AVM-Webinterface von ext. nicht erreichbar - freetz schon

[greenhornXXL]

Hallo zusammen

Ich kann das normale AVM Webinterface von extern nicht erreich.
Intern im Netz ist alles OK
Das Freetz Interface über :81 geht von extern schon.

Meine Konfiguration ist:
Fritz!Box 7170 AVM .67 Firmware mit Freetz-Trunk 2968 +external

Die Einstellungen in der Firewall sind vorhanden. (Wurde nichts dran geändert)

Hat jemand eine Idee woran das liegen kann bzw. an welcher stelle ich es prüfen
kann/soll?

Bin für alle Tipps dankbar

Vielen Dank
greenhornXXL

 

[Darkyputz]

wie hast du es denn versucht? hast du extra protfreigaben erstellt oder hast du den remoteaccess aktiviert...
normalerweise iss das webif naemlich NICHT von aussen erreichbar...und das freetz von aussen erreichbar iss, iss auch nicht normal, und sicher von dir so eingetsellt worden...

 

[cuma]

Vielleicht der Referer?

 

[colonia27]

Vielleicht der Referer?

und um dich auf den evtl. richtigen Weg zu leiten, der Referer betrifft nur Firefox user. Den Rest dazu spuckt die Suchfunktion hier schnell aus.

 

[matze1985]

wie kommst du darauf?
Das betriff auch IE und Opera, nur beim IE weiß man nciht, wie man das unterdrücken soll.

edit: siehe hier

 

[greenhornXXL]

Hallo zusammen

Ich frage für den externen Zugriff auf das WebInterface habe ich von intern über das AVM Menü gemacht (Fernverwaltung aktivieren)

Die Freetz Oberfläche habe ich im Menü von Freetz unter Forwarding auf 0.0.0.0 mit Port 81 eingestellt.

Insofern habe ich mich etwas falsch ausgedrückt in meinem ersten Post - Sorry mein Fehler.
Ich habe mal die Einstellungen der Firewall angehängt.

bzgl. des Referers habe ich gerade mal unter
network.http.sendRefererHeader
die Einstellungen 1 und 0 probiert. Jeweils den Browser neugestartet.
Ergab aber keine Veränderung

Vielen Dank schonmal für die Tips
Viele Grüße
greenhornXXL

 

[matze1985]

Für die fernwartung ist nur die https verbindung weitergeleitet, hast du die auch versucht?
Hast du libcrypto mit im image?

 

[Darkyputz]

und der normale aufruf https://deinedyndns geht nicht?
iss ja https nicht http

ups matze war fixer

 

[greenhornXXL]

Hallo nochmal

Man das geht ja hier super schnell .... ;-)

Https://dyndns
hab ich schon gemacht

Der Hinweis mit libcrypto bin ich nachgegangen ...
ein Aufruf von

/ # find / -name libcrypto*
/usr/lib/libcrypto.so
/usr/lib/libcrypto.so.0.9.8
/var/media/ftp/uStor01/external/usr/lib/libcrypto.so.0.9.8

Somit denke ich das es OK ist ?!

 

[Silent-Tears]

Nö, da liegt dein Problem.

 

[matze1985]

Silent-Tears hat recht, das ist leider dein Problem.

Da du die libcrypto ausgetauscht hast funktionieren die AVM-SSL-Sachen nicht mehr richtig, es ist eigentlich ein Wunder, dass deine Box nicht abstürtz beim zugriff, bzw. du allgemein das Webif siehst.

Was benutzt du denn was ssl-braucht?

Du könntest veruschen die libavmhmac zu ersetzten, dass stellt die kompatibilität wieder her, da kann es aber zu anderen Problemen kommen, aber zur Zeit ist ein Porblem in Kombi mit der mini bekannt.

edit: andere Frage: du hast libcrypto ausgelagert? Das solltest du auch nicht unbedingt tun, läuft dein Wlan damit?

 

[Silent-Tears]

Das WLan wohl nicht, aber die eingebaute Warnung im menuconfig hat bestimmt noch Niemand gelesen, genausowenig wie man die "Advanced Options" wirklich ernst nimmt (Ok, ist in vielen Fällen wohl auch nicht mehr zwangsläufig nötig...)

 

[cuma]

Das "Advanced" könnte man doch so verwenden, dass es in Releases gesperrt ist

 

[matze1985]

vielleicht sollte man es noch etwas mehr verstecken, zB auch unter "advance options"

 

[cando]

advanced options? welche?

Also ipv6 + replace kernel -> advanced options (OK, passt schon)

aber

-> patch Advanced options

[*] remove freetz verson from subversion string

[*] verbosity level

[*] Favicon

was ist denn daran advanced?

OK, der Rest geht schon mehr ans eingemachte...

 

[greenhornXXL]

Hallo zusammen

Erstmal vielen Dank für die Informationen.

Ich werde das Image neu bauen und die libcrypto nicht auslagern.

Das Wlan hatte ich noch nicht getestet allerdings lief die Box stabil.
Zur Info werde ich das WLAN heute Abend mal testen und es dann noch berichten bevor ich die neue (korrigierte) Firmware draufspiele.

