Ein Server, zwei getrennte Netzwerke

[Syprix]

Hallo zusammen,

 

ich habe ein Doppelhaus in dem jeder Haushalt sein eigenes Netzwerk hat. Beide Haushalte sollen jetzt allerdings auf einen Server zugreifen können, alles via Kabel und im LAN.

Der Server hat zwei onboard Netzwerkkarten (Mainboard Asus P8Z77-V deluxe) und ich dachte mir das ich jeder dieser Netzwerken einer Haushälfte zuweisen könnte. Nun habe ich mich ein wenig in den Netzwerkeinstellungen von Unraid umgesehen, dort gibt es ja die verschiedensten Möglichkeiten für die Netzwerkbündelung aber auch die Möglichkeit beide Karten mit einer eigenen Netzwerkadresse laufen zu lassen. Daher würde ich sagen für mein Vorhaben wären die Voraussetzungen schon mal da.

Nur wie muss ich das ganze Einstellen?

Nachdem ich die Bündelung abgeschaltet hatte und beiden Netzwerkkarten ihre IP´s zugewiesen hatte, konnte ich nur über die IP zugreifen, für die ich anfangs die Ports eingestellt hatte, als die Bündelung noch bestand. Mit der weiteren IP und den Ports für http oder https Zugriff konnte ich die WebGUI von Unraid nicht erreichen. Ebenso verhielt es sich mit den Dockers, wie Nextcloud.

Wie bekomme ich das hin, das die WebGUI auf beide IPs lauscht und ebenso die Docker?

Zudem möchte ich, das Unraid sowie Nextcloud, über eins der beiden Netzwerke auch Zugriff aus dem Internet zulassen. Den Zugriff würde ich über Dyndns und Portforwarding erstellen (Ja in anderen Beiträgen habe ich bereits erfahren, dass das nicht der sicherste Weg ist aber für mich reicht das erstmal).

Hier habe ich das Vorhaben nochmal versucht bildlich darzustellen:


 

 

Die Notebooks der jeweiligen Netzwerke sollen keinen Zugriff zueinander haben, sie sollen nur die Möglichkeit haben auf den selben Server zuzugreifen.

Vielen Dank schonmal für Eure Hilfen!

Gruß

[mgutt]

9 hours ago, Syprix said:

Wie bekomme ich das hin, das die WebGUI auf beide IPs lauscht

Mich würde wundern, wenn das nicht von Haus aus der Fall ist.

 

9 hours ago, Syprix said:

ebenso die Docker?

Das ginge dann aber nur mit Conainern im bridge oder Host Netzwerk und nur wenn vorherige Aussage stimmt

 

Bedenke aber: der Server und alle Applikationen gehen immer über deine Leitung ins Internet, weil es nur ein Standard Gateway geben kann.

 

[Ford Prefect]

On 2/12/2023 at 11:36 PM, Syprix said:

Die Notebooks der jeweiligen Netzwerke sollen keinen Zugriff zueinander haben, sie sollen nur die Möglichkeit haben auf den selben Server zuzugreifen.

Das ist mit Deinem Setup eigentlich unmöglich.

Die Fritz kann nämlich nicht separate Netze absichern/trennen.

 

On 2/13/2023 at 8:50 AM, mgutt said:

Bedenke aber: der Server und alle Applikationen gehen immer über deine Leitung ins Internet, weil es nur ein Standard Gateway geben kann.

...und das bedeutet auch, dass unraid zwischen den Netzen routen kann.

Um das zu unterbinden musst Du VLANs einführen.

Damit dann aber auch VMs und Docker nur einmal, mit einer IP installiert werden müssen, braucht es einen VLAN-fähigen Router als Intermediär.

Die Fritz kann das nicht.

 

Ein "Workaround" wäre evtl. auf unRaid VLANs zu aktivieren, zwei getrennte Bridges (ein NIC pro Bridge) und damit zwei Netzwerke zu erstellen

Dann je Netzwerk den unraid-NIC(IP) in die DMZ des jeweiligen Routers konfigurieren.

Allerdings müssten dann Docker und VMs gedoppelt werden.

Evtl ginge auch Fritz Heim- und Gastnetz verwenden, mit den o.g. "Herausforderungen".

