Netzwerk — Anleitungen

Schritt-für-Schritt-Anleitungen, um Ihren Abilis mit dem Internet zu verbinden, Ihr lokales Netzwerk zu konfigurieren und es abzusichern. Jede Aufgabe wird über die Weboberfläche unter Netzwerk > Einstellungen erledigt.

Die Seite Einstellungen hat Registerkarten am oberen Rand: Ports, Routings, NAT, ACL, IP Shaping, DHCP, DNS, FTP, HTTP. Jede der folgenden Anleitungen sagt Ihnen genau, welche Registerkarte Sie verwenden müssen.

Die Subnetzmaske und /24 verstehen

Ziel: Eine Adresse wie 192.168.1.0/24 lesen und genau wissen, welche Adressen zu Ihrem Netzwerk gehören und welche nicht — bevor Sie die LAN-IP-Adresse des Abilis festlegen.

Warum das wichtig ist: Zwei Geräte können nur direkt miteinander kommunizieren, wenn sie im selben Subnetz liegen. Wenn die Subnetzmaske falsch ist, können Geräte, die am selben Kabel hängen, sich dennoch nicht erreichen, oder der Abilis vergibt Adressen, die niemand nutzen kann.

Eine IP-Adresse besteht aus zwei Teilen: dem Netzwerkteil (in welchem LAN Sie sich befinden) und dem Hostteil (welches Gerät Sie sind). Die Maske trennt die beiden. Stellen Sie es sich wie eine Straßenadresse vor — die Maske legt fest, wie viel davon "die Straße" und wie viel "die Hausnummer" ist. Alle in derselben Straße erreichen sich direkt; um eine andere Straße zu erreichen, gehen Sie über das Gateway.

Das /24 ist nur die kurz geschriebene Maske (CIDR-Notation): Es bedeutet, dass 24 Bits der Netzwerkteil sind und 8 Bits für Hosts übrig bleiben. /24 entspricht 255.255.255.0.

Durchgerechnetes Beispiel — 192.168.1.0/24:

• Netzwerkteil: die ersten drei Oktette — 192.168.1. Jedes Gerät in diesem LAN beginnt mit 192.168.1.
• Hostteil: das letzte Oktett — 8 Bits, also 256 Kombinationen (0–255).
• 192.168.1.0 ist die Netzwerkadresse (der "Name" des LAN — weisen Sie sie keinem Gerät zu).
• 192.168.1.255 ist die Broadcast-Adresse (erreicht alle gleichzeitig — ebenfalls nicht zuweisbar).
• Es bleiben 192.168.1.1 bis 192.168.1.254 — 254 nutzbare Adressen für den Abilis, PCs, Telefone und Kameras.

Wenn Sie den Abilis also auf 192.168.1.1/24 einstellen, kann jedes Gerät von .2 bis .254 mit derselben /24-Maske ihn direkt erreichen. Ein Gerät mit 192.168.2.50 kann das nicht — andere Straße.

Wie Sie dies auf Ihrem Abilis einstellen, sehen Sie direkt unten unter LAN-Einstellungen konfigurieren (IP-Adresse, Subnetz, Gateway).

LAN-Einstellungen konfigurieren (IP-Adresse, Subnetz, Gateway)

Ziel: Legt die IP-Adresse des Abilis in Ihrem lokalen Netzwerk fest. Das ist die Adresse, über die jedes Gerät in Ihrem LAN den Abilis erreicht — und über ihn das Internet, die Telefonanlage und alles andere. Diese Einstellung korrekt vorzunehmen ist die Grundlage Ihrer gesamten Einrichtung.

Warum das wichtig ist: Wenn zwei Geräte dieselbe IP-Adresse haben, funktioniert keines von beiden. Wenn die IP-Adresse des Abilis nicht dem entspricht, was Ihre Geräte erwarten, können sie ihn nicht erreichen.

1. Gehen Sie zu Netzwerk > Einstellungen > Ports.



2. Sie sehen eine Tabelle aller Netzwerk-Ports. Jede Zeile zeigt: Status (grünes Symbol = aktiv), Port (z. B. Ip-1), Untertyp (LAN, WAN…), Über (physische Schnittstelle wie Eth-1), IP-Adresse (z. B. 192.168.094.254/24) und Beschreibung.
3. Klicken Sie auf die Zeile des LAN-Ports (normalerweise Ip-1 mit Untertyp "LAN" über Eth-1).
4. Ein Detailbereich öffnet sich. Wichtige Felder:

   

   • Aktiv — muss angehakt sein, damit dieser Port funktioniert.
   • Beschreibung — eine Bezeichnung zu Ihrer Orientierung (z. B. "LAN").
   • Warnung — ob Sie benachrichtigt werden sollen, wenn dieser Port ausfällt (standardmäßig NO).
   • Seite (Typ) — normalerweise AUTO. Lassen Sie es so, sofern Sie nichts anderes angewiesen werden.
   • Untergeordnete Ressource — die physische Schnittstelle (z. B. Eth-1). Nicht ändern.
5. Klappen Sie IP-Adresseinstellungen auf:
   • Haken Sie Manuelle IP-Adresse an.
   • IP-Adresse: die gewünschte Adresse (z. B. 192.168.1.1).
   • Maske: die Subnetzmaske (z. B. 255.255.255.0 für ein /24-Netzwerk — das Formular akzeptiert die Standardform oder die mit Nullen aufgefüllte Form).
   • Gateway-Adresse: bei einem LAN-Port auf 0.0.0.0 belassen — der Abilis selbst ist das Gateway für die LAN-Geräte.
6. Prüfen Sie unten die Dropdown-Liste Network Address Translation (NAT) — bei einem LAN-Port muss dort INSIDE stehen.
7. Klicken Sie auf Speichern.

Per LTE-/SIM-Modem mit dem Internet verbinden

Ziel: Bringt Ihren Abilis über eine mobile Datenverbindung (4G/LTE) mit einer LTE-BOX oder einem SIM-Dongle online.

1. Setzen Sie die SIM-Karte in die LTE-BOX ein und verbinden Sie diese mit dem Abilis.
2. Gehen Sie zu Netzwerk > Einstellungen > Ports.



3. Suchen Sie einen Port mit Untertyp "WAN" und Über "EthLte-1" oder ähnlich — das ist Ihr LTE-Modem.
4. Klicken Sie darauf. Prüfen Sie, ob Aktiv angehakt ist.
5. Stellen Sie den APN passend zu Ihrem Mobilfunkbetreiber ein. Wenn Sie ihn nicht kennen, rufen Sie Ihren Betreiber an oder suchen Sie nach "[Name des Betreibers] APN Einstellungen". Gängige italienische Beispiele: internet (generisch), mobile.vodafone.it, ibox.tim.it.
6. Setzen Sie die NAT-Zone auf OUTSIDE.
7. Klicken Sie auf Speichern.
8. Gehen Sie zu Netzwerk > Info — prüfen Sie, ob die LTE-Verbindung ein grünes Statussymbol zeigt.

Über ein Ethernet-DSL-Modem mit dem Internet verbinden (PPPoE)

Ziel: Ihr Provider hat Ihnen ein ADSL- oder VDSL-Modem gestellt, das per Ethernet am Abilis angeschlossen wird und für dessen Leitung ein Benutzername und ein Passwort erforderlich sind. Der Abilis baut über die Ethernet-Verbindung eine PPPoE-Sitzung auf und nutzt die entstehende Verbindung als Internet-Gateway.

Das benötigen Sie von Ihrem Provider: den PPPoE-Benutzernamen und das Passwort; ob die öffentliche IP-Adresse dynamisch (während der PPP-Sitzung zugewiesen — am häufigsten) oder fest ist; ob die DSL-Verbindung selbst ein VLAN-Tag erfordert (manche Betreiber verlangen es, die meisten nicht); und den Dienstnamen, falls der Provider einen vorgibt.

Voraussetzung — Modem im Bridge-Modus: Das DSL-Modem muss vom Provider oder von Ihnen als transparente Bridge konfiguriert sein. Ein Modem im Routed-Modus erlaubt dem Abilis nicht, die PPPoE-Sitzung aufzubauen. Wenn das Modem vorkonfiguriert im Routed-Modus geliefert wurde, setzen Sie es auf Werkseinstellungen zurück und stellen Sie den Bridge-Modus ein, bevor Sie fortfahren. (Das genaue Verfahren hängt vom Modem ab — meist ein kleines Reset-Loch auf der Rückseite, das zehn Sekunden lang mit einer Büroklammer gedrückt wird, danach eine einmalige Anmeldung an der eigenen Weboberfläche des Modems, um vom Routed- in den Bridge-Modus zu wechseln. Lesen Sie die Kurzanleitung des Modems, falls die Reset-Taste nicht offensichtlich ist.)

1. Verbinden Sie den Ethernet-Ausgang des DSL-Modems mit einem freien Ethernet-Port der Abilis (zum Beispiel Eth-2). Schließen Sie die Telefonleitung an das Modem an und warten Sie, bis die DSL-Sync-LED des Modems nicht mehr blinkt.
2. Wenn – und nur wenn – Ihr Provider ein VLAN-Tag auf der DSL-Verbindung verlangt, bereiten Sie zuerst den Ethernet-Port vor. Siehe Mehrere Netzwerke über ein Ethernet-Kabel betreiben (VLANs) für die VLAN-Einrichtung auf Port-Ebene; der unten erstellte PPPoE-Client verwendet dann die getaggte Subschnittstelle. Ist die Leitung ungetaggt (der Normalfall), überspringen Sie diesen Schritt.
3. Gehen Sie zu Netzwerk > Einstellungen > Ports und klicken Sie auf Neu +. Erstellen Sie eine neue IP-Ressource, die an den Ethernet-Port gebunden ist, an dem das Modem angeschlossen ist – diese Ressource trägt die PPPoE-Sitzung und hält die vom Provider zugewiesene Adresse.
4. Legen Sie im Bereich der neuen Ressource Folgendes fest:
   • Beschreibung: eine eindeutige Bezeichnung, z. B. WAN_DSL.
   • Untere Ressource: der Ethernet-Port, an dem das Modem angeschlossen ist (z. B. Eth-2).
   • Netzwerkadressübersetzung (NAT): OUTSIDE – dies ist ein WAN-seitiger Port.
5. Tragen Sie die PPPoE-Zugangsdaten ein: den vom Provider vorgegebenen Benutzernamen und das Passwort, den Authentifizierungsmodus (belassen Sie die Standardeinstellung – der Provider legt CHAP oder PAP fest), den Dienstnamen (leer lassen, sofern der Provider nichts vorgibt) und den IP-Zuweisungsmodus (bei den meisten Anschlüssen dynamisch; geben Sie stattdessen die reservierte IP ein, wenn der Provider eine statische öffentliche Adresse zugewiesen hat).
6. Aktivieren Sie das DNS-Lernen, damit die Abilis die Resolver des Providers über die PPP-Sitzung übernimmt, und aktivieren Sie das TCP-MSS-Clamping für die Verbindung. Das MSS-Clamping verhindert das bekannte Problem, dass manche HTTPS-Seiten über ein PPPoE-WAN nicht laden, weil die PPP- und Ethernet-Header für TCP weniger Platz lassen, als die Endpunkte annehmen.
7. Klicken Sie auf Speichern. Die Abilis startet die PPPoE-Erkennung auf dem Ethernet-Port; sobald der Access Concentrator antwortet und die PPP-Authentifizierung erfolgreich ist, wird die Ressource mit der zugewiesenen Adresse aktiv.
8. Fügen Sie eine Standardroute über das neue WAN hinzu – siehe Die IP-Standardroute konfigurieren. Als Gateway sollte OUT-IP eingetragen sein, damit die Route der Adresse folgt, die der Provider bei jeder Sitzung neu zuweist.
9. Überprüfen Sie dies unter Netzwerk > Info. Die neue WAN-Ressource sollte ein grünes Statussymbol und die vom Provider zugewiesene Adresse anzeigen. Öffnen Sie in einem Browser im LAN eine öffentliche Website, um zu bestätigen, dass das Internet erreichbar ist.

