M0n0wall kein WAN Zugriff

Mmhhhh...die Aussage "In den System-Meldungen des Speedports tauchen Fehlermeldung "PPPoE-Fehler: Zeitüberschreitung" auf..." zeigt das da grundsätzlich was schiefgeht mit dem PPPoE Passthrough.
Diese Meldung kann niemals mehr auftauchen wenn PPPoE Passthrough auf dem SP aktiv ist ! Wie auch, denn der SP ist ja nun dummes Modem und versteht gar kein PPPoE mehr, da er das gar nicht mehr kann im Modem Modus. Folglich können auch keine Fehlermeldungen mehr auftreten.
Irgendwas läuft da auf dem SP also schief.
Tip: Ggf. auf die aktuellste Firmware updaten von der T-Com Support Seite und Passthrough erneut aktivieren.
Alternative: Bei eBay für kleines Geld ein reines DSL Allerweltsmodem wie den Speedport 201 erstehen.

Zu deiner Frage mit dem SP als Router davor:
Tja, generell ist das kein Problem und sollte dir erstmal ein Erfolgserlebnis verschaffen wenn du es so machst. Du solltest aber die FW dann besser nicht im DHCP Modus laufen lassen sondern IMMER wenn möglich eine statische IP vergeben und am SP den DHCP Server deaktivieren.
Dann an der Monowall eine Default Route auf die Speedport IP und zusätzlich nicht vergessen den DNS Server AUCH auf die Speedport IP zu setzen. (Steht im Thread da immer wieder vergessen !)
Nachteile:

• Speedport macht im Routermodus NAT und die Firewall auch. Damit hast du doppeltest NAT (IP Adress Translation) ist aus Performance Sicht suboptimal und schafft dir Probleme oder Mehraufwand in der Konfiguration bei remoten Zugang per VPN oder Port Forwarding.
• Die gesamte Packing Forwarding Rate hängt dann immer vom schwächsten Glied ab in der Kette. PPPoE Encapsulation und NAT Prozess sind sehr CPU intensiv. Die Firewall hat eine für ihre Verhältnisse leistungsstarke CPU die erheblich besser ist als die des SP so das die Monowall auf dem ALIX 100 Mbit in Wirespeed schafft. Davon ist der SP weit entfernt mit seine SoC CPU. Dir musst dann bewusst sein das der SP davor dann die maximale Paket Forwarding Speed und damit den maximal möglichen Durchsatz bestimmt.

Wenn du damit leben kannst ist das kein Problem. Technisch besser ist immer ein Modem.

Firewall deaktiviert: Sehen kann man das über ein Forum natürlich nicht da du keinen Screenshot gepostet hast, aber DU hast selber geschrieben das du auf dem WAN alles deaktiviert hast !! (Zitat
"und WAN ist erst einmal alles freigegeben, also * * * * *..." (Zitat Ende)
Also bist du der böse Buhmann hier der hier die Firewall deaktiviert hat !

Hallo AL
Was die Rules anbetrifft ist da schlecht was allgemein gültiges zu sagen, denn da hat jeder so seine eigenen Vorstellungen.
Bedenke das alle Firewall Regeln nur eingehend gelten, also für alle Pakete die IN die Firewall "hineinfliessen" (inbound). Das ist wichtig für die Logik Source-, Destination IP Adresse und Port !
Als Default Einstellung ist am WAN Port alles geblockt, damit dort keine bösen Buben reinkommen. Das solltest du auch erstmal für die ersten Schritte so belassen. Außer.... wenn du einen Router davor hast, denn dann (und nur dann) musst du das RFC 1918, private IP Blocking am WAN Port deaktivieren (Haken im WAN Port Setting).
Am WAN Port muss man sonst nichts ändern, denn du gehst ja immer von innen nach außen, generierst also ausgehende Paketeam WAN Port (Verbindungen) so das für dich am WAN Port eh alles frei ist...wie gesagt ist ja alles ausgehend.

Der LAN Port ist per Default auf any * zu any * , d.h. jeder darf dort mit jedem Protokoll rein in den LAN Port. Klar, soll auch so sein, denn in der Regel ist das ein privates, eigenes Netzwerk wo man sich keine Schranken schaffen will. Da ist alles erlaubt. Es sei denn dort ist kein privates Netz dran.

