privoxy und Anmeldung AVM Webinterface verlangt Benutzername und Passwort

[fuf]

Hi,

mit dem aktuellen trunk vom 04.01.2012, FB Firmware 84.05.50 auf einer 7390 und aktiviertem privoxy verlangt die AVM Oberfläche (seit neuestem?) Benutzername und Passwort. In den Logs taucht die interne IP (nicht 192.168.178.1, sondern eine andere nicht öffentliche) auf.
Scheinbar vermutet die Box, dass der Zugriff "von außen" käme.

Kann man das irgendwie konfigurieren oder ist das ein Bug in privoxy oder in freetz selbst?

Danke und Grüße,
Christian

 

[JohnDoe42]

...sondern eine andere nicht öffentliche

War das evtl. die 169.254.1.1 ?
Würdest Du verraten, was sonst noch auf der Box läuft ?
Grüße,

JD.

 

[fuf]

Hallo JD,

War das evtl. die 169.254.1.1 ?

nein, meine Box hat intern die 192.168.10.254 und die steht auch im Log.

Würdest Du verraten, was sonst noch auf der Box läuft ?

klar:

die Box hängt as IP Client an einer UnityMedia FritzBox Cable, hat also keine DSL Funktionen o.ä.

Laufende Dienste:

AVM: dsld (könnte man wohl stoppen), multid
Basis: swap, webcfg
Statisch: callmonitor, dnsmasq, dropbear, inadyn-mt, openvpn (1x Client, 1x Server), privoxy, syslogd, usbroot, vsftpd, wol

Die Box läuft als usbroot.

Ausgabe von Freetz-Info:

Boxtyp
7390
AVM-Firmwareversion
05.50
Sprache
de

Kernelversion
2.6.28.10 (gcc version 4.6.3 (Buildroot 2011.11) )

Freetz-Version
freetz-devel-9803

Erstellungsdatum
04.01.2013 12:34:41

Ursprünglicher Dateiname
7390_05.50-freetz-devel-9803.de_trunk-usbroot_20130104-123441.image

Benutzerdefinierte Informationen
trunk-usbroot

Brauchst Du mehr Infos (.config o.ä.)?

Christian

 

[JohnDoe42]

Ich vermute, daß Du den Port (80) des AVM-WebIFs verbogen hast ... sprich: eine andere Anwendung (die eben "auch" auf Port 80 lauscht) funkt dazwischen ...
Könntest Du mal die CGIs, sofern vorhanden, danach durchgucken ?

 

[fuf]

Ich vermute, daß Du den Port (80) des AVM-WebIFs verbogen hast ... sprich: eine andere Anwendung (die eben "auch" auf Port 80 lauscht) funkt dazwischen ...
Könntest Du mal die CGIs, sofern vorhanden, danach durchgucken ?

Ich habe 2 cgis laufen: freetz auf port 81 und wol auf port 82.