Mit einer festen öffentlichen IP ins Internet gehen (statisches WAN)

Ziel: Ihr Provider hat Ihnen an einem Ethernet-DSL-/Glasfasermodem eine feste öffentliche IP-Adresse zugewiesen. Es gibt keine Anmeldung – die Abilis muss lediglich mit der Ihnen mitgeteilten Adresse an der WAN-Verbindung hängen.

Was Sie benötigen: die öffentliche IP-Adresse und die Subnetzmaske von Ihrem Provider sowie die VLAN-ID, falls der Betreiber ein Tagging auf der Leitung verlangt.

Zwei Fälle — stellen Sie vor dem Start fest, welcher auf Sie zutrifft:

• Modem im Bridge-Modus. Die Provider-Technik reicht Ethernet-Frames nur durch; die öffentliche IP und das Gateway gehören direkt zum Abilis-Port. Stellen Sie IP und Maske wie unten beschrieben am Abilis-Port ein; belassen Sie das Feld Gateway beim vom Provider vorgegebenen nächsten Hop.
• Modem im Routing-Modus. Die Provider-Technik beendet die Leitung selbst und übergibt der Abilis eine private LAN-seitige Adresse. Sie füllen dann Schritt 7 aus (Gateway = die LAN-seitige IP des Modems), und die öffentliche IP liegt auf dem Modem, nicht auf der Abilis.

1. Verbinden Sie das Modem mit einem freien Ethernet-Port der Abilis.
2. Gehen Sie zu Netzwerk > Einstellungen > Ports.
3. Klicken Sie auf Neu +.
   • Ressource: ein freier IP-Platz (z. B. Ip-3).
   • Subtyp: LAN (IP über LAN – wird für jede Ethernet-basierte Verbindung verwendet, WAN oder LAN).
   • Untere Ressource: der Ethernet-Port, der mit dem Modem verbunden ist (z. B. Eth-2).
4. Klicken Sie auf Speichern.
5. Konfigurieren Sie im Bereich der IP-Ressource Folgendes:
   • Haken Sie Manuelle IP-Adresse an.
   • IP-Adresse: die öffentliche IP, die Ihnen Ihr Provider zugewiesen hat (z. B. 80.80.80.80).
   • Maske: die Subnetzmaske (häufig 255.255.255.255 für ein /32-Punkt-zu-Punkt-Netz oder die vom Provider angegebene Maske). Eine /32-Maske bedeutet, dass die Adresse zu einem einzelnen Host ohne umgebendes Subnetz gehört — üblich, wenn der Provider Ihnen eine feste öffentliche IP gibt und das Upstream-Gateway außerhalb des Subnetzes liegt.
   • Beschreibung: eine eindeutige Bezeichnung, z. B. WAN_fibre.
   • NAT: OUTSIDE.
   • (Falls erforderlich) VLAN-ID: die Tag-Nummer vom Betreiber.
6. Klicken Sie auf Speichern.
7. Fügen Sie eine Standardroute über diese Leitung hinzu – siehe Die IP-Standardroute konfigurieren. Handelt es sich bei der Provider-Technik um einen Router und nicht um ein Modem im Bridge-Modus, tragen Sie außerdem im Feld Gateway die LAN-seitige IP des Routers ein.
8. Überprüfen Sie dies unter Netzwerk > Info – der Port sollte grün werden.

Mehrere Netzwerke über ein Ethernet-Kabel betreiben (VLANs)

Ziel: Zwei oder mehr getrennte IP-Netzwerke über dasselbe physische Ethernet-Kabel führen – zum Beispiel ein Verwaltungsnetz und ein Gastnetz oder mehrere getaggte Netzwerke von einem vorgelagerten Switch. Jedes Netzwerk erscheint auf der Abilis als eigene IP-Ressource mit eigener Adresse, eigener NAT-Seite, eigenen Firewall-Regeln und eigener Verkehrsstatistik.

Wie die Abilis VLANs darstellt: Es gibt keine eigene VLAN-Seite. VLAN ist eine Eigenschaft jeder IP-Ressource und wird im Konfigurationsbereich der Ressource festgelegt. Um drei VLANs über ein Kabel zu führen, erstellen Sie drei IP-Ressourcen, die alle denselben Ethernet-Port als Untere Ressource verwenden, jeweils mit einer anderen VLAN-ID.

Hardware-Voraussetzung: Der Ethernet-Port, an dem das Kabel angeschlossen wird, muss VLAN-Tagging unterstützen. Gigabit-Netzwerkkarten tun dies in der Regel; manche älteren 100-Mbit/s-Ports nicht. Unterstützt der Port kein Tagging, verweigert die Konfiguration das Speichern – die Fehlermeldung rät Ihnen, einen anderen Port zu verwenden.

Schritt 1 — Den Ethernet-Port öffnen und darauf mehrere VLANs aktivieren

Standardmäßig ist ein Ethernet-Port für ein einzelnes ungetaggtes Netzwerk konfiguriert. Um zusätzlich getaggte VLANs zu führen, muss zuerst die Tag-Kapazität des Ports erhöht werden.

1. Gehen Sie zu Netzwerk > Einstellungen > Ports.
2. Öffnen Sie die Zeile des Ethernet-Ports, den Sie gemeinsam nutzen möchten (z. B. Eth-2). Sein Konfigurationsbereich öffnet sich rechts.
3. Haken Sie oben im Bereich Erweitert an, um alle Felder anzuzeigen, und erhöhen Sie die Tag-Kapazität auf die Anzahl der getaggten VLANs, die Sie über diesen Port führen möchten — für vier getaggte VLANs zusätzlich zum Native VLAN genügt vier.
4. Klicken Sie auf Speichern.

Schritt 2 — Pro VLAN eine IP-Ressource hinzufügen

1. Klicken Sie weiterhin unter Netzwerk > Einstellungen > Ports auf Neu +.
2. Wählen Sie im Dialog zum Hinzufügen einer Ressource einen freien IP-Platz (z. B. Ip-3) und den Subtyp LAN – der häufigste Fall, in dem das VLAN ein gewöhnliches geroutetes LAN-Segment führt.
3. Klicken Sie auf Speichern. Der Konfigurationsbereich der neuen Ressource öffnet sich.
4. Legen Sie die Grundeinstellungen fest:
   • Beschreibung: eine eindeutige Bezeichnung, z. B. Lan_voip, Lan_guest, Lan_mgmt.
   • Untere Ressource: der Ethernet-Port aus Schritt 1 (z. B. Eth-2). Dadurch wird das VLAN an dieses physische Kabel gebunden.
5. Klappen Sie IP-Adresseinstellungen auf, haken Sie Manuelle IP-Adresse an und tragen Sie die Adresse und Maske ein, die die Abilis in diesem VLAN hält. Belassen Sie das Gateway auf 0.0.0.0 – bei einem LAN-seitigen VLAN – das Gateway wird nur bei einer WAN-Ressource mit vorgelagertem nächstem Hop gesetzt.
6. Klappen Sie VLAN-Einstellungen auf und geben Sie das VLAN-Tag ein (die Nummer von 1 bis 4094, die am vorgelagerten Switch konfiguriert ist). Belassen Sie die Einstellung nur dann auf dem Standardwert, wenn diese Ressource das ungetaggte (Native) VLAN auf dem Port führen soll.
7. Legen Sie die Netzwerkadressübersetzung (NAT) fest:
   • INSIDE – LAN-seitiger Verkehr; die NAT erfolgt auf der WAN-Ressource, über die der Verkehr schließlich nach außen geht.
   • OUTSIDE – WAN-seitiges Segment (selten bei einem VLAN auf einem LAN-seitigen Kabel).
   • NO – keine NAT (für geroutete Segmente zwischen vertrauenswürdigen Standorten).
8. Klicken Sie auf Speichern.
9. Wiederholen Sie die Schritte 1–8 für jedes weitere VLAN auf demselben Ethernet-Port. Alle neuen Ressourcen verwenden dieselbe Untere Ressource (Eth-2), jeweils mit eigener VLAN-ID.

Ein Gastnetz mit eingeschränktem Internetzugang einrichten (durchgängiges Beispiel)

Ziel: Besucher — Kunden im Wartezimmer, Auftragnehmer, Familienmitglieder zu Hause — sollen Internetzugang erhalten, ohne sich in Ihrem geschäftlichen LAN zu befinden. Gäste sollen das Internet erreichen, aber nichts in Ihrem internen Netzwerk, und sie sollen Ihre Leitung nicht auslasten können.

Dies ist ein durchgängiges Beispiel, das mehrere Anleitungen miteinander verbindet. Jeder Schritt verweist für die Details auf die jeweilige Einzelanleitung.

1. Fügen Sie eine Gast-IP-Ressource in einem VLAN hinzu. Wählen Sie ein VLAN-Tag, das sonst nirgends verwendet wird (z. B. 100), und ein neues Subnetz für die Gäste (z. B. 192.168.100.0/24). Folgen Sie der Anleitung Mehrere Netzwerke über ein Ethernet-Kabel betreiben (VLANs), um das VLAN anzulegen und der neuen Ressource eine klare Beschreibung wie Lan_guest zu geben. Setzen Sie die NAT-Zone auf INSIDE.
2. Geben Sie dem Gast-VLAN einen eigenen DHCP-Pool. Folgen Sie bei der neuen Ressource der Anleitung Den DHCP-Server einrichten. Der Pool wird automatisch aus dem Gast-Subnetz gebildet. Für DNS: Belassen Sie die Abilis (Ip-1), wenn Sie möchten, dass Ihre DNS-Filterregeln auch für Gäste gelten; tragen Sie einen externen Resolver ein (z. B. 8.8.8.8), wenn Gäste Ihre Filterung umgehen und direkt das öffentliche DNS nutzen sollen.
3. Schränken Sie ein, was Gäste erreichen können. Gehen Sie zu Firewall-Regeln (Zugriffssteuerungslisten) einrichten und fügen Sie mit hoher Priorität zwei Regeln hinzu:
   • Deny (Verweigern): Quelle 192.168.100.0:192.168.100.255 → Ziel das geschäftliche LAN (z. B. 192.168.1.0:192.168.1.255). Dadurch können Gäste keinen internen Host erreichen.
   • Permit (Erlauben): Quelle 192.168.100.0:192.168.100.255 → Ziel any. Dadurch dürfen sie ins Internet.
   Die Reihenfolge ist wichtig: Die Deny-Regel muss zuerst ausgewertet werden (niedrigere Prioritätsnummer).
4. Begrenzen Sie die Bandbreite. Folgen Sie der Anleitung Bandbreite pro IP-Adresse oder Subnetz begrenzen (IP Shaping), um das gesamte Gast-Subnetz beispielsweise auf 30 % Ihrer WAN-Kapazität zu beschränken. Gäste können weiterhin im Web surfen und Videoanrufe führen; den Geschäftsverkehr können sie aber nicht ausbremsen.
5. (Optional) Zugriff während der Geschäftszeiten sperren. Soll das Gastnetz nur aktiv sein, wenn das Büro geschlossen ist (oder umgekehrt), fügen Sie eine ACL-Regel mit einer Zeitbedingung hinzu. Dies wird direkt im ACL-Regeleditor unterstützt.
6. Schließen Sie das Gast-VLAN am Switch an – entweder über einen dedizierten Port mit VLAN-100-Tag oder über eine WLAN-SSID, die der Access Point dem VLAN 100 zuordnet. Aus Sicht des Gastes ist dies eine gewöhnliche Internetverbindung; er hat keinen Einblick in Ihr Geschäftsnetz.

