Mehrere IP-Cams hinter FB aus dem Internet erreichen

[sipgateuser]

Das im folgenden erwähnte Szenario ist verkürzt dargestellt und falls ich hier falsch bin bitte in die richtige Abteilung verweisen.

FB 7270 - 192.168.178.1
mehrere IP-Kameras
zB
Cam 1: 192.168.178.161
Cam 2: 192.168.178.162
Cam 3: 192.168.178.163

Die IP-Cams sind für https (443) bzw. rtsp (verschiedene Ports) konfiguriert

Es existieren mehrere Dyndns-Adressen

Von außen aus dem Internet soll der Zugriff auf die Web-Cams via Android-Handy (IPCamViewer) verschlüsselt erfolgen, also via https

Wie spreche ich nun diese Webcams aus dem Internet an?

Ich stelle mir das so vor, dass ich https://meine.dyndns.adresse:Port aufrufe und das dann an eine lokale IP mit einem bestimmten Port weitergeleitet wird. Was muss ich dazu in der FB konfigurieren bzw. freischalten. Am liebsten so wenig als möglich. VPN ist leider kein Thema.

 

[koyaanisqatsi]

Hallo
Im Prinzip brauchst du nur einen DynDNS Namen.
Die Freigabe geschieht im Router.
Internet-->Freigaben-Reiter->Portfreigaben
Achtung! Wähle Andere Anwendung und wenn nicht schon getan: System-->Ansicht (o) Erweiterte Ansicht --> übernehmen (klick)
Aktiv Bezeichnung Protokoll Port an Computer an Port

So, der Rest ist einfach:
Aktiv ist klar
Bezeichnung frei wählbar
Port kann frei vergeben werden, darf aber nicht von was anderen belegt sein. (bis leer lassen)
Protokoll ist TCP
an Computer ist eine Kamera IP oder Name, wenn bekannt.
an Port ist Kamera HTTPS-Port also 443 (bis leer lassen)

Eselsbrücke:
Port ohne an ist frei wählbar und der, der von Internetseite erreichbar gemacht wird!!!
IP und Port mit an müssen real existieren!!!

...und das für alle Drei. Fertig.

 

[sipgateuser]

Was mir noch nicht klar ist und das mein Hauptverständnisproblem ist. Aus dem Internet haben alle 3 Kameras Port 443. Wie spreche ich gezielt eine Kamera an. Mehrere Dyndns-Namen machen IMHO keinen Sinn, das ist ja nur die Zuordnung IP-Adress Hostname, also ist da immer die gleiche (externe)-IP-Adresse. Müsste ich da in der Android-App nicht Port 443 eingeben, sondern irgend einen anderen und diesen Port dann auf 443 in der FB umbiegen?

 

[HabNeFritzbox]

Du musst von extern andere Ports verwenden. Du hast mit IPv4 nur eine IP Adresse, egal wieviele Hostnamen/Domain auf diese IP zeigen. Der Router wertet keine Hostnamen aus, sondern kann nur auf Angabe des Ports die Anfrage weiterleiten.

Entweder in der Cam Ports ändern, damit diese auch intern gleich sind, oder halt nur für extern im Router "umbiegen" wie koy sagte.

Also z.B. von Port 4400 an 443 auf 192.168.178.161, 4401 an 443 von 192.168.178.162 u.s.w. Von extern wäre es dann halt https://hostname:4400 bzw. :4401 ect.

 

[koyaanisqatsi]

Weist du überhaupt genau ob 443 nicht schon belegt ist?
Bei allen Drei bleibt an Port 443 aber der Port ohne an ist frei wählbar

Mach mal die Erste von Aussen auf Port 1443, die Zweite auf 2443 und die Dritte auf 3443.
Oder doppelt geht auch noch: 11443,22443,33443
...bis 65535 oder so.

Intern haben alle 443 auf eigener IP-Nummer.

Also erreichbar dann unter:

1. Kamera: https://DynDNS:1443
2. Kamera: https://DynDNS:2443
3. Kamera: https://DynDNS:3443

..oder:

1. Kamera: https://DynDNS:11443
2. Kamera: https://DynDNS:22443
3. Kamera: https://DynDNS:33443

Jetzt verstanden?

