AVM Webinterface auf localhost beschränken

[WEARENOTALONE]

Hallo zusammen,
gibt es eine Möglichkeit, dass AVM Webinterface an localhost oder an eine bestimmte IP zu binden?

Gruß
WANA

 

[sf3978]

Wenn Du schon im Freetz-Unterforum fragst, dann antworte ich mit "Freetz und iptables".

 

[linuxkasten]

Wieso an localhost? Das würde nämlich bedeuten, dass Du das IF nur von der FritzBox aus abrufen kannst, was für mich relativ wenig Sinn macht (oder steh ich jetzt aufm Schlauch?)

 

[WEARENOTALONE]

Also ich möchte das Webinterface an localhost binden, dann dessen Passwort entfernen und es nur noch über einen SSH Tunnel aufrufen. Zum Beispiel mit dem Befehl ssh -L 6000:localhost:80 root@fritzbox und in der Firefox Adresszeile h**p://localhost:6000 .

Der Vorteil ist, dass ich nicht jedes mal ein Passwort im Webinterface eingeben muss, sondern einfach mit einem Klick die SSH Verbindung aufbaue. Außerdem ist die Verbindung zur FritzBox verschlüsselt. Mit iptables möchte ich ungern arbeiten, weil ich dann beim Start der Fritzbox ein kleines Zeitfenster habe, bei dem das Webinterface ohne Passwort aufrufbar wäre. Oder gibt es hier die Möglichkeit die iptables Regeln VOR dem Start des AVM Webinterfaces zu laden?

 

[buehmann]

Du kannst das AVM-Webinterface auch über den Busybox-httpd laufen lassen (für den normalen Betrieb ist das in /etc/init.d/rc.websrv auch schon vorkonfiguriert). Beim httpd kannst du dann ganz einfach per -p 127.0.0.1:80 angeben, dass nur an localhost gebunden werden soll.

Andreas

 

[Silent-Tears]

Du weisst aber schon, dass AVM inzwischen einige Sachen nur noch zulässt, wenn ein Passwort gesetzt ist?

 

[buehmann]

Ja, aber die ganze Session-Management- und Authentifizierungsgeschichte ist doch in webcm implementiert, nicht im Webserver. (Oder ist das nicht mehr so?)

PS: Oder redest du gar nicht mit mir, sondern mit WEARENOTALONE?

 

[linuxkasten]

Ok, dann bin ich wirklich auf dem Schlauch gestanden

 

[WEARENOTALONE]

Du weisst aber schon, dass AVM inzwischen einige Sachen nur noch zulässt, wenn ein Passwort gesetzt ist?

Nein, dass wusste ich nicht, danke für den Hinweis. Dann werde ich das AVM Webinterface unangetastet lassen und versuche stattdessen den busybox httpd Ansatz von buehmann. Ich stoppe also den AVM Webserver, starte httpd und umgehe damit das Login. Leider kann ich das Webinterface nicht durch den busybox httpd aufrufen, mein Versuch:

# ctlmgr -s
# /etc/init.d/rc.websrv start
Starting websrv AVM web UI...done.
# netstat -l
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       
...
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      
tcp        0      0 0.0.0.0:81              0.0.0.0:*               LISTEN      
...
# ps -w | grep httpd
  630 root      1648 S    httpd -P /var/run/webcfg.pid -p 81 -c /mod/etc/httpd.conf -h /usr/mww/ -r Freetz 
  931 root      1452 S    httpd -P /var/run/websrv.pid -p 80 -h /usr/www/all 
  934 root      1452 S    grep httpd 
# ps -w | grep ctlmgr
  936 root      1452 S    grep ctlmgr

Nach einer langen Warteperiode bekomme ich eine Fehlermeldung Internal communication error (login -1). Exiting., vielleicht muss ich erstmal Freetz auf die neueste Version aktualisieren.

Würde denn der Ansatz mit httpd grundsätzlich funktionieren (bspw. gleicher Funktionsumfang)?

Viele Grüße
WANA

 

[buehmann]

Den ctlmgr musst du schon wieder starten; der wird gebraucht (der "communication error" dürfte von webcm stammen, wenn es mit ctlmgr sprechen will). Das Problem bei den neueren Boxen ist, dass der Webserver mit in ctlmgr verwurschtelt ist. (Bei meiner Box ist der AVM-Webserver noch separat; deswegen benutze ich den busybox-httpd seit langem ohne Probleme für das AVM-Interface.) Vielleicht hast du Glück und den ctlmgr stört es nicht allzu sehr, dass Port 80 schon belegt ist, wenn du ihn startest.

Vielleicht haben andere der Freetz-Entwickler schon Erfahrung damit; warte einfach mal ab.

Andreas

 

[Silent-Tears]

Würde denn der Ansatz mit httpd grundsätzlich funktionieren (bspw. gleicher Funktionsumfang)?

Auf die Gefahr hin, mich zu wiederholen, da du es anscheinend übersehen hast...

Du weisst aber schon, dass AVM inzwischen einige Sachen nur noch zulässt, wenn ein Passwort gesetzt ist?

Ergänzend natürlich: Das funktioniert ansonsten, wenn:

Der Fehler stammt vom nicht laufenden ctlmgr. Den nach Start des httpd wieder starten...

 

[WEARENOTALONE]

Ok vielen Dank für eure Hilfe! Ich glaube damit komme ich meinem Ziel näher

 

[hermann72pb]

httpd kann man zum webcm natürlich parallel laufen lassen, die Passwortangabe würde man damit allerdings nicht umgehen können. Das ist meine Erfahrung auf dem Gebiet. Es sei denn, man konstruiert einen Proxy und gibt aus dem Proxy heraus dem webcm sein Passwort. Das wäre eine Idee...
Mich stört diese Passwortabfrage von AVM -ehrlich gesagt- auch gewaltig. Ich würde allerdings ungerne Funktionen vermissen, die das Passwort benötigen.

MfG