Wie die Abilis eine Route auswählt

Ziel: Verstehen, wie die Abilis entscheidet, wohin sie jedes Paket sendet, damit sich die Routings-Tabelle – insbesondere eine Backup-Standardroute – so verhält, wie Sie es erwarten.

Warum das wichtig ist: Wenn Sie für den Ausfallschutz eine zweite WAN-Leitung hinzufügen, verteilt die Abilis die Last nicht zufällig und wählt auch nicht willkürlich aus. Sie folgt zwei einfachen Entscheidungsregeln. Wer sie kennt, kann ein Backup so einrichten, dass es sauber übernimmt, statt nie aktiv zu werden.

Für jedes Paket betrachtet die Abilis die Zieladresse und gleicht sie mit der Routings-Tabelle ab. Stellen Sie sich die Tabelle als eine Sammlung von Wegweisern vor, die jeweils einen Adressbereich abdecken. Das Paket folgt dem spezifischsten Wegweiser, der sein Ziel abdeckt – dem mit dem längsten passenden Präfix:

• Eine Route für 192.168.5.0/24 ist spezifischer als eine für 192.168.0.0/16.
• Die Standardroute – Ziel any in der Weboberfläche, im Referenzhandbuch als 0.0.0.0/0 geschrieben – ist die unspezifischste von allen. Sie deckt alles ab und wird daher nur verwendet, wenn nichts Spezifischeres passt. Deshalb landet Internetverkehr dort.

Sind zwei Routen gleich spezifisch, entscheidet die Abilis anhand der Spalte AD (Priorität) – der Zahl, die in den folgenden Anleitungen Metrik heißt: Die Route mit dem niedrigeren Wert gewinnt.

Durchgängiges Beispiel – zwei Standardrouten für den Ausfallschutz:

Beide Routen decken alles ab, gleichen sich also in der Spezifität. Die AD entscheidet: 1 gewinnt, und der gesamte Internetverkehr nutzt die Glasfaser. Fällt die Glasfaser aus, wird ihr Port als ausgefallen markiert (das rote Statussymbol in der Routings-Tabelle) und Routen über ihn werden ignoriert – die einzige verbleibende Standardroute ist die LTE-Route (AD 180), und der Verkehr wechselt automatisch dorthin. Sobald die Glasfaser zurück ist, übernimmt sie dank ihrer niedrigeren AD den Verkehr wieder.

Zur Konfiguration siehe Die IP-Standardroute konfigurieren und direkt darunter Eine Backup-Standardroute hinzufügen. Um bestimmten Verkehr unabhängig von der Tabelle über eine bestimmte Leitung zu schicken, siehe Bestimmten Verkehr über eine bestimmte Leitung senden (PBR).

Die IP-Standardroute konfigurieren

Ziel: Legt fest, wohin die Abilis Verkehr sendet, der nicht für das lokale Netzwerk bestimmt ist. Ohne Standardroute kann die Abilis mit LAN-Geräten kommunizieren, aber mit nichts darüber hinaus: keine Websites, keine E-Mail, kein VPN.

Analogie: Routing funktioniert wie Straßenschilder. Die Standardroute ist das Schild, auf dem steht: „Für alles andere nehmen Sie diese Autobahn.“

1. Gehen Sie zu Netzwerk > Einstellungen > Routings.



2. Suchen Sie nach einer Route mit dem Ziel any und dem Gateway OUT-IP – das ist die Standardroute. Sie teilt der Abilis mit: „Sende jeden Verkehr, der nicht in ein lokales Netzwerk geht, über diesen WAN-Port nach außen.“
3. Falls sie existiert, prüfen Sie, ob die Spalte Ausgangsport die richtige WAN-Schnittstelle anzeigt (z. B. Ip-5) und das Statussymbol grün ist.
4. Falls sie nicht existiert, klicken Sie auf Neu +:
   • Ziel: any (bedeutet „aller Verkehr, der von keiner spezifischeren Route erfasst wird“)
   • Quelle: any
   • Gateway: OUT-IP (die Abilis löst dies in die öffentliche Adresse des ausgewählten WAN-Ports auf)
   • Ausgangsport: Wählen Sie die IP-Ressource, die mit dem Internet verbunden ist (z. B. Ip-5 für einen FTTC-Anschluss oder Ip-3 für ein LTE-Backup-Modem)
5. Klicken Sie auf Speichern.

Eine Backup-Standardroute hinzufügen (zwei WAN-Leitungen, automatischer Ausfallschutz)

Ziel: Sie haben zwei WAN-Leitungen – eine primäre (z. B. Glasfaser) und eine Backup-Leitung (z. B. eine zweite DSL- oder LTE-Leitung) – und möchten, dass die Abilis den gesamten Internetverkehr über die primäre Leitung sendet und nur bei deren Ausfall auf das Backup umschaltet.

So funktioniert es: Sie fügen eine zweite Standardroute mit einer höheren Metrik hinzu (die Spalte AD (Priorität)). Die Abilis bevorzugt stets die Route mit der niedrigsten Metrik. Die Backup-Route bleibt inaktiv, bis die primäre ausfällt, übernimmt dann automatisch und gibt wieder zurück, sobald die primäre sich erholt – warum, erklärt Wie die Abilis eine Route auswählt.

1. Stellen Sie sicher, dass beide WAN-Leitungen konfiguriert sind und unter Netzwerk > Info grün angezeigt werden.
2. Gehen Sie zu Netzwerk > Einstellungen > Routings.



3. Vergewissern Sie sich, dass die vorhandene Standardroute (Ziel any) auf den primären WAN-Port zeigt, und notieren Sie ihre Metrik (üblicherweise 1).
4. Klicken Sie auf Neu + und fügen Sie die Backup-Standardroute hinzu:
   • Ziel: any
   • Quelle: any
   • Gateway: OUT-IP
   • Ausgangsport: der Backup-WAN-Port (z. B. Ihr LTE-Port).
   • Metrik: ein Wert, der deutlich höher ist als der der primären Route (z. B. 180). 180 ist der übliche Wert für Backup-Routen — hoch genug, damit die primäre Route (typischerweise AD 1) immer gewinnt, ansonsten aber willkürlich. Jeder Wert, der echt größer ist als die Metrik der primären Route, funktioniert.
5. Klicken Sie auf Speichern. Beide Routen erscheinen nun in der Tabelle – die primäre aktiv, die Backup-Route inaktiv.

Den DHCP-Server einrichten

Ziel: Die Abilis vergibt automatisch IP-Adressen an jedes Gerät, das sich verbindet. Ohne DHCP müssten Sie auf jedem Computer, Telefon und Drucker manuell eine IP konfigurieren.

1. Gehen Sie zu Netzwerk > Einstellungen > DHCP.
2. Auf einem frischen System sehen Sie die „DHCP-Protokolltabelle“ mit einem Kontrollkästchen Deaktiviert. Klicken Sie darauf.



3. Ein Dialog mit dem Titel Ip-1 | Lan_for_Ip-1 und drei Reitern öffnet sich: Einstellungen, Manuell zugewiesene Adressen, Automatisch zugewiesene Adressen.
4. Unter Einstellungen:

   

   • DHCP-Modus: Server.
   • Pool: AUTO – die Abilis berechnet den Adressbereich automatisch aus dem Subnetz der IP-Ressource. Für ein LAN mit 192.168.001.000/24 umfasst der Pool alle verfügbaren Adressen dieses Subnetzes. Sie können auch eine bestimmte Startadresse eingeben, wenn Sie den Bereich begrenzen möchten.
   • Lassen Sie Erweiterte DHCP-Optionen deaktiviert, sofern Sie keine besonderen Anforderungen haben.
5. Unter Profil:
   • Primäres Gateway: Ip-1 – teilt den Geräten mit: „Die Abilis ist Ihr Gateway.“
   • Primärer DNS: Ip-1 – teilt den Geräten mit: „Verwenden Sie die Abilis für DNS“ (ermöglicht Caching und Filterung).
   • Sekundärer DNS: # (keiner) oder ein Fallback wie 8.8.4.4.
6. Klicken Sie auf Speichern.

Eine feste Adresse für ein Gerät reservieren

Geräte wie Drucker oder Kameras sollten immer dieselbe IP haben. Verwenden Sie dafür die manuelle Zuweisung, statt auf dem Gerät selbst eine statische IP zu konfigurieren.

1. Wechseln Sie im DHCP-Dialog zum Reiter Manuell zugewiesene Adressen.
2. Klicken Sie auf Manuellen DHCP-Eintrag hinzufügen +.
3. Geben Sie die MAC-Adresse des Geräts und die IP-Adresse ein, die Sie reservieren möchten.
4. Klicken Sie auf Speichern.

DHCP-Anfragen an einen vorhandenen DHCP-Server weiterleiten (Relay-Modus)

Ziel: Sie haben bereits irgendwo in Ihrem Netzwerk einen DHCP-Server (einen Windows-Server, ein zentrales Gerät, einen anderen Router) und möchten, dass die Abilis die DHCP-Anfragen aus ihrem LAN an diesen Server weiterreicht, statt sie selbst zu beantworten. Der Server behält die Kontrolle über die Adressvergabe; die Abilis leitet die Nachrichten nur hin und her.

Wann sinnvoll: zentrale Verwaltung der Adressen über viele Standorte oder Reservierungen, die auf einem vorhandenen Unternehmens-DHCP-Server konfiguriert sind und von der Abilis nicht überschrieben werden sollen.

1. Notieren Sie die IP-Adresse des vorhandenen DHCP-Servers (zum Beispiel 192.168.1.250) – Sie tragen sie in Schritt 5 ein.
2. Gehen Sie zu Netzwerk > Einstellungen > DHCP.
3. Ist DHCP deaktiviert, klicken Sie auf das Kontrollkästchen Deaktiviert, um es zu aktivieren. Der DHCP-Konfigurationsdialog öffnet sich.



4. Stellen Sie auf dem Reiter Einstellungen den DHCP-Modus auf Relay.
5. Geben Sie im Feld DHCP-Server die IP-Adresse Ihres vorhandenen DHCP-Servers ein.
6. Klicken Sie auf Speichern.
7. Test – Schließen Sie einen Computer an das Abilis-LAN an. Er sollte eine Adresse vom vorgelagerten DHCP-Server erhalten, nicht von der Abilis selbst. Unter Netzwerk > Info können Sie das DHCP-Protokoll prüfen, um die weitergeleiteten Anfragen zu sehen.

Die drei Arten von NAT (und welche die Abilis verwendet)

Ziel: Den Unterschied zwischen den NAT-Typen kennen, von denen Lehrbücher und andere Router sprechen, damit die INSIDE-/OUTSIDE-Zonen der Abilis – und der PAT-Schalter – verständlich werden.

Warum das wichtig ist: „NAT“ ist ein Wort für drei verschiedene Aufgaben. Wenn Sie wissen, welche Sie benötigen, wissen Sie, ob Sie eine Internetleitung gemeinsam nutzen, einen Server veröffentlichen oder beides tun.

NAT schreibt die Adressen des Verkehrs um, während er den Router durchläuft. Stellen Sie sich die Abilis als Poststelle vor: Auf ausgehende Briefe wird die Rücksendeadresse des Büros gestempelt, und die Antworten kommen in der Poststelle an, die sie dem richtigen Schreibtisch im Haus zuordnet.

Es gibt drei Varianten:

• Statisches NAT – eine interne Adresse wird dauerhaft einer externen Adresse zugeordnet. Wird verwendet, um einen einzelnen internen Server unter einer festen öffentlichen Adresse zu veröffentlichen.
• Dynamisches NAT – ein Pool interner Adressen bedient sich nacheinander aus einem Pool öffentlicher Adressen. Heute selten; benötigt so viele öffentliche Adressen wie gleichzeitige Benutzer.
• PAT (NAT-Overload) – viele interne Adressen teilen sich eine öffentliche Adresse und werden über die Portnummer auseinandergehalten. So teilt sich ein ganzes Büro eine einzige Internetverbindung – der häufigste Fall.

