Zyxel Speedlink 5501 PPPoE PassThrough

Wieso soll Sprache nicht mehr funktionieren? Du höngst hinter die Zywall eine Fritzbox (oder eine IP-Telefonanlage) als VOIP-ISDN-Wandler und sagst der Zywall, daß sie VOIP druchlassen soll (ggf. auf VLAN-IDs achten).

lks

Hallo,

Ok ist auch heute Gang und Gebe, nur wie schnell ist der denn nun genau und was für ein
Anschluss ist das denn genau? Business, privat, mit oder ohne statischer IP, 100 oder
500 MBit/s, synchron oder asynchron?

Der kann aber kein VPN und auch kein "VPN passthrough"!

Auszug aus dem Handbuch:
Indem Sie eine der Optionen VPN, Audio/Video, Anwendung oder Server auswählen, werden passende
Dienste in der Dropdown-Liste unter Anwendungen angeboten. Wählen Sie den entsprechenden Dienst
in der Dropdown-Liste aus und klicken Sie auf die Schaltfläche Kopieren. Damit werden Voreinstellungen
für das Protokoll und den Portbereich unter LAN-Port und Öffentlicher Port eingetragen. Sollte der
angegebene Portbereich von dem benötigten abweichen, können Sie diesen ändern.

Sollte eigentlich nicht funktionieren da ja der Zyxel Speedlink 5501 kein VPN unterstützt.

Ok das ist dann schon etwas anderes, aber die Frage wäre ja jetzt auch erst einmal an was denn
weitergeleitet werden sollte?

Wo steht die denn bitte genau? Kannst Du nicht einmal eine kleine Zeichnung machen die uns
allen verdeutlicht wo was steht und von wo nach wo die Verbindung laufen soll?

Sollte da nicht besser ein VPN Passthrough genommen werden?

Ich auch nicht ehrlich gesagt!

Gibt es dort etwas wie "Exposed Host" was man nur für einen LAN Port am Speedlink aktivieren kann!?

Auszugs-Quelle

Zyxel Speedlink 5501 Handbuch

Gruß
Dobby

Auszug aus dem Handbuch dazu:
Übersichtspunkt PPPoE Pass Through
PPPoE Pass Through ermöglicht den transparenten Betrieb des Routers und den Aufbau
einer zusätzlichen Internetverbindung aus dem Heimnetz. Sie können mit einem an den
Speedlink 5501 angeschlossenen Computer bzw. Router, an welchen selbst ein anderer
Internetanbieter konfiguriert ist, eine weitere Internetverbindung aufbauen.

Also so wie ich das sehe kann der Speedlink ja PPPoE Passthrough, also sollte man das doch
einmal einstellen und dann weiter sehen, allerdings wird hier immer nur davon gesprochen, dass
man eine zusätzliche Internetverbindung aufbauen kann und nicht die am Speedlink ersetzen kann.

Gruß
Dobby

: Auszugs-Quelle : Zyxel Speedlink 5501 Handbuch

da wird man bei der telekom allerdings Pech haben, da die imerm nur eine Einwahl zulassen, d.h. wenn der Speedlink schon eingewählt ist, kann sich die Zyxel nicht mehr einwählen.

das mit dem pppoE-Passthrough war früher ganz praktisch, als man scih noch bei mehren Providern gleichzeitig einwählen konnte. (Das war zu der Zeit, als Zeit- und Volumentarife (1GB/Monat oder so) üblich waren und Flatrates ein ferner Wunschtraum).

lks

Lasst den Speedlink gegen eine Digitalisierungsbox Premium austauschen.

Welche VPN Methoden unterstützt denn diese Box?

Gruß
Dobby

IPSec wird unterstützt.

Und wenn ich eine VPN - Verbindung über den Assistenten einrichte, werden vom System 6 NAT-Einträge angelegt, und da gehört u.a. dann auch ESP dazu. Von daher gehe ich davon aus, das es auch funktionieren sollte, wenn man ein VPN Gateway dahinter hängt.

