AW: Assistent zum konfigurieren eines exposed Host hinter der Digibox Premium

[#1]

Hallo,

ich habe hinter einer Digibox Premium ein Unifi Security Gateway mit konfigurierten L2TP / IPsec Zugängen. Das funktioniert nicht. Ich gehe davon aus, dass das am doppelten NAT liegt.  Also möchte ich das USG als exposed Host in der Digibox eintragen. Das ist, wenn man es manuell macht, lösbar aber  recht aufwändig. Ich habe im Netz unter diesem Link  eine Anleitung für einen  bintec be.IP plus gefunden, die die Anleitung mit einem Assistenten deutlich vereinfachen soll. Da heisst es: 

Zur Konfiguration gehen Sie ins Mneü “Assistenten” -> “NAT/Firewall”. Erstellen Sie durch drücken der Schaltfläche “Neu” eine neue Regel. Geben Sie dort die IP-Adresse Ihres Exposed Hosts und als Dienst “Exposed Host” an. Bestätigen Sie mit “OK”.

Das würde die Sache ja sehr erleichtern. Nun ist die Anleitung ja für eine bintec be.IP. Wenn ich mich nicht täusche, sind die sich  der bintec be.IP und die Digibox Premium doch sehr ähnlich, wenn nicht identisch. Gibt es diesen Assistenten auch auf der Digibox Premium? 

Es würde mir helfen, dass zu wissen, bevor ich da hinfahre. 

[#2 · Accepted solution]

Die Option "Exposed Host" gibt es als "Dienst" im Menu für die Konfiguration von Portweiterleitungen der DigiBox Premium V1.

"Internet & Netzwerk" -> "Portweiterleitungen einrichten" -> "Lokales Netzwerk einrichten" -> Dienst "Exposed Host" und das entsprechende Ziel auswählen.

Anmerkung: Ich selbst habe diese Variante noch nie verwendet, sondern das was ich brauche immer manuell angelegt. Daher kann ich aktuell nicht sagen, ob der Assistent diesbezüglich fehlerfrei ist.

[#3]

Hallo @Thomas.NVP ,

hast du IPSec in der DB deaktiviert?

Ansonsten könnte vielleicht einNetzwerk-Trace in der DB weiterhelfen.

[#4]

Hallo,

zuerst mal danke für die Antwort. 

Ich hatte IPSec in der DB nie aktiviert. Ich brauche es da ja auch nicht.  Die Digibox hängt hinter einem Glasfasermodem und ist nur deshalb noch da, weil ihre ISDN Ports gebraucht werden. Alles andere also Firewall, VPN und so weiter, soll vom USG erledigt werden. Dort sind ja auch die VPN Zugänge konfiguriert.  Ich gehe davon aus, dass durch das doppelte NAT das USG und die darauf konfigurierten VPN Zugänge nicht erreicht werden. Das kann man durch Weiterleitung der für L2TP / IPSec nötigen Ports lösen oder, und das würde ich bevorzugen, durch die Konfiguration des USG als Exposed Host in der DB. 

Habe ich da einen Denkfehler? 

Noch lieber würde ich die Digibox hinter das USG hängen. Das haben wir schon einmal versucht und sind krachend gescheitert. An einem ISDN Port hängt eine ISDN Anlage. Und an der hängt unter anderem ein ISDN Wählgerät. Einem Telekomtechniker, der Telekom Hotline dem Hersteller des Wählgerätes und mir ist es nicht gelungen, das zum Laufen zu bringen. Der Tag steht heute im Guiness Buch der Rekorde als der Tag, an dem am häufigsten "Ich verstehe das nicht, dass MUSS  eigentlich funktionieren" gesagt wurde. Als es dann in der Konfiguration Digibox vor USG endlich lief, hat mir der Telekomtechniker versichert, dass er sich eher einen Job als Altreifenhändler im Amazonas-Urwald sucht , als das noch einmal anzufassen. Für mich gilt das genau so. Nur würde ich eher zu "Schwammtaucher vor Neu Guinea" tendieren. 

[#5]

@Thomas.NVP  schrieb:

Noch lieber würde ich die Digibox hinter das USG hängen.

Auch das muß funktionieren.

[#6]

Da waren wir uns auch sicher. Nur hat es eben nicht funktioniert. Ich habe bis heute keine Idee, warum nicht.  Es gibt keinen für mich erkennbaren Grund, warum das Wählgerät nur dann stabil eine für das Empfangsgerät verwertbare ISDN Anwahl zustande gebracht hat, wenn die Digibox vor dem USG hing. Fakt ist aber, dass einer von drei bis fünf Wahlversuchen fehlgeschlagen ist, wenn die BB hinter dem USG hing. Wir haben Kabel getauscht, Ports an DB, USG und Switch gewechselt und was weiss ich noch alles. Kein Erfolg. Hing sie davor, klappen alle Anwahlversuche seit Jahren stabil.  

