[Draytek 2950] 2 LAN subnets, 2e heeft geen internet

[Urk]

Ik ben bezig met interne IPv4 subnet (192.168.2.0/255.255.255.0) te migreren naar een ander intern IPv4 subnet (192.168.88.0/255.255.255.0).
Ik heb daarvoor een Draytek 2950 (die moet weliswaar nog vervangen worden door een nieuwere router), de config is nu als volgt:


Ik kan een machine op het interne netwerk prima bijv IP 192.168.88.40/255.255.255.0 en Gateway IP 192.168.88.1 geven. Die host kan dan prima de Draytek op 192.168.88.1 bereiken maar het lukt me op geen enkele manier om op dat subnet internet te krijgen...

Heb ook al eea geprobeerd door te splitsen met VLAN's maar ook dat werkt niet.
Ook een aantal artikelen hierover gelezen zoals:
https://www.abptech.com/d...g-two-separated-lans.html
https://www.draytek.nl/wp...-Port-Based-VLAN-V2.0.pdf
Echter is de VLAN config van de 2950 heel basic:


Iemand een idee wat ik verkeerd doe of is dit gewoon niet mogelijk met de 2950? Ik zou namelijk denken dat ik vanaf het 2e subnet ook gewoon internet moet hebben.

[ Voor 21% gewijzigd door Urk op 04-04-2020 12:23 ]

[Trommelrem]

De Draytek 2950 is reeds jaren end of life en is ook vatbaar voor de DNS hack.
De Draytek 2950 ondersteunt geen VLANs volgens de standaarden, dus VLANs gaan uberhaupt niet werken.
De IP routing die je configureert is niet hiervoor bedoeld. IP routing is de routingfunctionaliteit van de Draytek 2950 waarmee je een publiek IP subnet op je interne LAN beschikbaar maakt.

De Draytek 2960 is de opvolger en ondersteunt wel de functionaliteit die je zoekt.

[ Voor 20% gewijzigd door Trommelrem op 04-04-2020 12:30 ]

[Urk]

Trommelrem schreef op zaterdag 4 april 2020 @ 12:25:
De Draytek 2950 is reeds jaren end of life en is ook vatbaar voor de DNS hack.
De Draytek 2950 ondersteunt geen VLANs volgens de standaarden, dus VLANs gaan uberhaupt niet werken.
De IP routing die je configureert is niet hiervoor bedoeld. IP routing is de routingfunctionaliteit van de Draytek 2950 waarmee je een publiek IP subnet op je interne LAN beschikbaar maakt.

Dank voor je snelle reactie Trommelrem
Ja, ik weet het , daarom noemde ik al dat hij nog vervangen moest worden.
Edit: ik dacht trouwens dat de DNS kwetsbaarheid in januari 2017 nog is gefixed in deze laatste firmware.

Aha, ja had al wel ergens gelezen dat die functionaliteit was bedoeld om een publiek IP subnet op je interne LAn beschikbaar te maken, maar dacht dat dit ook moest kunnen aangezien de Draytek default ook 2 interne IP's gebruikt voor beide subnetten.
En inderdaad is de VLAN config verre van de huidige drayteks volgens mij zoals genoemd in dit document https://www.draytek.nl/wp...-Port-Based-VLAN-V2.0.pdf
Wel vreemd eigenlijk want de Draytek 2950 was toendertijd een professionele en dure router.

Is er dus geen enkele manier om dit met de huidige hardware even voor elkaar te krijgen?

[ Voor 26% gewijzigd door Urk op 04-04-2020 12:42 ]

[Trommelrem]

Zet een goedkope Draytek 2862 neer. Zo'n apparaat is al 8 keer zo snel als deze "dure professionele" router. Is de 2950 inmiddels niet meer dan 15 jaar oud?

[webfreakz.nl]

Doet die Draytek waar je 192.168.88.0/24 op geconfigureerd hebt ook NAT als die het internet verkeer via 192.168.2.0/24 naar je upstream rouer (ook Draytek?) stuurt?

[ Voor 4% gewijzigd door webfreakz.nl op 04-04-2020 15:26 ]

[Urk]

webfreakz.nl schreef op zaterdag 4 april 2020 @ 15:21:
Doet die Draytek waar je 192.168.88.0/24 op geconfigureerd hebt ook NAT als die het internet verkeer via 192.168.2.0/24 naar je upstream rouer (ook Draytek?) stuurt?