EPILOG:
Das heraussfinden der freien Ports kann manchmal etwas knifflig sein, besonders wenn man keinen Zugriff auf die Box hat.
Deswegen empfehle ich grc.com mit seinem Service ShieldsUp entweder auf "Common Ports" oder gezielt auf "Custom Port Probe" loszulassen.
Ansonsten in der telnetkonsole auf der Box mal:

root@fritz:/var/mod/root# netstat -tln
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 0.0.0.0:51111           0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:51112           0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:51113           0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:51114           0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:51115           0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:51116           0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:51117           0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:8080            0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:83              0.0.0.0:*               LISTEN
tcp        0      0 127.0.0.1:1011          0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:21              0.0.0.0:*               LISTEN
tcp        0      0 127.0.0.1:8888          0.0.0.0:*               LISTEN
tcp        0      0 :::49443                :::*                    LISTEN
tcp        0      0 :::5060                 :::*                    LISTEN
tcp        0      0 :::5031                 :::*                    LISTEN
tcp        0      0 :::49000                :::*                    LISTEN
tcp        0      0 :::80                   :::*                    LISTEN
tcp        0      0 :::81                   :::*                    LISTEN
tcp        0      0 :::1012                 :::*                    LISTEN
tcp        0      0 :::53                   :::*                    LISTEN
tcp        0      0 :::8182                 :::*                    LISTEN
tcp        0      0 :::23                   :::*                    LISTEN
tcp        0      0 :::8089                 :::*                    LISTEN
tcp        0      0 :::443                  :::*                    LISTEN

...eintippen, um zu sehen was die Box so treibt.

Und wie du vielleicht erkennen kannst, Port 443 ist schon belegt!!!
(Bei mir ist das der Fritz!Box Fernzugriff)
Leider sieht man manche Dienste (Portnummern) erst wenn darauf zugegriffen wird (inetd), deswegen:
...ist grc.com --> Services --> ShieldsUp ...besser.

 

[sipgateuser]

Ich probier mal rum. Fakt ist, dass der Port der IP-Cam mit 443 unveränderbar ist, genau genommen kann ich eintragen was ich will, aber es fuinktioniert nur mit 443.

Wie prüfe ich am besten mit nmap von einem externen Host (verbunden via ssh von meinem PC im Intranet)

nmap -sT 192.168.178.1

Starting Nmap 5.21 ( [url]http://nmap.org[/url] ) at 2013-06-08 18:21 CEST
Nmap scan report for fritz.box.7270 (192.168.178.1)
Host is up (0.012s latency).
Not shown: 998 closed ports
PORT     STATE SERVICE
80/tcp   open  http
5060/tcp open  sip


nmap -sT mein.dyndns.host

Starting Nmap 5.21 ( [url]http://nmap.org[/url] ) at 2013-06-08 16:24 UTC
Note: Host seems down. If it is really up, but blocking our ping probes, try -PN
Nmap done: 1 IP address (0 hosts up) scanned in 3.46 seconds




nmap -PNsT mein.dyndns.host

Starting Nmap 5.21 ( [url]http://nmap.org[/url] ) at 2013-06-08 16:25 UTC
Nmap scan report for mein.dyndns.host (x.x.x.x1)
Host is up.
rDNS record for x.x.x.x1: x-x-x-x.dynamic.xdsl-line.domain.tld
All 1000 scanned ports on mein.dyndns.host (x.x.x.x1) are filtered

Nmap done: 1 IP address (1 host up) scanned in 202.28 seconds

 

[karpueffeltoreh]

Selbst dann kannst Du z.B. 1443, 2443 und 3443 jeweils auf Port 443 der entsprechenden Kamera weiterleiten.

 

[HabNeFritzbox]

koyaanisqatsi@ Telnet ist unnötig, die FB belegt nur bei Fernwartung selbst Port 443 Standard. Auch gibt es dann eine Warnung bei Telnet Nutzung im WebIF.

sipgateuser@ Da mehrere Geräte selben Port verwenden, am besten von extern andere Port verwenden je Cam wie bereits mehrfach beschrieben wurde.