root@fritz:/var/mod/root# lsof -i -P| grep LISTEN

ctlmgr     1170    root   28u  IPv6   2490      0t0  TCP *:80 (LISTEN)
ctlmgr     1170    root   29u  IPv6   2491      0t0  TCP *:8182 (LISTEN)
upnpd      1175    root   12u  IPv6   4204      0t0  TCP *:49000 (LISTEN)
upnpd      1175    root   13u  IPv6   4224      0t0  TCP *:49200 (LISTEN)
upnpd      1175    root   15u  IPv6   5019      0t0  TCP *:49443 (LISTEN)
dnsmasq    1404  nobody    7u  IPv4   2179      0t0  TCP *:53 (LISTEN)
dnsmasq    1404  nobody    9u  IPv6   2181      0t0  TCP *:53 (LISTEN)
multid     1462    root   10u  IPv6   2652      0t0  TCP *:50053 (LISTEN)
ctlmgr     1468    root   28u  IPv6   2490      0t0  TCP *:80 (LISTEN)
ctlmgr     1468    root   29u  IPv6   2491      0t0  TCP *:8182 (LISTEN)
ctlmgr     1469    root   28u  IPv6   2490      0t0  TCP *:80 (LISTEN)
ctlmgr     1469    root   29u  IPv6   2491      0t0  TCP *:8182 (LISTEN)
ctlmgr     1470    root   28u  IPv6   2490      0t0  TCP *:80 (LISTEN)
ctlmgr     1470    root   29u  IPv6   2491      0t0  TCP *:8182 (LISTEN)
telefon    1780    root    4u  IPv4   3225      0t0  TCP localhost:1011 (LISTEN)
telefon    1780    root   12u  IPv6   3348      0t0  TCP *:1012 (LISTEN)
telefon    1780    root   19u  IPv4   3362      0t0  TCP localhost:8888 (LISTEN)
voipd      1802    root    8u  IPv6   3395      0t0  TCP *:5060 (LISTEN)
telefon    1821    root    4u  IPv4   3225      0t0  TCP localhost:1011 (LISTEN)
telefon    1821    root   12u  IPv6   3348      0t0  TCP *:1012 (LISTEN)
telefon    1821    root   19u  IPv4   3362      0t0  TCP localhost:8888 (LISTEN)
telefon    1822    root    4u  IPv4   3225      0t0  TCP localhost:1011 (LISTEN)
telefon    1822    root   12u  IPv6   3348      0t0  TCP *:1012 (LISTEN)
telefon    1822    root   19u  IPv4   3362      0t0  TCP localhost:8888 (LISTEN)
aha        2109    root   14u  IPv4   3738      0t0  TCP *:2002 (LISTEN)
aha        2112    root   14u  IPv4   3738      0t0  TCP *:2002 (LISTEN)
aha        2113    root   14u  IPv4   3738      0t0  TCP *:2002 (LISTEN)
aha        2116    root   14u  IPv4   3738      0t0  TCP *:2002 (LISTEN)
aha        2119    root   14u  IPv4   3738      0t0  TCP *:2002 (LISTEN)
capiotcp_  2165    root    4u  IPv6   4012      0t0  TCP *:5031 (LISTEN)
upnpd      2190    root   12u  IPv6   4204      0t0  TCP *:49000 (LISTEN)
upnpd      2190    root   13u  IPv6   4224      0t0  TCP *:49200 (LISTEN)
upnpd      2190    root   15u  IPv6   5019      0t0  TCP *:49443 (LISTEN)
upnpd      2191    root   12u  IPv6   4204      0t0  TCP *:49000 (LISTEN)
upnpd      2191    root   13u  IPv6   4224      0t0  TCP *:49200 (LISTEN)
upnpd      2191    root   15u  IPv6   5019      0t0  TCP *:49443 (LISTEN)
upnpd      2192    root   12u  IPv6   4204      0t0  TCP *:49000 (LISTEN)
upnpd      2192    root   13u  IPv6   4224      0t0  TCP *:49200 (LISTEN)
upnpd      2192    root   15u  IPv6   5019      0t0  TCP *:49443 (LISTEN)
busybox    2521    root    3u  IPv6   4613      0t0  TCP *:81 (LISTEN)
busybox    2757    root    5u  IPv4   4919      0t0  TCP *:139 (LISTEN)
busybox    2757    root    6u  IPv4   4920      0t0  TCP *:445 (LISTEN)
busybox    2757    root    7u  IPv4   5879      0t0  TCP *:21 (LISTEN)
dropbear   2815    root    3u  IPv6   4957      0t0  TCP *:22 (LISTEN)
dropbear   2815    root    4u  IPv4   4958      0t0  TCP *:22 (LISTEN)
busybox    3735    root    3u  IPv6   5899      0t0  TCP *:82 (LISTEN)
privoxy   21194    root    4u  IPv4 243620      0t0  TCP *:8118 (LISTEN)

root@fritz:/var/mod/root# ps w|grep busy
[..]
 2521 root      1168 S    {busybox} httpd-webcfg -P /var/run/webcfg.pid -p 81 -c /mod/etc/webcfg.conf -h /usr/mww/ -r Freetz
[..]
 3735 root      1168 S    {busybox} httpd-wol -P /var/run/webcfg-wol.pid -p 82 -c /mod/etc/httpd-wol.conf -h /mod/pkg/wol/usr/mww-w
[..]

