Glasfaser Nordwest, PLZ 26524, OPNsense, SFP+, Transceiver, VLANs?

    Moin. Ich möchte für zwei neu gebaute (Glasfaser Nordwest, PLZ 26524) Glasfaseranschlüsse eigene Firewalls verwenden und den Kauf unnötiger Hardware vermeiden. Meine Firewalls unterstützen SFP+, aber ich habe keine Ahnung, was für Transceiver ich benötige, um mit den Glasfaseranschlüssen zu kommunizieren.

    Was mir auch nicht klar ist, ist welche "Sprache" zwischen dem Glasfaseranschluss (HÜP?) und meinen lokalen Geräten gesprochen wird. Ist das irgendein obskures Protokoll oder kommt da bei mir DHCPv4/-v6 an? Erwartet die Gegenseite ein bestimmtes VLAN? Kann OPNsense das mit Bordmitteln (oder wenig Verrenkungen)? OpenWRT möchte ich vermeiden.

    Gesamtsituation

    Mein Haus und das Haus meiner Eltern sind relativ lang und ich brauche mehrere getrennte Segmente für verschiedene Zwecke. Daher habe ich Verlegekabel, mehrere VLAN-fähige Switches (inkl. SFP+) und mehrere VLAN-fähige Access Points im Einsatz. Außerdem verwende ich OPNsense-basierte Firewall Appliances, die SFP+ unterstützen. Die Verlegekabel sind Kupfer, aber für einen Teil der Hausverkabelung habe ich auch Glasfaser (LC-LC OM3/OM4 Duplex). Ausbau in PLZ 26524 erfolgt über Glasfaser Nordwest. Für meine Eltern habe ich via EWE bestellt, für mich selbst via Telekom Geschäftskunden. Wenn ich bei EWE bestelle, wird die FRITZ!Box 5690 mit angeboten. Bei der Telekom gibt's ein SFP+-Modul (oder SFP?) inklusive. Wenn ich mir die FRITZ!Box 5690 angucke, sehe ich links einen grünen, scheinbar festverbauten Simplex-Port beschriftet mit "Fiber" statt eines SFP-/SFP+-Moduls.

    [Blockierte Grafik: https://fritz.com/cdn/shop/files/fritzbox_5690_anschlussgrafik_2000x2000_de.webp?v=1759300839&width=2000]

    Willkommen im Forum!

    Hier gibt es einen Thread, der sich mit dnn Topologien und Einwahldaten auseinandersetzt: Übersicht VLAN-IDs und Einwahlkonfigurationen verschiedener Anbieter

    Du wirst ohne ein GPON Modul nicht herumkommen, mit deinen Worten gesprochen ein exotisches Protokoll. Die GPON-Sticks sind jedoch für sich betrachtet schon das Gf-Modem. Ob Du ein Modul von FS.com, Luleey oder Zyxel (diese drei sind die gängigsten im Handel verfügbar en) nutzt, ist deine Sache. Durchsuche mal das Forum und mache dir ein eigenes Bild. Ein AVM GPON Modul funktioniert ausschließlich in Fritzen, darum musst Du dich nicht kümmern.

    Ein wichtiger Punkt: GPON Hardware muss immer durch den Provider provisioniert sein/werden. Einfach anschließen funktioniert in dieser Form erstmal nicht. Nach dem Telekommunikationsgesetz ist der Provider hierzu verpflichtet, jedoch stellen sich da viele quer. Da hilft in vielen Fällen nur das Einschalten der Verbraucherzentrale und der Bundesnetzagentur. Fälschlicherweise wird von der Routerfrei* gesprochen, dies es im TKG gar nicht gibt. Endgerätewahlfreiheit (nicht nur Router, sondern auch Modems) ist der weitreichendere und korrekte Begriff.

    Im FTTH-Umfeld wird mit Singlemode/OS2 Kabeln in Simplex Ausführung (RX und TX werden mit unterschiedlichen Wellenlängen über eine gemeinsame Faser übertragen) und nicht mit Multimode gearbeitet. Gängige Konnektoren sind LC/APC oder SC/APC. Das betrifft jedoch nur den WAN-Teil. Wie Du dein LAN aufbaust ist dir vorbehalten.

    Riesendank schonmal, das ist sehr hilfreich.

    Spricht etwas dagegen, direkt am HÜP einen Switch anzuschließen (Tagged VLAN 7 laut Übersicht VLAN-IDs und Einwahlkonfigurationen verschiedener Anbieter, wenn ich die Tabelle richtig verstehe) und das dann an meine Firewall durchzureichen? Und die Firewall muss dann PPPoE machen?

    Zumindest die EWE scheint sich bzgl. Endgerätewahlfreiheit nicht zu sehr anzustellen. Die "Modem-ID" im zitierten Text ist dann die ID der GPON-Hardware?

  • Tipp: Jetzt kostenlos registrieren, mitmachen und das Forum ohne Werbebanner nutzen.

    Grundsätzlich spricht nichts dagegen am HÜP (oder meinst Du Gf-TA?) das SFP (ohne Plus) GPON Modul anzuschließen. Du solltest nur darauf achten, das die elektrische Seite des Moduls lediglich mit dem WAN-Port der OpenSense kommunizieren kann.

    Und ja, deine OpenSense ist für PPPoE zuständig.