Richte einfach mal die Weiterleitungen ein, diese klappen auch aus dem eigenen Netzwerk heraus.

 

[koyaanisqatsi]

Richtig, und dann ist dieser (Standard) Port dafür nicht mehr nutzbar und braucht einen anderen.
Es soll ja auch nur einen groben Überblick geben, das hat der TE verstanden und versucht nun folgerichtig mit nmap einen Informativen Portscan.

nmap:
Soweit ich mich erinnere, habs auch grad eingefreetzt, benötigt nmap einen Start und Endport damit er losrasselt.
Ich check das mal eben (nur lokal): nmap -p 1-1056 localhost

Must du auch erstmal lokal machen, denn die Fritte macht ja vorerst dicht und von Internetseite dauert sowas echt lange!!!
(Und auf andere IPs als deine eigene, glaub ich, sogar illegal)

 

[HabNeFritzbox]

Wozu eine Übersicht welche Ports belegt sind? Ist doch irrelevant, egal ob die FB diesen nutzt oder nicht, kann der Port nicht mehrfach verwendet werden von extern.

Also besser gleich für alle Cams andere Ports für extern verwenden. Dafür braucht man auch kein nmap, netstat oder ähnliches herum testen was Routen angeht oder sonst was.

Einfach Portweiterleitung einrichten und ausprobieren, statt sämtliches drum herum zu gucken, in der Zeit wäre das ganze schon mehrfach eingerichtet gewesen.

 

[koyaanisqatsi]

Man hat keine Info welche Ports überhaupt zu benutzen sind, noch irgendeine Entscheidungshilfe.
Ich sag "frei wählbar", aber das stimmt nur bedingt.
Deswegen diese Hackergeschichten, damit man eine Entscheidungshilfe hat, oder zumindest einen Weg zu anderen aufzeigt.

 

[HabNeFritzbox]

Dann würde die FB einen Hinweis geben, wenn Port bereits verwendet wird.

 

[sipgateuser]

Ich habe mir einen Port ausgesucht der bei http://de.wikipedia.org/wiki/Liste_der_standardisierten_Ports _nicht_ gelistet ist. Ich sehe ein Bild am Handy und nun geht es darum, wie teste ich, ob es so funktioniert, wie ich es mir vorstelle, dh SSL und da das Handy via WLAN im Netz der Fritzbox ist, würde ich gerne verifizieren, ob die Verbindung wirklich von außen hergestellt wird bzw. ob da die Route abgekürzt wird.

 

[HabNeFritzbox]

Verwende im Heimnetz einfach externen DynDNS Hostname und den extra Port, wenn es klappt sollte es auch von extern gehen.

Gibt sonst auch genug "Port Test" Dienste bei Google zu finden.

 

[koyaanisqatsi]

Na siehste, genau richtig gemacht, kein Standardport, dann muss ein Angreifer erstmal suchen.
Wenn du keine andere Möglichkeit hast, von Aussen zuzugreifen:
Freunde oder Bekannte Zuhause besuchen und vom Computer wegschubsen.

 

[sipgateuser]

Augenblicklich kann ich nur von zu Hause aus dem eigenen Netz probieren und möchte da _jetzt_ prüfen, ob es passt. Bei diesem Handy mit dem ich teste sind Daten gesperrt und das Daten-Handy spinnt gerade rum. Bei der Gelegenheit habe ich gerade gemerkt, wenn sich die IP-Adresse ändert und es da Probleme gibt, dann ist eine 2. DDNS-Adresse nicht schlecht ;-)

Jedenfalls danke an alle, ich hatte mir das komplizierter vorgestellt, aber das war eher die Konfiguration der IP-Cam mit dem Workaround für existierende Bugs.

 

[HabNeFritzbox]

Beim Test mit dem Handy brauch nur WLAN deaktiviert werden, dann greifst extern via UMTS zu.

 

[sipgateuser]

Beim Test mit dem Handy brauch nur WLAN deaktiviert werden, dann greifst extern via UMTS zu.

Eben nicht, wenn Daten beim Provider gesperrt sind.