IP Chaos bei der FritzBox! FB eingeschränkt erreichbar! Bitte um Hilfe!

[Mischmaster]

Hi,

ich hab eine neue Fritzbox 7490 von O2 bekommen. Neuste FW ist drauf. Mein PC ist an einem Router angeschlossen und die FB auch.

Ich erreiche die FB nicht über fritz.box und auch nicht über 192.168.178.1. Über die Notfall IP 169.254.1.1 schon!
Wenn ich jetzt die IP unter dem IPv4 Reiter auf 192.168.178.2 ändere, dann erreiche ich die FB wieder, aber ich habe kein Internet Zugang mehr.
Meine Netzwerkkarte bezieht die IP automatisch. Auch mit einer anderen Netzwerkkarte geht es nicht.

ipconfig sieht so aus. Und anpingen geht auch!

------
Ethernet-Adapter Ethernet Intel Karte:

Verbindungsspezifisches DNS-Suffix: fritz.box
Verbindungslokale IPv6-Adresse . : fe80::e920:d8d7:34e6:218d%8
IPv4-Adresse . . . . . . . . . . : 192.168.178.73
Subnetzmaske . . . . . . . . . . : 255.255.255.0
Standardgateway . . . . . . . . . : 192.168.178.1

Tunneladapter isatap.fritz.box:

Medienstatus. . . . . . . . . . . : Medium getrennt
Verbindungsspezifisches DNS-Suffix: fritz.box
------
Ping wird ausgeführt für 192.168.178.1 mit 32 Bytes Daten:
Antwort von 192.168.178.1: Bytes=32 Zeit<1ms TTL=64
Antwort von 192.168.178.1: Bytes=32 Zeit<1ms TTL=64
Antwort von 192.168.178.1: Bytes=32 Zeit<1ms TTL=64
Antwort von 192.168.178.1: Bytes=32 Zeit<1ms TTL=64

Ping-Statistik für 192.168.178.1:
Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0
(0% Verlust),
Ca. Zeitangaben in Millisek.:
Minimum = 0ms, Maximum = 0ms, Mittelwert = 0ms
------

Wie gesagt, sie ist zwar erreichbar, aber nur über die Notfall IP und ich wüsste gerne warum.

Danke!

 

[MuP]

... Mein PC ist an einem Router angeschlossen und die FB auch. ...

Ist nur 1 DHCP-Server aktiv ?

 

[PeterPawn]

Vielleicht gelingt es ja jetzt mal, auf die Frage nach einem event. auf dem PC installierten KIS 2016 - bei den hier beschriebenen Symptomen - ein klares "Nein" zu erhalten?

Ansonsten (also bei installiertem KIS) erneut der Tipp, nach Leidensgenossen und deren Lösungen für das Problem zu suchen ...

 

[koyaanisqatsi]

Moins

@PeterPawn: Wie kommst du denn jetzt auf KIS?

ich hab eine neue Fritzbox 7490 von O2 bekommen. Neuste FW ist drauf. Mein PC ist an einem Router angeschlossen und die FB auch.

...ich schaff es noch nichteinmal über diesen Absatz.

 

[PeterPawn]

Der Zugriff soll ja trotzdem (auch wenn die Box vielleicht nicht der Border-Router ist) vom PC auf die FRITZ!Box erfolgen. ICMP funktioniert der Beschreibung nach für beide IP-Adressen (die reguläre und die Notfall-IP) und auf der Notfall-IP ja wohl auch noch der restliche (meist TCP-)Zugriff. Auf der regulären IP geht aber (auf dem PC) nichts mehr beim (TCP-)Kontakt mit der Box.

Das sind in der Summe genau die Symptome, die sich aus einer gesperrten IP-Adresse der FRITZ!Box in KIS 2016 ergeben würden bzw. in anderen Fällen auch so beschrieben wurden ... irgendwann trifft es dann ggf. auch noch die Notfall-IP (wenn man die als Ausweichoption nutzt), wenn mal ein "access pattern" wieder so aussieht, daß KIS es für gefährlich hält.

Selbst eine "Selbstheilung" (ich tippe auf eine zeitlich befristete Sperre, wenn keine weiteren Zugriffe erfolgen) hat es ja wohl schon gegeben, wenn dann irgendwie die gesperrte Adresse nach einiger Zeit ohne weitere Versuche wieder freigegeben wurde.