Het is maar 1 Draytek met 2 LAN subnets...
Er zijn geen NAT regels actief van buiten naar binnen, dat loopt via een ander netwerk

[Arthion-nl]

Als nou ik het nou goed begrijp heb je 2 subnets in je netwerk ?
Met subnetsmask van 255.255.255.0 is er maar 1 subnet toegestaan je zal dus waarschijnlijk je subnetmask moeten aanpassen zodat je met meerdere subnets kan werken.

[Trommelrem]

Arthion-nl schreef op zaterdag 4 april 2020 @ 19:57:
Als nou ik het nou goed begrijp heb je 2 subnets in je netwerk ?
Met subnetsmask van 255.255.255.0 is er maar 1 subnet toegestaan je zal dus waarschijnlijk je subnetmask moeten aanpassen zodat je met meerdere subnets kan werken.

Waarom is er met een /24 maar één subnet toegestaan?

De reden dat je het IP routed subnet niet voor dit doel kunt gebruiken is omdat er geen NAT op deze interface zit. IP routed subnet is namelijk een routed subnet, geen NAT.

Wil je perse de Draytek 2950 blijven gebruiken, wat gelijk staat aan Windows 95 gebruiken, dan zul je een andere router voor de Draytek 2950 moeten zetten die dat specifieke subnet heeft. Wat je dan doet:

Router 1:
WAN: je WAN IP
LAN: 192.168.88.1/24 - NAT ingeschakeld

Router 2, de Draytek 2950:
WAN: 192.168.88.2/24, gateway 192.168.88.1
LAN: 192.168.2.1/24 - NAT is hier reeds ingeschakeld
IP routed subnet: 192.168.88.3/24 - geen NAT

Dit zou theoretisch werken, mits de firmware van de Draytek 2950 hier tegen kan.

[ Voor 46% gewijzigd door Trommelrem op 05-04-2020 09:38 ]

[Arthion-nl]

Trommelrem schreef op zondag 5 april 2020 @ 09:32:
[...]

Waarom is er met een /24 maar één subnet toegestaan?

De reden dat je het IP routed subnet niet voor dit doel kunt gebruiken is omdat er geen NAT op deze interface zit. IP routed subnet is namelijk een routed subnet, geen NAT.

Wil je perse de Draytek 2950 blijven gebruiken, wat gelijk staat aan Windows 95 gebruiken, dan zul je een andere router voor de Draytek 2950 moeten zetten die dat specifieke subnet heeft. Wat je dan doet:

Router 1:
WAN: je WAN IP
LAN: 192.168.88.1/24 - NAT ingeschakeld

Router 2, de Draytek 2950:
WAN: 192.168.88.2/24, gateway 192.168.88.1
LAN: 192.168.2.1/24 - NAT is hier reeds ingeschakeld
IP routed subnet: 192.168.88.3/24 - geen NAT

Dit zou theoretisch werken, mits de firmware van de Draytek 2950 hier tegen kan.

Trommelrem,

Ik ben geen expert maar dit is wat ik ooit geleerd gelezen op betreft subnet:

Bij een subnet mask van 255.255.255.0 is er maar 1 subnet over en bij jou is dit gesubnet op 192.168.88. Jou 1e router kan dus alleen communiceren met IP reeks van 192.168.88.1 t/m 192.168.88.254. Jou 2e router is met een subnets mask van 255.255.255.0 gesubnet op 192.168.2 en communiceert alleen met de IP reeks 192.168.2.1 t/m 192.168.2.254

De 3 octet 255 zorgt er voor dat er maar 1 subnet kan zijn zie hier in de subnet calculater met subnet mask van 255.255.255.0

Ik vind lastig uit te leggen hoe subnetten werkt maar ik zie wel dat je default gateway in je 2e router aangegeven hebt dit naar een andere subnet te sturen dan je router in werkt. Devices in in je 2e router kunnen niet communiceren in subnet 192.168.88 omdat ze verteld is in router dat ze alleen kunnen communiceren met subnet 192.168.2 omdat je ze daar op gesubnet hebt.

Aangezien jij de 2e router aangesloten hebt aan de wan zijde zou je dit als Default gateway moeten aangeven omdat het verkeer via deze router verlaat.
Dus probeer eens je default gateway in je 2e router te veranderen naar 192.168.88.2 en dan zal de 1e router dit weer oppakken.
Dit zorgt ervoor dat je wel internet krijgt met je devices achter de 2e router dacht ik.

Mocht iemand opmerkingen hebben hoor ik het graag !

