Portfreigabe für mehrere Rechner?

[knopper22]

hallo,
ok weiß nicht ob es jetzt schonmal gefragt wurde, aber hab ein kleines Problem mit der Portfreigabe mit meiner 7141.

Hab jetzt für meinen Laptop der per Wlan verbunden ist GRE aktiviert, also als Portfreigabe.
So nun möchte ich das aber auch für meinen anderen Rechner machen, nur zeigt er mir da an, "Eintrag schon vorhanden".
Wie kann ich das nun bewerkstelligen? Muss doch irgendwie möglich sein?

Vielen Dank schonmal

 

[chked]

Du kannst denselben Port nicht zweimal freigeben. Wie soll die arme Box dann entscheiden können, wohin die Pakete gehen ?

Du musst verschiedene "öffentliche" Ports verwenden, die an beliebige interne Adressen/Ports verteilt werden können.

Beispiel: Du hast zwei PC mit den Adressen 192.168.10.2 und 192.168.10.3. Auf beiden läuft ein Webserver auf Port 80. Du richtest nun zwei Freigaben ein:

- Port 80 -> 192.168.10.2 an Port 80
- Port 81 -> 192.168.10.3 an Port 80

Von "aussen" ist nun der PC x.2 über knopper22.dyndns.org:80 und er PC x.3 über knopper22.dyndns.org:81 erreichbar.

 

[KuniGunther]

Wenn ich das richtig verstehe, geht es darum GRE Pakete an verschiedene Rechner weiterleiten. GRE kennt keine Ports und man muss sich schon entscheiden, welcher interne Rechner die Pakete an die öffentliche IP verarbeiten soll.

 

[knopper22]

jo das mein ich ja! Ich wollte es für Relakks freischalten, und das will ich nunmal an beiden Rechnern nutzen!
Das muss doch irgendwie gehn. So frei nach dem Motto von Loriot "Aber es muss gehn, bei anderen gehts doch auch"!

 

[RalfFriedl]

Bei wem geht es denn?

 

[KuniGunther]

Das heißt aber doch, dass Du Deine PCs als PPTP Clients betreiben willst? Eigentlich sollte eine Portweiterleitung für GRE (und Port 1723) aber nur notwending sein, wenn Du einen PPTP-Server hinter der FritzBox betreiben willst.

Trotzdem geht es möglicherweise nur von einem Rechner gleichzeitig (noch nicht probiert), da die FritzBox keine Unterscheidungsmöglichkeit für die eingehenden Pakete hat (es sei denn sie untersucht die Pakete genauer). Mit einer Portweiterleitung beschränkst Dich aber wohl sicher auf einen Rechner.

 

[knopper22]

ne muss man einstellen, sonst zeigt er mir immer Fehler 619 an! Ich weiß nicht ob das nun direkt an Relakks liegt, oder an der FB oder aber auch an Windows, was ich nicht glaube.

Hat denn keiner hier zufällig auch Relakks, und dasselbe Problem? Bei SwissVPN gehts komischerweise.

 

[frank_m24]

Hallo,

für einen PPTP Client hinter der Box muss man definitiv keine Portweiterleitungen einrichten. Sollte da irgendwas schief gehen, dann macht der VPN Client oder der Server Ärger. Selbst der integrierte Windows Client funktioniert problemlos.
Portweiterleitungen braucht man nur für Server hinter der Box.

Zwei PPTP Verbindungen von Clients eines NAT-Routers zum gleichen VPN Server funktionieren nicht, wenn sich der VPN Server Hersteller exakt an die Spezifikation hält. Die erlaubt nämlich nur einen Control Channel pro öffentlicher IP-Adresse. Bei Cisco VPN Servern z.B. geht es nicht. Andere machen es aber trotzdem.

 

[knopper22]

Ja wenn es doch aber so ist! Ich kann euch nur sagen bei SwissVPN bspw. geht es problemlos ohne die Weiterleitung.

Aber zu Relakks konnte ich mich ohne diese Einstellung nie verbinden. Es kam dann immer der Fehler 619. Ich habe ja auch keine Ports oder so angeben, einfach nur GRE! Danach ging es dann auf Anhieb.

 

[Dr.Verdi]

Mit meiner alten Box, einem Vigor 2500WE ging so was tadellos.

 

[frank_m24]

Hallo,

@Dr.Verdi: Richtig, mit einem Vigor2500We hab ich es auch hinbekommen. Unser Cisco 3000 VPN Concentrator in der Firma macht es nicht.

 

[MaxMuster]

Hi knopper22,

Ich zitier dich mal: Ja wenn es aber doch so ist ;-)!

Die Portweiterleitung kannst du rein von der Logik her immer nur auf ein Ziel machen. Anders geht es nicht, kann es auch nicht gehen (es ei denn, du könntest die Firewall von AVM dazu bewegen, bei der Portweiterleitung dieses von der Absende-IP abhängig zu machen). Diese Portweiterleitungen benötigst du eben normalerweise bei einem "Server", d.h. wenn die Verbindung "von außen" nach "innen" in dein Netz hinein aufgebaut werden. Sollte das für dieses "Relakks" nötig sein, dann ist es vermutlich nicht möglich.