Allerdings kenne ich KIS nicht gut genug (und will es auch nicht kennenlernen), um den konkret dafür verantwortlichen Mechanismus irgendwie genauer zu benennen. Die Symptome (und die Zutaten) habe ich mir aber gemerkt und m.E. trifft es überwiegend FRITZ!Boxen mit der neuen Firmware im "responsive design".

Da das garantiert alles durch den "on access"-Scanner von KIS muß, was da vom Gerät zum Browser geht, wird es vermutlich irgendein Muster geben (so eine JS-Analyse ist ja nicht ganz trivial), das für solche "false positives" und in der Folge für die Sperre der IP-Adresse der FRITZ!Box im Browser (über irgendwelche Browser-AddOns) oder sogar über die Ports der Protokolle bzw. über die Ziel-/Quelladressen in allen IP-Paketen (genauer wohl TCP und UDP) verantwortlich zeichnet.

Das ist auch kein Widerspruch dazu, daß da offenbar das Routing über die FRITZ!Box auch weiterhin funktioniert ... solche zu routenden Pakete haben eben weder als Absender noch als Ziel die Adresse der FRITZ!Box selbst. Auch parallel dazu weiterhin funktionierende andere Clients wären vollkommen natürlich, das ist ja sicherlich keine "netzweite Sperre" auf allen Clients mit KIS, sondern nur auf dem Rechner mit der falsch positiven Erkennung.

 

[andiling]

Kann es eigentlich sein, dass dieses Problem nur auftritt wenn man die Standardeinstellung der Box (IP 192.168.178.1) lässt?

 

[koyaanisqatsi]

Hm, trotzdem bin ich noch beim ersten Absatz.

Wenn die "die FB" die 7490 ist und an "einem Router" hängt, dann ist erstmal fraglich, ob die auch richtig konfiguriert wurde, oder ob bei der lustig die Power/DSL LED blinkt.

 

[andiling]

Aber selbst wenn die Box als DSL Router konfiguriert ist dürfte sie ja lokal zu erreichen sein. Das Suffix deutet auf einen FB DHCP Server hin also müsste über die Gateway IP eine FB erreichbar sein.

 

[koyaanisqatsi]

Wenn der PC am LAN der 7490 hängt.

Da aber wohl beide getrennt am Routerswitch hängen ist dessen LAN ja wohl für DHCP tabu, wenn DSL Router.

DHCP Chaos...
Da reicht es, glaub ich, auch schon wenn von der 7490 nicht Lan1 sondern eben ein anderer Lan2-4 im (DHCP)Router steckt, oder?

 

[PeterPawn]

Wenn die "die FB" die 7490 ist und an "einem Router" hängt, dann ist erstmal fraglich, ob die auch richtig konfiguriert wurde, oder ob bei der lustig die Power/DSL LED blinkt.

Wenn der Router jetzt nicht auch gerade eine FRITZ!Box ist (klingt für mich nicht so, aber irgendwann äußert sich ja vielleicht auch mal der TO wieder), dann sagt die IP-Konfiguration des Windows-PCs aber, daß die FRITZ!Box der DHCP-Server für diesen PC ist (Suchdomain, Standard-Netzwerk, Gateway).

Auch die Feststellung, daß bei einer Änderung der FRITZ!Box-Adresse (anzunehmenderweise über den GUI-Zugriff über die Notfall-IP) auf 192.168.178.2 die FRITZ!Box "normal" unter dieser Adresse zu erreichen wäre, aber keine Internetseiten (das Gateway des Windows-PCs ändert sich ja nicht unbedingt automatisch, kommt auf "media sensing" und das Verhalten der FRITZ!Box (Netzwerk-Switch off,on) beim Wechsel der IP-Adresse an) mehr funktionieren, paßt zu der Vermutung, daß da gezielt die Kommunikation mit der 192.168.178.1 unterbunden wird. Da das wohl kaum eine Einstellung des Nutzers ist (und kein bekanntes Verhalten der Windows-Firewall), liegt die Vermutung nahe, daß da eine Zusatzsoftware "Netzwerk-Nanny" spielt und das muß selbstverständlich nicht zwangsläufig KIS sein, aber das ist m.W. die Suite, von der es bisher Berichte in dieser Richtung gab.

