Portfreigaben

[Flattermann]

Hallo,

auch wenn die Frage schon öfter da war, habe ich dieses Problem doch. Eine Weiterleitung eingetragen in der ar7.cfg unter den Forwardrules

<snip>
"udp 0.0.0.0:22 0.0.0.0:22 0 # DNS",
"udp 0.0.0.0:1194 0.0.0.0:1194 0 # OPenVPN",
"tcp 0.0.0.0:22 0.0.0.0:22 0 # DNS";
</snip>

führt bei mir lediglich zu der bekannten Fehlermeldung des dsld

<snip>
dsld[561]: internet: 0.0.0.0 not an intern host, forwardrule "udp 0.0.0.0:1194 0.0.0.0:1194 0 # OPenVPN" ignored
</snip>

Leider ist das bei mir anscheinend ein endgültiges Argument, da ich den Port von aussen definitiv nicht erreichen kann. ich habe eine FRITZ!Box Fon WLAN 7170 mit der 29.04.57-freetz-1.0 Firmware.

Kennt jemand einen Fix für dieses Problem?

Gruß,
Flattermann

 

[olistudent]

Probier mal ohne " 0 # Kommentar".

"udp 0.0.0.0:22 0.0.0.0:22",
"udp 0.0.0.0:1194 0.0.0.0:1194",
"tcp 0.0.0.0:22 0.0.0.0:22";

MfG Oliver

 

[Flattermann]

Genial, es geht. Was bedeutet die 0 am Ende???

 

[ao]

Das würde ich auch gerne wissen.
Hat sich denn an der Syntax von ar7.cfg etwas geändert, dass es nur noch ohne die Null am Ende funktioniert?
Falls ja, wäre das nicht irgendwo (wo?) erwähnenswert?
Der Kommentar am Ende der Zeilen sollte ja wohl erlaubt sein.

 

[MaxMuster]

... das wird man nur durch Ausprobieren herausbekommen, da sowohl ctlmgr (der parst die Einträge und nimmt z.B. Änderungen aus der WebGUI entgegen) als auch dsld (für die Umsetzung der Regeln) als closed source nicht weiter analysierbar sind. Und da das dann auch noch versionsabhängig ist, sinken die Möglichkeiten noch mehr. Ich habe z.B. bei meiner Version (.49-er ) mal damit gespielt, auch eine "1" an der Stelle vor dem Kommentar hat "funktioniert", wurde aber auch nicht (wie ich gehofft hatte ;-)) in der GUI gezeigt..

Jörg

 

[ao]

Tja, meine Anfrage bei AVM wurde dahingehend "beantwortet", dass die Dateien der internen Software nicht über von AVM unterstützte
Schritte und Maßnahmen zu erreichen bzw. auszulesen seien, dass man bitte beachten solle, dass Veränderungen an der Anlagensoftware den Verlust der Herstellergarantie nach sich ziehen können, dass man gegebenfalls für eine Information über die Lizenzverbarungen in die readme zum Image der Anlagensoftware schauen solle und dass Auskünfte über Parameter der Programmierung in diesem Sinne ausserhalb der Supportgrenzen seien. Es war einen Versuch wert, jetzt bleibt nur noch selbst Ausprobieren...

Sehe ich es richtig, dass ich dsld leider nicht beim FW-Bau "removen" kann, auch wenn ich meine FB über LAN1 hinter einem Kabelmodem (also kein DSL) betreibe, weil dsld auch für die Umsetzung der forward rules benötigt wird?

 

[MaxMuster]

Eine kurze Antwort: Ja, das siehst du richtig, dsld wird benötigt, leider

Jörg

 

[olistudent]

Naja. Es könnte ja mal jemand versuchen das Routing ohne dsld hinzubekommen. Zumindest wenn die FritzBox nicht die DSL-Verbindung aufbaut.
Was braucht man dazu? cpmaccfg, bridge_utils, iptables?

MfG Oliver

 

[MaxMuster]

Naja, Routing sollte ohne dsld klappen.
Für den Aufbau einer Verbindung über Modem bräuchte man dann pppoe und für die NAT iptables. Je nach Box dann vermutlich noch was fürs Ethernet und evtl bridging, da ist deine Liste schon ganz gut ;-)

Jörg

 

[ao]

Heisst das im Umkehrschluss, dass ich dsld doch nicht benötige, da ich ja keine Verbindung mit dem Modem-Teil der Fritzbox 7170 aufbaue, sondern diese nur als Router verwende? Die Verbindung wird in meinem Fall ja vom Kabelmodem aufgebaut und dann einfach an die Fritzbox (LAN1) durchgereicht. Sorry, dass ich gerade halb OT bin...

