[Frage] MyFritz!-Freigaben - Sinn und Funktionsweise

In einem anderen Zusammenhang mußte ich mich heute mit den MyFritz!-Freigaben mal näher beschäftigen und bin dabei auf gewaltige Verständnisprobleme bei mir gestoßen. Vielleicht kann mich ja einer von Euch schlau machen ...

Hardware/Firmware:
FRITZ!Box (6360, 7390, 7490) mit mind. FRITZ!OS 06.03, alle bei AVM's MyFRITZ!-Dienst angemeldet

Im folgenden alles für 7490 mit Labor 28463 ...

1. Auszug aus http://service.avm.de/help/de/FRITZ-Box-Fon-WLAN-7490/014/hilfe_internet_myfritz_freigaben

2. Aus http://service.avm.de/help/de/FRITZ-Box-Fon-WLAN-7490/014/hilfe_internet_myfritz_edit_freigabe
Mit diesen Aussagen komme ich aus folgenden Gründen nicht klar:

1. Die MyFRITZ!-Freigaben sind m.E. um Längen schlechter als "normale" Portfreigaben, da dort (zumindest im GUI) eine 1:1-Zuordnung vom externen zum internen Port erforderlich ist und damit pro Dienst nur ein einziges internes Gerät angesprochen werden kann ... oder auch gar keines, wenn der betreffende Dienst bereits auf der Box selbst läuft und von außen erreichbar ist, wie z.B. ein FTP-Server. Oder die Dienste auf den internen Geräten müßten für MyFRITZ!-Freigaben auf andere Ports gelegt werden (NAS1 -> https auf 444, Dreambox -> https auf 1444, o.s.ä.) ... was bei externen und internen Zugriffen zusätzliche Verwirrung stiftet.

2. Jede dieser Freigaben wird direkt als Portforwarding realisiert ... vom externen Interface der FRITZ!Box (cat /proc/kdsld/dsliface/internet/ipmasq/forwards) auf die entsprechende interne Zieladresse, die bei MyFRITZ!-Freigaben auch nicht manuell eingegeben werden kann, wie noch bei Portfreigaben möglich. Damit ist natürlich jeder dieser Dienste auch direkt über die externe IP-Adresse der Box in Verbindung mit dem richtigen Port oder auch über jede passende DynDNS- oder MyFRITZ!-(Basis!-)Adresse erreichbar. Die Behauptung aus der ersten o.a. Hilfe-Datei, die wären nur über "MyFRITZ!" vorhanden, verstehe ich also überhaupt nicht.

3. Der ganze Zinnober mit der zusätzlichen Ebene im DNS-Namen der Freigabe (z.B. http://clientx.<random>.myfritz.net:80/ als Adresse einer Freigabe) ist gfA, da (logischerweise) beide Adressen (also <random>.myfritz.net pur und die "dekorierte" Version) auf dieselbe IP-Adresse auflösen.

4. Da die Verbindung direkt mit dem internen Gerät hergestellt wird, dient die FRITZ!Box weder als "Authentifizierungsportal" (s.o. zu "verschlüsselten Verbindungen" in der Hilfe), noch als ReverseProxy, wo die Geschichte mit dem erweiterten DNS-Namen als "Host"-Header vielleicht noch Sinn ergeben könnte.

Der einzige "Vorteil" einer MyFRITZ!-Freigabe gegenüber einer Portfreigabe ist es, daß diese Dienste im "myfritz"-GUI der Box unter "Smart Home" angezeigt werden und von dort als Link aufgerufen werden können. Spätestens beim Aufruf einer FTP-URL mit einem HTTP-Only-Browser (z.B. auf einem Smartphone) relativiert sich dieser Nutzen dann aber schnell.

Mein Fazit ggü. einer Portfreigabe:

+ Link in "Smart Home" im MyFRITZ-GUI (und nur da, nicht im Web-GUI unter "Heimnetz/Smart Home")
- nur eine Freigabe pro Dienst (mit Standardport) möglich, mehrere Dienste vom selben Typ erfordern auch íntern eine Umkonfiguration des Ports
- auch ungesicherte Dienste werden 1:1 im Internet bereitgestellt, im Gegenteil zu den Behauptungen in der Hilfe ohne jeden Schutz (ganz dickes Minus !)

Halte ich jetzt irgendeine Rahmenbedingung nicht ein, daß das bei mir wie oben beschrieben läuft ?

Oder ist das bei anderen auch so ?

Was soll das Ganze dann eigentlich bringen, außer einem unerfahrenen Nutzer das Bereitstellen eines ungesicherten HTTP- oder FTP-Servers im Internet zu "erleichtern" ? :blonk:

HabNeFritzbox schrieb:

Bei einer MyFritz Freigabe, wird beides eingerichtet.

Zum Vergrößern anklicken....

Da hast Du vollkommen recht.

Ich habe inzwischen auch erkundet, warum ich die passenden AAAA-Einträge für meine - nur testweise eingerichteten - MyFRITZ!-Freigaben bei meinem ersten Anlauf nie gesehen habe.

Die Box (in diesem Falle wieder 7490 mit Labor 28510) führt nach dem Hinzufügen einer MyFRITZ!-Freigabe für das neue Gerät ein DynDNS-Update aus, meldet dabei aber erst einmal nur die IPv4-Adresse an, obwohl die IPv6-Adresse des Clients schon lange feststeht und auch unter "Freigaben / IPv6" die richtige Interface-ID bereits angezeigt wird. Erst 90 Sekunden später - da hatte ich die DNS-Abfragen bei ns1.myfritz.net dann immer schon abgeschlossen - wird noch ein weiteres DynDNS-Update, diesmal mit beiden IP-Adressen, hinterher geschoben.