Wenn ich den privoxy nicht verwende (der läuft nicht transparent) funktionert es mit dem Webinterface normal, d.h. das AVM Webinterface verlangt einen Benutzernamen, wenn ich via proxy, und damit von der lokalen Box komme, sonst nicht. Wo kann ich das genau prüfen mit den CGIs?

Christian

 

[JohnDoe42]

I
... das AVM Webinterface verlangt einen Benutzernamen, wenn ich via proxy, und damit von der lokalen Box komme, sonst nicht.

Also nun mal der Reihe nach: Welchen Browser verwendest Du, um auf das AVM-WebIF zu gelangen ? Wie ist da der Proxy eingestellt (was ist mit lokalen Adressen) ? Was passiert, wenn Du auf einem Rechner im LAN im Browser die 192.168.178.1 zu öffnen versuchst ? Auf welchem Port lauscht Privoxy ?
Grüße,

JD.

 

[fuf]

Welchen Browser verwendest Du, um auf das AVM-WebIF zu gelangen ?

Firefox (17ESR) auf Notebook
safari auf dem iphone, bzw. diverse Apps, die das auch betrifft (AVM Fritz!App Fon)

Wie ist da der Proxy eingestellt (was ist mit lokalen Adressen) ?

Notebook: im Firefox manuell
Proxy an ( 192.168.10.254:8118 ) -> AVM Oberfläche will user
Proxy aus -> AVM Oberfläche funktioniert

iphone exakt das gleiche: Proxy für WLAN aktiviert -> FB verlangt Benutzername, FritzApp Fon geht nur "halb", Login scheitert. Proxy aus: alles ok.

Was passiert, wenn Du auf einem Rechner im LAN im Browser die 192.168.178.1 zu öffnen versuchst ?

? Dann kommt die funktionierende Oberfläche der nicht gefreezten (klar) UnityMedia-Fritzbox (192.168.178.1), die vor der 7390 (192.168.10.254) hängt. Wenn ich 192.168.10.254:80 öffnen möchte, also die AVM Oberfläche meiner gefreezten Box, dann kommen obige Probleme.

Auf welchem Port lauscht Privoxy ?

Standard, 8118

Viele Grüße,
Christian

 

[sf3978]

Proxy an ( 192.168.10.254:8118 ) -> AVM Oberfläche will user
Proxy aus -> AVM Oberfläche funktioniert

Kannst Du keine Ausnahme konfigurieren, dass für 192.168.10.0/24 kein proxy verwendet wird?

 

[JohnDoe42]

Dann kommt die funktionierende Oberfläche der nicht gefreezten (klar) UnityMedia-Fritzbox (192.168.178.1), die vor der 7390 (192.168.10.254) hängt.

Die Info etwas weiter oben hätte evtl einiges erleichtert.

 

[fuf]

Kannst Du keine Ausnahme konfigurieren, dass für 192.168.10.0/24 kein proxy verwendet wird?

Hatte ich im Firefox tatsächlich probiert - und bin gescheitert (ging nicht, weiss der Kuckuck warum). Im iPhone gibt es leider keine Ausnahmen, soweit ich das gesehen habe. Richtig zielführend wäre das sowieso nicht, da ich eigentlich langfristig den privoxy transparent laufen lassen wollen würde.

 

[sf3978]

Richtig zielführend wäre das sowieso nicht, da ich eigentlich langfristig den privoxy transparent laufen lassen wollen würde.

Evtl. kannst Du diese Ausnahme, mit iptables konfigurieren (... und nicht in den Browsern der einzelnen Clients).