Durchgängiges Beispiel – eine öffentliche IP, zwei PCs beim Surfen: PC A (192.168.1.50) und PC B (192.168.1.60) öffnen jeweils eine Website. Die Abilis schreibt die Anfrage von A so um, dass sie als OUT-IP Port 50001 hinausgeht, und die von B als OUT-IP Port 50002. Die an Port 50001 adressierte Antwort wird zu A zurückgeleitet, die an 50002 zu B. Eine öffentliche Adresse, Verbindungen unterschieden nach Port – das ist PAT.

Auf der Abilis: Die INSIDE-Zone ist Ihr LAN (die Adressen, die übersetzt werden), die OUTSIDE-Zone ist das WAN (die öffentliche Seite). Die standardmäßige Source-NAT-Regel (PR 1 auf dem Reiter NAT) ist PAT: Alles aus INSIDE verlässt das Netz über die eine öffentliche Adresse des WAN, jede Verbindung auf einem eigenen Port. Mit der Portweiterleitung fügen Sie für einen bestimmten Dienst ein Verhalten wie bei statischem NAT hinzu, damit die Außenwelt einen Server im Inneren erreichen kann.

Zur Konfiguration siehe direkt darunter NAT aktivieren, um eine Internetverbindung gemeinsam zu nutzen und Einen Port öffnen, um ein internes Gerät von außen zu erreichen (Portweiterleitung).

NAT aktivieren, um eine Internetverbindung gemeinsam zu nutzen

Ziel: Alle Geräte in Ihrem LAN können eine einzige Internetverbindung gemeinsam nutzen. Ohne NAT könnte nur die Abilis selbst auf das Internet zugreifen.

So funktioniert es: Wenn Ihr PC eine Webseite anfordert, schreibt die Abilis die Anfrage so um, dass sie von ihrer eigenen öffentlichen IP zu stammen scheint. Wenn die Antwort eintrifft, leitet die Abilis sie an Ihren PC weiter. Die Außenwelt sieht stets nur die Adresse der Abilis.

Die NAT-Tabelle unter Netzwerk > Einstellungen > NAT hat diese Spalten:

Typische Einrichtung: zwei Regeln

Eine Source-NAT-Regel hinzufügen

Dieses Beispiel erstellt Regel Nr. 1 aus der Standardeinrichtung — die Regel, die allen LAN-Geräten Internetzugang gibt.

1. Gehen Sie zu Netzwerk > Einstellungen > NAT und klicken Sie auf Neu +.
2. Füllen Sie aus:
   • Priorität: 1 (nach der DNS-Umleitungsregel mit Priorität 0)
   • Übersetzungstyp: Source
   • Inbound-NAT-Zone: INSIDE
   • Outbound-NAT-Zone: OUTSIDE
   • Pre-NAT Source Address: Ip-1 (Ihre LAN-Ressource – das bedeutet „jeder Verkehr, der aus dem LAN kommt“)
   • Pre-NAT Destination Address: * (beliebiges Ziel)
   • Post-NAT Address: OUT-IP (die öffentliche Adresse der Abilis auf der WAN-Seite)
   • Post-NAT Address Port: AUTO
   • Source / Destination IP Resource: *
   • Translation Timeout: SYS (Systemstandard verwenden)
3. Klicken Sie auf Speichern.

NAT (oder eine Firewall-Regel) auf eine Adressliste anwenden

Ziel: Anstatt für jedes Subnetz oder jeden Host eine eigene NAT- oder ACL-Regel zu schreiben, definieren Sie die Gruppe von Adressen einmal als Liste und lassen dann eine Regel auf diese Liste verweisen. Wenn sich die Liste ändert, werden alle Regeln, die sie verwenden, automatisch aktualisiert.

Typische Anwendungsfälle: „NAT nur für das Firmen-LAN, nicht für das Gast-VLAN“; „den gesamten Datenverkehr von dieser bekannten Menge schädlicher IP-Adressen blockieren“; „SSH nur aus den Büro-Subnetzen erlauben“. In jedem Fall bleibt die Regel übersichtlich, und die Liste kann für sich bearbeitet werden.

1. Erstellen Sie die Liste. Öffnen Sie Werkzeuge > Listen.



2. Klicken Sie auf Neue Liste hinzufügen + und füllen Sie die Felder aus:
   • Name: eine kurze Kennung (z. B. corp_hosts).
   • Typ: TUPR — der Typ für Listen von IP-Adressen oder Subnetzen, die in NAT-/ACL-Regeln verwendet werden. (Es gibt weitere Listentypen für Benutzernummern, Ports usw. — die vollständige Übersicht finden Sie unter Werkzeuge → Listen.)
   • Beschreibung: eine kurze Erinnerung daran, was die Liste enthält.
3. Klicken Sie auf Speichern, öffnen Sie dann die neue Liste und fügen Sie die Einträge hinzu — eine Zeile pro IP-Adresse, Bereich oder Subnetz (z. B. 192.168.1.0/24).
4. Verweisen Sie nun in einer NAT-Regel auf die Liste. Öffnen Sie Netzwerk > Einstellungen > NAT und klicken Sie auf Neu +.
5. Wählen Sie im Feld für die Quell- oder Zieladresse, anstatt eine einzelne IP-Adresse einzugeben, die soeben erstellte Liste aus (Eintragsformat list:corp_hosts).
6. Füllen Sie die übrigen Felder der NAT-Regel wie gewohnt aus — Übersetzungstyp, Adresse nach NAT, Richtung — und klicken Sie auf Speichern.

Einen Port öffnen, um ein internes Gerät von außen zu erreichen (Portweiterleitung)

Ziel: Macht ein Gerät in Ihrem LAN aus dem Internet erreichbar. Beispiel: Ihre Kamera unter 192.168.1.50:80 wird unter your-public-ip:8080 erreichbar.

1. Öffnen Sie Netzwerk > Einstellungen > NAT und klicken Sie auf Neu +.
2. Setzen Sie Übersetzungstyp: auf Destination.
3. Aktivieren Sie Port-Adressübersetzung.
4. Setzen Sie Zieladressen-Port vor NAT: auf den externen Port (z. B. 8080).
5. Setzen Sie Adresse nach NAT: auf die IP-Adresse des internen Geräts (z. B. 192.168.1.50).
6. Setzen Sie Adressen-Port nach NAT: auf den internen Port (z. B. 80).
7. Klicken Sie auf Speichern.

DNS-Einstellungen konfigurieren

Ziel: Steuert, wie die Abilis Domainnamen in IP-Adressen auflöst. Die Abilis kann als DNS-Server für Ihr gesamtes Netzwerk dienen, Ergebnisse zwischenspeichern und Filterung ermöglichen.

1. Öffnen Sie Netzwerk > Einstellungen > DNS.
2. Stellen Sie sicher, dass Aktiviert angehakt ist.
3. Unter DNS-Auswahl:

   

   • Aktivieren Sie „Ausschließlich die primären und sekundären Server verwenden“ (empfohlen).
   • Primärer DNS: z. B. 8.8.8.8 (Google), der DNS Ihres Internetanbieters oder ein lokaler Server.
   • Sekundärer DNS: z. B. 8.8.4.4 als Ausweichserver.
4. DNS-Cache verwenden — angehakt lassen. Die Standardgröße von 500 Einträgen ist ausreichend. Klicken Sie auf DNS-Cache-Tabelle, um zu sehen, was aktuell zwischengespeichert ist.
5. Als privaten DNS-Resolver verwenden (DNS-Server) — nur aktivieren, wenn Sie lokale DNS-Einträge benötigen (z. B. printer.office).
6. Als öffentlichen DNS-Resolver verwenden (DNS-Relay) — aktivieren Sie dies, damit die Abilis DNS-Anfragen von LAN-Geräten beantwortet. Dies ist die Standardeinstellung.
7. Klicken Sie auf Änderungen anwenden.

Unerwünschte Websites mit DNS-Filterung blockieren

Ziel: Verhindert, dass Geräte auf bestimmte Websites zugreifen, indem diese auf DNS-Ebene blockiert werden. Wenn ein Gerät versucht, eine gesperrte Domain aufzurufen, verweigert die Abilis die Auflösung des Namens.

So funktioniert es tatsächlich: Dies ist kein einfaches System mit Kategorie-Kontrollkästchen, sondern ein Blacklist-/Whitelist-System, das Sie über Domainlisten verwalten.

1. Öffnen Sie Administration > DNS-Filterung.
2. Es gibt zwei Registerkarten: DNS-Blacklist und DNS-Whitelist.
3. Die Seite DNS-Blacklist zeigt:

   

   • Zwei Listenverweise am oberen Rand (die Namen sind die wörtlichen Bezeichner, wie sie in der Listentabelle erscheinen):
     • DNSLogExclude — IP-Adressen in dieser Liste werden weiterhin gefiltert, ihre Anfragen werden jedoch nicht ins Protokoll geschrieben. Verwenden Sie sie für „gesprächige“ Geräte, die Sie unauffällig filtern möchten.
     • DNSBlackBypass — IP-Adressen in dieser Liste umgehen die Blacklist vollständig. Verwenden Sie sie für vertrauenswürdige Hosts, die unabhängig von den Filterregeln vollen DNS-Zugriff benötigen.
   • Ein Protokoll Aufgelöste Domains: eine Live-Tabelle mit Anforderer (IP), aufgelöster Domain und Zeitstempel — sie zeigt, worauf Ihr Netzwerk gerade zugreift.
   • Eine Schaltfläche Domain sperren », um Domains zur Blacklist hinzuzufügen.
   • Ein Sperrsymbol neben jedem Eintrag im Protokoll — ein Klick blockiert diese Domain sofort.
   • Die Schaltfläche Liste der aufgelösten Domains leeren, um das Protokoll zu löschen.
4. Um eine Domain zu blockieren, suchen Sie sie im Protokoll Aufgelöste Domains und klicken Sie auf das Sperrsymbol, oder klicken Sie auf Domain sperren » und geben Sie sie manuell ein.
5. Um die Bypass-/Ausschlusslisten zu verwalten, öffnen Sie Werkzeuge > Listen.

Alle DNS-Anfragen über die Abilis umleiten

Ziel: Zwingt jede DNS-Anfrage in Ihrem Netzwerk über die Abilis, auch von Geräten mit einem anderen konfigurierten DNS (wie 8.8.8.8). Ohne diese Regel kann ein Gerät Ihre DNS-Filterung einfach umgehen, indem es den Google-DNS verwendet.

1. Öffnen Sie Netzwerk > Einstellungen > NAT.
2. Prüfen Sie, ob bereits eine DNS-Umleitungsregel existiert (suchen Sie nach einer Destination-Regel mit Port 53 und „ToDNS“).
3. Falls nicht, klicken Sie auf Neu +:
   • Beschreibung: Redirect DNS through Abilis

   

   • Übersetzungstyp: Destination
   • Aktivieren Sie Port-Adressübersetzung
   • Quelladressen-Port vor NAT: 53
   • Zieladressen-Port vor NAT: 53
   • Lassen Sie die übrigen Felder auf den Standardwerten.
4. Klicken Sie auf Speichern.

Wie Firewall-Regeln zutreffen — und was geschieht, wenn keine zutrifft

Ziel: Schreiben Sie Firewall-(ACL-)Regeln, die auf die gewünschten Adressen zutreffen, und verstehen Sie das Standardverhalten der Abilis — es ist das Gegenteil des Cisco-Standards, über den Sie vielleicht gelesen haben.

Warum das wichtig ist: Zwei Dinge bringen Anwender leicht durcheinander. Erstens schreibt die Abilis Adressabgleiche anders als Cisco-Router. Zweitens lässt die Abilis nicht zugeordneten Datenverkehr standardmäßig durch, während eine Cisco-ACL ihn blockiert. Wenn Sie das Falsche annehmen, sperren Sie sich entweder selbst aus oder lassen eine Sicherheitslücke offen.

