millernet
Ich glaube, dass Du einem Irrtum unterliegst … Ich habe nie behauptet, dass es sich in meinem Fall um einem Geschäftlichen Setup handelt. Ich habe die ganze Zeit von einem privaten Internetanschluss geredet. Für das Missverständnis entschuldige ich mich. Allerdings ändert diese Tatsache nichts an der Gültigkeit meiner Aussagen.
Ich zweifle nicht an Deine Netzwerkkenntnisse. Aufgrund meiner ebenfalls langjährigen Erfahrung im Netzwerkbereich (auch bei grösseren Umgebungen) schätze ich, dass Du Dich mit Netzwerkthemen auskennst. Allerdings bist Du von einer falschen Annahme ausgegangen und Deine Aussagen sind daher nicht ganz zutreffend.
Du benutzt einen billigen Consumer Router mit bekannten Problemen und überlässt diesem das NATing und Routing ins public IPv4. Vorher schiesse ich mir ins eigene Knie.
Ja, leider benutze ich in meinem Heimnetz einen “billigen Consumer Router” (ich habe wohl keine andere Wahl zurzeit) und ja, NAT ist “des Teufels”, egal ob im privaten oder geschäftlichen Umfeld. Man kann es höchstens als notwendiges Übel einstufen. Ich glaube, dass wir da wohl einer Meinung sind. Daher der Wunsch nach einem Internetrouter, der die Möglichkeit anbietet, Routen konfigurieren zu können. Denn darum ging es ursprünglich in diesem Thread … 😉
Bitte lies meine Antwort genauer. Du hast behauptet, dass “mein Szenario” nicht abgedeckt werden kann. Und ich habe erwidert, dass dies Unsinn sei. Hier ein Beispiel:
Wie Du sehen kannst, kann man nicht nur das eine Szenario mit dem Router-Mode abdecken, sondern alle vier. Ich kann hin und her “switchen”, wie ich will, der Internetzugriff wird dabei nicht unterbrochen. Und ich brauche keinen Router dazwischen. Wie sieht es mit dem Bridge-Modus aus? Verstehe mich nicht falsch, aber ich kann es mir nicht so ganz vorstellen, ohne dass man weitere Komponenten ins Spiel bringt.
Richtig: Intern und Extern verwendest du den gleichen FQDN bei einem Split DNS Setup!
Genau aus dem Grund kann der Zugriff über die WAF nicht aus dem internen Netz ohne zusätzlichen DNS-Namen getestet werden. Die Clients lösen sonst nur die IP für den direkten Zugriff auf …
Du musst überhaupt nichts am Webserver anpassen.
Wenn Du dich mit Webservern auskennst, dann weisst Du auch, dass man einen Virtualhost pro Site auf dem Server einrichten muss, vor allem wenn mehrere Sites auf dem gleichen Server konfiguriert sind und alle Sites mit den Standard Ports (HTTP und HTTPS) angesprochen werden sollen. Man muss also diesen Virtualhost ebenfalls anpassen, wenn man sicherstellen will, dass die richtige Applikation mit den zusätzlichen Namen aufgerufen werden kann.
Warum 2 verschiedene Domain Names verwenden?
Das habe ich bereits erklärt, aber es gibt sonst auch andere Szenarien, in denen dies sogar notwendig ist … 😉
Das ist doch quatsch, nur schon wegen den Zertifikaten. Verkompliziert alles unnötig, besonders mit Lets Encrypt. Wenn du mit dem gleichen FQDN intern und extern arbeitest, dann erhältst du so ein gültiges TSL-Zertifikat.
Mit dem Router-Modus und einer VM in der WAN-Zone spare ich mir den oben erwähnten “Ärger” (ikl. Zertifikate), und ich kann den Zugriff über die WAF problemlos testen, bevor der Auftritt vom Internet aus erreichbar ist. Mit dem Bridge-Mode muss ich es eben anders regeln …
Wie bereits erwähnt, basiert dein Setup auf NATing und Routing mit günstiger Hardware für normale Heimnutzer. Von dem Rate ich ab und ich rate grundsätzlich zur Nutzung des Bridge-Mode/ Modem-Modus.
Wie ich von Anfang an gesagt habe, das NAT-Thema ist der einzige Nachteil des Router-Modus und (in meinen Augen) auch der einzige Vorteil des Bridge-Modus. Das bedeutet nicht, dass der Bridge-Modus schlecht ist. Der kann einfach gewisse Szenarien nicht abdecken.
Warum nimmst du nicht einfach eine “Hauptfirewall” (z.B pfSense) als VM, bindest dort über eine Bridge die Connect Box im Bridge Mode an und dort kannst du dann beliebige Interfaces und Routes konfigurieren um unzählige weitere “Subfirewalls” als VM zu betreiben. Du kannst mit Proxmox VE, mehreren pfSense oder OPNsense Instanzen und dem Open vSwitch so ziemlich jedes Szenario virtualisiert erstellen.
Wieso soll ich es so kompliziert mit dem Bridge-Modus machen, wenn es mit dem Router-Mode um einiges einfacher geht (siehe Zeichnung oben) und ich alle “meine” Szenarien auf diese Weise abdecken kann?
Dass Du ein Verfechter vom Bridge-Modus bist, ist mir klar. Ich habe kein Problem damit. Jeder hat seine Grunde, um etwas auf eine bestimmte Art und Weise zu konfigurieren. Und das ist auch richtig so … 😉.
Das bedeutet aber nicht, dass dieser Modus die Lösung für alles ist. Meiner Meinung nach hat er sogar entscheidende Nachteile wie ich bereits erklärt habe, und macht manche Setups praktisch unmöglich. Aber ich lasse mich gerne vom Gegenteil überzeugen. Ich bin echt offen für neue Erkenntnisse, und neues zu lernen soll gesund sein … 😁
An diesem Punkt wiederhole ich meine Ursprüngliche Aussage: Wenn UPC anständigere Hardware anbieten würde, dann würden die wenigsten Benutzer nach einem besseren Router “schreien”. Und die Tatsache, dass die neuen Bestimmungen im FMG, welche seit Januar 2021 gültig sind, den Routerzwang theoretisch aufheben, sollte UPC dazu bewegen, ihre Strategie in Bezug auf Router-Freiheit entsprechend anzupassen, oder? … 😉