Glasfaser mit eigener Firewall: Geht das auch ohne Bridge-Modus?

Teleboy: optimale Lösung

Mit Teleboy lässt sich meine eigene Firewall über einen Medienkonverter direkt am Glasfasernetz betreiben:

• Öffentliche IPv4 ohne CGNAT: Von aussen erreichbar für VPN, Fernzugriff und eigene Dienste.
• Kein zusätzlicher Provider-Router: Der Medienkonverter ersetzt die FRITZ!Box – ohne Bridge-Modus und ohne doppeltes NAT.
• Kompakte, günstige Lösung: Der Medienkonverter braucht wenig Platz und verbindet Glasfaser mit Ethernet.
• Volle Kontrolle: Routing, Firewall-Regeln, VPN und Portweiterleitungen verwalte ich auf meiner eigenen Firewall.
• Solide Provider-Infrastruktur: Teleboy nutzt für den Internetzugang die Infrastruktur von iWay auf dem Swisscom-Glasfasernetz.

Diese Lösung bezieht sich auf meinen AON-Glasfaseranschluss mit bis zu 1 Gbit/s und lässt sich nicht unverändert auf XGS-PON übertragen.

Meine Erfahrungen mit Bestellung, Installation und Support sowie die allgemeinen Vorteile von Teleboy findest du in meinem ersten Erfahrungsbericht zu Teleboy.

Glasfaser mit eigener Firewall

Das Problem: Kein Bridge-Modus

Einen günstigen Internetanschluss für den Fernzugriff zu finden, ist schwieriger als gedacht. Viele Angebote bieten keine öffentliche IPv4-Adresse oder setzen auf CGNAT. Damit sind direkte eingehende IPv4-Verbindungen für VPN und eigene Dienste nicht möglich. Teleboy erfüllt an meinem Anschluss diese Voraussetzung – doch die mitgelieferte FRITZ!Box bietet keinen Bridge-Modus.

Die Lösung: Ein Medienkonverter

Einen anderen Router nur für den Bridge-Modus anzuschaffen ist unnötig. Ein Medienkonverter wandelt das optische Glasfasersignal in ein elektrisches Ethernet-Signal für den RJ45-Anschluss der eigenen Firewall um.

Diese Lösung ist günstig, platzsparend und stromsparend. Die eigene Firewall übernimmt sämtliche Netzwerkaufgaben, die FRITZ!Box wird nicht mehr benötigt.

Gewählter Medienkonverter

Bei der Auswahl waren mir ein kompaktes Format, ein günstiger Preis und ein möglichst geringer Stromverbrauch wichtig. Die Stromversorgung sollte ohne separates Netzteil über USB oder PoE erfolgen. Meinen Medienkonverter versorge ich direkt über den USB-Anschluss der Firewall.

Benötigt wird nur der Medienkonverter ohne SFP-Modul – das FRITZ!SFP-AON-Modul wird einfach aus der FRITZ!Box entnommen und dort eingesetzt.

Installation des Medienkonverters

Diese Anleitung habe ich mit einem AON-Glasfaseranschluss mit bis zu 1 Gbit/s in der Praxis getestet. Ich empfehle, zuerst die FRITZ!Box in Betrieb zu nehmen und die Internetverbindung zu prüfen. So weisst du, dass der Anschluss funktioniert, bevor du auf deine eigene Firewall umstellst. Die Einrichtung beschreibe ich in meinem Teleboy-Erfahrungsbericht.

1. SFP-Modul umstecken

Trenne die FRITZ!Box vom Strom und ziehe das Glasfaserkabel vorsichtig vom SFP-Modul ab. Entnimm anschliessend das FRITZ!SFP-AON-Modul aus der FRITZ!Box und stecke es in den ausgeschalteten Medienkonverter, bis es einrastet.

2. Kabel anschliessen

Verbinde die Glasfaserdose mit dem SFP-Modul im Medienkonverter und dessen Ethernet-Anschluss mit dem WAN-Port deiner Firewall. Schliesse zuletzt das USB-Kabel zur Stromversorgung an. Alternativ lässt sich der Medienkonverter über einen kompatiblen PoE-Anschluss versorgen – dann entfällt das USB-Kabel.