    Die Modem-ID ist synonym zu GPON-Serial und beginnt in der üblichen Form mit 4 Buchstaben, gefolgt von 8 Hexwerten, manchmal sind die ersten 4 Zeichen Hex codiert. Welche Variante der ONU Vendor ID zum Einsatz kommt, musst Du herausfinden: https://hack-gpon.org/vendor/

    Okay, also sinngemäß:

    • SFP-GPON-Transceiver in SFP+-Port meines Switches (Mikrotik CSS-326) und mit HÜP oder Gf-TA verkabeln (da, wo die Glasfaser ins Haus kommt, korrekte Begriffe sind mir noch nicht ganz klar)
    • Switchport für VLAN 7 tagged konfigurieren
    • VLAN 7 per Trunk an die Firewall durchreichen
    • WAN-Subinterface auf der Firewall für VLAN 7 erstellen und für PPPoE konfigurieren
    Zitat

    Du solltest nur darauf achten, das die elektrische Seite des Moduls lediglich mit dem WAN-Port der OpenSense kommunizieren kann.

    Das wäre bei meinem Aufbau nicht der Fall, weil die elektrische Seite des GPON-Moduls mit dem Switch und nicht mit der Firewall verbunden wäre. Wäre das beim skizzierten Aufbau ein Problem?

    Zitat von toe

    Das wäre bei meinem Aufbau nicht der Fall, weil die elektrische Seite des GPON-Moduls mit dem Switch und nicht mit der Firewall verbunden wäre. Wäre das beim skizzierten Aufbau ein Problem?

    Du musst dann diesen Switchport direkt (und nur) mit einem weiteren Port verbinden der in die Firewall fuehrt... (die Verbindung kann auch indirekt durch mehrere Switche erfolgen, solange Du dafuer sorgst dass die jeweiligen Ports nur miteinander verbunden sind).

  • Tipp: Jetzt kostenlos registrieren, mitmachen und das Forum ohne Werbebanner nutzen.
    Zitat von toe
    • SFP-GPON-Transceiver in SFP+-Port meines Switches (Mikrotik CSS-326) und mit HÜP oder Gf-TA verkabeln (da, wo die Glasfaser ins Haus kommt, korrekte Begriffe sind mir noch nicht ganz klar)

    Zu den Begrifflichkeiten: Deutsche Glasfaser: verbaute Hardware

    Bei dem Switch wäre es von Vorteil, wenn dieser mit SFP (ohne Plus) und SFP+ (mit Plus) Modulen umgehen kann. In der Theorie sollten alle GPON Module und erst Recht XGS-PON Module SFP+ (mit Plus) sein. In der Praxis findet man jedoch häufig bei GPON Modulen lediglich SFP (ohne Plus) in den Datenblättern. Hierbei geht nicht klar hervor, ob damit die physischen Dimensionen des Slots/Moduls bezeichnet werden oder die elektrische Spezifikation der Schnittstelle. Letztere ist bei den SFP-Varianten nämlich unterschiedlich.

  • Tipp: Jetzt kostenlos registrieren, mitmachen und das Forum ohne Werbebanner nutzen.

    OK, das mit dem Switch sieht gut aus. In der Produktbeschreibung des MikroTik CSS326-24G-2S+RM ist zu lesen:

    Zitat

    Der SFP cage unterstützt sowohl 1.25 Gb SFP als auch 10 Gb SFP+ Module.

    So, nach langer Odyssee habe ich für den ersten der beiden Anschlüsse folgendes funktionierendes Setup:

    • Geräte
      • opnSense-Firewall in PCZinophyte-Appliance (3x 2.5G Kupfer igc0,igc1,igc2, 2x 10G SFP+ ix0,ix1): "fw"
      • 2x CSS326-24G-2S+ (24x 1G Kupfer p01-p24, 2x 10G SFP+ sfp1,sfp2)
        • Erdgeschoss: "css326-eg"
        • Obergeschoss: "css326-og"
      • SFP-Transceiver "Digitalisierungsbox Glasfaser" (aka Zyxel PMG3000-D20B) installiert in css326-eg.sfp2
      • Das mitgelieferte Kabel des Zyxel PMG3000-D20B war mit 2m etwas zu kurz, daher habe ich es durch ein 3m-Kabel "SC/APC auf LC/APC Stecker, Simplex 9/125μm" ersetzt
    • Verkabelung
      • Gf-TA --LC/APC--SC/UPC-- Zyxel PMG3000
      • Mehrere Kupferports als Trunk zwischen css326-eg und css326-og: "switchtrunk"
      • css326-og.p11 per Kupfer mit fw.igc2 verbunden
    • Konfiguration
      • css326-eg.sfp2 konfiguriert für "strict, tagged, VLAN 7"
      • switchtrunk beidseitig als Member von VLAN 7 konfiguriert
      • css326.og.p11 konfiguriert als "strict, untagged, VLAN 7"
      • fw.igc2 aktiv ohne IP-Konfiguration
      • fw.pppoe0 als PPPoE-Device mit Telekom-PPPoE-Zugangsdaten auf dem physischen Interface fw.igc2 erstellt (via opnSense-Konfiguration: Interfaces>Devices>Point-to-Point)
      • Assignment in opnSense-Einstellungen gemacht: pppoe0=>WAN_Glasfaser_PPPoE
      • Interface-Konfiguration für WAN_Glasfaser_PPPoE:
        • Enable Interface: true
        • Prevent interface removal: true
        • IPv4 Configuration Type PPPoE
        • IPv6 Configuration Type: PPPoeV6 DHCPv6
      • Interne Interface-Konfiguration:
        • IPv6 Configuration Type: Track Interface
        • Parent interface: WAN_Glasfaser_PPPoE
        • Prefix ID: entspricht meinen internen VLAN-Nummern
        • Optional interface ID: ::254

    2 Mal editiert, zuletzt von toe (16. November 2025 um 19:21)