Ich hatte denselben Eiertanz und habs so gelöst:

Problemstellung:
Eine Interneteinwahl soll durch den Kundenrouter (nachfolgend KR) erfolgen, bisher mit ADSL kein Problem,
da hatte ich 1-2 Vaderfone Boxen für den Stückpreis einer Schachtel Zigaretten besorgt.
Der Anschluss wurde auf VDSL umgestellt, um die Bandbreiten-Anforderungen abzudecken.
Da seit Umstellung auf VDSL auch ein paar Telefonnummern mitgekommen sind, wurde als Kompromiss
ein Speedlink 5501 (eigentlich ein Sphairon-Gerät, nachfolgend SL) beschafft, damit
sowohl Telefonie als auch VDSL ohne Anschaffung von mehreren Geräten möglich ist.

1. Defizite herausststellen, das vereinfacht die Lösungsentwicklung

1.1. Firewall Management oder auch "Wo ist DMZ?"
Da der SL selbst Router sein möchte, arbeitet er mit NAT und wenn ich nen KR dahinter anschließe,
hätte ich dank double NAT neben doppelter Firewallverwaltung noch andere, lustige Überraschungen.
Ich möchte die Firewall also nur am KR konfigurieren müssen, Thema Logging, Konfig....!
(Fast) Jeder Router-Hersteller bietet ab Werk die Funktion DMZ an, also sollte das flink möglich sein - denkste,
denn der SL hat diese Funktion NICHT. Eine Lösung soll sein, dass an nur einem
Zugriffspunkt die Firewall konfiguriert werden kann.

1.2. WLAN PSK mit den unbequemen Zeichen
Fürs Gäste-WLAN hatte ich angedacht, das 2+5 GHz Band mit WPA2-PSK und Zeitplan zu nutzen.
Bisher haben sich alle einen AccessPoint geteilt, der nun entlastet werden könnte - soweit die Theorie.
Bei der Wahl des gewünschten PSK sollte man jedoch das Handbuch zu Rate ziehen,
denn nur weil man einen PSK konfigurieren kann, heisst es NICHT, dass dieser auch funktioniert!
Konkret heisst dies, dass nur gewisse Zeichen erlaubt sind, eine Raute -->#<-- ist z.B. nicht dabei.
Nun lief es tatsächlich so, dass ich einen PSK mit Raute verproben wollte und sich dieser auch einstellen liess,
ein Verbindungsaufbau mit verschiedenen Geräten (Windows, Mac, Android) verlief erfolglos und
es wurde auch KEIN Fehler ausgegeben, dass die Zeichen unzulässig sind - großartig!
Die funktionierend möglichen Zeichen sind im Telekom Speedlink 5501-Handbuch S.47 nachzulesen.
Eine priprietäre Einschränkung in Sachen PSK Zeichenvorat ist nicht tragbar und daher wurden die
WLAN Interfaces und WPS-Knöpfe sicherheitshalber deaktiviert. Die Lösung war ein neuer AccessPoint,
der seine Aufgabe perfekt erledigt.

1.3. Port-Forwarding mit Fäule
In anderen Foren wurde herausgestellt, dass die Portweiterleitungen nach einer
nicht deterministischen Zeitspanne rausfliegen - besonders schön, wenn man nen VPN-Server nutzen möchte
und die Einwahl zu Wartungszwecken fehlschlägt, weil der Forward rausgeflogen ist.
Diesen Fehler konnte ich in 2 Monaten jedoch nicht nachstellen bzw. verfizieren.

1.4. GUI Reaktionszeit
Natürlich ist die Geschwindigkeit der GUI, welche nur selten und dann zu Administrationszwecken genutzt wird,
nicht als belastbares Kriterium heranzuziehen aber wer ein Negativbeispiel in Sachen Geschwindigkeit
erleben möchte, der möge sich solch ein SL beschaffen. Derart langsam, sodass ein Browser
mitunter nen Timeout schmeisst, wenn man in den Menübäumen navigiert. Meine Lösung sieht so aus,
dass ich alle möglichen Konfig-Aufgaben vom SL trenne und am KR durchführe.

1.5. Automatische Provisionierung
Ein nicht konfigurierter Router holt sich selbsttätig seine Konfig und man spart sich die Eingabe sämtlicher Daten.
Das ist schon sehr bequem, allerdings für dieses Szenario gefährlich, weil wir keine normale ISP Einwahl vom SL durchführen lassen wollen.
Eine Mehrfacheinwahl an einem DTAG-VDSL Anschluss mit gleichen Einwahldaten ist m.E. nicht möglich,
daher muss die Lösung sein, dass ein PPPoE-Client am KR die Einwahl ausführt und die Einwahldaten
dem SL "weggenommen" werden. Diesen Sachverhalt muss man im Hinterkopf behalten!


