Für den externen Zugriff wird in jedem Falle ein Zertifikat gebraucht, schließlich ist das eine TLS-Verbindung von außen.
Dafür gibt es drei Möglichkeiten:
- LE-Zertifikat für die MyFRITZ!-Adresse
- benutzerdefiniertes Zertifikat (das kann alles sein, vom selbstsignierten (allerdings durch den Benutzer und nicht durch die Box) bis zum LE-Zertifikat, was außerhalb der Box erzeugt wurde)
- ein von der Box selbstsigniertes Zertifikat
Um die Fehlermeldung des Browsers beim Zugriff auf die MyFRITZ!-Adresse tatsächlich zu verhindern (lt. "info.txt" eine der wichtigen Neuerungen im FRITZ!OS 7), prüft das FRITZ!OS bei einem externen Zugriff den SNI-Header ... das ist im Moment die einzige Möglichkeit, bei mehr als einem Zertifikat das passende zum verwendeten Hostnamen zu ermitteln (ist bei IP-Adressen, auf denen mehr als eine Präsenz gehostet wird mit unterschiedlichen Zertifikaten pro Domain dann auch so - dafür ist das ursprünglich mal entstanden) und nur wenn das zum Namen paßt, unterläßt der Browser die Warnung.
Aus irgendwelchen (eher unerfindlichen) Gründen geht AVM jetzt hin und erstellt bei der Verwendung eines selbstsignierten Zertifikats bei jedem Wechsel der externen IPv4-Adresse ein neues ... das enthält dann als "subject" auch noch genau diese eine IPv4-Adresse (ob eine reine IPv6 da überhaupt drin wäre, habe ich noch nicht getestet, weil IPv6 in dem VLAN mit meiner Test-Box nicht aktiviert ist).
Parallel dazu prüft AVM jetzt wohl noch den Namen aus dem SNI-Header und der muß dann entweder (bzw. manchmal gewinne ich fast den Eindruck, daß hier ein "sowohl als auch" angebrachter wäre) in einem Zertifikat hinterlegt sein (was er beim von der Box selbst erstellten natürlich nicht ist, siehe oben) oder er muß - warum auch immer - beim DNS-Rebind-Schutz eingetragen sein:
https://avm.de/fritz-labor/weitere-produkte/bekannte-probleme/ - der zweite Punkt beschreibt ein denkbares Problem.
Insgesamt hat AVM das mit dem externen Zugriff ohne die Benutzung von MyFRITZ! wohl eher verschlimmbessert ... ob man hier Absicht unterstellt (damit MyFRITZ! gepusht wird) oder nicht, liegt vermutlich am eigenen Temperament und an der eigenen Paranoia.
-----------------------------------------------------------------------------------------------------------------------------------
Aber zusätzlich hat AVM es wohl noch geschafft, kurz vor Ultimo einen Fehler in die 07.00 einzubauen ... jedenfalls bei der 7580, wo ich das getestet habe. Auch die aktivierte Einstellung:
(die Box ist nur zum Testen, hat außer einer WAN-Verbindung und einem angeschlossenen LAN-Port gar nichts weiter konfiguriert)
veranlaßt diese Box jetzt keineswegs, den Port 443 auch wirklich "nach außen" freizugeben:
Bei dieser Box kann man sich also die Kehle aus dem Hals schreien vor der Firewall ... auf dem Port 443 wird man kein Gehör finden und das ändert sich nach meinen bisherigen Tests auch nicht, wenn man eine andere Portnummer verwendet.
Wie gesagt ... diese Box ist ansonsten "nackt" - sie hat ihr eigenes, selbstsigniertes Zertifikat, keine DynDNS-Konten und auch kein MyFRITZ!-Konto. Das sollte zumindest in der Theorie aber niemanden davon abhalten können, bei Kenntnis der externen IP-Adresse auf die Box zuzugreifen ... aber grau sind bekanntlich nicht nur die nächtlichen Katzen, sondern auch jedwede Theorien.
Warum das bisher bei den AVM-Tests nicht aufgefallen sein mag, kann man nur raten ... die naheliegendste Erklärung wäre es vermutlich, daß es niemand getestet hat, weil es gar keine entsprechenden Tester und auch keine "Drehbücher" für solche Tests gibt. Ansonsten müßte das ja eigentlich schon bei passenden automatisierten Tests auffallen - sofern so ein Fall überhaupt berücksichtigt wird beim Test.
Wie man das jetzt lösen kann und ob das bei
@Ohrenschmalz auch an der fehlenden Freigabe liegt, weiß ich auch nicht ... der (mögliche) Grund ist aber schnell geprüft und bestätigt oder verworfen.
Ist es nicht die Freigabe (bzw. selbst wenn sie es ist), kann man noch mit verschiedenen Kombinationen "herumspielen" und es mit einem eigenen Zertifikat oder notfalls eben mit dem MyFRITZ!-Konto und der dortigen Freigabe probieren ... vielleicht überzeugt das ja die Firmware, den Port weiterzuleiten.
EDIT: Ok, oben steht jetzt nach einer Ergänzung, daß es bei der 7362SL wieder geht.
