Zugriff zwischen 2 (Sub)Netzen

Pi Bi Wie schrieb:
> gibt es so etwas auch als OSS?

Für "schnell mal eben" gibt es inzwischen sehr viele und überraschend 
brauchbare online Editoren, z.B.: https://app.diagrams.net

Zum Thema, ich verstehe nicht so ganz, wie du da eine sinnvolle Trennung 
erreicht hast. Der zweite Router im LAN kann doch grundsätzlich auch 
alle Clients in genau diesem LAN erreichen, weil er selbst Teilnehmer 
ist.

Mein Vorschlag wäre du wirfst die Telekom Kiste raus und setzt mit 
OpenWRT o.ä. einen eigenen Router auf. Der kann dann mehrere Netzbereich 
z.B. per VLAN sauber trennen und routen.

Oss "Ersatz" für Visio:
https://www.draw.io/index.html
https://github.com/jgraph/drawio

Sorry für die späte Antwort, ich hatte 24Std Dienst, ich bin Fachfremd 
und komme
zu euch wenn eines euerer Experimente abbrennt :)

@prx
"Mit etwas Glück kannst du im äußeren Router ein IP Routing eintragen.
Dass also das Netz des inneren Routers über dessen Adresse im äußeren
Netz erreichbar ist. Bei Fritzen geht's wohl, die Speedcoms kenne ich
nicht."

Das geht beim dem Telekom Router leider nicht, oder ich finde nichts 
entsprechendes

@Andre
"Zum Thema, ich verstehe nicht so ganz, wie du da eine sinnvolle 
Trennung
erreicht hast. Der zweite Router im LAN kann doch grundsätzlich auch
alle Clients in genau diesem LAN erreichen, weil er selbst Teilnehmer
ist."

Ja, in genau seinem eigenen Netz aber nicht in dem Vorgelagerten.

Auf dem 2.Router läuft nur NAT um die internen IP umzubiegen z.B.
192.168.2.250:666 ist Pi1, 192.168.2.250:888 ist die Weterstation und so 
weiter, eine Firewall läuft da nicht.

Die Telekom Kiste fliegt demnächst raus wenn ich Glasfaser bekomme, ich 
möchte
das ganze einfach nicht 2x einrichten.

Pi Bi Wie schrieb:
> Auf dem 2.Router läuft nur NAT um die internen IP umzubiegen z.B.
> 192.168.2.250:666 ist Pi1, 192.168.2.250:888 ist die Weterstation und so
> weiter, eine Firewall läuft da nicht.

Du kannst sicherlich aus dem 192.168.2.x auch auf die 192.168.168.x 
zugreifen, wenn im Hauptrouter die 192.168.2.250 als Gateway definiert 
ist.

Da Du aber auch deren Antworten brauchst, müssen umgekehrt die 
192.168.168.x ihre 192.168.168.250 als Gateway zum 192.168.2-Netz 
kennen. Damit hat sich dann aber die Trennung erledigt, man könnte sie 
genauso in ein gemeinsames Netz packen!

Ich denke, ohne Firewall im Sinne IP-basierter Routingregeln geht keine 
Trennung.

Ich habe solche Spielchen NAT hinter NAT schon gebaut, aber nicht mit 
Teledoof-Schachteln, sondern professioneller Technik. Auch da hat es 
eine Weile gedauert, auf Anhieb aus dem Ärmel bekomme ich das nicht hin.

Warum nicht einfach den IoT Kram und alles was nicht auf das interne 
Netz/NAS zugreifen soll hinter den 2. Router klemmen?

NAS kann auf vorgelagertes Netz zugreifen, aber von dort ist kein 
Zugriff in das 2. Netz möglich.

Da spart man sich automatisch jede zusätzliche Einrichtung und hat eine 
saubere Trennung.