2. Falschinformationen aufklären
Vorwort: Das Entkräften der Techniker-Ratschläge geschah Stück für Stück mit viel Zeit und noch mehr Fluchen

2.1. Der KR muss an den WANoE Port des SL
Mir wurde erzählt, dass der KR an den WANoE Port des SL angeschlossen werden muss, um
PPPoE-Passthrough (nachfolgend PPPoE-PT) zu nutzen.
Dies ist schlichtweg Unsinn, denn der WANoE Port ist dafür da,
dass man sich mit dem SL irgendwoanders einwählen kann. Um PPPoE-PT zu nutzen,
kann man jeden Ethernetport des internen Switches nehmen, es gibt 2x100MBit und 2xGBit.

2.2. VDSL-VLAN7 am SL
Mir wurde erzählt, dass in den SL-Einstellungen im Untermenü der ISP-Einstellungen unweit der
PPPoE-PT-Einstellungen noch VLAN7 selektiert werden muss. Dies ist falsch, denn der KR soll sich einwählen,
nicht der SL. Die ISP Settings am SL sind primär dafür da, dass sich der SL einwählt,
also für uns nur begrenzt relevant, zumal wir eine SL-Einwahl unterbinden wollen.
Es reicht, lediglich den Haken bei PPPoE-PT zu setzen.

2.3. VLAN7 am KR
Mir wurde erzählt, dass eine PPPoE-Einwahl am KR erfolgen kann, wenn VLAN 7 genutzt würde.
Dies ist Unsinn, Grund s.2.2., eine Falsifikation habe ich dennoch unternommen
und wer hätte es gedacht: Einwahl am KR nebst VLAN7 geht nicht!
Es muss überhaupt kein VLAN am KR-Interface für die Einwahl eingerichtet werden, PPPoE genügt.


3. Der Praxisteil

3.1. Bestandsaufnahme oder Sicherung der notwendigen Informationen
Es muss herausgefunden werden, was für einen Anschluss wir vor uns haben (ADSL, VDSL, Entertain, Bockwurst) und
natürlich sind die passenden Zugangsdaten sinnvoll. Die Daten am besten in ein Textdokument kippen,
das vereinfacht die PPPoE Konfig.
Die Frage nach der Anschlussart lässt sich einfach beantworten, indem man den automatischen Assistenten
bei erstmaliger SL-Inbetriebnahme mal durchlaufen lässt - es dauert rund eine Bierlänge

3.2. Den SL an der Einwahl hindern
Zunächst wird das Gerät mittels Menüpunkt auf Werkseinstellungen zurückgesetzt, startet neu und
fragt nach Passwort und startet die Autokonfig/Provisionierung. Dieser Prozess muss unterbrochen
werden durch die gleichnamige Schaltfläche in der GUI.
Dann wählt man den Anschluss aus, welchen man nutzt, z.B. "VDSL (Entertain ready)" aber
entscheidet sich, die automatischen Einstellungen NICHT setzen zu lassen.
Erst dann kann man (im Nachgang) die Zugangsdaten manuell einpflegen. Nachdem die Auswahl-spezifischen
Anschlusseinstellungen durchgelaufen sind, ist in der GUI des SL unter ISP Einstellungen die Anzeige,
welche Zugangsdaten genutzt werden - hier steht nix drin und das Pulldown Menü des ISP
steht auf "Sonstige Anbieter". Eigentlich super, weil wir keine Daten eingeben wollen,
sondern nur PPPoE-PT wollen aber was passiert, wenn man PPPoE-PT aktiviert und das Menü verlassen will?
Richtig: Die GUI verweigert dies, weil keine ISP Settings vorhanden sind - Deadlock!
Das Problem lösen wir, indem wir vorsätzlich Falschdaten liefern.

Man selektiert nun seinen Anschlussinhaber (hier Telekom) und bei der Befüllung der Datenfelder
baut man einen Fehler ein, indem man die letzte Stelle der Anschlusskennung entfernt - der Rest darf bleiben.
Wichtig ist dabei das Entfernen einer Ziffer, denn wenn man einfach eine Ziffer ändert,
generiert man ggf. eine Falscheinwahl bei der T-Com und sperrt folglich einen anderen User mit der ID.
Nun kann sich der SL nicht mehr einwählen - zumindest nicht mit unseren T-Online Daten!

Den Haken bei PPPoE-PT nicht vergessen!