Eine direkte SSL-Anwendung habe ich nicht, lediglich das OpenVPN (Client).


Herzlichen Dank an alle Beteiligten für die schnelle und gute Hilfe zu meinem Problem welches aus Unwissenheit entstanden ist.

Viele Grüsse
greenhornXXL

 

[hermann72pb]

Ich will nur die Sache mit referer hier etwas klarer stellen. Sobald meine theoretischen Aussagen hierzu falsch liegen, mögen die Experten hier unter uns mich bitte korrigieren.

Man kriegt referer-Problem nur dann,
1. wenn man sein AVM-WebIF direkt nach draußen frei gibt
oder
2. wenn man dadrauf über irgendwelche Tunnels zugreift.

Punkt 1 sollte man normalerweise mit einem gesunden Menschenverstand nicht tun. Punkt 2 kommt schon mal vor, wenn man z.B. OpenVPN benutzt oder über Putty-Tunnel auf Port 80 von draußen zugreift. Voraussetzung ist, man sitzt in einem anderen IP-Bereich (diese Aussage hatte ich nicht überprüft, sollte aber logischerweise so sein).

Wenn man allerdings ein https-Server dazwischen sitzen hat, besteht das Problem mit referer grundsätzlich nicht. Weder mit AVM-eigenem (der sowieso meiner Meinung nach letztendlich auf matrixtunnel basiert) noch mit matrixtunnel. Was die https-Server da mit dem referer machen, sei hingestellt. Entweder wird der referer einfach nicht durchgelassen oder es wird ein eigener generiert, der dann logischerweise im eigenen Netz liegt und vom AVM-Webserver nicht geblockt wird. Fazit: man sollte es mit https machen, vorausgestzt natürlich https funktioniert.

Jetzt zu deinem Anliegen. Ja, du kannst natürlich Pakete mit OpenSSL erstmal rausschmeißen, oder versuchen sie statisch zu bauen. Historisch bedingt und teilweise auf meine Anregung kann man mittlerweile OpenVPN und Curl statisch bauen (und mit external auslagern, was auch wichtig ist!). Welch andere Pakete noch OpenSSL brauchen, weiß ich nicht.

Die AVM-eigene https-Lösung ist zwar WEBIF-technisch sehr interessant gemacht und lässt sich leicht konfigurieren, steckt aber meiner Meinung nach noch in Kinderschuhen. Wenn du stattdessen matrixtunnel (nur 40kb groß!!!) nimmst oder seinen Nachfolger nutztst, hast du mehr Freiheiten, musst allerdings dementsprechend etwas mehr per Shell und Co. programmieren. Mit matrixtunnel kannst du z.B. fremdunterschriebene Zertifikate verwenden, die von Firefox nicht als "nicht vertrauenswürdig" eingestufft werden. Deine Zertifikate überleben dann Reboot und werden nicht wie bei AVM mit 01.01.2000 datiert.

MfG

 

[greenhornXXL]

Silent-Tears hat recht, das ist leider dein Problem.

Da du die libcrypto ausgetauscht hast funktionieren die AVM-SSL-Sachen nicht mehr richtig, es ist eigentlich ein Wunder, dass deine Box nicht abstürtz beim zugriff, bzw. du allgemein das Webif siehst.

Was benutzt du denn was ssl-braucht?

Du könntest veruschen die libavmhmac zu ersetzten, dass stellt die kompatibilität wieder her, da kann es aber zu anderen Problemen kommen, aber zur Zeit ist ein Porblem in Kombi mit der mini bekannt.

edit: andere Frage: du hast libcrypto ausgelagert? Das solltest du auch nicht unbedingt tun, läuft dein Wlan damit?

Hallo matze1985

Ich teste gerade das Wlan mit WPA2 Verschlüsselung was mit der ausgelagerten libcrypto - stabil läuft.
Ich wollte dir die Antwort nicht schuldig bleiben.

Werde mir aber eine neue Fw. bauen wo ich die Libcrypto nicht auslagere, bzw. ich lese mir mal das mit dem usbroot an.

Viele Grüsse
greenhornXXL

 

[sf3978]

Ich teste gerade das Wlan mit WPA2 Verschlüsselung was mit der ausgelagerten libcrypto - stabil läuft.

Wlan mit WPA2-Verschlüsselung lief bei mir, mit ausgelagerter libcrypto auch stabil.
Probleme gibt es nur dann, wenn man bei ausgelagerter libcrypto, über Wlan flashen will. Das Flashen geht noch, aber nach dem reboot kommt keine Wlan-Verbindung zwischen FritzBox und PC zustande.

 

[Silent-Tears]

Das hat wenig damit zu tun ehrlich gesatt5. Denn wenn die libcrypto ausgelagert ist, dann funktioniert die verschluesselung nach dem booten nicht, weil die ausgelagerten dateien zu spät eingebunden werden können. Wlan ist ja recht am Anfang des bootens aktiv. Da hilft - eigentlich - auch kein Neustart der Box.