Damit verstehe ich den Fall, daß freigegebene Geräte per IPv6 erreichbar sein sollen, als einen möglichen und sinnvollen "use case" ... jedenfalls bei passender Beschreibung dieses Features. Die derzeitige Beschreibung in den Hilfetexten stimmt in Bezug auf die Ausführungen zur Sicherheit des Zugangs zu diesen Freigaben aber definitiv nicht. Bei den IPv6-Freigaben kann man vielleicht noch darauf pochen, daß die Interface-ID schwerer vorhersehbar ist ... spätestens beim ersten Zugriff des legitimen Benutzers kann ein Angreifer aber auch diese Information einfach abgreifen und somit stellt das auch keinen Ersatz für eine ordentliche Zugangskontrolle dar, wie AVM es in den Hilfetexten beschreibt.

Bei IPv6-only-Anschlüssen kann sogar die Tatsache Sinn machen, daß man theoretisch mehrere interne Server für denselben Dienst (z.B. den HTTP-Server auf Port 80) unter der jeweiligen IPv6-Adresse des Gerätes freigeben kann.
Die Box behandelt sogar IPv6-only-Clients dahingehend richtig, daß sie für diese keine IPv4-Portweiterleitung einrichtet. Allerdings patzt sie dann wieder bei der DynDNS-Registrierung, indem sie auch für das IPv6-only-Gerät ihre eigene IPv4-Adresse registriert. Fragt jetzt ein Client mit DualStack den DNS-Server ab und präferiert die zurückgelieferte IPv4, ruft er ins Leere, wenn er auf das Gerät zuzugreifen versucht.

Es gelingt mir aber bei einer 6360 (06.05) auch beim besten Willen nicht, für mehr als ein IPv6-only-Gerät eine MyFRITZ!-Freigabe einzurichten, aus dem ganz simplen Grund, daß das zweite Gerät (obwohl es per IPv6 auf das Internet zugreifen kann und unter "Heimnetz" auch in der Liste steht) gar nicht erst in der Dropdown-Box der potentiell freizugebenden Geräte auftaucht. Dafür kann ich dann einem "IPv4 only"-Gerät problemlos eine IPv6-Weiterleitung (einzeln oder per MyFRITZ!-Freigabe, ist egal) verpassen ... auf eine nicht existierende Interface-ID, die sich die Box aus dem Fingern saugt (das Gerät hat 100%-ig noch nie eine IPv6-Adresse in Richtung auf die 6360 benutzt). [EDIT]Ok, die Box nimmt - stellvertretend für den Client, der das ja theoretisch auch anders machen könnte - dann doch die MAC-Adresse zur Generierung der Interface-ID, das sah nur auf den ersten Blick wegen des Null-Bytes am Beginn der MAC-Adresse merkwürdig aus.[/EDIT]
Anhang anzeigen 77105
Das wird also von der 06.05 auf der 6360 nicht richtig behandelt, aber zumindest ist die parallele Freigabe eines IPv4-only-Geräts und eines IPv6-only-Geräts jeweils als HTTP-Server auf Port 80 wirklich machbar, die bereits existierende IPv6-Freigabe eines anderen Geräts störte bei der Freigabe des Geräts im Screenshot nicht. Zwei IPv6-only-Geräte konnte ich - wie geschrieben - bei mir nicht testen.

Eine weitere Stelle, an der die freigegebenen Geräte auch angezeigt werden, ist die MyFRITZ!-Weboberfläche von AVM. Bei eingerichteten MyFRITZ-Freigaben erscheint vor der betreffenden FRITZ!Box ein unscheinbares graues Dreieck, über das man den "Baum" mit den freigegebenen Geräten erreichen kann. Hatte ich vorher auch noch nicht bemerkt ...

@HabNeFritzbox:
Ich korrigiere also meine Meinung von "Totgeburt" zu Sicherheitsrisiko bei 7490/7390 (aufgrund der falschen Beschreibung, die bei der 6360 glücklicherweise gar nicht vorhanden ist - auch das Handbuch schweigt sich dazu aus) und zu Baustelle -> angesichts der getesteten Version 06.05 auf der 6360 und deren Status als "Release"-Version sollte man davon ausgehen können, daß sie nicht so "buggy" ist. Die Labor-Version für die 7490 verhält sich - nach grobem Test - ähnlich. Da ich dort aber meine IPv6-Adresse über einen 6to4-Tunnel für die feste IPv4 beziehen muß, ist es vielleicht nicht 100%-ig vergleichbar.

HabNeFritzbox schrieb:

Ich sehe da kein großes Risiko weil in der MyFritz Oberfläche bei AVM alle Freigaben stehen.

Zum Vergrößern anklicken....

Ich sehe das Risiko ja auch nicht darin, daß die Freigaben bei AVM im GUI stehen ... auch wenn das sicherlich nicht jeder braucht.

Beim Risiko beziehe ich mich ausschließlich auf die falsche Beschreibung in den Hilfe-Texten (siehe #1), die dem Benutzer eine Sicherheit für die freigegebenen Dienste suggeriert, die durch nichts unterlegt ist.

Wenn man den oben zitierten Angaben folgt, stellt die Firmware der FRITZ!Box selbst die Freigaben nur in gesicherter Form bereit und nur beim Zugriff über MyFRITZ! und das ist nun wirklich absolut falsch. Jede Freigabe ist auch auf herkömmlichem Weg (Adresse oder DynDNS-Name + Port) problemlos zugänglich und das freigegebene Gerät ist selbst für die Absicherung der Verbindung und eine Authentifizierung des zugreifenden Benutzers verantwortlich. Dabei spielt die IPv4-/IPv6-Thematik absolut keine Rolle.