3.3. SL Basiskonfig
Da der SL nichts wirklich können soll, außer Telefone zu versorgen und DSL Modem zu spielen,
richtet man die Telefonie ein (welches Gerät/Rufnummer hängt wo, etc.). Danach habe ich die
WLAN Interfaces aus Gründen (s.1.2.) abgeschaltet.
Nicht wundern, wenn eine aktive Internetverbindung angezeigt wird, obwohl keine Daten enthalten sind,
zur Telefonie wird eine weitere, nicht sichtbare Konfig incl. Einwahl genutzt.
Auf weitere Konfig am SL möchte ich hier nicht eingehen, weil dies zur Zielerreichung nicht notwendig ist,
dies mag jeder selbst entscheiden, was er noch zur Zufriedenheit konfigurieren will.

3.4. KR Konfig
Der KR Router braucht lediglich einen PPPoE-Client an seinem Interface zum WAN, es muss hier
kein VLAN am Interface konfiguriert werden.
Der Einwahlname besteht aus "[Anschlusskennung][Zugangsnummer]0001@t-online.de" ohne "".
Ein Einwahltest ist immer Ratsam!
Nun kann man die restliche KR-Konfig gemäß Anforderung umsetzen

Fazit:
Ich hoffe, dass meine Erfahrungen mit der Gerätekonstellation für andere sinnvoll sind,
weil der technische Geschäftskundensupport offenkundig nicht überall das notwendige Prozesswissen
zur Inbetriebnahme besitzt und ich anderen die Ärgereien ersparen möchte.

Wenn es noch Fragen gibt, ruhig her damit!

Grüße, Wurstus

P.S.: Es wurde als KR ein Mikrotik RB951 und als AP ein Ubiquiti UAP-AC eingesetzt.

Wau, das ist ja hochinteressant! Die Telefonie funktioniert eigentlich nur mit PPPoE Einwahl. Das macht aber in diesem Fall ja der KR. Wenn ich das richtig verstanden habe, hängen die Telefone aber am SL. Passthrough wird anders als bei Vodafone und O2 von der Telekom nicht unterstützt. Dann geht wohl der SL irgendwie über den KR ins Internet, sonst dürfte die Telefonie ja eigentlich nicht funktionieren.
Oder übersehe ich hier etwas?
Gruß Duffo

PPPoE-passthrouh ist ein feture des Routers und nicht des Providers.

Was allerdins vom Provider abhängt ist die mehrfache "Einwahl" per PPPoE. Das hat früher an den T-DSL-Leitungen der Telekom prgoblemlos funktioniert, ist aber inzwischen, iirc, bei den meisten Anschlüssen abgestellt.

lks

Das ist mir so schon bekannt. Nur bei Wurstus wird ja über den Zyxel-Router keine Einwahl vorgenommen. Er hat also keine zwei WAN-IPs. Mir ist unklar wieso bei ihm die Telefonie dennoch funktioniert.
Gruß Duffo

Wie oben geschildert, wird die Telefonie durch eine separierte Verbindung durchgeführt, die nur via Fernkonfig durch den Techsupport konfiguriert werden kann. Hierzu musste einmal TCP443 reinleiten und RemoteKonfig aktivieren.

Ein heißes Thema, da dieses Sznenario nun wohl in allen kleinen und mittelgroßen Büros ein echtes Problem wird. Ganz hab ich es aber mit der Telefonie leider immer noch nicht verstanden.

"zur Telefonie wird eine weitere, nicht sichtbare Konfig incl. Einwahl genutzt."; "nur via Fernkonfig durch den Techsupport"

Bedeuetet dies, dass die Telekom das auf besonderen Wunsch vorgenommen hat?

Gruß duffo

Im Endeffekt haben sie das vorgenommen, weil ich explizit PPPoE-PT wollte.
Die Telefonie ging bei uns von Anfang an nicht, somit waren es u.U. ungünstige Startvoraussetzungen.

Da der Prozess kostenneutral verlief, empfiehlt es sich entweder, den Prozess vorher genau mit dem Geschäftskundenberater (neudeutsch TAM) abzustimmen, dann manuell zu begleiten oder eine Installation nach Vorgaben zu beauftragen, sodass dann ein SI (T-Com Speake: Systemingenieur) den ganzen Kram lokal umsetzt.
Da ich recht genau wusste, was ich brauche, hab ich mich gegen den SI-Einsatz entschieden.
Im Nachhinein hat jedoch mein Aufwand incl. Eiertanz und Ticket-Pingpong den SI-Einsatz monetär überschritten.

