicht verstanden habe, dass eine Fritzbox in mehreren LAN sein kann, ist das nur auf "Kabel" bezogen, welches ich bald bei mir hoffentlich nicht mehr nutzen muss oder gilt das generell?

NOCling

Man kann die so betreiben, bei meine Eltern hängt die direkt im LAN und nutzt die Sense als GW.
Ich wollte aber die Apps über VPN nutzen können und daher habe ich das Teil mit dem Workarround angebunden, da die Firmware scheiße ist und ich kein internes LAN als sicher und vertrauensvoll in der Fbox hinterlegen kann.

Was willst du bei TAE schirme, was auf den letzten 2-5m dann was raus reißt was die anderen 300 davor nicht schon versaut haben?

Bob.Dig

@NOCling Joar, bloß auf die habe ich halt keinen Einfluss. Der "Kasten" ist leider relativ weit weg, also einen ganzen Block entfernt. Aber Kabel macht mir so viele Probleme... Ich hoffe, es wird deutlich besser.

mike69

@bob-dig said in Bridge oder LAN? Vorteile und Nachteile?:

Kann man Dose und Gerät auch ohne den TAE-Stecker verbinden?

Die TAE-Dose gehört der Telekom, würde ich nicht entfernen.

Ansonsten wie @NOCling die Fritze hinter der Sense, idealerweise in ein eigenes VoIP Netz rein, fertisch.

Leider hat die 7490 damals ein FW Update bekommen, da ging das Theater mit dem telefonieren los und sollte wegen dem Alter der Hardware nicht mehr gefixt werden (ging um das Händeln fragmentierter Pakete). Wir haben uns dann die Go-Box 100 von Gigaset geholt, seitdem keine Probleme mit der Telefoniererei und leider auch kein FAXen mehr. :)
Ob das jetzt mit der Fritze gefixt ist... Haben es nicht mehr verfolgt.

JeGr

Bin gerade am Überlegen nachdem wir hier jetzt etliche Tage Probleme mit Vodafone mit Kabel hatten, ob ich mir - einzige Alternative - noch DSL dazuhole. Aber dann sieht man mal wieder dass man nirgends mehr ein einfaches dummes DSL Modem bekommt. Selbst bei 1&1 wo das Ding "MODEM" heißt steht dann im Kleingedruckten "Router" drin. Manchmal hab ich keine Lust mehr...

Was ist denn gerade so im Regelfall Goldstandard (oder fire&forget) bei DSL Modems und bezahlbar wenn ich das tatsächlich umsetzen müsste?

Bob.Dig

@jegr Das zeigt geizhals, wenn es denn auch SuperVectoring sein soll. Bin aber als Laie nach wie vor nicht im Bilde, was jetzt an einer Kaskade so schlimm sein soll, außer nicht funktionierendes und eh oft verschmähtes UPnP. Größere DLs laufen bei mir eh über ein externes VPN, und Zocken klappt auch kaskadiert bis jetzt einwandfrei.
Bei dem 1&1 "Modem" steht auch nicht dabei, ob es SuperVectoring beherrscht, auch wenn es zu den entsprechenden Tarifen angeboten wird.

mike69

@jegr

Ohne zu basteln, Vigor 165.

Mit basteln, alte FB in Werkseinstellung ist ein Bridged Modem inkl. VLAN 7. Kein VLAN Tagging auf der Sense.

Richtig basteln: Hier gehts lang

Habe so zwei FBen als Reserve hier liegen. Das Resultat von der Störungsorgie im Frühjahr.

JeGr

@bob-dig said in Bridge oder LAN? Vorteile und Nachteile?:

@jegr Das zeigt geizhals, wenn es denn auch SuperVectoring sein soll. Bin aber als Laie nach wie vor nicht im Bilde, was jetzt an einer Kaskade so schlimm sein soll, außer nicht funktionierendes und eh oft verschmähtes UPnP. Größere DLs laufen bei mir eh über ein externes VPN, und Zocken klappt auch kaskadiert bis jetzt einwandfrei.

Digitalisierungsbox und Zyxel fällt raus. Erste gibts eigentlich nur bei Gewerbeanschlüssen und die war u.a. Schuld an einem der Security Fuckups der letzten Zeit (ungepatchter Kram mit "ich gebe nicht einen Port sondern gleich 10 frei..."). NOPE. Zyxel ist persönliche Erfahrung - fasse ich nicht mehr an. Nervt.

Hätte jetzt auch instinktiv eher Richtung Draytek Vigor 160/165 getippt. Alte FB hätte ich zwar aber zu alt - kein sicheres Vectoring bzw. unsicher ob das Teil tut. Mehr als 100 gibts hier eh nicht. Muss man froh sein, dass es überhaupt inzwischen mehr als 16M gibt

Das 1&1 Modem ist ja kein Modem, sondern nen verkappter kleiner dummer Router. Lernt man dann auch erst im Dokument dazu. Überlege aber eben ob ich von den Jungs in blau mir das Angebot schnappen soll für 10 Monate nix zu zahlen und dann immerhin "nur" 39,99 statt mich bei Telekom direkt dumm zu zahlen mit 43,99 (und nur 6 Monate zu 20€ zu zahlen). Kommt mich teurer auf die 2 Jahre gesehen. Und ich hoffe in 2 Jahren kann ichs wieder abbestellen, weil da andere ausm Knick gekommen sind... hoffentlich So hätte ich fast nen Jahr gespart.