Adressen abgleichen. Eine Firewall-Regel muss angeben, „diese Adressen“. Die Felder Bereich der Quell-/Zieladressen akzeptieren vier einfache Formen:

• eine einzelne Adresse — 192.168.1.50
• ein expliziter Bereich — 10.0.0.1:10.0.0.50
• eine benannte Liste in Anführungszeichen — 'Firewall' (verwaltet unter Werkzeuge > Listen)
• * oder any — alles.

Um ein ganzes Subnetz abzugleichen, schreiben Sie es als Bereich: 192.168.1.0:192.168.1.255 deckt das gesamte Netz 192.168.1.x ab — das Netz, das die Subnetzmasken-Notation als 192.168.1.0/24 bezeichnen würde. Die Schrägstrich-Notation selbst wird hier nicht akzeptiert: Wenn Sie 192.168.1.0/24 in ein Adressfeld eingeben, wird es rot mit einem Validierungsfehler markiert und Speichern ist ausgegraut. (Die NAT-Adressfelder akzeptieren dagegen Werte im /24-Format.) Gespeicherte Adressen werden mit nullaufgefüllten Oktetten angezeigt — aus 192.168.1.50 wird 192.168.001.050; das ist nur kosmetisch.

Wenn Sie aus der Cisco-Welt kommen: Diese Formen ersetzen die Wildcard-Maske — Ciscos invertierte Netzmaske, bei der 0 „dieser Teil muss übereinstimmen“ und 255 „egal“ bedeutet. Die Übersetzung:

Der Unterschied beim impliziten Deny — bitte aufmerksam lesen. Regeln werden in Prioritätsreihenfolge ausgewertet, und der erste Treffer gewinnt (der nächste Abschnitt behandelt dies im Detail). Die Frage ist, was mit einem Paket geschieht, das auf keine Regel zutrifft. Auf einem Cisco-Router endet eine ACL mit einem unsichtbaren deny everything: Alles, was Sie nicht ausdrücklich erlaubt haben, wird verworfen. Die Abilis-Firewall tut dies nicht. Ein Paket, das auf keine Regel zutrifft, wird normal geroutet. Die integrierten Regeln (PR 0 und PR 1 — schreibgeschützt) sperren nur die Adressen der 'Firewall'-Blacklist; alles andere wird durchgelassen. Die Abilis arbeitet also nach dem Prinzip Erlaubt, solange nicht verboten (Blacklist), während Cisco nach dem Prinzip „Verboten, solange nicht erlaubt“ arbeitet (Whitelist).

Praxisbeispiel — einen PC vom Internet sperren, alle anderen zulassen: Da nicht zugeordneter Datenverkehr erlaubt ist, genügt eine einzige Deny-Regel — eine „Rest erlauben“-Regel ist nicht nötig:

(PR 2, weil 0 und 1 von den integrierten schreibgeschützten Regeln belegt sind — Ihre eigenen Regeln beginnen bei 2.) Wenn Sie stattdessen das strikte Cisco-Verhalten „alles verbieten außer dem, was ich auflistes“ wünschen, fügen Sie zuerst Ihre Permit-Regeln hinzu und schließen Sie mit einer Deny any any-Regel mit der höchsten PR-Nummer ab, sodass sie zuletzt ausgewertet wird — sie ersetzt das implizite Deny, das die Abilis nicht mitbringt.

Informationen zum Erstellen von Regeln finden Sie unter Firewall-Regeln (Access Control Lists) einrichten direkt unten und unter Datenverkehr zwischen zwei internen Subnetzen blockieren.

Firewall-Regeln (Access Control Lists) einrichten

Ziel: Steuert, welcher Datenverkehr erlaubt und welcher blockiert wird. Regeln werden anhand der Prioritätsnummer von oben nach unten geprüft — der erste Treffer gewinnt.

Die ACL-Tabelle unter Netzwerk > Einstellungen > ACL:

Eine Regel hinzufügen

1. Öffnen Sie Netzwerk > Einstellungen > ACL und klicken Sie auf Neu +.
2. Füllen Sie aus:
   • Priorität: niedriger = wird zuerst geprüft.
   • Beschreibung: z. B. „Deny Blacklisted“.
   • Zugriffslistentyp: Deny oder Permit.
   • Bereich der Quell-IP-Adressen: eine IP-Adresse, ein Bereich oder ein Listenname in Anführungszeichen (z. B. 'blackip').
   • Bereich der Ziel-IP-Adressen: gleiches Format (z. B. 'drop').
   • Protokoll: * für alle oder TCP/UDP/ICMP.
   • Portauswahl: PO, um entweder den Quell- oder den Zielport abzugleichen; SPO,DPO, um sie getrennt abzugleichen (das Formular zeigt dann ein Feld für Quellports und ein Feld für Zielports).
   • Quell- oder Zielports: ein Portlistenname (z. B. 'firewall').
   • Eingehender / Ausgehender Diensttyp (TOS-I, TOS-O): bei * belassen. TOS-I gleicht das eingehende ToS-Byte des Pakets ab (* = beliebiger Wert); TOS-O schreibt es beim Verlassen um (* = nicht ändern).
   • Quell-/Ziel-IP-Ressource: bei * belassen oder die Regel auf eine bestimmte IP-Ressource (z. B. Ip-1) oder eine benannte Liste in Anführungszeichen beschränken.
   • IP-Dienstklasse: Default.
   • Zeitintervall: * = immer. Regeln können für bestimmte Uhrzeiten zeitgesteuert werden.
3. Klicken Sie auf Speichern.

Datenverkehr zwischen zwei internen Subnetzen blockieren

Ziel: Zwei interne Netze sind beide an die Abilis angeschlossen — zum Beispiel ein Büro-LAN und ein separates Subnetz für CCTV-Kameras oder ein Produktionsnetz und ein Verwaltungsnetz. Sie sollen das Internet erreichen, aber nicht einander. Eine kompromittierte Kamera darf das Büro nicht scannen können.

Anders als bei NAT- oder Firewall-zu-WAN-Regeln ist dies rein intern — eine LAN-zu-LAN-Isolierung, die von der ACL der Abilis durchgesetzt wird, während sie zwischen den beiden Subnetzen routet.

1. Stellen Sie sicher, dass beide Subnetze konfiguriert sind — jedes mit eigener IP-Ressource und eigener LAN-Einrichtung. Siehe LAN-Einstellungen konfigurieren für jede Seite.
2. Öffnen Sie Netzwerk > Einstellungen > ACL.
3. Klicken Sie auf Neu + und fügen Sie die Deny-Regel hinzu:
   • Priorität: eine niedrige Zahl, damit die Regel vor jeder allgemeinen Permit-Regel ausgewertet wird. (Denken Sie daran: Niedrigere Zahl = höhere Priorität bei der Abilis — PR 0 gewinnt gegen PR 100.)
   • Aktion: deny.
   • Quelle: Subnetz A (z. B. 192.168.10.0:192.168.10.255 — das Büro).
   • Ziel: Subnetz B (z. B. 192.168.20.0:192.168.20.255 — Kameras).
   • Protokoll: any.
   • Beschreibung: Block office → cameras.
4. Wenn die Sperre in beide Richtungen gelten soll (auch die Kameras können das Büro nicht erreichen), fügen Sie eine zweite Regel hinzu, bei der Quelle und Ziel vertauscht sind.
5. Klicken Sie auf Speichern. ACL-Regeln werden sofort wirksam.
6. Testen Sie — versuchen Sie von einem Host in Subnetz A aus, ein Gerät in Subnetz B anzupingen. Das sollte fehlschlagen. Der Internetzugang sollte von beiden Seiten weiterhin funktionieren (es wurden keine NAT-Regeln geändert).

Bestimmten Datenverkehr über eine bestimmte Leitung senden (Policy-Based Routing)

Ziel: Sie haben zwei WAN-Leitungen und möchten, dass bestimmter Datenverkehr immer über eine bestimmte Leitung abgewickelt wird — zum Beispiel der gesamte VoIP-Datenverkehr über die Glasfaser- leitung (niedrige Latenz), alles andere über das LTE-Backup. Normales Routing betrachtet nur das Ziel; Policy-Based Routing kann anhand von Quelle, Protokoll und Ports entscheiden.

1. Bestimmen Sie den Datenverkehr, den Sie umleiten möchten — zum Beispiel: LAN-Host 192.168.1.50, UDP, Zielport 5060 (SIP).
2. Bestimmen Sie die WAN-Leitung, die dieser Datenverkehr nutzen soll — zum Beispiel Ip-5 (Glasfaser).
3. Öffnen Sie Netzwerk > Einstellungen > ACL.



4. Klicken Sie auf Neu +. Konfigurieren Sie:
   • Aktion: permit (PBR-Regeln erlauben und leiten um — eine Deny-Regel blockiert nur).
   • Priorität: eine Zahl, die diese Regel oberhalb aller allgemeinen Permit-all-Regeln platziert.
   • Quelle: der LAN-Host, das Netz oder die Liste.
   • Ziel: meist any oder ein bestimmtes Netz.
   • Protokoll / Ports: z. B. UDP 5060 für SIP, UDP 10000–20000 für RTP, TCP 443 für HTTPS.
   • Ausgangsressource: der WAN-Port, über den der passende Datenverkehr hinausgehen soll (z. B. Ip-5).
5. Klicken Sie auf Speichern. ACL-Regeln werden sofort wirksam — ein Neustart ist nicht erforderlich.
6. Testen Sie — senden Sie Datenverkehr, der zur Regel passt. Den Weg, den er nimmt, können Sie unter Netzwerk > Info bestätigen, indem Sie die Leitungsauslastung am gewählten Ausgangsport beobachten. Falls verfügbar, zeigt Werkzeuge > IP Flow Tracer den genauen Weg jedes Pakets.

Einen VPN-Tunnel zwischen zwei Abilis-Geräten einrichten (AIPT2)

Ziel: Stellt eine sichere, verschlüsselte Verbindung zwischen zwei Abilis-Geräten her. Geräte an beiden Standorten können direkt über das Internet miteinander kommunizieren — als wären sie durch ein virtuelles Kabel verbunden.

Ein Tunnel hat immer zwei Seiten: Eine Abilis fungiert als Server, die andere als Client. Beide Seiten müssen mit übereinstimmenden Parametern konfiguriert werden. Nachfolgend die vollständige Anleitung.

Schritt 1 — Eine neue AIPT2-Ressource erstellen

1. Öffnen Sie Netzwerk > Einstellungen > Ports.



2. Klicken Sie auf Neu +. Der Dialog „Neue Ressource hinzufügen“ öffnet sich.



3. Legen Sie fest:
   • Ressource: wählen Sie eine verfügbare IP-Ressource (z. B. Ip-8).
   • Subtyp: AIPT2.
4. Klicken Sie auf Speichern. Das Tunnel-Konfigurationsfenster öffnet sich.

Schritt 2 — Den Tunnel konfigurieren

Das Konfigurationsfenster enthält folgende Abschnitte:

Tunnelidentität

Feld	Was einzustellen ist
Tunnelseite	client oder server. Eine Abilis muss der Server sein, die andere der Client.
Der Tunnel verwendet IP-Port / -Namen	Der Name der IP-Ressource (z. B. Ip-8), der diesen Tunnel an einen Port-Slot dieser Abilis bindet. Wird automatisch aus der in Schritt 1 erstellten Ressource übernommen; Sie ändern ihn hier nicht.
Dieser Tunnel lauscht auf UDP-Port	Standard: 4008. Muss auf beiden Seiten übereinstimmen.
UDP-Port der Gegenstelle	# bedeutet identisch mit dem lokalen Port. Legen Sie einen bestimmten Port fest, wenn die Gegenstelle einen anderen verwendet.

