[Problem] Fernwartung von fremdem Internetanschluss über DYNDNS nicht erreichbar.

[pilionhome]

Ich möchte die Fernwartung einer 7170 58.04.82 über Internet erreichen. Von meinem eigenen Anschluss erreiche ich das auch durch Eingabe von https://mydns.hopto.org Es öffnet sich die "Certificate-Warnung". Nach Eingabe von Fernwartungs-Benutzername und Passwort in dem kleinen Fenster kommt dann die FRITZ!Box-Startseite. Kurz gesagt: Es funktioniert wie es soll.


Es macht natürlich wenig Sinn, seine eigene Box über DYNDNS zu erreichen, aber von einem anderen Internetanschluss, da wo DYNDNS also Sinn macht, funktioniert es nicht.

Ich habe versucht:
https://mydns.hopto.org
https://mydns.hopto.org:473 ACHTUNG Fehler ... siehe Beitrag 3
https://94.67.4.226
https://94.67.4.226:473 ACHTUNG Fehler ... siehe Beitrag 3
https://94.67.4.226

Beim Firefox kommt:
Fehler: Netzwerk-Zeitüberschreitung
Der Server unter mydns.hopto.org braucht zu lange, um eine Antwort zu senden.

Beim IE kommt:
Internet Explorer cannot display the webpage
What you can try:
Diagnose Connection Problems


Auf der FRITZ!Box-Eingangsseite steht:

Convenience Features
Remote access enabled, https://mydns.hopto.org, User name: myremoteuser
Dynamic DNS enabled, mydns.hopto.org, Status: logged on successfully

Auf der Seite Permit Access/Remote Access steht:
IP address for remote access https://mydns.hopto.org or https://94.67.4.226
FRITZ!Box can now be reached in the Internet at this IP address

Wer es versuchen will: Die angegebene IP-Adresse ist zum Zeitpunkt der Erstellung dieses Beitrages echt, der DYNDNS-Name natürlich nicht. Ich werde einen kurzen Beitrag anhängen wenn sich die IP-Adresse geändert hat.

Ich habe den Verdacht, dass in der neuesten FW-Release 58.04.82 irgendetwas mit der Port-Zuordnung "verstellt" wurde.

Ist das Problem auch schon bei anderen aufgetreten ?

 

[sf3978]

...
Wer es versuchen will: Die angegebene IP-Adresse ist zum Zeitpunkt der Erstellung dieses Beitrages echt, ...

# nmap -sS [COLOR="red"]94.67.4.226 -p473[/COLOR]

Starting Nmap 5.00 ( http://nmap.org ) at 2011-06-05 14:00 CEST
Interesting ports on ppp-94-67-4-226.home.otenet.gr (94.67.4.226):
PORT    STATE    SERVICE
[COLOR="red"]473/tcp filtered[/COLOR] hybrid-pop

Nmap done: 1 IP address (1 host up) scanned in 12.00 seconds

 

[pilionhome]

# nmap -sS [COLOR="red"]94.67.4.226 -p473[/COLOR][/QUOTE]
Hallo sf3978,
aufgrund Deines Beitrages habe ich gemerkt, dass ich mich bei meinem Original-Beitrag vertippt habe.
Ich habe es [U]nicht[/U] versucht mit
https://mydns.hopto.org:4[U]7[/U]3 bzw. https://94.67.4.226:4[U]7[/U]3 sondern mit
https://mydns.hopto.org:4[U]4[/U]3 bzw. https://94.67.4.226:4[U]4[/U]3 (dem Standard-Port) ...
Entschuldigung falls das zu Irritationen geführt hat.

 

[sf3978]

...
https://mydns.hopto.org:443 bzw. https://94.67.4.226:443 (dem Standard-Port) ...
...

# nmap -sS 94.67.4.226 -p[COLOR="red"]443[/COLOR]

Starting Nmap 5.00 ( http://nmap.org ) at 2011-06-05 14:40 CEST
Interesting ports on ppp-94-67-4-226.home.otenet.gr (94.67.4.226):
PORT    STATE    SERVICE
[COLOR="red"]443/tcp filtered[/COLOR] https

Nmap done: 1 IP address (1 host up) scanned in 11.94 seconds

 

[pilionhome]

443/tcp filtered https

Hallo sf3978,
danke für Deine Scans, sie helfen mir aber nicht weiter.
Ich verstehe davon zu wenig um zu wissen, was es bedeutet, dass der Port 443 gefiltert ist.