Danke für die schnelle Antwort. Aber das ist verdammt gut zu wissen! Ich google da schon eine ganze Weile herum, welche Optionen man da hat.Und die ganze Durchrouterei ist eben nicht das gelbe vom Ei.
Bei Vodafone und O2 (zumindest bei ADSL) ist das ja kein Problem, weil dort eine Zweiteinwahl gestattet ist. In der O2 Box einfach PT anklicken und das wars. Bei Vodafone hat die Easybox zwei (oder drei) virtuelle DSL Ports (sogenannte ATMs). Die Telekom kann das nun also auch, nur nicht standardmäßig...
Ich werde mal bei meinen GKB-TAM und TCS-SI eine AAF (allgemeine Anfrage) starten
Gruß Duffo

Hallo Wurstus.

Vielen Dank für die umfangreiche Anleitung, mit der ich mich jetzt schon einige Zeit beschäftige - im Grunde DIE Lösung für unser Problem, aber...

Ich habe die Schritte im Detail so umgesetzt, erhalte aber leider nicht das gewünschte Ziel.
Die Telefonleitungen werden nicht synchronisiert und die nachgeschaltete Firewall (eine Watchguard XTM22, soll in Kürze durch eine T30 ersetzt werden) kann sich nicht einwählen.

Habe alternativ mal versucht, eine PPPoE-Einwahl über einen Laptop-Client auszuführen - ging auch nicht.

Muss denn an der Leitung noch etwas durch die Telekom gesondert eingestellt werden? - Wir brauchen auch die Telefone VOR der Firewall (werden über S0 in eine TK-Anlage geführt) und die Einwahl durch die WG, da ein externer VPN-Zugriff (IPSec) über feste IP realisiert werden muss.

Der Verzweiflungsgrad katapultiert sich ins' unermessliche...

Für einen hilfreichen Kommentar vielen Dank.

Red

Zunächst stelle bitte die Kernprobleme heraus, auf die sich dann konzentriert werden kann.
Bisher sehe ich bei dir:
1. Telefonleitungen nicht synchron
Prüfe den Status am SL mit dem ollen Globus und den Telefon Piktogrammen auf dessen Status-Seite.
2. PPPoE geht nicht
Ist der Haken gesetzt? Schonmal gut, dass du mit zwei Geräten getestet hast. Was sagt der Status, ist die Leitung up? Was sind die Fehlermeldungen?
3. Gesonderte Einstellungen nötig?
Es ist durch die Telekoma zu beauftragen, dass sich der SL nicht automatisch einwählt. Bei mir ging nämlich auch die Provisionierung ins Leere.

Schlussendlich sind aber 1+2 ausreichend, um beim TechSupport ein Ticket zu eröffnen, da hier viel Providerconfig mit reinspielt, die du nicht siehst.

Grüße, Wursti

Genau, hast Du z.B. einen der neuen BNG Anschlüsse, geht hinter dem Zyxel gar nix, da der sich automatisch die Zugangsdaten holt und ein PPOoE veranstaltet,
Gruß Duffo

Guten Morgen und erst einmal vielen Dank für die Kommentierungen!

@Duffo24:
Ich habe von der Telekom klassische Zugangsdaten zur Einwahl für den ALL-IP VDSL100 mit fester IP erhalten, dürfte also kein BNG-Anschluss sein.

@Wurstus:
1. Leitungen
Wenn ich die Autokonfiguration durchlaufen lasse, geht ja alles - das ist es ja auch, weshalb sich Verzweiflung breit macht. Die Daten entsprechen dann auch den Zugangsdaten, die mir postalisch zugegangen sind.

2. PPPoE
Ja, der Haken ist gesetzt - allerdings kann ich das nicht direkt in der manuellen Konfiguration bei Abbruch der automatischen Einrichtung anhaken, sondern erst, nachdem die manuelle Einrichtung abgeschlossen ist - erst dann ist das Feld in den Optionen sichtbar.

3. Gesonderte (externe) Einstellung
Ich werde bei der Telekom die automatische Einwahl dekativieren lassen und dann noch einmal neu von vorne anfangen - vielleicht ist da ja der Ursprung zu finden.

Werde über den Fortgang berichten.

Red