[mgutt]

4 hours ago, Ford Prefect said:

..und das bedeutet auch, dass unraid zwischen den Netzen routen kann

unRAID kann auf beide zugreifen, aber unRAID leitet ja nicht den Traffic von einem Netz zum anderen. Besagte Route existiert ja nicht einfach so.

[Ford Prefect]

53 minutes ago, mgutt said:

aber unRAID leitet ja nicht den Traffic von einem Netz zum anderen.

Warum nicht? Im Kernel ist doch IP-Forwarding aktiviert....hast Du zwei Netze wird unraid den traffic zwischen diesen beiden Netzen routen, wenn die unraid-IP als Gateway angesprochen wird.

Wenn der TE ein Forwarding in der Fritz auf die Haupt-Unraid IP hat finden die Pakete auch wieder den Weg zurück.

[Syprix]

WOW WOW WOW ich bin schon fast raus 😅

Also erstmal, ich habe es fast hinbekommen. 🙂 

Die beiden Netzwerke haben keine Berührungspunkte, beide stehen für sich alleine da. Lediglich der Unraid Server soll aus beiden Netzwerken lokal aufrufbar sein, er stellt aber keine Brücke zwischen den Netzwerken da. Das ist was ich auch hin bekommen habe, mit folgenden Einstellungen:

Fritzbox Netzwerk (DSL)

TP-

TP-Link Netzwerk (LTE)



Der Server ist einmal über 192.168.1.10:1313 und einmal über 192.168.178.10:1313 erreichbar. Allerdings nur dann, wenn der Rechner von dem ich zugreifen will die gleiche IP-Range trägt. So wollte ich es auch haben. Mein Fehler bisher war, das ich unter "Netzwerkbrücke aktivieren" "Ja" eingestellt hatte, da ich dachte das ich sonst keine VM´s erzeugen kann, dadurch war Unraid aber aus dem jeweiligen Netzwerk nicht erreichbar.

Was jetzt allerdings fehlt ist, dass ich im Fritzbox Netzwerk (192.168.1.1) Zugriff aus dem Internet bekomme. Ich habe den Beispielport 1313 für die WebGUI an die Server Adresse 192.168.1.10 in der Fritzbox weiter geleitet und mir eine DynDNS Adresse eingerichtet, zu der auch die korrekte IP weitergeleitet wird (vor einiger Zeit habe ich auch meine private IP in eine öffentliche beim Anbieter ändern lassen) aber Unraid ist einfach nicht erreichbar.

Warum?

Ich habe in der Fritzbox sogar die Unraid IP mal komplett freigegeben als extended Host aber auch dann war Unraid nicht erreichbar.

Liegt das eventuell an der Netzwerkbrücke die nicht aktiviert ist? Weil die IPs+Ports der Docker nicht an die IP und Ports von Unraid weitergeleitet werden?

Edited February 14, 2023 by Syprix

[Ford Prefect]

8 hours ago, Syprix said:

Mein Fehler bisher war, das ich unter "Netzwerkbrücke aktivieren" "Ja" eingestellt hatte,

Das ist aber nicht schädlich, wenn Du zwei getrennte Brücken machst, indem Du jeder Brücke nur den jeweiligen NIC zuordnest...dann hast Du br0 und br1

 

8 hours ago, Syprix said:

Der Server ist einmal über 192.168.1.10:1313 und einmal über 192.168.178.10:1313 erreichbar.

Ich nehme an die 192.168.1.0/24 ist Dein Heimnetz und die 192.168.178.0/24 ist das Gastnetz der Fritz?

Wie gesagt, dann blockiert die Fritz schonmal die Netzkopplung....aber ob zwei Docker, jeweils auf dem anderen NIC/brX, sich nicht sehen, lokal in unraid, möchte ich nicht unterschreiben.

 

 

8 hours ago, Syprix said:

Was jetzt allerdings fehlt ist, dass ich im Fritzbox Netzwerk (192.168.1.1) Zugriff aus dem Internet bekomme. Ich habe den Beispielport 1313 für die WebGUI an die Server Adresse 192.168.1.10 in der Fritzbox weiter geleitet und mir eine DynDNS Adresse eingerichtet, zu der auch die korrekte IP weitergeleitet wird (vor einiger Zeit habe ich auch meine private IP in eine öffentliche beim Anbieter ändern lassen) aber Unraid ist einfach nicht erreichbar.