Wer filtert das ? Warum ? Was kann man dagegen tun ?

Und vor allem, warum geht es, wenn ich den https-Aufruf über meinen eigenen Anshluss vornehme ?

 

[sf3978]

...
Und vor allem, warum geht es, wenn ich den https-Aufruf über meinen eigenen Anshluss vornehme ?

Was meinst Du mit "deinem eigenen Anschluss"? Meinst Du intern, in einem (W)LAN, d. h. nicht über das Internet? Wie machst Du die Verbindung von deinem eigenen Anschluss?

 

[pilionhome]

Mit "meinem Anschluss" meine ich den Anschluss, an dem die Box hängt, die ich fernwarten will.
Dort gebe ich dann https://mydns.hopto.org bzw. https://94.67.4.226 ein
Wie schon gesagt, das macht natürlich keinen Sinn, weil ich die Box über 192.168.178.1 intern erreichen kann, aber um zu testen, ob man alle Eingaben richtig gemacht hat, versucht man auch mal "von hinten durch die kalte Küche".
Und dabei ist mir halt aufgefallen, dass die "Fern"wartung funktioniert, wenn ich das an meiner Box (meinem Anschluss) eingebe. Macht man die Eingaben an einem anderen Anschluss, funktioniert die Fernwartung nicht. Ich vermute mal, Du hast es selbst auch mal mit https://94.67.4.226 versucht und keine Antwort bekommen. Ich hingegen bekomme das entsprechende Fenster (Certificate-Problem).
Um zu sehen, ob das wirklich über "die große Welt" geht, habe ich auch mal die Fernwartung deaktiviert und dann bin ich auch nicht mehr draufgekommen.

 

[sf3978]

Mit "meinem Anschluss" meine ich den Anschluss, an dem die Box hängt, die ich fernwarten will.
...

Wie ist deine Box mit dem Internet verbunden?

 

[pilionhome]

Meinst Du diese Info:

 

[MaxMuster]

Zwei Fragen:
Hast du irgendwelche "Portweiterleitungen" eingetragen, die den gleichen Port betreffen?
Könnte der Provider eingehnde Verbindungen "untersagen"??

EDIT:

Ich habe den Verdacht, dass in der neuesten FW-Release 58.04.82 irgendetwas mit der Port-Zuordnung "verstellt" wurde.

Hat es "früher" (mit einer anderen Firmware) funktioniert? Damit wäre die zweite Frage hinfällig ;-)

 

[pilionhome]

Habe keinerlei Port-Weiterleitungen eingetragen.
Eine vorherige FW gab es nicht.
Die 7170 hat eine griechische Schrott-Box der OTE ersetzt und wurde gleich mit der 58.04.82 eingebaut.
Die Möglichkeit, dass OTE das unterbindet, besteht natürlich, halte ich aber für unwahrscheinlich.
Was könnte OTE für ein Interesse daran haben ?
Übrigens an einer weiteren Installation, die derzeit unter https://94.69.227.25 am Netz hängt und ebenfalls mit einer 7170 58.04.82 ausgestattet ist, ist das selbe Problem. Da war vorher eine FON WLAN dran und die erste 7170 war auch gleich die 82er.

 

[MaxMuster]

Ja, ist eher unwahrscheinlich, liesse sich aber zur Not, wenn garnichts anderes hilft, noch Testen, wenn du mit der Portweiterleitung erfolgreich Zugriff auf einen PC "dahinter" erreichen kannst (oder die "alte FBF-WLAN" als IP-Client dahinter hängst und die als HTTP-Server freigibst)...

Hast/kannst du mal einen anderen Port eintragen und versuchen?
Übrigens, wenn die IP noch stimmt, wäre immerhin (als einziger) der VOIP-Port erreichbar.

Kommst du per "telnet" auf die Box? Dann wäre die Ausgabe hiervon interessant:

grep 443 /var/flash/ar7.cfg

Jörg

 

[pilionhome]

Hast/kannst du mal einen anderen Port eintragen und versuchen?