Auch der beschriebene Wechsel der Netzwerkkarte würde natürlich bei einer Software-Sperre, die einen Reboot anderen Berichten zufolge ja auch überlebt, nichts bringen ... und wenn es nur der Wechsel auf eine zweite, parallel eingebaute Netzwerkkarte war (kann man dem Text nicht wirklich entnehmen), wäre das immer noch nicht so richtig überraschend, wenn die Firewall auf alle aktiven Netzwerk-Interfaces aufpassen möchte.

@andiling:
Ich habe gerade mal meine "records" von anderen diesbezüglichen Meldungen durchsucht, da war tatsächlich immer die Standard-IP in Benutzung. Bei den Installationen, wo ich die LAN-IPs wegen VPN-Verbindungen geändert habe, ist das noch nicht aufgetreten ... aber die Zusatzbedingung "Kaspersky Internet Security 2016" ist auch nur bei den wenigsten Kunden erfüllt, meist kann ich dem entgegen wirken.

Ich habe nichts gegen einen "on access"-Scanner, der Dateien aus dem Internet auf bestimmte bekannte Muster (z.B. den gefährlichen EICAR-Virus) hin überprüft und meinetwegen auch den Zugriff auf solche Downloads blockiert.

Eine komplette "security suite", die vorgibt alles Gefährliche zu erkennen und zu blockieren und damit auch beim Nutzer eine Art Schulterzucken ("Meine Security-Suite schützt mich doch und sagt mir das auch jeden Tag.") als Lerneffekt bewirkt, halte ich für vollkommen überflüssig.

Gegen eingehende Verbindungen reicht die Windows-Firewall und gegen ausgehende Verbindungen ist ohnehin nur wenig Kraut gewachsen, notfalls maskiert sich schädlicher Verkehr zum "Leaken" von Informationen als HTTP(S)-Request. Da hat nach meiner Erfahrung bisher noch jede Security-Suite früher oder später versagt, wenn es über normale Mustererkennung bekannter Malware hinausgehen sollte.

Solange mit "behavior analysis" und "false positives" solche Verzweiflung hervorgerufen werden kann, brauche ich das nicht (macht mir nur Arbeit mit Kunden). Warum lenkt da KIS den Browser eigentlich nicht auf eine eigene Verbindung um und zeigt damit eine große Warnung im Fenster an? Nach dem, was ich dazu bisher in Erfahrung bringen konnte (ein Packetdump fehlt mir noch), sendet sie stattdessen anstelle des Servers ein FIN-Paket und dann stellt der Browser fest "Die Verbindung wurde zurückgesetzt.".

Mag sogar sein, daß es nicht immer möglich oder sinnvoll ist, da HTML in den Datenstrom einzubetten ... aber ein HTTP-Error mit einen speziellen Status-Code sollte eigentlich immer drin sein, wenn es ein HTTP-Request ist ... und so lange wartet die Firewall offenbar auch, wenn da ein "zurückgesetzt" anstelle von "nicht erreichbar" kommt, denn der 3-Way-Handshake findet offenbar noch statt und der Browser wird seinen Request auch noch los. Ich würde fast darauf tippen, daß damit verhindert werden soll, daß ein verdächtiger virtueller Server unterhalb einer geteilten IP-Adresse alle anderen dort liegenden Präsenzen ebenfalls abschießen kann. Aber wie geschrieben ... alles nur "zweite Hand" und der Versuch, das Verhalten zu erkennen und zu verstehen, auch ohne Packetdumps.

Ich könnte mir sogar vorstellen, daß KIS da ein Opfer der neuen Firmware wird. Wenn bei diesem Mechanismus extra dafür gesorgt werden sollte, daß bei einer FRITZ!Box-typischen IP-Adresse von 192.168.178.1 bestimmte Zugriffsmuster "erwartet" und ignoriert werden, damit solche Falsch-Sperren nicht versehentlich auftreten, dann würde die neue Firmware ja gerade diesen Mustern nicht mehr entsprechen und vielleicht ist es genau dieser Umstand, der einen direkten Zusammenhang zwischen der IP-Adresse 192.168.178.1 und der neuen Firmware bei den bisherigen Meldungen in den Fokus rücken könnte ... aber es kann natürlich genauso gut auch noch eine andere "Servererkennung" hineinspielen (allerdings sendet die Box keinen "Server"-Header mehr mit im HTTP-Protokoll, jedoch ist eine "login.lua" und ein "sid"-Parameter auch schon ein ziemlich sicheres Zeichen für eine FRITZ!Box) und viele andere Faktoren - das ist alles nur Stochern im (Küsten-)Nebel.