Bist Du sicher, das Du noch immer eine echte öffentliche IPv4 hast?

Bitte zeig mal Deine Routing Tabelle...die steht weiter unten in den Network-Settings....kann ja sein, dass der Weg zurück nicht geht...

[Syprix]

15 hours ago, Ford Prefect said:

Ich nehme an die 192.168.1.0/24 ist Dein Heimnetz und die 192.168.178.0/24 ist das Gastnetz der Fritz?

Wie gesagt, dann blockiert die Fritz schonmal die Netzkopplung....aber ob zwei Docker, jeweils auf dem anderen NIC/brX, sich nicht sehen, lokal in unraid, möchte ich nicht unterschreiben.

Nein das verstehst du falsch. Die Netze sind komplett getrennt, so wie oben in der Zeichnung. Der eine Haushalt nutzt DSL und der andere Haushalt nutzt LTE. Wäre der Unraid Server nicht in der Mitte der Zeichnung, gäbe es keinen Kontakt zueinander außer über das Internet, so wie du und ich quasi auch.

 

15 hours ago, Ford Prefect said:

Bist Du sicher, das Du noch immer eine echte öffentliche IPv4 hast?

Bitte zeig mal Deine Routing Tabelle...die steht weiter unten in den Network-Settings....kann ja sein, dass der Weg zurück nicht geht...

Hm... als das nicht so war, hat die Fritzbox unter Internet IP 123.123.123.123 angezeigt aber wenn ich auf wieistmeineip.de ging, dann wurde dort eine andere angezeigt. Jetzt sind beide gleich. Daher würde ich ausschließen das es zurück gestellt wurde aber ich kann mich da morgen beim Anbieter noch mal Rückversichern.

Das ist die Routing Tabelle: (Abgerufen als ich über 192.168.178.10 auf dem Unraid eingeloggt war)

Edited February 15, 2023 by Syprix

[Ford Prefect]

11 hours ago, Syprix said:

Nein das verstehst du falsch. Die Netze sind komplett getrennt, so wie oben in der Zeichnung. Der eine Haushalt nutzt DSL und der andere Haushalt nutzt LTE. Wäre der Unraid Server nicht in der Mitte der Zeichnung, gäbe es keinen Kontakt zueinander außer über das Internet, so wie du und ich quasi auch.

Ah, ok...dachte das beide via Fritz ins I-net sollen. Aber das ist nicht Dein/das Problem.

Ich behaupte trotzdem, dass Du über den unraid Host aus dem "LTE"-Netz in das Fritz-Netz gelangen könntest.

Wenn Du in der Fritz eine zusätzliche Route für das LTE-Netz einbaust, mit Gateway = IP-des-unraid-host-im Fritz-Netz...dann sollte das gehen, weil unraid eben routet.

Ich hab das vor Jahren, vor der Umstellung auf VLANs auch schonmal getestet...ältere unraid-Version und aktuell habe ich kein System zum sowas zu testen...aber damals ging es.

 

11 hours ago, Syprix said:

Hm... als das nicht so war, hat die Fritzbox unter Internet IP 123.123.123.123 angezeigt aber wenn ich auf wieistmeineip.de ging, dann wurde dort eine andere angezeigt. Jetzt sind beide gleich.

 Dann ist das eine öffentliche IPv4.

 

11 hours ago, Syprix said:

Das ist die Routing Tabelle: 

Ja, OK.

Die beiden Netze sind jeweils als Ganzes (Netzmaske /24) und nochmal über ein shim-ethX nur halbiert (netzmaske /25) vorhanden.

Wo kommt das Interface für das shim-ethX Gateway her bzw. welche IP hat es jeweils?

Sagst Du, dass wenn Du das LTE-Netz in unraid wieder entfernst, dass es dann funktioniert?

Ich denke nicht das es grundsätzlich am Routing und dem 2ten Netz liegt.

Evtl. ist es ein anderes Problem.

 

[Syprix]

10 hours ago, Ford Prefect said:

 

Wo kommt das Interface für das shim-ethX Gateway her bzw. welche IP hat es jeweils?

Sagst Du, dass wenn Du das LTE-Netz in unraid wieder entfernst, dass es dann funktioniert?