 

[fuf]

Die Info etwas weiter oben hätte evtl einiges erleichtert.

hmpf, sorry. Ich wollte die Frage eigentlich kurz und knackig halten und dachte auch, die wichtigen Infos stünden da oben (aber das glaubt man ja von seinen eigenen Aussagen immer ).

Eigentlich ist die Frage, kann man dem AVM Interface irgendwie klar machen, dass Anfragen von lokal, was ja normalerweise bei einer FB nicht vorkommen sollte, auch ok sind.

Ich hatte natürlich auch den Fehler gemacht und kurz hintereinander 2 Änderungen gemacht. Erst privoxy auf einer gefreezten 84.05.22 FW, dann gesehen, dass es ein FW Upgrade gibt und das auch noch mitgenommen. Ich bin mir nicht 100% sicher, aber glaube, dass es mit der älteren Firmware funktionierte.

 

[JohnDoe42]

Also, ich würde gerne Deine Netzwerk-Topologie verstehen:

1. Die Unity-Box baut den Netzzugang auf, fungiert also quasi als DSL-Modem ("Internet->Zugangsdaten->Internet-Anbieter->Vorhandener Zugang über LAN") (?)
2. Die Router-Aufgaben nimmt die zweite Box (192.168.10.254) war (?)
3. Privoxy läuft auf dieser Box (192.168.10.254) und lauscht auf Port 8118 (?)
4. Du hast auf einem Rechner, der an dieser Box (.254) hängt, selbige als Proxy eingetragen über Port 8118 eingetragen (?)
5. Du kannst mit FF das WebIF der Unity-Box (192.168.178.1), unabhängig davon, ob Privoxy auf der zweiten Box (.254) läuft, öffnen (?)
6. Die zweite Box (.254) will Zugangsdaten für ihr WebIF, wenn Privoxy läuft ?
Grüße,

JD.

 

[fuf]

Also, ich würde gerne Deine Netzwerk-Topologie verstehen:
1. Die Unity-Box baut den Netzzugang auf, fungiert also quasi als DSL-Modem ("Internet->Zugangsdaten->Internet-Anbieter->Vorhandener Zugang über LAN") (?)
2. Die Router-Aufgaben nimmt die zweite Box (192.168.10.254) war (?)
3. Privoxy läuft auf dieser Box (192.168.10.254) und lauscht auf Port 8118 (?)
4. Du hast auf einem Rechner, der an dieser Box (.254) hängt, selbige als Proxy eingetragen über Port 8118 eingetragen (?)
5. Du kannst mit FF das WebIF der Unity-Box (192.168.178.1), unabhängig davon, ob Privoxy auf der zweiten Box (.254) läuft, öffnen (?)
6. Die zweite Box (.254) will Zugangsdaten für ihr WebIF, wenn Privoxy läuft ?
JD.

ja, genau so. Evtl. bis auf Punkt 6: "wenn Privoxy benutzt wird". Das bloße laufen des Dienstes macht das WebIF nicht kaputt"
Ignoriere einfach die erste Box, bis auf die Tatsache, dass sie die Fritz!-übliche 178er Adresse hat. Die zweite, richtige freetz-Box ist auch exposed host. Etwas kranke config, aber die VPN-Tunnel kriege ich ja auch nicht auf die Unity-Box, weil die nicht freetzbar ist.

 

[JohnDoe42]

Was passiert denn genau, wenn Du im FF unter "Kein Proxy für: "

localhost, 127.0.0.1, 192.168.178.0/24, 192.168.10.0/24

einträgst ?

 

[fuf]

Was passiert denn genau, wenn Du im FF unter "Kein Proxy für: "

localhost, 127.0.0.1, 192.168.178.0/24, 192.168.10.0/24

einträgst ?

Gestern schrieb ich ja, dass das nicht funktionert hätte (allerdings nur Ausnahme 192.168.10.254, nicht ganzes subnet). Ich hatte dann abends nochmals getestet und das Verhalten war richtig.