Anders sieht das an einem 2ten LAN Port aus oder deinem WLAN Interface. Gibst du da keine Regeln an ist FW üblich alles geblockt. Die Firewall arbeitet immer nach der goldenen Standard Regel: "Alles was nicht ausdrücklich erlaubt ist, ist verboten !"
Hier musst du also FW Regeln definieren damit was geht !
Tip:
Bring als allererstes die Internet Verbindung zum Fliegen und lass die FW erstmal so mit den Standard Regeln laufen !
An deinem 2ten LAN Port (oder auch am WLAN) aktivierst du DHCP und da spielst du mal rum mit den Regeln und einem an diesem Port angeschlossenen Test PC.
So kannst du vom LAN PC frei die Regeln im Setup definieren an diesen Ports und am Test PC prima checken !

Als erstes gibst du immer UDP/TCP 53 frei, denn das ist DNS sonst klappt keine Namensauflösung. Dann z.B. nur mal TCP 80 (HTTP). Damit ist dann an diesem Port nur Browser Betrieb möglich. Nichtmal auf gesicherte Seiten kommst du dann mit dem TestPC (HTTPS, TCP 443) !
Wenn du z.B. Emailen willst klappt das logischerweise auch nicht und wenn du dann in die Firewall Logs siehst, dann siehst du das dort SMTP, POP3, IMAP usw. geblockt sind !
Erlauben und schon gehts !
Das Firewall log ist da immer dein Freund beim checken und troubleshooten.
So kannst du dich einfach an die Regel Logik gewöhnen ! Ein Bild sagt mehr als 1000 Worte !
Und immer dran denken: "Regeln gelten NUR eingehend" und "First Match wins", d.h. der erste positive Hit in den FW Regeln bewirkt das die folgenden NICHT mehr abgearbeitet werden.
Deshalb ist auch die Reihenfolge der Regeln essentiell wichtig. Also vorher immer etwas nachdenken
Ansonsten wie immer....Frage hier posten !

Hallo AL
"..Nur das Speedport nicht, weiss nicht warum..?" OK, dann denke mal logisch nach !
Wenn der WAN Port der FW wie du selber schreibst auf PPPoE eingestellt ist, dann bekommt er ja dynamisch per PPP eine IP Adresse vom Internet Provider zugeteilt...soweit so gut.
Der Speedport ist jetzt als NUR Modem zwar auf PPPoE "Durchlass" geschaltet, was auch so sein soll, aber er behält seine statische Default IP Adresse am LAN Port (der ja mit dem WAN Port der FW Punkt zu Punkt verbunden ist !!) immer fest bei.
Diese feste IP am LAN Port wird logischerweise aktiv nie mehr genutzt da, wie gesagt, der Speedport als reines Modem ja nur noch "durchreicht".
Seine LAN IP Adresse, die default m.E. 192.168.2.1 /24 ist, ist also rein nur noch zum Managen da, mehr nicht !
Für die Kommunikation mit Internet usw. spielt sie keinerlei Rolle mehr, dann das macht ausschliesslich das WAN Interface der Firewall, deshalb auch die öffentliche IP Adresse und der Provider Router.
Soweit so gut... Angenommen das WAN Interface der FW bekommt nun dynamisch die 99.1.1.1 als öffentliche IP Adresse, WAS passiert nun wenn du aus dem LAN auf die 192.168.2.1 des Speedports zu greifen willst ??
Die siehst schon auf den allerersten Blick das schon ein Problem besteht:
WAN Port FW und LAN Port SP sind ja physisch zusammen in einem Netz, sollten also damit alles korrekt ist, im gleichen IP Netz liegen mit ihren IPs. Das ist schonmal garnicht gegeben 99.x.... und 192.x... passen ja nicht. Erstes Problem also !
Nun kommt dein LAN PC der mit seiner LAN Absender IP auf die 192.168.2.1 will, kommt an der FW an, die FW sieht in ihrer Routing Tabelle: "Wo ist mein 192.168.2.0 /24 Netzwerk ?" Findet das nicht da du ja andere IPs an der FW hast aber halt.... am Ende der Routing Tabelle sieht sie die Default Route die immer auf die IP Adresse des Providers am WAN Port zeigt. Tataa..also ab mit dem Paket da hin der weiss ja wo es hin muss ?!
Dorthin schickt sie jetzt das Paket und was passiert nun am Provder Router wenn der dein Paket bekommt ??
Logisch, der Provider Router "sieht" das dort was ankommt was eine nicht routebare IP Adresse hat als Ziel, denn 192.168.2.0 ist ein privates RFC 1918 IP Netz was NICHT im Internet geroutet wird !
Der Router schmeisst das Paket also kommentarlos in den Datenmülleimer. Ende !!
Auch wenn du direkt an der FW die 192.168.2.1 anpingst passiert wieder genau das !! Logisch, denn wie soll die Firewall auch wissen das eine 192.168.2er IP an ihrem 99.1.1.er Netz ist !!
Alles logisch, oder ? ...und kommt man eigentlich auch ganz schnell von selber drauf wenn man nur mal ein klein wenig nachdenkt und sich mal in ein IP Paket reinversetzt.... !
Nun das warum verstanden... ??