Hallo Jörg,

ich habe mehrere Ports versucht: 450,451,498 und 499. Ohne Erfolg.

Kommst du per "telnet" auf die Box? Dann wäre die Ausgabe hiervon interessant:

grep 443 /var/flash/ar7.cfg

Das kann ich heute leider nicht, denn TELNET ist nicht frei. Ich habe zwar versucht, die #96*7* an einem (über Repeater) angeschlossenen IP-Telefon abzusetzen, aber darüber geht das wohl nicht. Ich muss dann wohl morgen mal bei der Box vorbeifahren. Die steht in 3km Luftlinie (12km Straße) und ich hänge "nur" über Repeater dran.

Vielleicht schaffe ich auch einen "Downgrade" auf 58.04.76 um es damit mal zu versuchen.

Gruß Lothar

P.S. Beide IP-Adressen https://94.69.227.25 und https://94.67.4.226 sind bis 04:00 Uhr OESZ noch aktuell, dann schlägt die Zwangstrennung zu

 

[sf3978]

# nmap -sS 94.67.4.226 [COLOR="red"]-p5060[/COLOR]

Starting Nmap 5.00 ( http://nmap.org ) at 2011-06-05 23:45 CEST
Interesting ports on ppp-94-67-4-226.home.otenet.gr (94.67.4.226):
PORT     STATE SERVICE
[COLOR="red"]5060/tcp [B]open[/B][/COLOR]  sip

Nmap done: 1 IP address (1 host up) scanned in 11.46 seconds

# nmap -sS [COLOR="red"]94.69.227.25[/COLOR] -p5060

Starting Nmap 5.00 ( http://nmap.org ) at 2011-06-05 23:46 CEST
Interesting ports on ppp-94-69-227-25.home.otenet.gr (94.69.227.25):
PORT     STATE SERVICE
[COLOR="red"]5060/tcp [B]open[/B][/COLOR]  sip

Nmap done: 1 IP address (1 host up) scanned in 11.37 seconds

 

[pilionhome]

Hallo Jörg,

ich habe jetzt mal bei der einen Box die Firmware erneuert auf
"FRITZ!Box Fon WLAN 7170 Annex A Firmware-Version 58.04.86-18385"
Darin habe ich die größten Hoffnungen gesetzt, bringt aber auch nicht das gewünschte Ergebnis. Ich hoffe nur, diese Beta macht keinen Ärger in anderen Punkten.

Deine Frage

Kommst du per "telnet" auf die Box? Dann wäre die Ausgabe hiervon interessant:

grep 443 /var/flash/ar7.cfg

bringt das Ergebnis:
forwardrules = "tcp 0.0.0.0:443 0.0.0.0:443 0";
https_port = "443";
Hätte ich das nicht auch mit FBE rausholen können? Denn da steht das so drin und das lief gestern schon.

Gruß Lothar

 

[MaxMuster]

Ja, das wäre natürlich auch mit den FB-Editor zu sehen gewesen, wusste ja nicht, dass du den nutzt ;-)
Genauso sollte der Eintrag wohl sein.
Habe auch gerade mal meinen "Speedport 701 als 7170" per "Internet über LAN1" in mein Netz gehängt und kann den ebenfalls nicht über die Fernwartung erreichen?!?!
Da könnte ich aber auch "versehentlich" was beim Freetzen "kaputtgemacht" haben. Muss ich mal testen mit originaler FW und dann nachtragen...



Jörg

 

[pilionhome]

Ja, das wäre natürlich auch mit den FB-Editor zu sehen gewesen, wusste ja nicht, dass du den nutzt ;-)

"Nutzen" ist gut ausgedrückt. Ich habe ihn. Und "nutze" ihn, um gelegentlich zu schauen. Und wenn ich mal was reinschiebe in die Box, dann muss mir das jemand "vorkauen" der mehr davon versteht als ich. Ich bin diesbezüglich höchst vorsichtig. Mit diesem "Teufelszeug" kann man viel kaputtmachen.