[Trommelrem]

Arthion-nl schreef op zondag 5 april 2020 @ 10:39:
[...]
Ik ben geen expert maar dit is wat ik ooit geleerd gelezen op betreft subnet:

Bij een subnet mask van 255.255.255.0 is er maar 1 subnet over en bij jou is dit gesubnet op 192.168.88. Jou 1e router kan dus alleen communiceren met IP reeks van 192.168.88.1 t/m 192.168.88.254. Jou 2e router is met een subnets mask van 255.255.255.0 gesubnet op 192.168.2 en communiceert alleen met de IP reeks 192.168.2.1 t/m 192.168.2.254

De 3 octet 255 zorgt er voor dat er maar 1 subnet kan zijn zie hier in de subnet calculater met subnet mask van 255.255.255.0

Als je een /24 hebt, dan kun je binnen die /24 twee keer een /25 kwijt, of vier keer een /26, acht keer een /27.
Als je een 192.168.0.0/16 hebt, dan kun je er meerdere /24 subnetten in kwijt.

Tip: gooi de subnet calculator die je noemt alsjeblieft weg. Hoewel de door jou genoemde calculator wel klopt, is hij erg misleidend.

[Arthion-nl]

Trommelrem schreef op zondag 5 april 2020 @ 11:08:
[...]

Als je een /24 hebt, dan kun je binnen die /24 twee keer een /25 kwijt, of vier keer een /26, acht keer een /27.
Als je een 192.168.0.0/16 hebt, dan kun je er meerdere /24 subnetten in kwijt.

Tip: gooi de subnet calculator die je noemt alsjeblieft weg. Hoewel de door jou genoemde calculator wel klopt, is hij erg misleidend.

Misschien heb ik het verkeerd uitgelegd maar met een /24 kan er wel dan wel meerdere subnets toegestaan worden maar kan er maar 1 subnet tegelijke tijd actief zijn. Router 1 werkt in subnet 192.168.88.1 en is de router gesubnet op 192.168.88 en zal dus nooit communiceren buiten dit subnet omdat het subnet mask 255.255.255.0 is.

Ik zie niks mis mee met de subnet calculater aangezien het gewoon klopt. Tevens 192.168.0.0/16 heeft een subnetmask van 255.255.0.0 en klopt het inderdaad dat er meerder /24 in kunnen. Maar jij werkt met een subnetmask van 255.255.255.0 en dat is een andere verhaal.

Ik zou als ik eerder al zei je default gateway eens veranderen omdat je draytek aangesloten is aan de wan zijde en dit de uitgang is.

[Trommelrem]

Arthion-nl schreef op zondag 5 april 2020 @ 11:29:
[...]
Misschien heb ik het verkeerd uitgelegd maar met een /24 kan er wel dan wel meerdere subnets toegestaan worden maar kan er maar 1 subnet tegelijke tijd actief zijn. Router 1 werkt in subnet 192.168.88.1 en is de router gesubnet op 192.168.88 en zal dus nooit communiceren buiten dit subnet omdat het subnet mask 255.255.255.0 is.

Ik heb op mijn Draytek thuis meerdere subnetten aan de LAN zijde tegelijkertijd actief hoor, met NAT. Drie daarvan zijn een /24, eentje is een /29. Alle vier de subnetten kunnen gewoon met NAT naar buiten communiceren. Dus leg mij maar uit hoe het kan, of waarom het juist niet kan (en bij mij en alle andere huidige routers wel kan).

Ik zie niks mis mee met de subnet calculater aangezien het gewoon klopt. Tevens 192.168.0.0/16 heeft een subnetmask van 255.255.0.0 en klopt het inderdaad dat er meerder /24 in kunnen. Maar jij werkt met een subnetmask van 255.255.255.0 en dat is een andere verhaal.

Deze calculator tovert publieke IP adressen om naar private IP adressen. Vul maar eens een publiek IP adres in, automagisch wordt het een privaat IP adres op basis van lucht.

[Arthion-nl]

Trommelrem schreef op zondag 5 april 2020 @ 12:48:
[...]

Ik heb op mijn Draytek thuis meerdere subnetten aan de LAN zijde tegelijkertijd actief hoor, met NAT. Drie daarvan zijn een /24, eentje is een /29. Alle vier de subnetten kunnen gewoon met NAT naar buiten communiceren. Dus leg mij maar uit hoe het kan, of waarom het juist niet kan (en bij mij en alle andere huidige routers wel kan).