Es ist auch fraglich warum du auf dem SP rumfummeln willst wenn der klaglos als Modem rennt ist dor rein gar nichts mehr einzustellen ?!
Wenn der einmal als Modem rennt ist doch gut, da musst du nie wieder ran.
Für den Testbetrieb (wenn du denn unbedingt drauf zugreifen willst) lös es doch erstmal so das du statt direktem Kabel zw. WAN Port FW und LAN Port SP einen kleinen 5 Port Tischswitch einschleifst. Hier schliesst du einen PC an der auf seiner NIC statisch z.B. die 192.168.2.100 /24 konfiguriert hat. Über den PC kannst du dann testweise immer das Modem erreichen. Wie gesagt...eigentlich überflüssig !
Normal erreichst du es nur wenn der SP als Router betrieben wird, denn dann hast du ja ein bekanntes IP Netz zwischen WAN Port FW und LAN Port SP und es wird aktiv geroutet dazwischen. Dann ist der SP auch erreichbar aber eben nur als Router. Damit hast du dann wieder doppeltes NAT, und die oben genannten möglichen Probleme und genau die wollen wir ja vermeiden !

Nun zum DHCP Problem:
Das ist auch wieder logisch das du Probleme bekommen hast ! Wenn du DHCP verlegst und den DHCP Server auf der FW nicht customized, dann vergibt der an die Clients die FW IP als DNS Server.
Wollen die Clients also jetzt einen lokalen Namen auflösen wie z.B. den der Servers scheitern sie, da der Proxy DNS der FW den nicht kennt, und dann wieder den Provider DNS fragt. Bei lokalen Doamins versteht der natürlich nur "Bahnhof" logischerweise und nix geht.... also auch erklärbar wenn man nachdenkt
Du musst also den DHCP customizen auf der FW, das der die Server IP als DNS vergibt und der Server wiederum hat eine default Weiterleitung auf die DNS der FW ! Dann klappt auch DNS lokal und extern wie es soll !!
Das beantwortet nun auch schon deine 3te Frage wie du den DNS customized damit es klappt !!
Noch ein kosmetischer Tip: Man sollte niemals .local Root Domains intern verwenden, denn da kollidiert mit dem mDNS Protokoll und Bonjour Diensten, da die dies default verwenden. Also immer besser .intern oder .lokal benutzen.

Warum du es nicht lassen kannst und immer das WAN als Scheunentor konfigurierst ,zeigt leider das du das Thema sicheres Netzwerk nicht wirklich verinnerlicht hast, sorry !
Hier können doch niemals Blockaden auftreten !! Denn vom WAN, sprich DSL / Internet will doch ja niemand aktiv auf die FW zugreifen !!
Viel schlimmer noch mit * * eröffnest du allen Hackern und Angreifern freien Eintritt.
Das ist so als wenn du abends die Eingangstür deinen Hauses aushängst, und dort Schnittchen und Champagner mit einem Schild "Willkommen liebe Räuber !" postierst. Willst du das wirklich !?
Auf deinen beiden LAN Ports macht es hingegen Sinn für die Testphase und nur dann, wobei es beim Default LAN Port ja so oder so Default ist !
Siehst du auch wenn du dir die Regeln nach einem Factory reset ansiehst !!

Die Log Einträge im FW Log sagen das du vermutlich doch nicht alles freigegeben hast...zum Glück !
Die 80 79.246.35.5 ist deine PPPoE IP Am FW WAN Port (HURRAAA !! der Speedport funktioniert als Modem !!! IP sieht man auch unter Status -> Interfaces))
D.h. jemand mit der 37.58.72.238 als Absender IP Adresse versucht auf Port 80 (HTTP, Browser) deine Firewall zu erreichen !
Port 80 ist aber über die default Antilockout Rule der FW (die ist Default ! und lässt Port 80 Zugriffe zur Konfiguration NUR aus dem LAN zu !! Siehe Tutorial ! Lesen !!) Deshalb werden Port 80 HTTP Angriffe aus dem WAN auch weiter im Log angezeigt !!
Mach also den Unsinn mit dem Filter löschen auf dem WAN Port schnellstens rückgängig und lasse das im Default ! ...oder du hast ganz schnell ganz andere Probleme !

Fazit: Soweit rennt doch erstmal alles wie es soll, oder ?? Abgesehen von deinen Fehlversuchen oben wo du ja nun weisst (hoffentlich) woran es liegt ?!
Wir sind dann mal gesapnnt auf die FW Regel Session nächste Woche...es bleibt also spannend