Zweck

Der Verbindungsbehandlungstyp teilt der Abilis mit, welche Art von Datenverkehr durch den Tunnel fließt, damit sie entsprechend optimieren kann:

Neighbour Router (Gegenstelle) — die IP-Adresse und Subnetzmaske des LAN der entfernten Abilis. (Trotz des Feldnamens ist dies die Netzwerkadresse des entfernten LAN, nicht ein Router auf der Verbindung.) Verwenden Sie das LAN-Subnetz des entfernten Standorts — im Beispieldiagramm: Der Server hat das LAN 192.168.0.0/24, der Client hat das LAN 192.168.1.0/24.

WAN-Pfade

Ein WAN-Pfad legt fest, welche Internetverbindung der Tunnel nutzt, um die entfernte Abilis zu erreichen. Sie können bis zu 6 Pfade für Redundanz hinzufügen.

• auto port selection — die Abilis wählt automatisch den besten verfügbaren WAN-Port.
• Oder wählen Sie einen bestimmten Port (z. B. Ip-5 für Glasfaser, Ip-7 für LTE).
• Connects to → Remote IP Address (Verbindet zu → Entfernte IP-Adresse) — die öffentliche IP-Adresse der entfernten Abilis. Geben Sie # ein, wenn Auto-Discovery verwendet wird.
• Klicken Sie auf Add Wan path, um einen Backup-Pfad hinzuzufügen.

Authentifizierungsmethoden

Wählen Sie, wie die beiden Abilis-Geräte gegenseitig ihre Identität prüfen:

• Passwortbasierte Authentifizierung — beide Seiten verwenden dasselbe Passwort.
• Authentifizierung anhand der Geräte-ID — verwendet die eindeutige Seriennummer jedes Abilis-Geräts. Sicherer, kein Passwort zu verwalten.

Schritt 3 — Erweiterte Parameter

Klicken Sie oben rechts auf Erweiterte Parameter einblenden, um auf drei Abschnitte zuzugreifen:

Paketverarbeitung, Redundanz und Fallback

Erweitertes Routing

• Route automatisch in die Routingtabelle exportieren (REDIS) — wenn aktiviert, fügt die Abilis automatisch eine Route zum entfernten LAN über diesen Tunnel hinzu. Setzen Sie den Wert auf destination route, damit Datenverkehr zum entfernten Subnetz ohne manuelle Routingregeln durch den Tunnel gesendet wird.
• Traffic Shaping — Begrenzung der Ausgangsgeschwindigkeit — begrenzt die Bandbreite des Tunnels (in Kbit/s). Nützlich, wenn Sie Bandbreite für andere Dienste reservieren möchten.

Überwachung und Protokollierung

• Behandlung von Statusänderungen — was geschieht, wenn der Tunnel aktiv oder inaktiv wird:
  • Systemprotokoll — in das Protokoll des Steuerports schreiben.
  • SNMP-Dienst (Traps) — sendet einen SNMP-Trap (eine unaufgeforderte „Es ist etwas passiert“-Meldung) an ein Überwachungssystem, das für den Empfang konfiguriert wurde.
• Ereignisse an Warnkanal exportieren — löst eine Warnung aus (SMS, E-Mail, Anruf, digitaler Ausgang), wenn der Tunnel seinen Status ändert. Wählen Sie die Kanalnummer unter Werkzeuge > Warnungsverwaltung.
• TRFA Verkehrsanalyse — Netzwerkdiagramme — aktiviert Verkehrsstatistiken für diesen Tunnel, sichtbar unter Telefon > Statistiken. (Ja, Netzwerkverkehrsdaten befinden sich im Bereich Telefon — aus historischen Gründen; die Seite deckt den gesamten Datenverkehr ab, nicht nur Anrufe.)

Schritt 4 — Speichern und überprüfen

1. Klicken Sie auf Speichern, um die Konfiguration anzuwenden.
2. Wiederholen Sie denselben Vorgang auf der entfernten Abilis und stellen Sie sie auf die Gegenseite ein (ist diese client, muss die entfernte server sein). UDP-Port, Authentifizierung und Gegenstellen-Einstellungen müssen übereinstimmen.
3. Öffnen Sie Netzwerk > Info und klappen Sie VPN-Verbindungen auf.
4. Die VPN-Matrix zeigt farbcodierte Qualitätsbalken für jeden Tunnel über mehrere Zeitfenster (5 Sek., 1 Min., 15 Min., 1 Std.).
5. Farben: grün = gesund, gelb = mittelmäßig, orange = beeinträchtigt, rot = kaum nutzbar, schwarz = ausgefallen, grau = inaktiv. (Dasselbe Schema wie in der VPN-Verbindungsmatrix auf der Registerkarte Info.)
6. Klicken Sie auf einen Verbindungsnamen, um die Leitungsauslastung (Bandbreitendiagramm) und die Top 5 (wer sie nutzt) zu sehen.

Einem VPN-Tunnel einen zweiten Pfad für Redundanz hinzufügen

Ziel: Sie haben an jedem Standort zwei WAN-Leitungen und möchten, dass Ihr AIPT2-VPN- Tunnel auch dann weiterarbeitet, wenn eine der WAN-Leitungen ausfällt. Der Tunnel nutzt beide Pfade für Ausfallsicherheit — fällt der primäre aus, läuft der Datenverkehr über den Backup-Pfad weiter, ohne dass Anruf oder Sitzung abbrechen.

Voraussetzung: Der einfache Tunnel funktioniert bereits zwischen den beiden Abilis — andernfalls konfigurieren Sie ihn zuerst gemäß Einen VPN-Tunnel zwischen zwei Abilis-Geräten einrichten (AIPT2).

1. Öffnen Sie den Tunnel auf der ersten Abilis: Gehen Sie zu Netzwerk > Einstellungen > Ports und klicken Sie auf die AIPT2-IP-Ressource (z. B. Ip-8).
2. Scrollen Sie zum Abschnitt WAN-Pfade.



3. Klicken Sie auf Add Wan path. Eine neue Zeile erscheint.
   • Port: wählen Sie die zweite WAN-Schnittstelle (z. B. den LTE- Port, Ip-7). Die erste Zeile sollte bereits auf das primäre WAN verweisen.
   • Connects to → Remote IP Address: die öffentliche IP-Adresse, die die entfernte Abilis auf ihrer zweiten WAN-Leitung verwendet. Wird Auto-Discovery genutzt, lassen Sie # stehen.
4. Blenden Sie die erweiterten Parameter ein (oben rechts). Unter Paketverarbeitung, Redundanz und Fallback:
   • Stellen Sie sicher, dass Bandbreite bei Bedarf über Backup-Pfade angehakt ist — der Tunnel aktiviert den zweiten Pfad automatisch, wenn der primäre den gesamten Datenverkehr nicht mehr tragen kann oder ausfällt.
   • Bei Leitungen ähnlicher Geschwindigkeit können Sie zusätzlich Forward Error Correction (FEC) aktivieren, um Paketverluste auf instabilen Verbindungen zu verringern. FEC sendet mit jeder Übertragung eine kleine Menge kontrollierter redundanter Daten, sodass der Empfänger verlorene Pakete rekonstruieren kann, ohne auf eine erneute Übertragung zu warten. Der Bandbreitenaufwand lohnt sich für Sprache, Fernsteuerungssignale und jeden Datenfluss, bei dem Verzögerungen durch erneute Übertragung die Nutzung beeinträchtigen würden.
5. Klicken Sie auf Speichern.
6. Wiederholen Sie dies auf der zweiten Abilis — fügen Sie ihren eigenen zweiten WAN-Pfad mit der passenden entfernten IP-Adresse der ersten Abilis hinzu. Die beiden Konfigurationen spiegeln einander.
7. Überprüfen Sie dies unter Netzwerk > Info > VPN-Verbindungen — beide Pfade sollten Datenverkehr unter dem Tunneleintrag anzeigen.

Schutz vor Brute-Force-Angriffen (IP Ban)

Ziel: Sperrt automatisch IP-Adressen, die wiederholt bei der Anmeldung scheitern. Der IP-Ban-Agent ist immer aktiv — Sie aktivieren ihn nicht, sondern konfigurieren seine Empfindlichkeit.

Sperrstatus anzeigen

1. Öffnen Sie Netzwerk > Info und scrollen Sie zu IP Ban.



2. Die Kopfzeile zeigt: „Banned X attackers responsible for Y malicious trials“.
3. Klappen Sie sie auf, um die gesperrten IP-Adressen und zwei Schaltflächen zu sehen:

   

   • Unban Addresses — hebt eine Sperre manuell auf (wenn Sie sich selbst ausgesperrt haben).
   • IP Ban Settings — Schwellenwerte konfigurieren.

Schwellenwerte konfigurieren

1. Klicken Sie auf IP Ban Settings. Der Dialog Einstellungen öffnet sich.



2. Konfigurieren Sie:
   • Hosts sperren nach 10 erfolglosen Versuchen
   • Innerhalb eines Intervalls von 60 Minuten — 10 fehlgeschlagene Versuche von derselben IP-Adresse innerhalb von 1 Stunde lösen eine Sperre aus.
   • Hosts sperren für 10080 Minuten (= 7 Tage)
   • Warnung senden, wenn die Tabellenkapazität 80 % erreicht

     

     — aktivieren Sie dies, um gewarnt zu werden, wenn sich die Sperrliste füllt. Wählen Sie den Warnkanal:
     • 1 - Sendet E-Mail
     • 2 - Sendet SMS
     • 3 - Sendet Anruf
     • 4 - Schaltet DO (digitalen Ausgang) ein
   • Kapazität der Sperrtabelle: 3000 — maximale Anzahl gleichzeitiger Sperren. Eine Änderung erfordert einen Neustart.
3. Klicken Sie auf Speichern und alle Änderungen anwenden.

Benachrichtigung erhalten, wenn ein neues Gerät in Ihrem Netzwerk erscheint

Ziel: Die Abilis durchsucht Ihr LAN fortlaufend per ARP nach Geräten. Sie sehen jedes verbundene Gerät und können Warnungen für unbekannte Geräte einrichten.

Verbundene Geräte anzeigen

1. Öffnen Sie Netzwerk > Info > LAN-Verbindungen > ARP-Monitor.



2. Es gibt drei Unterregisterkarten:
   • Monitored – Geräte, die Sie überwachen. Spalten: Port, IP-Adresse, MAC-Adresse, Hersteller, Beschreibung, Status (grünes Häkchen = aktiv, rotes Kreuz = ausgefallen), Seit, Max. Ausfallzeit (Sek.). In jeder Zeile finden Sie Schaltflächen zum Bearbeiten und Löschen.
   • All Hosts – alle Geräte, die jemals im Netzwerk gesehen wurden.
   • Unknown Hosts – Geräte, die nicht in Ihrer Überwachungsliste stehen. Jede Zeile enthält die Schaltfläche + Add To Monitor.

Warnungen einrichten

1. Klicken Sie oben rechts auf New Host Alert.



2. Wählen Sie den Warnkanal: No, 1-Email, 2-SMS, 3-Call, 4-Digital Output.
3. Klicken Sie auf Speichern.

Ein Gerät zur Überwachung hinzufügen

1. Klicken Sie entweder bei einem Unknown Host auf + Add To Monitor oder auf Neu +, um die Angaben manuell einzugeben.
2. Legen Sie IP-Adresse, MAC-Adresse, Beschreibung und Überwachungsparameter fest.
3. Klicken Sie auf Speichern.

Netzwerkgeräte mit SNMP überwachen

Ziel: Sie können bestimmte Dienste auf Netzwerkgeräten (Switches, Drucker, Server) überwachen und werden benachrichtigt, wenn sie ausfallen. Der Abilis fragt regelmäßig „Bist du noch da?“ und löst einen Alarm aus, sobald keine Antwort mehr eintrifft.