 

 

Ich muss gestehen ich habe keinen Schimmer was ein shim-ethx ist 🤷‍♂️

Das LTE Netz habe ich über Port deaktivieren in Unraid deaktiviert und auch das Netzwerkkabel abgezogen aber das brachte keine Veränderung für die Erreichbarkeit aus dem Internet. Dann habe ich zusätzlich noch die Netzwerkbrücke beim DSL aktiviert aber auch das brachte keine Veränderung.

Um Grundlegend mal zu schauen ob Nextcloud/Unraid überhaupt noch aus dem Internet via DSL erreichbar ist, habe ich alles zurück gestellt, die beiden Netzwerkkarten gebündelt und die Brücke aktiviert gelassen und siehe da Nextcloud ist wieder über das Internet erreichbar. Sieht jetzt folgendermaßen aus:

 

 

Also kann ich festhalten, ich mache bei mir lokal einen Fehler.

[alturismo]

17 hours ago, Ford Prefect said:

Wo kommt das Interface für das shim-ethX Gateway her bzw. welche IP hat es jeweils?

 

 

6 hours ago, Syprix said:

Ich muss gestehen ich habe keinen Schimmer was ein shim-ethx ist 🤷‍♂️

 

diese sind die Brücken für den Docker Host access, kommen nur wenn aktiviert ...

 

[Syprix]

Ich habe es endlich hin bekommen 🥳

Ich habe diesmal den Bond0 belassen, den ich mit eth0 und eth1 erstellt hatte. Aber ich habe eth1 aus dem Bond entfernt.
Zudem habe ich die Netzwerkbrücke aktiviert gelassen beim Bond0.

 

Bei eth1 habe ich weder die Bündelung aktiviert, noch die Netzwerkbrücke. Lediglich eine statische IP habe ich vergeben:



Docker und Unraid selbst sind unter der jeweiligen IP-Range unter der zugewiesenen statischen IP zu erreichen und die Ports sind jeweils gleich (im Lan). Im 192.168.1.10 Lan kann man allerdings nicht 192.168.178.10 aufrufen, so wollte ich es auch haben und anders herum ebenso nicht. 

Über DSL ist aber Unraid/Nextcloud aus dem Netz erreichbar.

[mgutt]

On 2/14/2023 at 2:36 PM, Ford Prefect said:

wenn die unraid-IP als Gateway angesprochen wird

Warum sollte sie das sein? Das Gateway für alle Clients der beiden Netze ist doch der Router. 

 

Wenn zb Router A 10.0.0.0/24 abdeckt und Router B 192.168.178.0/24 und eth0 hat 10.0.0.2 und eth1 192.168.178.2, wird ein Client an Router A über die IP 192.168.178.2 niemals beim unRAID Server landen, weil der Router gar nicht weiß, dass das Netz aus Router B existiert.

 

Und eth0 hat ja auch nur seine Range konfiguriert. Also selbst wenn man jetzt den unRAID Server als Gateway verwenden würde. Warum sollte der das annehmen und weiterleiten? 

 

Natürlich vorausgesetzt, dass man eben kein Bridging oder sowas macht.

[Ford Prefect]

7 hours ago, mgutt said:

Wenn zb Router A 10.0.0.0/24 abdeckt und Router B 192.168.178.0/24 und eth0 hat 10.0.0.2 und eth1 192.168.178.2, wird ein Client an Router A über die IP 192.168.178.2 niemals beim unRAID Server landen, weil der Router gar nicht weiß, dass das Netz aus Router B existiert.

Das "Problem" liegt, wie so meist vor der Tastatur. Der Betreiber von A kann den Router von B nicht kontollieren....unarid dort als Gateway zu definieren wäre ein Leichtes...das Szenario ist also ein Angriffsvektor, auch wenn das Setup initial nicht so konfiguriert ist.

7 hours ago, mgutt said:

Und eth0 hat ja auch nur seine Range konfiguriert. Also selbst wenn man jetzt den unRAID Server als Gateway verwenden würde. Warum sollte der das annehmen und weiterleiten? 

Wenn im Kernel IP-Forwarding konfiguriert ist, würde unRaid das weiterleiten...zumindest mein Verständnis...die CPU hängt, egal ob bridging aktiviert ist oder nicht, immer "mit drin".