Ubiquiti Unifi Security Gateway hinter Speedport Hybrid und Fritzbox

xSaSx

So brauch mal paar freundliche Netzer die mir hier helfen bzw. mich bestätigen:

So das Ding (USG) ist nun da und bevor ich es jetzt einbauen wollte - wollte ich mich nochmal absichern ob ich alles korrekt verstanden habe also :

Mein Setup sieht wie folgt aus:

Telekom Hybrid Router (IP 192.168.100.1) (degradiert als reiner Zugang zum INET – kein DHCP oder sonstiges -> nur DynDNS ist aktiv
[ja leider geht da dann nix mit Modem sonst wäre es ja auch einfach]

>> dahinter sitzt die Fritzbox (192.168.100.2 IP-Client-Mode ) (diese macht nur VOIP/DECT Telefonanlage)
[diese Kombination ist konfiguriert nach Anleitung von https://lubensky.de/hybrid/ das heißt der Hybrid leitet die SIP/VOIP Ports an die Fritzbox weiter so das sie das Telefonzeug übernehmen kann]

>> dahinter kommt dann alles andere (inkl. Unifi APs / PiHole (192.168.100.4) der DHCP Server macht und folgendes darüber verteilt : GW 192.168.100.1 | DNS 192.168.100.4 / VPN Server [dafür gibt es eine Portweiterleitung im Hybrid]

Ich würde jetzt wie folgt vorgehen :
Fritzbox LAN2 >> USG WAN (192.168.100.3)
USG LAN (192.168.200.1) >> Switch
Macht das Sinn oder muss ich´s anders machen ? (double NAT ist hier leider nicht anders Möglich da der Hybrid kein Modem darstellen kann)
Somit muss ich ja an der Konfigurationskombination Hybrid&Fritzbox nichts ändern – Voip/Dect Zeug sollte somit weiter funktionieren.
Aber wo muss ich jetzt welche Portweiterleitung einrichten für mein VPN Server der jetzt hinter dem USG hängt ? Und da PiHole seine IP als DNS verteilt welche IP muss er dann als Gateway fürs Inet verteile- steig noch nicht ganz durch

Oder ist alles murks und ich muss es anders machen oder kann es besser machen ?

Sollte für die Clients hinter dem USG , die USG IP Adresse als GW fürs Internet verteilt werden müssen - würde es dann mehr Sinn machen ich änder die IP vom SPH und Fritz:

SPH 192.168.100.1 -> 192.168.200.1
Fritz 192.168.100.2 -> 192.168.200.2
und geb dem USG WAN 192.168.200.3 und LAN die Ursprungsadresse vom SPH 192.168.100.1
Hätte den Vortiel das ich am PiHole=DHCP Server nichts ändern müsste und meine Clients mit Statischer IP müsste ich auch nicht ändern.

Sehe ich das richtig oder könnt ihr mir dazu was sagen

noob_at_pc

Klingt doch ganz vernünftig

Gateway: 192.168.100.1 (Unifi USG)
DNS & DHCP: 192.168.100.4 (PiHole)

USG Konfig:
LAN 192.168.100.1
WAN sagst du DHCP Client und er bekommt eine Adresse vom Speedport und fertig (Speedport kann ruhig DHCP machen ist ja Separates Netz).

Portfreigaben Stellst du am Speedport und USG ein. Speedport Ports auf USG weiterleiten und von der USG dann an das endgültige Zielt. Die USG kann übrigens auch VPN zur Verfügung stellen.
Thema FritzBox - ist sie nur als "TK Anlage" da? Gibt es IP Telefone oder nur Dect / Analog? Wenn nur Dect Telefone, dann genau so lassen, also direkt hinter dem Speedport IP 192.168.100.2 und als Client Modus, klar. Gateway & DNS für die Fritze ist dann das Speedport, also 192.168.100.1

In der USG sagst du dann per Firewall Regel, dass der Zugriff aufs 100er Netz zugelassen wird und du kannst problemlos auf die Konfig vom Speedport und Fritze kommen.

xSaSx

Ist die WAN Adresse des USG für die Clients im LAN der Gateway ?

Also:
SPH 192.168.200.1
Fritz 192.168.200.2
WAN USG 192.168.200.3

LAN USG 192.168.100.1

Client Konfig hinter LAN USG ist dann zB:

IP: 192.168.100.173
GW: 192.168.200.3
DNS: 192.168.100.4

Richtig oder falsch ?

Weil dann hast dich grad in deinem Post vertan oder ?

noob_at_pc

Stimmt, du wolltest es ja drehen, mein Fehler, ja. Klar, sonst müsstest du dein interenes Netz komlett auf den Kopf stellen, so nur das Speedport, Fritze und USG einstellen. Das Gateway im LAN ist aber die USG, also 100.1
Deine Planung ist allso völlig i.O. so und gut Kann ich bestätigen, dass das so stabil funktioniert.

justray2k

Ich selbst habe (noch) keine USG im Einsatz aber ich hatte gelesen das die bei Einrichtung einzig und allein auf ihre voreingestellte IP hören. Ich glaub 1. irgendwas.
Nur das das du das vorab mal gehört hast.