Zumindest dein "Titelthema" ist damit vermutlich "gestorben".

Das heißt ja nicht, dass nicht grundsätzlich mehrere GRE-Verbindungen von intern aufgebaut werden können (wie du selbst ja sagst).

Jörg

 

[Dr.Verdi]

Wenn ich den Port aber garnicht weiterleiten will, sondern eigentlich nur freigeben, dann funktioniert die Sache. Die Vogor Box konnte das, bei AVM geht das leider nicht, es fehlt einfach die Einstellmöglichkeit dazu.

 

[knopper22]

Es geht ja auch nicht um eine Portweiterleitung von außen, sondern von einer von innen!
Das heißt die Firewall der FB blockt irgendwie die rausgehenden VPN-Verbindung, und das möchte ich eben freigeben.
Weil die Firewall der FB geht ja in beide Richtungen, auch für ausgehende Verbindungen.

 

[gandalf94305]

Das ist doch Nonsense. Was bedeutet denn "freigeben"? Wohin sollen Pakete denn geschickt werden, wenn sie auf einem "freigegebenen" Port eintreffen? Das muss entweder ein Rechner in einer DMZ oder eine eindeutige IP-Adresse im LAN sein.

Wenn die Verbindung von innen her etabliert wird und der Router per SPI (Stateful Packet Inspection) in der Lage ist, verschiedene Datenströme mit verschiedenen Zielen zu unterscheiden, dann klappt es. Das hat jedoch mit Portweiterleitungen oder -freigaben überhaupt nichts zu tun. Mein Netgear ermöglicht dies für VPN-Verbindungen verschiedener interner Systeme ebenfalls. Welche Protokolle mit SPI unterstützt werden, hängt vom Router ab.

--gandalf.

 

[MaxMuster]

Nee, da geht was durcheinander, "Von innen" brauchst (oder sogar kannst, ohne direkte Eingriffe in die Configdateien der Firewall) du GRE nicht "freischalten"...

Und eine "Portweiterleitung" ist eben von außen nach innen.

Jörg

 

[frank_m24]

Hallo,

der Punkt ist, dass es sich im eigentlichen Sinne nicht um eine Portweiterleitung, sondern um eine Protokollweiterleitung handelt. Aber auch hier muss man sich für einen Ziel-PC entscheiden. Das musste man auch im Vigor. Es geht auch theoretisch nicht anders.
Aber wie schon gesagt: Das ganze betrifft ausschließlich VPN-Server hinter einem NAT Router. Denn nur hier können einfach so GRE Pakete eintreffen, die man sonst nicht zuordnen kann, und nur die müssen auf einen spezifischen PC weitergeleitet werden.
Gibt es eine VPN Client Verbindung, dann hat die Box eine Eintrag in der NAT-Tabelle für die Verbindung und kann die Antwortpakete der Verbindung eindeutig zuordnen. Folglich braucht es keine explizite Weiterleitungsregel dafür.

Rausgehende Verbindungen blockt die Box übrigens in keiner Weise. Das wird ja so oft bemängelt: Eine Firewall im eigentlichen Sinne hat die Box nicht. Die Filter-Funktionen der Box beschränken sich auf die Eigenschaft als NAT-Router, betreffen also nur reinkommende Pakete. Ausgehend geht alles uneingeschränkt raus.

 

[KuniGunther]

Wenn man für den Client Betrieb eine GRE Weiterleitung braucht, dann heißt das im Prinzip, dass die FBox das eingehende GRE Paket keinem Client zuordnen kann ...

Ich habe keine Ahnung, wie die FBox GRE Header behandelt, aber da fast alle Felder im Header optional sind und für PPTP einige Felder abhängig von der Implementierung sind (z.B. das Feld, das die CallID enthalten kann anhand der die Session identifiziert werden kann - und so z.B. auch mehrere Sessions theoretisch parallel möglich sind), ist es eigentlich nicht verwunderlich, dass das serverabhängig ist. Ich würde es so interpretieren, dass bei Relakks der FBox Informationen fehlen um den Client zuzuordnen und es damit eben nur mit GRE Forwarding geht.

 

[knopper22]

Jo also hab es jetzt nichmal probiert. Wenn ich GRE in FB-Portfreigabe ausschalte, dann zeigt er mir sofort wieder Fehler 619 an, wenn ich zu Relakks verbinden will.
Mit der Freigabe geht es ohne Probleme. Tja dann kann ich es wohl nur an einem Rechner nutzen, oder muss es jedesmal umstellen.

Kann man dieses umstellen, nicht auch irgendwie schneller machen, also das ich nicht jedesmal auf das Webinterface der FB muss??

 

[frank_m24]

Hallo,

vielleicht per UPNP? Sowas geht ja auch Scriptbasiert.