Kann das sein? Remote-Konfiguration der 7360 verhindert Firmware-Upgrade?

[KunterBunter]

Und der angepasste Boot-Loader stammt von einem AVM-Entwicklungsrechner

Kleine Korrektur: Es wird ein Rechner in der Fertigung sein, denn der schreibt auch gleich die Daten wie Seriennummer, MAC-Adressen, CWMP Account etc. in die Datei.

 

[spixx]

Oh ja, und dann löst sich wie schon beobachtet das Factory-Production-Setup vom R&D-release-setup los und schon hat man so tolle Effekte wie falsche Zertifikate, Passwörter, Zugänge, offene/geschlossene Ports auf den produzierten Factory-Boards. Und natürlich gleich in hohen Stückzahlen. Es macht keinen Spaß auf 3000 Boards das Root-Zertifikat manuell neu flashen zu müssen nur weil die Abstimmung der Abteilungen nicht so dolle funktioniert hat. Aber das ist ein anderes Thema, mit dem ich mich besser als mit der FritzBox auskenne.

 

[spixx]

So, :wiejetzt: nach:gruebel: dann :idea: und jetzt :dance: und :bier: (ich mag diese kleine emoticons)

Jetzt bin ich doch einen anderen Weg gegangen. Insbesondere der Umstand, dass der Provider anscheinend ein 7390-image v6.01 zum Download anbietet (siehe Beitrag #62), wenn ich ihm nur die richtige FritzBox hinhalte, ließ mich einen Versuch wagen. Ich brannte ein v6.01 Image auf dei 7390 und setzte auf Werkeintellungen zurück. Dann wollte ich einfach das o.g. provideradditive.tar nach /var/flash kopieren und die Provider-Auto-Konfiguration ihr Werk tun lassen. Das funktioniert aber leider nicht, denn einen Kopiervorgang:

$ cp /var/media/ftp/provideradditive.tar /var/flash

übersteht leider keinen Reboot. Das /var/flash beinhaltet nur device-Knoten und auch der provideradditive.tar ist auf der 7360 ein mit mknod erzeugtes handle. Da ich aber nicht weiß, welcher Treiber dahintersteckt, der bei `cp /var/flash/provideradditive.tar /tmp` tatsächlich den Kopiervorgang unterstützt, blieb mir dieser Weg versperrt. Ich habe stattdessen einfach die im provideradditive.tar vorhandene ar7.cfg Konfiguration manuell in die Werkseinstellungen-Exportdatei gemerget. Danach den Export in die 7390 eingespielt und das ganze Ding mit bestehender DSL-Verbindung gestartet. Und es hat funktioniert - des Providers ACS bemerkte die 7390, das image wurde runter geladen, zusammen mit dem Setup (konnte ich nicht live beobachten, da das capturing nach jedem Reboot futsch ist) und hat die Box eingerichtet. Jetzt habe ich hier eine 7390 die genauso wie die 7360 eingerichtet ist - jedenfalls was die PPPoE-sessions (internet, voip, tr069) angeht.

Dann habe ich die DSL-Verbindung mal gekappt und wieder angeschlossen während ich das tr069-interface ge'captured habe. Die 7390 holt sich die IP für diese Verbindung per DHCP und schickt dann an den ACS unaufgefordert den bereits zuvor erwähnten Statusbericht. Dem habe ich jetzt ein Ende gemacht und zwei firewall-rules in die Konfiguration eingepflegt:

        } {
                enabled = yes;
                name = "tr069";
                weight = 50;
...
                dsldpconfig {
                        security = dpsec_firewall;
                        filter_teredo = yes;
                        filter_netbios = yes;
                        lowinput {
                                policy = "permit";
                                accesslist = 
                                             "deny ip any 242.0.0.0 255.0.0.0", 
                                             "deny ip any any eq 9675",   <<<<<<<<<<<
                                             "deny ip any any eq 8089",   <<<<<<<<<<<
                                             "deny ip any host 255.255.255.255";
                        }
                        lowoutput {
                                policy = "permit";
                        }
                        highinput {
                                policy = "permit";
                        }
                        highoutput {
                                policy = "permit";
                                accesslist = 
                                             "reject ip any 242.0.0.0 255.0.0.0", 
                                             "deny ip any host 255.255.255.255", 
                                             "deny ip any any eq 9675",    <<<<<<<<<
                                             "deny ip any any eq 8089",    <<<<<<<<<
                                             "reject ip any 169.254.0.0 255.255.0.0";
                        }

Die Verbindung selbst (also die tr069-pppoe-session) wollte ich nicht mit "enable = no" abschalten, da ich nicht weiß, ob der Provider das mitbekommt und womöglich über die reguläre internet-pppoe reinkommt (da existiert auch eine forward-regel für port 8089).
Aber ich habe noch

        tr069discover_active = no;

weiter unten in der ar7.cfg gesetzt.
Außerdem habe ich in der /var/flash/tr069.cfg noch

tr069cfg {
        enabled = no;
...
TR_064 {
        enabled = no;
...

gesetzt.
Und dann habe ich das DSL-disconnect-reconnect-Spiel nochmals gemacht. Und was soll ich sagen: es wird nur noch die IP-Adresse auf der tr069-Verbindung geholt. Kein Senden von irgendwelchen SOAP-Infos mehr.

Was sehe ich außerdem in den Systemereignissen:

09.02.14 14:18:15 Automatische Einrichtung und Updates für dieses Gerät durch den Dienstanbieter nicht möglich: Verbindung zum Autokonfigurationsserver fehlgeschlagen.

Genau das wollte ich!

Das einzige was jetzt noch sein kann ist, dass der Provider über die internet-pppoe-session rein kommt. Es gibt da eben besagte 8089-forwardregel. Allerdings läuft kein Prozess, der auf dem Port horcht. Von daher gehe ich mal davon aus, dass dieser Provider davon ausgeht, dass die FritzBoxen die Verbindung zum ACS aufbauen.

Betreffend 7390 mit v06.01 und 7360 mit v05.50: das ist wie Tag und Nacht. Jetzt werden die Repeater wieder erkannt, die DECT-Telefone beim ersten Mal erkannt und verbunden, auch die Nutzerprofile sind wieder da und vieles mehr. Man merkt einfach, dass da einiges an bug-fixing und Verbesserungen gemacht wurde.

 

[KunterBunter]

Gratuliere. Jetzt kannst du ja auch noch testweise die Version 6.01 auf die Provider Fritzbox 7360 bringen.

 

[spixx]

Ne, ne, die bleibt so wie sie ist. Daran will ich gar nicht mehr rumschrauben. Das Ding wird so wie der Arcadyan Router von O2 einfach in die Originalverpackung eingepackt und gut ist ;-)