Proxyausnahme: localhost, 127.0.0.1, 192.168.10.254 -> WebIF funktioniert
Proxyausnahme: localhost, 127.0.0.1 -> WebIF funktionert nicht
mit dem 192.168.178.er Netz habe ich ja sowieso keine Probleme. Das funktioniert mit und ohne privoxy

 

[JohnDoe42]

Kannst Du mal die Ausgabe von

cat /etc/passwd

posten ?

 

[fuf]

Kannst Du mal die Ausgabe von

cat /etc/passwd

posten ?

root@fritz:/var/mod/root# cat /etc/passwd
root:x:0:0:root:/mod/root:/bin/sh
boxusr99:any:1099:0:box user:/home-not-used:/bin/sh
boxusr99int:any:2099:0:box user:/home-not-used:/bin/sh
boxusr100:$1$sehr$geheim:1100:0:box user:/home-not-used:/bin/sh
boxusr100int:$1$auch$sehr/geheim/:2100:0:box user:/home-not-used:/bin/sh
nobody:x:100:1000:nobody:/home/nobody:/bin/false
openvpn:x:101:1001:openvpn:/home/openvpn:/bin/false
ftp:x:102:1:ftp:/home/ftp:/bin/false
root@fritz:/var/mod/root#

meinst Du die Box ist tief unten kaputtgefreezt? Ich könnte mir vorstellen, dass AVM für den Zugriff via MyFritz (neu mit 84.05.50?) irgendwas im Webinterface geändert hat und schlicht nicht davon ausgeht, dass lokale die Box-IP, also "fast localhost", jemals dafür verwendet werden würde auf das Web-IF zuzugreifen und daher auf externe Authentifizierung umschaltet?

 

[JohnDoe42]

Ich meine, daß ohne Ausnahmeregelung für den Proxy im Browser Deine Anfrage auf das WebIF von 192.168.10.254 auf der Box selber landet und versucht wird, einen von diesen hier

boxusr100:$1$sehr$geheim:1100:0:box user:/home-not-used:/bin/sh
boxusr100int:$1$auch$sehr/geheim/:2100:0:box user:/home-not-used:/bin/sh

anzumelden. Was mir nicht völlig unlogisch erscheint (was soll ein Proxy-Server machen, der versucht, eine http-Anfrage an sich selbst zu richten?).
Und da Du ja in Post #16 berichtestest, das es mit der Proxyausnahme funzt, sehe ich nun das Problem nicht (mehr) ...

EDIT: Evtl. auch Zusammenhang hiermit ... ?

 

[fuf]

Was mir nicht völlig unlogisch erscheint (was soll ein Proxy-Server machen, der versucht, eine http-Anfrage an sich selbst zu richten?).

tut er ja gar nicht, er fragt ja dann auf der Box nicht nochmal 8118 ab, sondern port 80

Und da Du ja in Post #16 berichtestest, das es mit der Proxyausnahme funzt, sehe ich nun das Problem nicht (mehr) ...

ich kann keine Ausnahme im iPhone eintragen...

EDIT: Evtl. auch Zusammenhang hiermit ... ?

ok, es gibt eine neue Benutzerverwaltung, das wußte ich nicht. Damit werde ich dann erstmal experimentieren. Der Link war ein guter Hinweis, der Test mit ssh:

C:\Windows\System32>plink -R 1080:localhost:80 [email protected]:80
C:\Windows\System32>firefox http://localhost:1080

macht im Endeffekt das gleiche, wie privoxy (halt ohne Filtern): einen Endpunkt auf der Box selbst erstellen. Und er verlangt wieder Benutzername/Passwort. Somit hat privoxy mit der ganzen Sachen nichts zu tun. Der Thread-Titel sollte eher lauten "Anmeldung am AVM Webinterface von einem lokalen Interface auf der Box verlangt Benutzername und Passwort" oder sowas...

Christian