Habe auch gerade mal meinen "Speedport 701 als 7170" per "Internet über LAN1" in mein Netz gehängt und kann den ebenfalls nicht über die Fernwartung erreichen?!?!
Da könnte ich aber auch "versehentlich" was beim Freetzen "kaputtgemacht" haben. Muss ich mal testen mit originaler FW und dann nachtragen...
Jörg

Genau das Gerät hatte ich für 2 Wochen auch an diesem Anschluss. Ein auf 7170 58.04.82 "gefreezter" W701V (habe ich aber nicht gefreezt - hat ein Freund gemacht). Und da hatten wir das Problem auch schon. Und -wie Du- haben wir es auch auf "Freetz" geschoben. Wie's jetzt aussieht, könnte Freetz aber unschuldig sein.
Aber gerade wegen der nicht funktionierenden Fernwartung habe ich die W701V gegen die Original 7170 ausgetauscht. Und jetzt stehe ich immer noch im Regen.
Ich bin auf die Fernwartung aber angewiesen, weil ich die Box (sprich Griechenland) in 2 Wochen verlasse und erst Ende September wieder sehe. Und die Leute, die in der Nähe sind, können bestenfalls Power on/off machen.
Gruss Lothar

 

[MaxMuster]

Zumindest macht ein Image, bei dem "nichts removed" wurde das gleiche (lässt keinen Zugriff durch). Könnte zwar noch immer an Freetz liegen, aber da scheint doch AVM "näher zu liegen". Da du ja eine "echte" AVM-Box hast, solltest du gleich bei AVM ein Ticket dazu aufmachen, wenn die es nicht wissen, können sie auch nix beheben.

Falls du so (bis in zwei Wochen) nicht weiter kommst, bliebe noch:
- Verbindung über VPN auf die Box
- Doch Freetz nutzen, und dann z.B. über dropbear auf die Box zugreifen (steht, wie ich finde hier nett beschrieben).

Jörg

 

[sf3978]

..., aber da scheint doch AVM "näher zu liegen". Da du ja eine "echte" AVM-Box hast, solltest du gleich bei AVM ein Ticket dazu aufmachen, wenn die es nicht wissen, können sie auch nix beheben.
...

Bei meiner 7170 mit der Firmware 29.04.80, funktioniert die Fernwartung über Port 443 und das Internet:

tcp 0.0.0.0:443 0.0.0.0:443 0

root@fritz:/var/mod/root# lsof -nPi | grep 443
ctlmgr   571   root   18u  IPv4 141899       TCP *:443 (LISTEN)
ctlmgr  1092   root   18u  IPv4 141899       TCP *:443 (LISTEN)
ctlmgr  1099   root   18u  IPv4 141899       TCP *:443 (LISTEN)
ctlmgr  1104   root   18u  IPv4 141899       TCP *:443 (LISTEN)

# nmap -sT -PN ##.1#2.#7.## -p443

Starting Nmap 4.68 ( http://nmap.org ) at 2011-06-06 17:45 CEST
Interesting ports on #######:
PORT    STATE SERVICE
[COLOR="red"]443/tcp open[/COLOR]  https

Nmap done: 1 IP address (1 host up) scanned in 3.156 seconds

D. h. es müsste an der Firmware 58.04.82, liegen, dass es nicht geht.

 

[MaxMuster]

Nee, bei mir lag es scheinbar an der 701, aber ich habe das jetzt auch "passend" hinbekommen.
Es lag scheinbar an der Art, wie die 701 "Internet über LAN1" macht, die nutzt dafür normaler Weise scheinbar VLANs?!?

root@Speedport:/var/mod/root# cpmaccfg gsm
Current mode: ata
VLAN IDs passed through WAN: 0x7 0x8
root@Speedport:/var/mod/root#

Nachdem ich das von Hand umgestellt hatte

root@Speedport:/var/mod/root# cpmaccfg ssm normal
Setting switch_mode to 'normal' (1).
root@Speedport:/var/mod/root# cpmaccfg gsm
Current mode: normal
VLAN IDs passed through WAN: (none)
root@Speedport:/var/mod/root# cpmaccfg ssm ata
Setting switch_mode to 'ata' (2).
root@Speedport:/var/mod/root# cpmaccfg gsm
Current mode: ata
VLAN IDs passed through WAN: (none)
root@Speedport:/var/mod/root#

konnte ich die (gefakte) "Internet-IP" per https ansprechen.

Aber pilionhome hat die Box ja direkt per DSL angeschlossen, nicht wahr?

Jörg