Vorsicht, gefährliches Halbwissen. Kann sich natürlich mittlerweile auch schon geändert haben.

noob_at_pc

Zitat von Justray2k

Ich selbst habe (noch) keine USG im Einsatz aber ich hatte gelesen das die bei Einrichtung einzig und allein auf ihre voreingestellte IP hören. Ich glaub 1. irgendwas.
Nur das das du das vorab mal gehört hast.
Vorsicht, gefährliches Halbwissen. Kann sich natürlich mittlerweile auch schon geändert haben.

Grundsätzlich ja, klar. Die Geräte haben eine vor eingestellte, fest IP, aber die ändert man ja bei der Ersteinrichtung Und bitte beachten, die USG kann nur max. 100MBit mit IPS / IDS noch weniger ... wer größere Bandbreite ins WAN hat, bitte die größere Pro nehmen.

xSaSx

@noob_at_pc

OK !

Aber nochmal :

Ist die WAN Adresse des USG für die Clients im LAN der Gateway ? Oder ist die LAN Adresse des USG für die Clients im LAN des USGs der Gateway ?

Also:
SPH 192.168.200.1
Fritz 192.168.200.2
WAN USG 192.168.200.3

LAN USG 192.168.100.1

Client Konfig hinter LAN USG ist dann zB:

IP: 192.168.100.173
GW: 192.168.200.3 oder 192.168.100.1 <------ ??
DNS: 192.168.100.4

noob_at_pc

Kompliziert ausgedrückt

LAN = dein internes Netzwerk. Also Gateway für das LAN und deine Clients ist die USG - 100.1
in der USG stellst du als WAN am einfachsten den DHCP Client ein und aktivierst am Speedport DHCP, vereinfacht vieles. Ansonsten musst du für WAN halt einstellen IP 200.x und Gateway 200.1 (also Speedport).

Anbei mal ein Bild, ich denke das hilft.

xSaSx

OK LAN Schnittstelle USG ist für LAN (Clientnetz) der Gatway - muss ich wissen weil das muss der PiHole verteilen bis ich alles umgestellt hab auf DHCP von USG.

WAN DHCP will ich nicht ich mags Statisch bei solchen Hauptgeräten ISt ja kein Aufwand!

Danke dann mach ich mich mal an die Arbeit

100MBIT IPS ist kein Thema ich wäre froh wenn ich 100MBIT hätte -...... ich hab nicht ohne Grund Hybrid

noob_at_pc

Naja WAN ist immer DHCP ... Das Speedport bekommt mittels PPoE eine DHCP Adresse zu gewiesen DA ist nichts statisches für dich relevant. die IP die die USG im "WAN" Netz bekommt ist für dich absolut uninteressant. Du sprichst sie ja immer übers LAN an, also 100.1 Du hast nur mehr Konfig Aufwand, den wollt ich vermeiden. Bei der FritzBox ist Statisch ok und wichtig weil ganz andere Art der Anbindung dort realisiert wird.

Spoiler anzeigen

So und wenn das läuft, richten wir dir noch 3 VLANs ein; für Gäste, Kinder und ein Test Netzwerk Spaß kann man aber bei Bedarf machen.

xSaSx

Brauch eher Gäste / Normal / und IOT (Muss den China kram etwas beschneiden)

noob_at_pc

Ja dann, ein Managed Switch her und auf gehts

BigChris

Zitat von noob_at_pc

Grundsätzlich ja, klar. Die Geräte haben eine vor eingestellte, fest IP, aber die ändert man ja bei der Ersteinrichtung Und bitte beachten, die USG kann nur max. 100MBit mit IPS / IDS noch weniger ...

Mit IPS / IDS 85MBit.

Ohne QOS müsste mehr drin sein als die 100. Ich meine 150?

xSaSx

Ja der folgt als nächstes - bisher hab ich auf dem UAC AP halt ein Gäste WLAN aufgezogen (offen mit Auth über website) funktioniert super aber die IOT will ich blocken (aber auch nur WLAN mäßig - brauch da dennoch nen managed switch für ? mal abgesehen davon das er eh kommt :D)

Peter2012

Zitat von BigChris

Ohne QOS müsste mehr drin sein als die 100. Ich meine 150?

Habe eine 300er Leitung und funktioniert.
Grüßle

BigChris

Bei mir kommen auch die 175 zuverlässig durch.

M4tt0

Bei mir meine 200 auch, zumindest 195 davon beim Speedtest gerade...

xSaSx

Ok 1. Runde ging schon mal schief morgen gehts weiter:

Fritzbox auf 200.2
SPH auf 200.1

USG im initial Setup auf:

WAN 200.3
Router 200.1
DNS 192.168.100.4
alt. DNS 8.8.8.8

LAN 100.1

Alles rebootet.

USG WAN an Fritzbox LAN2
USG LAN an Switch

Kein Inet / im Unifi Mgmt. konnte ich keinen Adopt des USG machen (Adopt Fail) kam nicht mehr auf die USG (100.1)...

Alles wieder zurückgebaut - USG bekommt nun einen reset - morgen gehts weiter - hab ich was falsch gemacht ?

noob_at_pc

Zeig mal 2-3 Screenshots von der USG Bitte .)

xSaSx

Muss ich dann beim nächsten Anlauf machen - morgen hab ich HomeOffice und kann da etwas mehr damit spielen ...aber vorgehen war richtig oder ?

Jetzt mitmachen!