1. Öffnen Sie Netzwerk > Info > LAN-Verbindungen > SNMP-Monitor.
2. Klicken Sie auf Neu +.
3. Füllen Sie die Felder aus:

   

   • Name des überwachten Dienstes: eine Bezeichnung (z. B. PC2, PrinterOffice).
   • SNMP-Version: 1 ist am einfachsten. Verwenden Sie 2c oder 3, wenn das Gerät dies erfordert.
   • SNMP-Community: das gemeinsame Kennwort – üblicherweise public (nur lesend). Es muss mit dem Gerät übereinstimmen.
   • Max GetRequest retries: wie oft die Abfrage wiederholt wird, wenn keine Antwort kommt (0 = keine Wiederholungen).
   • UDP-Port: 161 (Standard-SNMP-Port).
   • Client role: Passive (Host can only answer to GET requests) – die sichere Standardeinstellung.
   • Identifier: die zu prüfende SNMP-OID. 1.3.6.1.2.1.1.3.0 = Systembetriebszeit – eine universelle Funktionsprüfung.
   • Send alert on channel: dieselben Optionen (E-Mail, SMS, Anruf, digitaler Ausgang).
   • Max tolerated down time: Sekunden, bevor die Warnung ausgelöst wird (z. B. 60).
4. Klicken Sie auf Senden.

Von innerhalb des Netzwerks auf eigene öffentliche Dienste zugreifen (NAT-Loopback)

Ziel: Dies behebt ein häufiges Problem – Sie haben eine Portweiterleitung eingerichtet, sodass Ihre Kamera über myoffice.ddns.net:8080 aus dem Internet erreichbar ist. Von zu Hause funktioniert das. Aus dem Büro heraus funktioniert dieselbe Adresse jedoch nicht.

Warum: Ihr PC sendet die Anfrage an die öffentliche IP des Abilis. Der Abilis erkennt, dass sie aus dem LAN kommt, aber nach außen adressiert ist – und weiß nicht, dass er sie intern umleiten soll.

Wann Sie das brauchen: Nur wenn interne Geräte die öffentliche IP oder den Domänennamen verwenden müssen. Wenn alle im Netzwerk direkt die interne IP des Geräts verwenden (z. B. 192.168.1.50), brauchen Sie dies nicht.

1. Öffnen Sie Netzwerk > Einstellungen > NAT und klicken Sie auf Neu +.
2. Füllen Sie die Felder aus:
   • Beschreibung: NAT loopback
   • Translation Type: Source
   • Inbound NAT Zone: INSIDE
   • Outbound NAT Zone: INSIDE
   • Pre-NAT Source Address: 000.000.000.000/32 (beliebige Quelle)
   • Pre-NAT Destination Address: *
   • Post-NAT Address: die LAN-IP des Abilis mit Subnetz (z. B. 192.168.1.1/24)
   • Post-NAT Address Port: AUTO
3. Klicken Sie auf Speichern.

Verkehrsanalyse aktivieren (TRFA)

Ziel: Aktiviert die Bandbreitenüberwachung an einem Netzwerkport, damit Sie Line-Load-Diagramme und Top-5-Auslastungsdiagramme für diese Verbindung sehen können.

TRFA wird pro Port aktiviert – Sie wählen, welche Verbindungen Sie überwachen möchten.

1. Öffnen Sie Netzwerk > Einstellungen > Ports.
2. Klicken Sie auf den Port, den Sie überwachen möchten (z. B. Ihren WAN-Port).
3. Aktivieren Sie Erweitert, um alle Optionen anzuzeigen.
4. Scrollen Sie nach unten zu Verkehrsanalyse (TRFA) und aktivieren Sie das Kontrollkästchen.
5. Wählen Sie unter TRFA-Modus den gewünschten Detailgrad:

6. Klicken Sie auf Speichern.
7. Wiederholen Sie die Schritte für alle weiteren Ports, die Sie überwachen möchten.

Verkehrsanalyse anzeigen (Line Load und Top 5)

Ziel: Sie sehen, wie viel Bandbreite jede Verbindung gerade nutzt und welche Geräte in Ihrem Netzwerk den meisten Verkehr verursachen.

1. Öffnen Sie Netzwerk → Info. Klicken Sie auf eine beliebige Verbindung (z. B. Lan_locale).
2. Oben sehen Sie zwei Registerkarten: Line Load und Top 5.
3. Line Load – ein Echtzeitdiagramm des Durchsatzes, das zeigt, wie viele Daten im Zeitverlauf durch die Verbindung fließen. Mit den Dropdown-Listen oben legen Sie fest:
   • Select Resource – die anzuzeigende Verbindung (Tunnel, WAN-Bundle oder LAN-Port).
   • Select Paths – befindet sich direkt neben Select Resource. Bei einer Ressource mit mehreren Pfaden (ein AIPT2-Tunnel oder WAN-Bundle führt bis zu 6 Pfade) wählen Sie einen Pfad, mehrere oder All paths. Wenn Sie mehr als einen auswählen, werden sie im selben Diagramm dargestellt, sodass Sie sie direkt vergleichen können – nützlich, um bei einer Störung zu erkennen, welcher Pfad sich verschlechtert.

     

   • Timespan – Realtime, Day oder Week.
   Die Anzeigeschalter unter dem Diagramm (Throughput, Bandwidth, Trip time, gesendete / empfangene / verlorene / per FEC rekonstruierte Pakete) steuern, welche Datenreihen gezeichnet werden.

   

4. Top 5 – vier Kreisdiagramme, die zeigen, welche Geräte und Remote-Hosts die meiste Bandbreite nutzen. Der graue äußere Kreis steht für die volle Kapazität; die farbigen Segmente zeigen den Anteil des jeweiligen Geräts.

   

5. In der Ansicht Line Load können Sie mit Export to CSV die Daten für Berichte oder Auswertungen in Excel exportieren.

Dynamic DNS einrichten

Ziel: Ihr Abilis erhält einen festen Namen (wie myoffice.ddns.net), der immer auf Ihre aktuelle öffentliche IP zeigt, auch wenn sich diese ändert.

DDNS besteht aus zwei Teilen: Der DDNS-Dienst (Zugangsdaten des Anbieters) wird einmalig über die SSH/Telnet-CLI eingerichtet, die Zuordnung des Domänennamens erfolgt dagegen über die Weboberfläche.

Einem WAN-Port einen DDNS-Hostnamen zuweisen

1. Öffnen Sie Netzwerk > Einstellungen > Ports.
2. Klicken Sie auf den WAN-Port, der mit dem Internet verbunden ist (z. B. Ihr Glasfaser- oder LTE-Port).
3. Scrollen Sie nach unten zu Dynamic Domain Name Service (DDNS).
4. Aktivieren Sie das DDNS-Kontrollkästchen.
5. Geben Sie im Feld DDNS domain name den Hostnamen ein, den Sie bei Ihrem DDNS-Anbieter registriert haben (z. B. myoffice.no-ip.org).

6. Klicken Sie auf Speichern.

LTE als Backup-Internetverbindung einrichten (automatische Umschaltung)

Ziel: Fällt Ihre Hauptverbindung aus, schaltet der Abilis automatisch auf LTE um.

So funktioniert es: Zwei Standardrouten mit unterschiedlichen Metriken in der Routings-Tabelle. Niedrigere Metrik = höhere Priorität. Der Abilis überwacht beide und schaltet automatisch um.

1. Öffnen Sie Netzwerk > Einstellungen > Routings.
2. Sie sollten Ihre primäre Standardroute sehen (Ziel: any, zeigt auf Ihren Glasfaser-/DSL-Port). Notieren Sie sich deren Metrik.
3. Klicken Sie auf Neu +, um eine zweite Standardroute anzulegen:
   • Ziel: any
   • Quelle: any
   • Gateway: OUT-IP
   • Ausgangsport: Ihr LTE-Port (z. B. Ip-216)
   • Metrik: ein höherer Wert als bei der primären Route, damit diese Route nur verwendet wird, wenn die primäre ausfällt. (Die Metrik ist die AD der Route; siehe Wie der Abilis eine Route auswählt.)
4. Klicken Sie auf Speichern.
5. Prüfen Sie unter Netzwerk > Info – Sie sollten beide Verbindungen sehen, wobei die primäre ein grünes Statussymbol zeigt und das Backup bereit ist, zu übernehmen.

Einen Sprachtunnel zwischen zwei Abilis überwachen

Ziel: Ein Sprachtunnel überträgt Telefongespräche zwischen zwei Abilis-Standorten. Nebenstellen an Standort A können Standort B als interne Gespräche anrufen.

1. Öffnen Sie Netzwerk > Info. Klicken Sie auf die Sprachverbindung (z. B. „VoIP_smartphones“).
2. Line Load zeigt ein Durchsatzdiagramm. Wählen Sie die Ressource (z. B. VoIP_smartphones Ip-4) und den Zeitraum.
3. Grüne Linie = Bandbreitennutzung. Flach nahe null = keine aktiven Gespräche; Spitzen = Gesprächsverkehr.
4. Klicken Sie für Berichte auf Export to CSV.

Den Zustand der Netzwerkschnittstellen prüfen

Ziel: Sie möchten schnell einen Überblick über alle Ihre Netzwerkverbindungen – welche funktionieren, welche ausgefallen sind und ob der Abilis mit dem Internet verbunden ist. Dies ist das Erste, was Sie prüfen sollten, wenn etwas nicht funktioniert.

1. Öffnen Sie Netzwerk → Info. Klicken Sie in der Seitenleiste auf das Netzwerk-Symbol und dann auf die Registerkarte Info. Das Live-Statusdashboard wird automatisch geladen.
2. Lesen Sie die Statusanzeigen. Jede Verbindung wird als pillenförmige Schaltfläche mit einem farbigen Symbol dargestellt:

   Symbol	Bedeutung
   Grün (lachendes Gesicht)	Die Verbindung ist aktiv und funktioniert normal.
   Dunkles/graues Symbol	Die Verbindung ist konfiguriert, aber derzeit nicht aktiv – sie ist möglicherweise absichtlich deaktiviert, wartet als Backup oder ist falsch konfiguriert.

3. Klicken Sie auf eine Verbindung, um ihre Detailseite zu öffnen, einschließlich der Line-Load-Diagramme (wie viel Bandbreite genutzt wird) und der Top-5-Verkehrsquellen.

So funktioniert QoS: Verkehr markieren und den Engpass steuern

Ziel: Sie verstehen das Modell hinter dem IPCOS-Tag und dem Bereich IP Shaping – warum Sie ein Paket mit HIGH markieren und was der Abilis tut, wenn er eine Verbindung drosselt.

Warum das wichtig ist: Eine Leitung hat nur begrenzte Bandbreite. Ist sie ausgelastet, wird etwas verzögert – und wenn dieses Etwas ein Telefongespräch ist, hören die Teilnehmer es. Mit QoS entscheiden Sie, was warten muss und was nicht, statt es dem Zufall zu überlassen.

QoS besteht aus drei Aufgaben, die nacheinander erledigt werden. Stellen Sie sich eine belebte Straße vor: Zuerst sortieren Sie die Fahrzeuge in Typen (Klassifizierung), dann bringen Sie an jedem einen Aufkleber an (Markierung), damit spätere Kontrollpunkte sie unterscheiden können, und am Engpass geben Sie manchen Typen Vorrang und halten andere zurück (Warteschlangen und Shaping).