EDIT:
Wenn da ein anderer DHCP-Server oder sogar eine zweite FRITZ!Box mit derselben IP-Adresse wäre, ist das vielleicht ein Chaos bei IP-Adressen ... es erklärt aber nicht, warum sich keine FRITZ!Box meldet unter der 192.168.178.1 beim HTTP-Request. Bei zwei identischen Hosts mit IP 192.168.178.1 mag es ja noch passieren, daß beim ARP der falsche Host gewinnt ... aber die Chance, gar keinen von beiden zu erreichen, ist in so einer "vermurksten Konfiguration" dann sogar nur halb so groß wie bei einer korrekten.

 

[koyaanisqatsi]

OK, hast mich überzeugt und schliesse mich deiner KIS-Theorie an

 

[Mischmaster]

Hi,

also erstmal danke für die ausführlichen Antworten. Einige Passagen übertreffen meine Kompetenz, aber ich habe glaube ich verstanden, um was es geht.

Also der Router ist keine zweite Fritzbox sondern ein TP-Link TL-SG 105. Insofern ist Router das falsche Wort. Es ist ein Switch. Sorry.
Soweit ich das beurteilen kann, ist nur der DHCP der FB aktiv. Ich wüsste nicht, wo ich noch einen betreiben könnte.
Und ja, die FB ist richtig konfiguriert. Da blinkt nix. Alles läuft ordnungsgemäß.
Die zweite Netzwekkarte, war die Onboard Ethernet meines Mainboards, die normalerweise deaktiviert ist.

Falls mit KIS die Kaspersky Internet Security 2016 gemeint ist, dann liegst du vollkommend richtig.
Diese habe ich erst vor wenigen Tagen installiert. Was mich selbst gewundert hat war, daß ich heute (nach dem Wechsel auf die neue FritzBox) auch auf meine alte Fritzbox nicht mehr über 192.168.179.1 zugreifen konnte, die ich nochmal kurz anschliessen musste, um von dort das Telefonbuch zu exportieren.

Ich hatte allerdings während meiner Versuche auf die Fritzbox zu zugreifen auch schon den Kasperky unter Verdacht und habe doch den gesamten Schutz deaktiviert. Jedoch scheint dies nicht auszureichen. Ich kann orgen mal den Kaspersky deinstallieren und schauen, was dann passiert. Wenn ich dann auf die FB komme, dann sollte der Übeltäter ja gefunden sein. Nur keine Lösung!

Vielen Dank soweit.... ich werde berichten!

 

[PeterPawn]

Nach De- und Neuinstallation ist die Liste der "bösen IP-Adressen" wohl wieder leer und der Zugriff klappt (bis zum nächsten Alarm) wohl auch bei aktiviertem KIS - so jedenfalls in den anderen berichteten Fällen.

 

[andiling]

Das erklärt zumindest warum das Problem bei meinen Installationen nicht auftritt, das ändern des Netzwerks ist so ziemlich das erste was ich anpasse.

Wie kann man dem am Besten auf den Grund gehen? Was triggert das Verhalten?

Welcher Kategorie ist denn das Netzwerk in KIS unter Einstellungen - Firewall - Netzwerk zugeordnet? Hilft es das Netzwerk dort zu löschen und neu zu starten?

Wurde ein recover durchgeführt?

 

[Mischmaster]

So... KIS 2016 deinstalliert und siehe da. Die FB ist wieder normal erreichbar!!!
Wahnsinn!
Und nun? Kaspersky für immer in die Tonne treten? Oder kann man den so konfigurieren, dass er nicht die FB blockiert?

 

[Mischmaster]

So KIS 2016 neu installiert. Jetzt ist die FB auch wieder normal erreichbar. Mal sehen wie lange. Weiß jemand, was die Sperre der IP in KIS auslöst? Warum sollte eine interne IP überhaupt gesperrt werden?

 

[Tieflieger]

irgendwo muss es da eine Einstellung Netzwerk geben. Die nur auf Heimneitz warscheinlich die Internen IP-s zulässt. Gesehen habe ich dies auch schon bei anderen Vieren --- ähmmmm--- Firewalls.

 

[andiling]

Das wird schwierig nachzuvollziehen sein so lange ein Betroffener nicht bei der Fehlersuche hilft.

Abhilfe dürfte aber schaffen indem man von den Standard-Netzwerkeinstellungen in der Fritzbox wegkommt. Das wäre sowieso unabhängig von dringend angeraten.