Mogelijk omdat je een subnet mask van 255.255.0.0 hebt ? ik kan niet in je draytek kijken.
Als ik in mijn router een ip pool maak van 192.168.1.2 t/m 192.168.2.254 krijg ik een ip fout met subnetmask 255.255.255.0 en dit is omdat het netwerk is gesubnet in 192.168.1. Zet ik 1 van me devices bijv op statische adres van 192.168.2.1 heb ik geen internet meer. Mogelijk dat je draytek dus met een hoofdsubnetmask werkt van 255.255.0.0 en vervolgens dit kan opsplitsen met verschillende subnets en subnetsmask.

Deze calculator tovert publieke IP adressen om naar private IP adressen. Vul maar eens een publiek IP adres in, automagisch wordt het een privaat IP adres op basis van lucht.

Ik weet niet waar jij het verhaal vandaan haalt dat deze calculater publiek ip adresses omtovert naar private adressen ? Er staat daar boven duidelijk network class a,b en c en dit zijn altijd private ip adressen. Als je daar idd publieke adressen in gaat vullen krijg je rare nummers......


Tevens al geprobeert je default gateway in je 2e router aan te passen?

[Sendy]

Arthion-nl schreef op zondag 5 april 2020 @ 13:08:
[...]
Mogelijk dat je draytek dus met een hoofdsubnetmask werkt van 255.255.0.0 en vervolgens dit kan opsplitsen met verschillende subnets en subnetsmask.

Dit is het juiste idee. Je maakt op je draytek een groter netwerk (eentje die 192.168.2/24 en 192.168.88/24 bevat). Dan heb je een groot netwerk waarin je machines naar believen kan plaatsen in deze kleinere netwerken.

Let wel, er dan dan geen enkele scheiding tussen die netwerken. Als je wel een scheiding wil dan moet je vlans definieren, routing tabel instellen dat verkeer naar de verschillende /24 netwerken op een andere switchport komt, en in je firewall instellen dat er geen verkeer van en naar de verschillende netwerken mag.

En ik denk dat die draytek dat prima kan.

[Trommelrem]

Arthion-nl schreef op zondag 5 april 2020 @ 13:08:
[...]


Mogelijk omdat je een subnet mask van 255.255.0.0 hebt ? ik kan niet in je draytek kijken.
Als ik in mijn router een ip pool maak van 192.168.1.2 t/m 192.168.2.254 krijg ik een ip fout met subnetmask 255.255.255.0 en dit is omdat het netwerk is gesubnet in 192.168.1. Zet ik 1 van me devices bijv op statische adres van 192.168.2.1 heb ik geen internet meer. Mogelijk dat je draytek dus met een hoofdsubnetmask werkt van 255.255.0.0 en vervolgens dit kan opsplitsen met verschillende subnets en subnetsmask.

Als je een subnet van 255.255.0.0 hebt, dan kun je in de 192.168.0.0/16 inderdaad maar één subnet kwijt. Dat is dus wat je fout doet. Bovendien, waarom zou je zo'n enorm subnet willen gebruiken?

Ik weet niet waar jij het verhaal vandaan haalt dat deze calculater publiek ip adresses omtovert naar private adressen ? Er staat daar boven duidelijk network class a,b en c en dit zijn altijd private ip adressen. Als je daar idd publieke adressen in gaat vullen krijg je rare nummers......

Een subnet calculator moet mijns inziens ook publieke IP adressen kunnen berekenen. Deze kan dat niet en is daarmee dus een onzinsubnetcalculator. Er bestaat immers meer dan een NAT netwerkje, er is ook een wereld daarbuiten.

[Arthion-nl]

Trommelrem schreef op zondag 5 april 2020 @ 13:20:
[...]

Als je een subnet van 255.255.0.0 hebt, dan kun je in de 192.168.0.0/16 inderdaad maar één subnet kwijt. Dat is dus wat je fout doet. Bovendien, waarom zou je zo'n enorm subnet willen gebruiken?

Klopt dat is een fout van mijn kant maar je kan de subnetmask ook gewoon naar 255.255.254.0 zetten dan heb je 128 subnets beschikbaar. Dit bedoelde ik ook ipv 255.255.0.0..... je kan hier mee gaan spelen natuurlijk. Je kan dan wel beter in de B class network gaan werken met zo's subnetmaskwerk.

Een subnet calculator moet mijns inziens ook publieke IP adressen kunnen berekenen. Deze kan dat niet en is daarmee dus een onzinsubnetcalculator. Er bestaat immers meer dan een NAT netwerkje, er is ook een wereld daarbuiten.

