Portweiterleitung auf VPN-Ziel?

[Heiko_Heider]

Hallo zusammen,

ich habe eine Fritzbox 7390 an einem Kabel-Internetanschluss mit relativ statischer IP (und DynDNS).
Per Fritz-VPN angebunden habe ich eine Fritzbox 7270v1 über UMTS, an der eine IPCam hängt.
Die UMTS-Fritzbox kann ich aufgrund der IP-Problematik in Mobilfunk-Netzen natürlich nicht direkt ansprechen.

Das VPN funktioniert, und wird mittels eines Fake-SIP-Accounts mit meiner 7390 als fiktivem Registrar am leben gehalten.
Funktioniert auch nach einer Nacht noch.

Kann ich nun eine Portweiterleitung auf der 7390 einrichten, dass ich über deren statische IP (bzw. DynDNS-Namen) auch die IPCam über VPN erreichen kann?
Erste Einrichtungsversuche im WebIF haben nicht geklappt, aber kann ich vielleicht mit iptables direkt auf der Konsole was machen?

Vielen Dank,
und viele Grüße,

Heiko

 

[sf3978]

Per Fritz-VPN angebunden habe ich eine Fritzbox 7270v1 über UMTS, an der eine IPCam hängt.
...
Kann ich nun eine Portweiterleitung auf der 7390 einrichten, dass ich über deren statische IP (bzw. DynDNS-Namen) auch die IPCam über VPN erreichen kann?
Erste Einrichtungsversuche im WebIF haben nicht geklappt, aber kann ich vielleicht mit iptables direkt auf der Konsole was machen?

Kannst Du von einem Client an der 7390, die interne IP-Adresse der 7270v1 bzw. die interne IP-Adresse der IPCam pingen?

 

[MaverrickTM]

Ich glaube das Problem ist hier ein ganz anderes, denn das was Du hier vor hast, kann so nicht funktionieren. Jedenfalls nicht mit Boardmitteln.

Die Portweiterleitung wird schon funktionieren... Das ist hier nicht das Problem. Das Problem ist hier der Kommunikationsverlauf, der arg vermurkst ist. Beide Fritzboxen bauen ein site-to-site VPN auf. Sprich es wird hier nichts geNATtet sondern ausschliesslich geroutet. Um dieses Problem lösen zu können brauchst Du jedoch zwingend ein Source-NAT (SNAT) für die Rückroute über VPN. Andernfalls wird das Default-Gateway verwendet.

Ganz laienhaft gesprochen: Die Anfrage geht zur 7390 rein, wird dort über VPN zur IPCam weitergeleitet und diese Antwortet. Jedoch wird die IPCam als Rückroute nicht das VPN verwenden, sondern ihr default-gateway nutzen. Sprich es geht über die UMTS-Verbindung raus.

Wie soll denn Dein rechner wissen, dass er IP A anspricht und ihm IP B antwortet? Das kann er nicht Wissen! Davon mal ab wird das kein Firewall, egal wie schlecht sie ist, mitmachen.

 

[sf3978]

... vielleicht mit iptables direkt auf der Konsole was machen?

Hast Du Freetz auf den Boxen bzw. willst Du evtl. zukünftig, Freetz auf den Boxen benutzen?

 

[Heiko_Heider]

Kannst Du von einem Client an der 7390, die interne IP-Adresse der 7270v1 bzw. die interne IP-Adresse der IPCam pingen?

Ja, das funktioniert.
Ich kann dann durch Eingabe der Remote-IP sowohl auf die FBF als auch die WebCam komplett zugreifen.

Hast Du Freetz auf den Boxen bzw. willst Du evtl. zukünftig, Freetz auf den Boxen benutzen?

Freetz ist auf der 7390 drauf, auf der 7290 nicht.

@Maverrick:
Wie gesagt, am Standort der 7390 sehe ich das Livebild der Webcam, kann diese sogar steuern (schwenkbar).

 

[MaverrickTM]

Ja, das ist auch richtig so. Denn dort ist der Absender der Verbindung ja auch ein Host innerhalb des VPNs. Demnach geht die Antwort der IPCam ja auch zurück durchs VPN. Nur eben bei externen Anfragen nicht.


[EDIT]
Im übrigen sind Doppelposts hier unerwünscht. Führe Deine beiden Posts mal bitte zu einem zusammen und lösche den überflüssigen. Danke
[/EDIT]

 

[Heiko_Heider]

Ja, das ist auch richtig so. Denn dort ist der Absender der Verbindung ja auch ein Host innerhalb des VPNs. Demnach geht die Antwort der IPCam ja auch zurück durchs VPN. Nur eben bei externen Anfragen nicht.

Ok, d.h. die einzige Möglichkeit ist:
Z.B. von Unterwegs per VPN-Software auf die 7390 einwählen und dann direkt auf die IP der Cam zugreifen?
Leider kann man Android 2.3.6 noch nicht das IPSec-Protokoll von AVM :-(

[EDIT]
Im übrigen sind Doppelposts hier unerwünscht. Führe Deine beiden Posts mal bitte zu einem zusammen und lösche den überflüssigen. Danke
[/EDIT]

Müsste jetzt so passen...?

 

[MaverrickTM]

Ja, danke

Genau. Wenn Deine Clients eine Verbindung via separatem VPN zur IPCam herstellen, dann sollte das auch funktionieren. Du musst in der 7270 nur eine entsprechende Route, für das VPN-Subnetz, eintragen.

Alternativ müsste das Problem auch mit iptables lösbar sein. Wobei ich mir hier ein Paar Sorgen um das SNAT mache. Ich weiss nicht, ob iptables die assoziation zum eigentlichen Ursprung in der NAT-Tabelle aufrecht erhält. Es bringt Dir ja nichts SNAT einzusetzen, wenn Du dadurch den eigentlichen Ursprung verlierst. Ein versuch schadet es jedoch nicht!

 

[sf3978]

Freetz ist auf der 7390 drauf, ...

Wenn Du nmap auf der 7390 hast, dann Versuch mal einen scan durch das VPN auf die interne IP-Adresse und den lauschenden Port der IPCam. Z. B.:

nmap -sSU <int. IP-Adresse-IPCam> -p<lauschender-Port-IPCam>

Wenn das geht, dann versuch mal auf der 7390, mit iptables einen D-NAT in der PREROUTING chain, über einen Port über den die 7390 aus dem Internet erreichbar ist (... evtl. 443 wenn nicht benötigt oder einen anderen Port der 7390 freigeben), auf die int. IP-Adresse und den lauschenden Port der IPCam.