In ein paar  Monaten bekomme ich mit etwas Glück die Mittel, um das ISDN Wählgerät gegen ein IP basiertes auszutauschen und die Telefonie von ISDN auf IP umzustellen. Dann fliegt die Digibox ohnehin raus. Und bis dahin wollte ich das Problem durch Einrichtung eines exposed Host lösen. Wenn es ihn gibt, mit dem Assistenten Wenn nicht, dann eben ohne. Ich wüsste es nur gerne vorher. 

[#7]

@Kalle2014 Ist das etwas, wo Du helfen könntest?

[#8]

Eure Mühe ist wirklich nett. Aber ich habe schon fast ein schlechtes Gewissen wegen einer solchen Kleinigkeit solchen Aufwand zu produzieren. So kompliziert ist es ja auch nicht, den Exposed Host manuell einzurichten. Es wäre halt nett, wenn es den Assistenten auch in der Digibox gäbe. So muss man das Fahrrad nicht noch einmal erfinden und läuft etwas weniger Gefahr, einen Eintrag oder einen Haken zu übersehen. 

Den ganzen Kram von Hand konfigurieren kann man ja immer noch, wenn der Assistent nicht die gewünschten Ergebnisse liefert. 

Ja, ich weiß, dabei lernt man die Hintergründe nicht. Aber wenn man sich die verlinkte Anleitung ansieht, so viele Hintergründe gibt es da auch nicht. Nicht völlig trivial. Aber auch keine Raketenwissenschaft. 

[#9]

@Thomas.NVP Hier nochmal ein Link , in dem eigentlich von Deinem Vorhaben abgeraten wird : https://www.telekom.de/hilfe/downloads/konfiguration-exposed-host-digitalsierungsbox-basic.pdf

[#10]

Das trifft zu, wenn der exposed Host ein Rechner ist. Einen "normalen" Rechner oder Server zum exposed Host zu machen ist schlicht Wahnsinn. In meinem Fall ist es aber kein Rechner, sondern ein Security Gateway. Und für das Ding ist es normal an der Frontlinie zum Internet zu stehen. Die Digibox macht nichts weiter als die Verbindung zum Internet und  ISDN. Kein DHCP, kein WLan, nichts dergleichen. Und weil das Ding in einem abgeschlossenen Schrank steht, kann auch niemand ein Kabel in die schönen gelben Buchsen stecken. Das manche auf solche Ideen kommen, habe ich auch erst geglaubt, als ich es selbst gesehen habe. 

Vom Sicherheitsaspekt her sehe ich die Konfiguration Digibox  als exposed Host -> Security Gateway -> Netzwerk genau so wie die, die nach dem Wegfall der Digibox entsteht. Dann heisst es Glasfasermodem -> Security Gateway -> Netzwerk. In beiden Fällen ist das Security Gateway die Sicherheitsbarriere zum Internet. Mit deren Firewall steht und fällt die Sicherheit des Netzes dahinter. 

Trotzdem bin ich dankbar für jeden, die Sicherheit verbessernden Hinweis. 

[#11 · Accepted solution]

Die Option "Exposed Host" gibt es als "Dienst" im Menu für die Konfiguration von Portweiterleitungen der DigiBox Premium V1.

"Internet & Netzwerk" -> "Portweiterleitungen einrichten" -> "Lokales Netzwerk einrichten" -> Dienst "Exposed Host" und das entsprechende Ziel auswählen.

Anmerkung: Ich selbst habe diese Variante noch nie verwendet, sondern das was ich brauche immer manuell angelegt. Daher kann ich aktuell nicht sagen, ob der Assistent diesbezüglich fehlerfrei ist.

[#12]

Super. Das beantwortet meine Frage. 

Herzlichen Dank an die Helfer ! 👍

[#13]

Hallo @Thomas.NVP ,

mit der "Navigation für Experten"-Ansicht kann du das hier beschriebene konfigurieren: https://knowledgebase.bintec-elmeg.com/knowledgebase/einrichten-eines-exposed-host/

VG.

[#14]

Guten Morgen @Thomas.NVP, 

vielen Dank für deinen Beitrag in der Telekom hilft Community. 

Ich freue mich, dass deine Frage bereits dank der Unterstützung der anderen User beantwortet werden konnte

Ich zitiere hier gerne noch einmal die markierte Lösung: 

@Kalle2014  wrote: Die Option "Exposed Host" gibt es als "Dienst" im Menu für die Konfiguration von Portweiterleitungen der DigiBox Premium V1.   "Internet & Netzwerk" -> "Portweiterleitungen einrichten" -> "Lokales Netzwerk einrichten" -> Dienst "Exposed Host" und das entsprechende Ziel auswählen.

@OlliD.IRQ8 hat die Lösung noch ergänzt: 

@OlliD.IRQ8  wrote: mit der "Navigation für Experten"-Ansicht kann du das hier beschriebene konfigurieren: https://knowledgebase.bintec-elmeg.com/knowledgebase/einrichten-eines-exposed-host/

Falls wir dich noch unterstützen können, melde dich gerne hier. 

Viele Grüße und einen schönen Donnerstag, Wiebke Kr.