Dit is natuurlijk een persoonlijke voorkeur en maakt de subnet calculater niet per direct onzin. Iemand die binnen de private range blijft kan deze subnet calculater wel gebruiken. Het is calculater en niet uitleg hoe het werkt betreft subnetten

@Sendy dat verhaal ken ik al het gaat mij in het verhaal precies om dat er 2 routers in het spel zitten en juist beide in andere subnet met subnetmask van 255.255.255.0.
Maar aangezien de 2e router achter de wan zijde aangesloten zit kan dat geen isssue zijn. Ik denk dat bij de 2e router default gateway aangepast moet worden omdat devices de uitgang niet vinden via de 2e router.

[Sendy]

Arthion-nl schreef op zondag 5 april 2020 @ 13:53:
@Sendy dat verhaal ken ik al het gaat mij in het verhaal precies om dat er 2 routers in het spel zitten en juist beide in andere subnet met subnetmask van 255.255.255.0.
Maar aangezien de 2e router achter de wan zijde aangesloten zit kan dat geen isssue zijn. Ik denk dat bij de 2e router default gateway aangepast moet worden omdat devices de uitgang niet vinden via de 2e router.

Als je twee router gebruikt aan de draytek dan moet je nog steeds de draytek zo instellen als ik schrijf, met als toevoeging twee routing regels voor de twee routers. Daarna zou ik de NAT uitschakelen op die twee routers (NAT doet de draytek al), inprikken, en gaan.

[Arthion-nl]

Sendy schreef op zondag 5 april 2020 @ 18:31:
[...]

Als je twee router gebruikt aan de draytek dan moet je nog steeds de draytek zo instellen als ik schrijf, met als toevoeging twee routing regels voor de twee routers. Daarna zou ik de NAT uitschakelen op die twee routers (NAT doet de draytek al), inprikken, en gaan.

Dit kan maar:

Trommelrem schreef op zondag 5 april 2020 @ 09:32:

Router 1:
WAN: je WAN IP
LAN: 192.168.88.1/24 - NAT ingeschakeld

Router 2, de Draytek 2950:
WAN: 192.168.88.2/24, gateway 192.168.88.1
LAN: 192.168.2.1/24 - NAT is hier reeds ingeschakeld
IP routed subnet: 192.168.88.3/24 - geen NAT

De draytek is router 2 en zit achter router 1 via de wan zijde… Router 1 kan wel router 2 zien maar router 2 krijgt geen internet.
Default gateway is 192.168.2.1 op router 2 zoals ik het lees terwijl dit 192.168.88.2 moet zijn omdat alle verkeer juist via de wan van de router 2 eerst verlaat en heeft ip adres 192.168.88.2 .
Vanuit daar kan het verkeer het internet op via default gateway 192.168.2.1 .

[ Voor 3% gewijzigd door Arthion-nl op 05-04-2020 18:47 ]

[Sendy]

Ik begrijp niet echt wat je schrijf, maar als het om een router (draytek) achter een andere router gaat, dan moet je op de ‘andere router’ dat grotere netwerk instellen. Een route naar de draytek. NAT op de Draytek uit, en gaan. (Wissel paar namen om en vergeet de ‘tweede router’)

[Arthion-nl]

De draytek 2950 krijgt de private ip adres 192.168.88.2 aan de wan zijde en router 1 (onbekend merk) deelt ip reeks uit van 192.168.88.1 t/m 192.168.88.254.

De draytek heeft dus een wan ipadres van 192.168.88.2 maar werkt zelf in de subnet ip reeks van 192.168.2.1 t/m 192.168.2.254.
Op de Draytek staat geschreven als default gateway 192.168.88.1 waar het verkeer het internet opgaat.
Dit kan dus niet want WAN=default gateway en het ip adres van WAN zijde Draytek is dus 192.168.88.2. en niet 192.168.88.1

Als het verkeer van de draytek het internet op wilt moet het eerst via ip 192.168.88.2 gaan voordat het aankan komen bij 192.168.88.1.

Dus hij moet zijn default gateway van 192.168.88.1 naar 192.168.88.2 veranderen.

-Edit- de default gateway kan ook 192.168.2.1 zijn omdat dit het adres is van de draytekrouter.
Die stuurt het daarna via de wan interface naar 192.168.88.1

[ Voor 9% gewijzigd door Arthion-nl op 05-04-2020 19:40 ]