Fernwartung mit abweichendem https-Port

[thc]

Hallo zusammen,

ich habe mal probiert, einen anderen Port zu nehmen.
Ergebnis nach mehreren Stunden Rumprobieren: Es funktioniert nicht.
Erste Frage: Wer hat das schon einmal nachweislich erfolgreich an den Start bekommen - also mit Zugriff aus dem WAN?

Im Einzelnen:
1. Versuch: Einrichtung auf Port 443
Ansicht von Innen:

# netstat -lnt tcp | grep 443
tcp        0      0 0.0.0.0:443             0.0.0.0:*               LISTEN

Ansicht aus dem LAN:

# nmap -p 443 fbf-red

Starting Nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2008-07-25 11:05 CEST
Interesting ports on fbf-red.thiemann.local (192.168.254.1):
PORT    STATE SERVICE
443/tcp open  https

Nmap finished: 1 IP address (1 host up) scanned in 0.159 seconds

Ansicht aus dem WAN:

# nmap -p 443 *.dyndns.org

Starting nmap 3.81 ( http://www.insecure.org/nmap/ ) at 2008-07-25 11:06 CEST
Interesting ports on wprt-4db62dc2.pool.einsundeins.de (77.182.45.194):
PORT    STATE SERVICE
443/tcp open  https

Nmap finished: 1 IP address (1 host up) scanned in 0.643 seconds

2. Versuch: Einrichtung auf Port 445
Ansicht von Innen:

# netstat -lnt tcp | grep 445
tcp        0      0 0.0.0.0:445             0.0.0.0:*               LISTEN

Ansicht aus dem LAN:

# nmap -p 445 fbf-red

Starting Nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2008-07-25 11:10 CEST
Interesting ports on fbf-red.thiemann.local (192.168.254.1):
PORT    STATE SERVICE
445/tcp open  microsoft-ds

Nmap finished: 1 IP address (1 host up) scanned in 0.168 seconds

Ansicht aus dem WAN:

# nmap -p 445 *.dyndns.org

Starting nmap 3.81 ( http://www.insecure.org/nmap/ ) at 2008-07-25 11:10 CEST
Interesting ports on wprt-4db62dc2.pool.einsundeins.de (77.182.45.194):
PORT    STATE    SERVICE
445/tcp filtered microsoft-ds

Nmap finished: 1 IP address (1 host up) scanned in 1.533 seconds

Oops, da stimmt doch was nicht - wieso ist der Port nicht auf "open"?

Jetzt noch kurz der Nachweis, dass das Paket auch tatsächlich auf die Reise gegangen ist:

Jul 25 11:10:44 ipcop kernel: GREEN-ACCEPT IN=eth0 OUT=eth1 SRC=192.168.110.3 DST=77.182.45.194 LEN=44 TOS=0x00 PREC=0x00 TTL=57 ID=2833 PROTO=TCP SPT=37515 DPT=445 WINDOW=3072 RES=0x00 SYN URGP=0

These: Da gibt es im Regelwerk der Firewall eine Regel, die den eingehenden Verkehr auf "meinem" Port blockt - und die greift vor der Regel mit der Ausnahme für die https-Fernwartung.
Zweite Frage: Wie kann ich mir das Firewall-Regelwerk ansehen?

Und falls hier jemand von AVM mitliest...
Dritte Frage: Warum die merkwürdige Beschränkung auf die Ports 4xx?
Wenn ich schon den Port ändere, dann gerne auf einen Port oberhalb der Well-Known-Ports und noch viel lieber auf eine hohe fünfstellige Nummer.

Gruß
Claus

 

[andilao]

... bei mir ging ein anderer Port (477) sofort, über LAN und über Internet.

Aber 445 ist nur eine sehr unglückliche Wahl - microsoft-ds auf Port 445! - unverständlich, wieso Deine Firmware das nicht blockt (das Einrichten)!
Bei mir: FEHLER: Für den HTTPS Fernzugang sind nur Ports im Bereich von 400-499 (ausser Port 445) möglich.

 

[thc]

Stimmt,

sieht so aus, als wär das ein Griff ins Klo gewesen.
Der Port 445 liess sich ganz ohne Fehlermeldung einrichten - und ich benutze immerhin keine Laborversion.
Den habe ich deshalb genommen, weil meine IPCOP's den auch für das https-Webinterface benutzen.
Ich wechsel dann mal auf einen anderen Port.
Aber vielleicht lässt AVM ja auch irgendwann noch mal die hohen Ports zu.

Gruß
Claus