Bei aktiver Verbindung leuchtet auf der Glasfaserseite die hellgrüne LED. Am Ethernet-Anschluss leuchtet FX/ACT gelb und TX grün.

Gesamtinstallation

Hinweis: Das AON-Modul wird im Betrieb heiss und überträgt die Wärme auf das Metallgehäuse des Medienkonverters. Um die Wärme besser zu verteilen, habe ich den Medienkonverter mit Kabelbindern an einem handelsüblichen Metallprofil aus dem Baumarkt befestigt. Diese einfache Lösung funktioniert bestens.

3. Firewall konfigurieren

Der WAN-Anschluss muss über VLAN 10 kommunizieren. Ohne dieses VLAN erhält das Interface keine IPv4-Adresse per DHCP.

Im Internet finden sich unterschiedliche Angaben zu zusätzlichen DHCP-Einstellungen, ist aber nicht nötig. Die funktionierende Konfiguration herauszufinden, war deshalb nicht ganz einfach. Hinzu kommt die DHCP-Lease: Eine bestehende Zuweisung kann noch längere Zeit an die MAC-Adresse des bisherigen Routers gebunden bleiben und den Wechsel auf die Firewall verzögern. Damit war zunächst unklar, ob meine Einstellungen falsch waren oder die bisherige Lease noch nicht freigegeben war.

In meinem Netzwerk kommt eine OPNSense Firewall zum Einsatz. Nachfolgend die Konfiguration für OPNSense.

3.1 VLAN 10 erstellen

Erstelle unter Schnittstellen > Geräte > VLAN einen neuen Eintrag. Wähle als übergeordnetes Gerät den physischen Anschluss zum Medienkonverter (WAN) und trage als VLAN-Tag 10 ein. Die VLAN-Priorität bleibt auf dem Standardwert 0. Anschliessend speichern und die Änderungen anwenden.

3.2 WLAN-Interface aktivieren

Benenne das VLAN-Interface in TELEBOY_WAN um, aktiviere es und wähle als IPv4-Konfigurationstyp DHCP. Deaktiviere anschliessend das bisherige WAN-Interface. Speichere die Einstellungen, wende die Änderungen an und starte die Firewall neu.

3.3 Verbindung prüfen

Unter Schnittstellen > Überblick lässt sich die Verbindung prüfen. Beim Interface TELEBOY_WAN sollte nun eine per DHCP zugewiesene öffentliche IPv4-Adresse angezeigt werden.

Mein Fazit: Teleboy mit eigener Firewall

Auch nach der Einrichtung kann ich bisher nur Positives über Teleboy sagen: ein günstiges Internetabo, eine stabile Verbindung, eine öffentliche dynamische IPv4-Adresse und ein Support, der auch technische Fragen schnell und kompetent beantwortet.

Die Lösung mit eigener Firewall und Medienkonverter war vor der Bestellung nicht in allen Details klar. Wenn man aber weiss, was benötigt wird, ist der Aufbau erstaunlich einfach. Genau deshalb habe ich diesen Beitrag geschrieben – damit technisch versierte Nutzer schneller zum Ziel kommen und nicht dieselben Abklärungen nochmals machen müssen.

Für mich ist Teleboy damit besonders interessant, wenn man seinen Anschluss selbst kontrollieren möchte, Remote-Zugriffe benötigt oder eine eigene Firewall betreibt. Meine öffentliche IPv4-Adresse wechselt bisher nur sehr selten, was im Alltag zusätzlich praktisch ist.

Möchtest du ebenfalls zu Teleboy wechseln? Gib bei der Bestellung meinen Empfehlungscode HOME-TAFA7JUG ein. Damit erhalten wir beide jeweils 50 CHF Gutschrift.

Was andere Kunden sagen

Auch technisch versierte Nutzer berichten von positiven Erfahrungen mit Teleboy – etwa mit eigener Hardware, stabiler Verbindung, gutem Support und überzeugender Leistung.