[Problem] SSH tunnel zu dropbear seit Firmware 06.06

[chrima]

ich habe eine FRITZ!Box Fon WLAN 7270 v3
Firmware: 74.06.06 rev31461 (Freetz)

schon lange läuft dort dropbear auf Port 22 und der Port 443 ist auf den Port 22 umgeleitet über die ar7.cfg
internet_forwardrules = "tcp 0.0.0.0:443 0.0.0.0:22 0 # SSH";
Somit komme ich durch eine Firewall meines Windows-Netzwerks, die nur ausgehende Verbindungen zu Port 80 und 443 zulässt auf die Fritzbox.
Dazu verbinde ich putty über ssh mit mit port 443 meiner Fritzbox und putty stellt einen socks 5 proxy zur verfügung, den ich über firefox nutze.
Hauptsächlich nutze ich das um an das Heimnetzwerk zu kommen und über diesen Tunnel zu surfen.

Seit dem update auf die Firmware 06.06 (zuletzt hat 06.05 freetz devel-13441 und alle Versionen vorher funktioniert) kann ich mich zwar noch mit der Box verbinden, und in der Konsole Befehle absetzen, aber sobald ich versuche in Firefox eine Internetseite anzusurfen wird die Verbindung zur Fritzbox sofort geschlossen, also die Fritzbox unterbricht die Verbindung.
Irgendeine Idee woran das liegen könnte?
Ich bin erst mal zurück zu 06.05 und es geht wieder wie immer.

 

[JohnDoe42]

Könntest Du mal etwas genauer beschreiben, wie Du diesen Wechsel zwischen 6.05 und 6.06 auf der Box inklusive des Dropbears gestaltest ?
Alternativ kannst Du mal auf einem Windows-Rechner mittels dieses SSH-Clients versuchen, Folgendes zu starten:

ssh2 -L 443:localhost:443 root@IPDEINER7270

Dann fehlt nur noch eine Info Deinerseits, wie Du das Gateway Deines PCs auf die 7270 umgeleitet hast, sprich: Mit welchem Mechanismus Du surfen möchtest und ob der lokale Browser (FF) einen Proxy benutzt.

 

[chrima]

in der AVM Oberfläche führe ich unter System ein update über eine lokale Datei aus.
Ich nutze freetz, also baue ich mir ein Image inkl. dropbear.
Das klappt ja auch, da ich mich über ssh mit der Box verbinden kann auf Port 22 von einem Linux Rechner im lokalen Netz aber auch die Umleitung vom Port 443 auf 22 klappt weil ich auch darüber eine Verbindung bekomme und zwar von außerhalb des lokalen Netzes.
Im FF stelle ich manuelle Proxykonfiguartion Socks v5 auf localhost:5050
putty stellt mir den socks proxy Zugang auf Port 5050 (D5050 dynamisch) zur Verfügung.
Das funktioniert auch alles, zumindest kann ich im putty Terminalfenster Befehle auf der Box absetzen, aber sobald FF auf den Tunnel zugreift, trennt die FBF7220 sofort die Verbindung.
Spiele ich das 0605 freetz Image ein und die alte Konfiguration (bei downgrade wird die Konfiguration immer zurückgesetzt), ohne aber irgendetwas an der Konfiguration zu ändern, geht es wieder.
Also hat sich anscheinend etwas beim Firmwareupdate von 0605 auf 0606 geändert. Die SSH Verbindung ansich funktioniert noch aber sobald ein Zugriff von außen über den Port 443 auf eine Internetseite also eine Adresse außerhalb der Box erfolgt, wird die Verbindung getrennt. Bei der Firmware 0605 wurden diese Daten über ssh getunnelt an Firefox weitergeleitet.

 

[JohnDoe42]

Könntest Du das ganze statt mit Putty mal mit der Variante testen, die ich vorgeschlagen habe ?
Alternativ könntest Du mal den syslogd mit ins freetz-Image nehmen und mal schauen, was bei getrennter Verbindung die Logs sagen.

 

[chrima]

WinSSH würde wohl auch funktionieren, stellt aber keinen Tunnel zu Verfügung oder täusche ich mich da?
Die SSH Verbindung klappt auch so schon, oder übersehe ich etwas?

 

[JohnDoe42]

WinSSH würde wohl auch funktionieren, stellt aber keinen Tunnel zu Verfügung oder täusche ich mich da?

Die Zeile aus #2 tut exakt das Gleiche wie Du in Putty machst.
Ein Blick in die Manpage von ssh hätte das auch erbracht.

 

[chrima]

Könntest Du das ganze statt mit Putty mal mit der Variante testen, die ich vorgeschlagen habe ?

Connecting to IPMEINER7270 failed: No address associated to the name
vermutlich kommt ssh nicht durch die firewall meines client-Netzwerks durch. In Putty muss ich zusätzlich einen http-proxy angeben mit Benutzernamen und Passwort, also
Proxy hostname
Port
Username
Passwort

 

[JohnDoe42]

Ich verstehe leider immer noch nicht, wie das Port-Handling mit Deinem Putty-Client funktioniert.
1. Du kannst ausgehend nur über Port 80 und 443 Verbindungen aufbauen.
2. Dein Putty-Client stellt Dir einen lokalen Proxy zur Vefügung. Dieser schickt seine Pakete über den SSH-Tunnel zu Deiner FB.
3. Auf der Box kommt alles eingehend über TCP443 zu TCP22.

