[solved] OPNSense direkt an innogy Glasfaser-Anschluss?

[white_rabbit]

Hallo.
Hier wurde kürzlich ein Glasfaseranschluss von innogy geschaltet. Zuvor lief eine Fritzbox als Modem UND Router. Das Modem wurde von innogy gegen eine eigene Box getauscht, die von Glasfaser auf Kabel umsetzt. Die Fritzbox schickt aber weiterhin die Zugangsdaten, wie es hier gezeigt ist:
https://www.dsl-eifel.de/fritzbox2/

Man muss also Einstellungen wie VLAN, VPI, VCI usw in der FritzBox machen, um die Verbindung aufbauen zu können. Meine Frage ist, ob man auf die FritzBox auch komplett verzichten kann und direkt das WAN-Interface der OPNSense-Firewall verwenden kann? Mit FritzBox dazwischen hat man wieder doppeltes NAT, oder?
Hat jemand eine Idee? Wenn ich die WAN-Einstellungen unter OPNSense öffne, gibt es
* keines
* statisches IPv4
* PPP
* PPPoE
* PPTP und
* L2TP
Ist da das passende dabei?
Danke für einen guten Tipp.

[hbc]

FritzBox als DSL-Modern konfigurieren und an OPNsense PPPoE nutzen. Da solltest du kein doppeltes NAT haben, da die FritzBox ja nur als Modem und nicht Router agiert.

Und selbst wenn du Fritzbox als Router konfigurierst, brauchst Du nur das Routing richtig konfigurieren, dann gibt's auch kein doppeltes NAT.
NAT würde Fritzbox machen, dann RFC1918 Transfernetz (/30)  zur OPNsense, Rückroute nicht vergessen (Fehlerursache Nr.1), fertig.

[white_rabbit]

Hi.
Klingt gut bzw logisch ...
Hast du genauere Infos, wie diese Rückroute ausssehen muss bzw zu dem letzten Teil deines Satzes "dann RFC1918 Transfernetz (/30)  zur OPNsense, Rückroute nicht vergessen (Fehlerursache Nr.1), fertig."?

[hbc]

Also wenn Du die Fritzbox als NAT-Router nutzt, dann PPPoE auf WAN wie gehabt und für LAN-Subnetz nimmst Du ein 2-Host Transfernetz.

z.B.

• 172.16.200.1/30 für Fritzbox LAN
• 172.16.200.2/30 für OPNsense WAN

Die zwei Geräte direkt verkabeln, denn mehr Hosts passen in das /30 Netz eh nicht rein (.0 ist Netz, .3 Broadcast).

Deine OPNSense hat dann die Fritzbox mit 172.16.200.1 als Default Gateway. Für Deine Clients ändert sich nichts. Die haben weiterhin ihr internes Netz (z.B. 192.168.0.0/24) und die OPNsense als Gateway (z.B. 192.168.0.1). Die OPNsense darf jetzt kein NAT machen (wollen ja kein Double-NAT). Somit kommen an Deiner FritzBox die originalen, unverfälschten IP-Adressen Deines internen Clientnetzwerks an.

Will die Fritzbox jetzt antworten, dann kennt sie erst mal dieses Netz nicht (sie hat ja nur Provider-IP und die 172.16.200.1) und würde die Antwort - wie für jede andere unbekannte Adresse - an Deinen Provider schicken (der sie dann verwirft, da RFC1918-Adresse). Deswegen braucht die FritzBox eine Rückroute für Dein internes Client-Netz zur OPNsense.

Du mußt also auf der FritzBox eine manuelle Route setzen mit:

internes Netz --> GW 172.16.200.2

z.B. 192.168.0.0/24 --> GW 172.16.200.2

Vorteil: Du kannst weiterhin Portforwarding auf verschiedene Clients betreiben. Einfach in der Fritzbox den entsprechenden Port auf die interne Netz-IP weiterleiten und auf der OPNsense auf WAN dann den Port eingehend erlauben.

[Maurice]

Ihr redet komplett aneinander vorbei... Hier ist doch weder PPPoE noch DSL im Spiel. Einfach auf der OPNsense das VLAN 132 anlegen und das WAN-Interface (DHCP) diesem zuordnen. Fritzbox braucht man dafür nicht.

Grüße

Maurice

[white_rabbit]

Ich bin mir nicht sicher, ob ein (wie auch immer geartetes Modem) nun erforderlich ist oder nicht. Von innogy erfährt man nicht viel (eher im Gegenteil).

Fest steht, dass am Anschlusspunkt im Keller ein ONT (Medienconverter) verbaut wurde, der von Glasfaser auf RJ45/Kupfer wandelt. Zudem liefert innogy NUR mit FritzBox aus, die dann aber scheinbar so konfiguriert wird, als wäre das Modem gar nicht erforderlich!?!? So ganz blicke ich das nicht, da man z.B. unter "Werden Zugangsdaten benötigt: nein" anwählt.

Das VLAN und die anderen Dinge kann ich in der Fritzbox alles problemlos einstellen.
Damit kommt die Verbindung ja auch zustande -- ich frage mich aber, ob die FB in dieser Konstellation überhaupt benötigt wird oder ob ich nicht direkt auf die OPNSense gehen kann?

Also anstelle von:

ONT <-> FritzBox <-> OPNSense
einfach nur
ONT <-> OPNSense

Nur PPPoe scheint in der Einstellung zum OPNSense-WAN-Interface nicht zu funktionieren? Ich bin aber auch nicht ganz sicher, wie es sein müsste ...

Auf der Seite oben stehen z.B. Angaben wie:
DSL-ATM-Einstellungen:
VPI: 1
VCI: 32
Da kann ich nichts mit anfangen. Zu was gehört das? Kann man das auf der OPNSense-FW überhaupt irgendwo konfigurieren?

[Maurice]

Aus dem ONT kommt doch schon IP über Ethernet (mit DHCP), daher braucht man weder Modem noch PPPoE noch Fritzbox. OPNsense einfach direkt an das ONT hängen, VLAN 132 anlegen, WAN-Interface diesem VLAN zuweisen und auf DHCP stellen. Fertig.

(Das mit den DSL-ATM-Einstellungen ist Unfug, da hier gar kein DSL im Spiel ist. Die Seite die Du verlinkt hast ist ja auch nicht von Innogy, sondern von irgend einer Vertriebsbude.)

[white_rabbit]

Ok, wenn es so einfach ist, werde ich das morgen ausprobieren.
Danke für den Hinweis.
Je weniger Geräte dazwischen hängen und konfiguriert werden müssen, desto besser. Wir haben eine statische IPv4 beantragt, die dann hoffentlich ebenfalls per DHCPv4 übermittelt wird (und einfach immer gleich bleibt)?

Seltsamerweise (?) bietet innogy im Moment KEIN IPv6 an ...

[white_rabbit]

Es hat genauso einfach funktioniert, wie Maurice behauptet hat. Auf der Leitung kam direkt am ONT eine IP-Adresse an -- also völlig ohne FritzBox, Modem oder weiteres Gerät dazwischen. Auf diese Art ist es sehr viel einfacher und eleganter als vorher. Die FB ist überflüssig geworden, da wir auf dieser Leitung weder WLAN noch Telefon benötigen. Ein Hop weniger und kein doppeltes NAT mehr ... 

Danke für's Mitdenken. Das ging heute wirkllich sehr einfach von der Hand.