@Alle DynDNS-"Verdächtiger":
Ihr habt aber schon gelesen, daß andere Zugriffe über die DynDNS-Adresse funktionieren? Steht jedenfalls so in #1 ... damit sind ggf. noch Fragen hinsichtlich des TLS-Zertifikats bzw. des Rebind-Schutzes plausibel und natürlich die Frage, ob der betreffende Port auch auf die Box selbst weitergeleitet wird. Das alles kann man aber in der Support-Datei tatsächlich NACHLESEN ... da muß man gar nicht "fröhlich herumprobieren" (bis es dann irgendwann mal klappt und man trotzdem nicht weiß, warum das so ist, weil man viel zu viel geändert hat).
Mit den Änderungen bei den Zertifikaten vor einigen Versionen (hier meine ich das "aktive" Zertifikat, was immer erneut auf die gerade aktuelle IP-Adresse ausgestellt wird) hat AVM sich und den Kunden gründlich ein Ei gelegt - wenn das Absicht ist, ist es so ziemlich das Dümmste, was AVM in den letzten Jahren verzapft hat und dabei bleibe ich zumindest so lange, bis mir mal jemand eine
plausible Erklärung dafür liefern kann, warum eine FRITZ!Box (ohne Benutzerzertifikat und ohne LE-Zertifikat) sich bei jeder Einwahl ein neues (self-signed) Zertifikat mit der öffentlichen IP(v4)-Adresse generieren muß. Damit kann man (solange man kein eigenes Zertifikat in der Box hinterlegt) jedes "Pinnen" eines solchen Zertifikats in einem (PC-)Browser vergessen.
Auch wenn ich die Probleme bei der Auswahl eines Zertifikats ja nachvollziehen kann (wenn der Benutzer das LE-Zertifikat von AVM und die MyFRITZ!-Adresse für einen Zugriff verwendet), ist die nunmehr von AVM "erdachte" Lösung einfach nur Gülle. Mal ganz abgesehen davon, daß AVM hier ja mit der Beschränkung der LE-Zertifizierung auf die MyFRITZ!-Adresse auch eine eher willkürliche Entscheidung getroffen hat. Jeder, der schon mal auf einem anderen Gerät ein LE-Zertifikat erzeugen ließ, fragt sich am Ende, warum AVM hier nicht ebenfalls versucht, die anderen konfigurierten DynDNS-Namen - zumindest nach erfolgreicher Aktualisierung, was ja auf gültige Credentials für den DynDNS-Service hinweist - in das erzeugte Zertifikat zu kriegen. Damit bräuchte es gar keine Unterscheidung anhand des SNI-Headers ... wenn es nur ein Zertifikat gibt, kann die Box auch nur eines präsentieren und das enthält dann entweder den verwendeten DNS-Namen oder eben nicht - sich darüber dann zu empören, ist aber Aufgabe des TLS-Clients.
Aber auch die Geschichte mit dem Eintrag des DynDNS-Namens beim Rebind-Schutz dürfte sich dann erledigt haben - irgendeinen logischen Zusammenhang konnte man da ja auch nur mit Mühe erkennen, wenn man mal davon ausgeht, daß die FRITZ!Box auch auf DynDNS-Antworten "allergisch" reagiert, die auf ihre eigene
externe IP-Adresse auflösen und nicht nur auf Adressen in ihrem LAN.
Wobei auch da wieder eine Diskrepanz zwischen den "AVM-Erklärungen" und der Realität zu konstatieren ist, denn in der KB schreibt man bei AVM selbst (
https://avm.de/service/fritzbox/fri...Auflosung-privater-IP-Adressen-nicht-moglich/) ziemlich deutlich:
Ursache
- Aus Sicherheitsgründen unterdrückt die FRITZ!Box DNS-Antworten, die auf IP-Adressen
im eigenen Heimnetz verweisen. Dies ist ein Sicherheitsmerkmal der FRITZ!Box zum Schutz vor so genannten
DNS-Rebinding-Attacken.
Mal ganz abgesehen davon, daß die Firmware ja auch einfach "smart" genug sein könnte, um alleine festzustellen, daß es sich bei dem (dynamischen) Domainnamen um eine solchen handelt, den sie selbst (im besten Falle noch erfolgreich) auf genau diese Adresse aktualisiert hat. Warum da jetzt der FRITZ!Box-Besitzer seinerseits noch den Eintrag beim Rebind-Schutz vornehmen muß, wissen nur die (AVM-)Götter.
Das alles hat man sich - mehr oder weniger direkt - offenbar mit der Implementierung des LE-Zertifikats "eingefangen" - jedenfalls ist beides zeitgleich aufgetreten und bis AVM dann den "Workaround" mit dem Rebind-Eintrag veröffentlichte, dauerte es eine Weile bzw. das stand sehr lange als "bekanntes Problem" (und nicht etwa als "by design" - aka "so gewollt") in den Bemerkungen zur damaligen Labor-Reihe. Daher meine "Zuversicht", daß mit dem Wegfall der Notwendigkeit der Suche des richtigen TLS-Zertifikats für die SNI-Adresse dann auch die Notwendigkeit dieser Einträge beim Rebind-Schutz für die externe IP-Adresse entfallen würde - wenn, ja wenn AVM tatsächlich hingehen würde und die LE-Zertifikate auch wirklich für alle konfigurierten und erfolgreich aktualisierten DynDNS-Namen (inkl. der MyFRITZ!-Adresse) erzeugen würde.
Aber dann könnte man ja nicht länger mit fast pathologischem Eifer versuchen, die Kunden in Richtung der Benutzung des eigenen MyFRITZ!-Services zu bugsieren (wenn für die Kunden die Benutzung eines anderen DynDNS-Services genauso einfach und mit denselben Funktionen möglich wäre, wie bei MyFRITZ! mit dem LE-Zertifikat) und man verlöre damit eine gerne genommene Möglichkeit, alle möglichen Daten über die Kunden zu sammeln. Die Nachteile, die aus der Benutzung dieses MyFRITZ!-Services für den Kunden erwachsen (mal abgesehen von der Datensammelwut des Herstellers), kriegt der leider immer erst sehr spät mit ... letztens hatten wir hier doch irgendwo erst das Thema, daß man mit MyFRITZ! beim Austausch der FRITZ!Box deutlich mehr Arbeit hat, als mit jedem anderen DynDNS-Service.