Ich frage mich immer noch, über welchen Port Dein lokaler Putty bei FW 6.05 die Verbindung zu Deiner FB aufbaut - laut Deiner Vermutung im letzten Post kann es ja nicht TCP22 sein ... (?!)

 

[chrima]

mein Putty stellt die Verbindung zur FBF über den Port 443 her.
das ganze funktioniert genau so wie hier beschrieben:
http://www.sotechdesign.com.au/browsing-the-web-through-a-ssh-tunnel-with-firefox-and-putty-windows/
wobei bei mir die Ports anders lauten:

Meine Putty Einstellung (in Klammern Werte in der Anleitung)
destination host port: 443 ( 22 )

forwarded ports: D5050 ( D2048 )

Meine Firefox Einstellung (in Klammern Werte in der Anleitung):
Manual proxy configuration: localhost:5050 ( 2048 )

zusätzlich erschwerend kommt hinzu (das steht nicht in der Anleitung), dass ich durch einen HTTP Zwangsproxy muss, der einen Benutzernamen und Passwort erfordert.
Der wird bei Putty noch zusätzlich unter
Connection/Proxy eingetragen - deshalb hat der von Dir vorgeschlagene ssh2 client keine Verbindung aufgebaut, ich habe keine Möglichkeit gefunden den Proxy den er benutzen muss einzutragen

Der Teil von putty zur Box funktioniert soweit auch mit Firmware 06.06, ich kann problemlos shell Befehle auf der FBF absetzen. Aber sobald ich in Firefox eine Webseite aufrufe, meldet putty "'Server unexpectedly closed network connection".
Gehe ich zurück auf die Firmware 06.05, geht es wieder. Deshalb glaube ich eigentlich nicht, dass es am ssh client sondern eher an der Box liegt, vielleicht hat AVM eine Sicherheitseinstellung geändert, so dass die Weiterleitung der HTTP Daten über den Tunnel nicht mehr funktioniert.

 

[JohnDoe42]

Ich werde mal versuchen, daß in den nächsten zwei Tagen nachzustellen.

 

[Jimbo Jones]

Hallo chrima,

ich habe exakt das gleich Problem bei mir.
Hast Du eine Lösung gefunden?

Ich probiere gerade mit Putty etwas herum.

Interessarntweise ist bei sogar im lokalen Netz nur bei geöffnter Shell die Verbindung vom Dropbear beendet worden!

D.h. das dieser Fehler nach längerer Zeit auch ohne Webseite und auch im lokalen Netz auftritt.
Mir ist das aufgefallen, als sich zu Hause die Shell "von alleine" im Hintergrund geschlossen hat.... Und ich habe eine 100% stabile LAN Verbindung bei mir zu Hause. Also ist irgendwie die neue Freetz, Dropbear oder Putty die Ursache.

 

[PeterPawn]

Falls es jemand hier nicht mitbekommen hat ... dropbear hatte in der Version 2015.68 (seit August) einen Bug bei Problemen mit "forwarded TCP connections", der seit drei Tagen behoben ist. Vielleicht lohnt es sich ja, ein neues Image mit der 2015.70 zu bauen, er13 hat heute die Version im Trunk geändert.

 

[Jimbo Jones]

Hallo PeterPwan,

danke für die Info!
Ich hatte mittlerweile auch den Verdacht, dass es am Dropbear liegt.

Lösung/Workaround:
OpenSSH anstatt Dropbear verwenden!

Damit hat es bei mir geklappt. Es läuft zwar nicht so stabil wie vorher, aber es scheint mir zumindest wahrscheinlich zu sein, dass Dropbear das eigentliche Problem war...
Werde bei Gelegenheit mal die neue Version bei Dropbear testen.... Vielleicht war das genau der Bug...

 

[chrima]

Leider hat es meine TAE Dose und Fritzbox gekillt an dem Tag als die Telekom eine Umstellung in der Vermittlungsstelle durchgeführt hat (DSL Login Daten werden nicht mehr benötigt).

dropbear hatte in der Version 2015.68 (seit August) einen Bug bei Problemen mit "forwarded TCP connections", der seit drei Tagen behoben ist. Vielleicht lohnt es sich ja, ein neues Image mit der 2015.70 zu bauen, er13 hat heute die Version im Trunk geändert.

Habe jetzt eine 7630SL mit aktuellem Freetz und *********
Freetz-Version:freetz-devel-13532Erstellungsdatum:06.01.2016 17:17:47
ich bekomme eine SSH Verbindung an meine Fritzbox, und komme auch an die Web-Oberfläche der Fritzbox aber bekomme keine Verbindung zu Adressen außerhalb des lokalen Netzwerks.
Habe leider nur 16MB Flash, ist für OpenSSH etwas wenig.