[Frage] fb7490: cron (o.Ä.) für Portfreigabe?

[menk]

Hallo zusammen,

ich habe eine FritzBox 7490 im Einsatz. Auf dieser sind einige Portfreigaben eingerichtet; ein bestimmtes Gerät (meine Synology DiskStation) muss alle X Tage (ich glaube es ist ein ca. dreimonatiger Rhythmus) kurzfristig den http Port ins Internet freigeben.

Es geht darum, dass die DS ein Zertifikat von Let's Encrypt benutzt, welches regelmäßig erneuert werden muss. Hierfür muss der Port 80 zwingend aus dem Internet erreichbar sein, allerdings nur über einen Zeitraum von -wenn überhaupt- wenigen Minuten.

Wie ich auf der DS das Zertifikat automatisiert erneuern lasse, habe ich bereits rausgefunden. Hier kann ich einen cronjob anlegen, der regelmäßig das alte Zertifikat erneuern lässt. Diesen würde ich entsprechend auf ca. 2,7 Monate stellen; so ist das alte Zertifikat definitiv noch gültig, es ist aber auch "alt" genug, um erneuert zu werden.

Auf der FB würde ich entsprechend gerne zeitgleich automatisiert den Port 80 freigeben, wenn es soweit ist, dass das Zertifikat erneuert werden muss.

Beispiel:
DiskStation:
35 7 */75 * * /opt/zertifikat_erneuern.sh >/dev/null 2>&1

FritzBox:
30 7 */75 * * /opt/oeffne_port80.sh >/dev/null 2>&1
40 7 */75 * * /opt/schliesse_port80.sh > /dev/null 2>&1

Also soll die DiskStation alle 75 Tage um 7:35 Uhr das Script zum Erneuern des Zertifikates laufen lassen. Die Fritzbox soll alle 75 um 7:30 Uhr Port 80 öffnen und um 7:40 Uhr wieder schließen.

Ist das machbar? Wenn ja, geht das mit Boardmitteln oder müsste ich auf freetz o.Ä. zurückgreifen? Da meine FB mittelfristig durch ein Gerät mit pfSense abgelöst wird, möchte ich nicht mehr allzu viel unnötig mit der FB basteln; falls es aber eine simple Lösung für mein Anliegen gibt, würde ich es schon gerne automatisieren

Danke im Voraus für Eure Tipps

 

[chked]

Ein Script auf der Fritzbox scheidet - zumindest mit der aktuellen Firmware aus - da der Telnet-Zugang dicht ist. Ohne Mod oder Freetz geht gar nichts.
Allerdings gibts von AVM Schnittstellen/ für diverse Zwecke, mit denen sich solche Aufgaben "von außen" erledigen lassen.

 

[Benares]

@menk
Schau dir doch auch mal die bordeigenen Möglichkeiten der Fritzbox an, Let's Encrypt Zertifikate zu erstellen und zu erneuern.

 

[HabNeFritzbox]

@Benares Die FB kümmert sich nur im Rahmen von MyFritz um das LE Cert.

@menk An der FB muss man wegen der Freigabe nichts machen mit Freetz oder sonst was, da langt ein Haken für selbstständige Freigaben.

Und schon kann man bei Bedarf auf DS sich Port anfordern bzw. Freigeben und ganze wieder löschen.

 

[Benares]

@Benares Die FB kümmert sich nur im Rahmen von MyFritz um das LE Cert.

Klar, ist keine direkte Antwort auf die Frage, aber vielleicht reicht ihm das ja.

 

[menk]

Vielen Dank für Eure Antworten

Genau: auf der FB benötige ich kein LE Zertifikat, sondern nur auf der DiskStation. Die FB-eigene Methode scheidet daher leider für mich aus. Selbstständige Freigaben geht schon eher in die richtige Richtung, hatte ich aber aus Sicherheitsgründen deaktiviert (wer weiß, was sonst noch alles ungefragt irgendwelche Ports öffnet). Wenn es keine Möglichkeit gibt, selbstständige Portfreigaben auf einzelne Geräte (also z.B. **ausschließlich** die DiskStation) zu begrenzen, ist das leider auch nichts für mich.

Die Schnittstellen wären wohl die einzige Möglichkeit, sehen mir aber gerade beim Überfliegen des PDF zu kompliziert aus... wird wohl darauf hinauslaufen, dass ich warten muss, bis pfSense zum Einsatz kommt und bis dahin immer manuell eine temporäre Portfreigabe erstellen ^^

LG

 

[HabNeFritzbox]

Sonst mit SOAP PHP was basteln, da gibt es hier teils auch schon Scripte mit Login in FB.

Kannst doch den einen Port immer aktiv haben, und blockst sonst in der DS Firewall den Webservice.

 

[PeterPawn]

Wenn es keine Möglichkeit gibt, selbstständige Portfreigaben auf einzelne Geräte (also z.B. **ausschließlich** die DiskStation) zu begrenzen, [...]

Na ja ... zu weit darf die Selbständigkeit an dieser Stelle natürlich auch nicht gehen. Aber die AVM-Lösung, daß der Kunde es jedem Gerät im GUI erlauben muß/kann/darf, ist doch eigentlich nicht zu beanstanden ... oder was wäre der Grund dafür? Irgendwelche übernatürlichen Kräfte, mit denen AVM den Kunden jetzt zwingen könnte, allen Geräten gleichzeitig das Recht zum Einrichten von Port-Freigaben zu erteilen, würde ich eher unter "Verschwörungstheorie" abhaken und daher verstehe ich den Sinn des Ganzen, was Du uns mit dem o.a. Satz sagen willst, nicht so wirklich. Du wirst ja vermutlich zumindest mal nachgesehen haben, wie diese Freigaben in aktueller Firmware aussehen ... und Du wirst ja (hoffentlich) eine solche, aktuelle Firmware-Version verwenden.