• Klassifizierung – festlegen, welcher Verkehr welcher ist (das ist Sprache, jenes ein Backup-Job). Beim Abilis klassifizieren Sie mit einer Firewall-Regel (ACL), die den Verkehr erfasst.
• Markierung – jedes Paket wird so gekennzeichnet, dass die Entscheidung ohne erneute Klassifizierung berücksichtigt werden kann. Die Markierung des Abilis ist IPCOS: HIGH, NORMAL, LOW oder DFT (Standardklasse des Systems verwenden). Bei anderen Routern wird die Markierung meist im IP-Header als DSCP-Wert übertragen; der Abilis dagegen führt seine eigene Klasse und kopiert sie in die Prioritätsbits des VLAN (802.1q), sodass nachgelagerte Geräte mit getaggtem Ethernet sie ebenfalls berücksichtigen können. (Eine ACL-Regel kann die Markierung im Header auch direkt schreiben: Ihr Feld TOS-O überschreibt beim Versenden das ToS-Byte des Pakets – das Feld, das den DSCP-Wert enthält.)
• Den Engpass steuern – der Teil, der oft verwechselt wird. Es gibt zwei Möglichkeiten, ein Limit durchzusetzen:
  • Shaping verzögert Verkehr, der das Limit überschreitet, und gibt ihn einen Moment später frei – gleichmäßig, nichts geht verloren, nur etwas langsamer.
  • Policing verwirft den Überschuss sofort – keine zusätzliche Verzögerung, aber die verworfenen Pakete sind verloren.

Beim Abilis: Sind Dienstklassen aktiv, werden mit HIGH markierte Pakete bei überlasteter Leitung vor NORMAL und LOW bedient (eine Ausgleichsoption verhindert, dass die niedrigeren Klassen völlig ausgehungert werden). IP Shaping ist der automatische Shaper: Er beobachtet die wenigen Verursacher mit dem höchsten Verkehr, und wenn einer von ihnen ein gleichmäßiger Maschine-zu-Maschine-Datenfluss ist – hohes Volumen, geringe Varianz: ein Backup oder eine große Dateiübertragung, kein sprunghaftes Surfen –, schiebt er die Pakete dieses Flusses in der Ausgangswarteschlange nach hinten, sodass interaktiver Verkehr Vorrang hat. Es wird nichts verworfen, und wenn die Leitung sonst ungenutzt ist, läuft der Massenfluss mit voller Geschwindigkeit.

Praxisbeispiel – einen VoIP-Anruf auf einem ausgelasteten WAN schützen:

1. Klassifizieren und markieren: Fügen Sie eine ACL-Regel hinzu, die den Sprachverkehr erfasst, und setzen Sie IPCOS = HIGH.
2. Wenn das WAN ausgelastet ist, überholen Sprachpakete den Verkehr der Standardklasse in der Warteschlange – das Gespräch bleibt klar.
3. Optional lassen Sie IP Shaping den Bandbreitenfresser zurückhalten: Ein gleichmäßiger Upload wird verzögert (nicht verworfen), sobald jemand anderes die Leitung braucht.

Zum Setzen von Markierungen verwenden Sie die Spalte IPCOS in Firewall-Regeln (Zugriffskontrolllisten) einrichten; um starke Datenflüsse zu begrenzen oder herabzustufen, lesen Sie direkt unten Bandbreite einer Verbindung begrenzen (Traffic Shaping) und Bandbreite pro IP-Adresse oder Subnetz begrenzen (IP Shaping).

Bandbreite einer Verbindung begrenzen (Traffic Shaping)

Ziel: Begrenzt die Bandbreite einer Verbindung, damit sie nicht die gesamte verfügbare Kapazität beansprucht und Platz für andere Dienste bleibt (z. B. Telefongespräche, VPN).

1. Öffnen Sie Netzwerk > Einstellungen > Ports.
2. Klicken Sie auf den Port, den Sie begrenzen möchten (z. B. ein WAN- oder Tunnel-Port).
3. Aktivieren Sie Erweitert, um alle Optionen anzuzeigen.
4. Scrollen Sie zu Traffic Shaping und klappen Sie den Bereich auf.
5. Setzen Sie Output speed limitation auf YES.
6. Geben Sie den Wert für Output speed limitation value in Kbit/s ein (z. B. 1000 für 1 Mbit/s).

7. Klicken Sie auf Speichern.

Bandbreite pro IP-Adresse oder Subnetz begrenzen (IP Shaping)

Ziel: Ein Gerät oder eine Abteilung lastet die Internetleitung aus – ein Backup-Job, ein einzelner Vielnutzer beim Download, ein Gast-VLAN, das alles belegt. Statt den gesamten WAN-Port zu begrenzen (siehe dazu Traffic Shaping), begrenzen Sie gezielt bestimmte Hosts oder Netzwerke, damit alle anderen ihren Anteil behalten.

1. Legen Sie fest, wen Sie begrenzen – die auffällige IP, eine Liste von IPs oder ein Subnetz (z. B. das Gast-VLAN 192.168.100.0/24).
2. Öffnen Sie Netzwerk > Einstellungen > IP Shaping.
3. Klicken Sie auf Neu + und konfigurieren Sie die Regel:
   • Quelle: die IP, das Subnetz oder eine Liste von Adressen, die begrenzt werden sollen.
   • Ziel: meist any (für den gesamten Verkehr begrenzen) oder ein bestimmtes Ziel, wenn Sie nur eine Richtung betrachten.
   • Max. Rate: die Obergrenze in Kbit/s (z. B. 2000 für 2 Mbit/s).
   • Richtung: Download, Upload oder beides. Bei einem starken Downloader genügt meist die Begrenzung des Downloads.
4. Klicken Sie auf Speichern. Die Regel gilt sofort – ohne Neustart.
5. Prüfen Sie unter Netzwerk > Info – die Line Load der betroffenen IP flacht bei der von Ihnen festgelegten Rate ab.

Praxisbeispiel: Maschine-zu-Maschine-Engpass

Ein konkreter Fall, den Lino beschrieben hat und der in kleinen Industrie- und Büroinstallationen häufig vorkommt:

Die Situation. Eine 100-Mbit/s-Internetleitung versorgt ein kleines Büro. Einer der Hosts im LAN ist ein Industrie-PC, der regelmäßig große Telemetrie- oder Backup-Dateien über das Internet auf den Server eines Lieferanten hochlädt – unbeaufsichtigt, von Maschine zu Maschine, ohne dass es ein Mensch bemerkt. Läuft ein Upload, ist die Leitung ausgelastet: das VPN zum anderen Standort ruckelt, Videoanrufe frieren ein, die Remote-Viewer der Kameras verlieren Bilder. Der Upload selbst muss nicht schnell sein – er läuft bewusst über Nacht –, aber solange er läuft, funktioniert sonst nichts.

Die Lösung. Begrenzen Sie nur die ausgehende Rate dieses Rechners. Alle anderen behalten den vollen Zugriff auf die Leitung. Der Upload wird weiterhin abgeschlossen (nur über einen längeren Zeitraum); die anderen Dienste bleiben die ganze Zeit flüssig.

1. Identifizieren Sie den Rechner anhand seiner statischen IP – zum Beispiel 192.168.1.50. Hat er noch keine feste Adresse, reservieren Sie zuerst eine über DHCP-Server einrichten, damit die Shaping-Regel immer den richtigen Host trifft.
2. Legen Sie die Obergrenze fest. Bei der 100-Mbit/s-Leitung in diesem Beispiel bleiben 20 Mbit/s für den Industrie-PC übrig, wenn 80 Mbit/s für alles andere reserviert werden – genug, um über Nacht mehrere Gigabyte hochzuladen, ohne dass es jemand anderen merklich beeinträchtigt. Geben Sie die Obergrenze in Kbit/s an: 20000 für 20 Mbit/s.
3. Öffnen Sie Netzwerk > Einstellungen > IP Shaping und klicken Sie auf Neu +.
4. Konfigurieren Sie die Regel:
   • Quelle: 192.168.1.50 – nur dieser Host.
   • Ziel: any.
   • Richtung: Upload. Die Uploads sind das Problem; der eingehende Verkehr dieses Hosts ist vernachlässigbar.
   • Max. Rate: 20000 Kbit/s.
   • Beschreibung: industrial_PC upload cap.
5. Klicken Sie auf Speichern.
6. Überprüfen Sie das Ergebnis: Öffnen Sie beim nächsten Upload Netzwerk > Info und wählen Sie den WAN-Port. Das Line-Load-Diagramm sollte ein flaches Plateau bei ca. 20 Mbit/s zeigen statt der bisherigen Spitze bis zur Leitungsgeschwindigkeit. Währenddessen bleiben der VPN-Tunnel und der Sprachverkehr flüssig – die übrigen 80 Mbit/s stehen ihnen zur Verfügung.

Eine Verbindung neu starten (WAN, VPN, Tunnel)

Ziel: Eine Ihrer Netzwerkverbindungen hängt – eine WAN-Leitung, ein VPN-Tunnel oder eine LTE-Verbindung –, der Abilis selbst ist aber weiterhin erreichbar. Sie möchten nur diese eine Ressource neu starten, ohne das ganze Gerät neu zu booten.

So funktioniert es: Der Neustart erfolgt durch Aus- und Wiedereinschalten der Ressource — deaktivieren, speichern, dann wieder aktivieren. Die Ressource wird sauber ab- und wieder aufgebaut, ohne andere Ports des Geräts zu beeinträchtigen.

1. Öffnen Sie Netzwerk > Einstellungen > Ports und öffnen Sie die Ressource, die Sie neu starten möchten (z. B. Ip-40, Ip-4 VoIP_smartphones, ein LTE-Port).
2. Deaktivieren Sie oben im Ressourcenbereich das Kontrollkästchen Aktiv.
3. Klicken Sie auf Speichern. Die Ressource wird heruntergefahren – ihr Statussymbol ändert sich und ihr Verkehr stoppt.
4. Warten Sie einige Sekunden, aktivieren Sie dann Aktiv wieder und klicken Sie auf Speichern. Die Ressource kommt wieder hoch und baut ihre Verbindung neu auf.
5. Prüfen Sie das Ergebnis unter Netzwerk > Info – das Statussymbol der Ressource sollte bei einer normalen WAN-Verbindung innerhalb von 30–60 Sekunden wieder grün werden, bei einem LTE-Modem, das sich im Mobilfunknetz neu registrieren muss, nach bis zu einigen Minuten.

Das Internet funktioniert nicht – was zuerst prüfen

Ziel: Ein Benutzer meldet: „Das Internet ist ausgefallen.“ Bevor Sie den Support anrufen, können Sie über die Weboberfläche des Abilis schnell einige Dinge prüfen, um zu verstehen, was los ist, und das Problem möglicherweise selbst beheben.

Schritt 1: Erreichen Sie den Abilis?

Öffnen Sie Ihren Browser und rufen Sie die Webadresse des Abilis auf (Werkseinstellung: https://192.168.1.1). Erscheint die Anmeldeseite des Abilis, ist der Abilis selbst in Ordnung — das Problem liegt zwischen dem Abilis und dem Internet. Fahren Sie mit Schritt 2 fort. Erreichen Sie den Abilis überhaupt nicht, liegt das Problem in Ihrem lokalen Netzwerk (Kabel gezogen, WLAN ausgefallen, falsche IP-Adresse an Ihrem Computer).

Schritt 2: Verbindungsstatus prüfen

Öffnen Sie Netzwerk → Info. Sehen Sie sich die Statussymbole an:

Schritt 3: Prüfen, ob es nur ein Computer ist

Bitten Sie einen anderen Benutzer an einem anderen Computer, es zu versuchen. Hat nur ein Computer das Problem, liegt es an diesem Computer (Netzwerkkabel, WLAN-Verbindung oder lokale Einstellungen) – nicht am Abilis.

Schritt 4: Wenn nichts hilft

Wenn Sie alles oben Genannte geprüft haben und das Problem weiter besteht, sammeln Sie die folgenden Informationen, bevor Sie den Support kontaktieren:

Senden Sie diese Informationen an tem@antek.it oder rufen Sie +39 0376 16262,27 an. Das spart Zeit, weil der Support-Techniker sie dann nicht mehr bei Ihnen erfragen muss.