 

[MaxMuster]

Wenn die Box die Verbindung nicht aufbaut (egal ob über DSL oder über LAN), dann solltest du ohne dsld auskommen, denn NAT, Firewall usw. macht dann der "davor" hängende Router. Aber dann bräuchtest du auch keine Portweiterleitung auf der Box?!?

Letzlich ist entscheidend, ob diese Dinge benötigt werden, ob also die Box ein richtiges Interface "zum Internet" hat (das ist z.B. immer dann der Fall, wenn dort Zugangsdaten eingetragen werden)


Jörg

 

[ao]

Zugangsdaten sind in meiner FB nicht eingetragen, d.h. sie baut definitiv keine Verbindungen auf.
Aber trotzdem benötige ich doch auf der FB Portweiterleitungen, denn sonst könnte ich ja z.B. gar keine remote ssh session o.ä. machen.
Oder kann ich das auch gar nicht hinter dem Kabelmodem? Ich habe es noch nicht ausprobiert...
Allerdings könnte ja dann niemand mit einer Fritte hinter einem Kabelmodem Portweiterleitungen verwenden. Vielleicht sind Kabelmodems bzgl. Portfreigaben/-weiterleitungen ja ein Spezialfall?

 

[MaxMuster]

Die Frage ist, ob es ein echtes "Modem" ist, dann verbindet es nur deine Provider-Physik mit dem LAN deiner Box, die eigentliche IP-Verbindung baut deine Box auf (dann steht da Internetverbindung selbst aufbauen (NAT-Router mit PPPoE oder IP)) oder du nutzt tatsächlich eine von einem anderen Gerät aufgebaute Verbindung (als Client, "... Verbindung mitbenutzen").

Jörg

 

[ao]

Folgendes ist auf meiner FB eingestellt:

Internetzugang über LAN 1
Internetverbindung selbst aufbauen (NAT-Router mit PPPoE oder IP)
Zugangsdaten werden nicht benötigt (IP)
IP-Adresse automatisch über DHCP beziehen
=>
FRITZ!Box benutzt eine direkte IP-Verbindung zu einem Internetanbieter. IP-Adresse: xxx.xxx.xxx.xxx

 

[MaxMuster]

Dann brauchst du den dsld. Die Box hat zwar keine Zugangsdaten, sondern die sind "quasi im Modem" drin und jeder der hinter dem Modem DHCP macht, ist mit dem Internet verbunden.
Aber genau das ist der Punkt: Das Interface zum Modem ist das (einzige) Interface zum Internet. Deine Box muss also z.B alles was "raus ins Netz" will, auf diese Adresse übersetzen (NAT'ten) und das LAN Interface ist dann auch das, was direkt aus dem Internet erreicht wird, deshalb müssen da auch die Forwardings gemacht werden...

Jörg

 

[ao]

Danke, Jörg, super Erklärung!

 

[McNetic]

Wobei es theoretisch möglich sein sollte, den Modus einzustellen, bei dem die Box die Verbindung 'mitbenutzt', den dsld zu entfernen und das NATting und Portforwarding mittels IPTables zu machen (wenn die Probleme damit mal identifiziert und behoben sind).

 

[ao]

NATting und Portforwarding mittels IPTables zu machen (wenn die Probleme damit mal identifiziert und behoben sind).

A propos: Ist diesbzgl. Land in Sicht?

 

[Silent-Tears]

Lesen, ausprobieren. Es gibt hier im Forum einige ansätze dazu. Such einfach mal.

 

[MaxMuster]

Kein "Dauertest", aber es geht zumindest prinzipiell:
Eumex_15.04.49 ohne dsld, mit iptables (geht bei mir nur mit "replace kernel") hinter einen anderen Router, und auch nur eine NAT-Regel drin (iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE) um das zu testen.

Im WebIF den Haken bei "Alle Computer in einem Netzwerk" entfernt und für USB einen anderen IP-Kreis vergeben.

Damit schreibe ich diesen Beitrag über den USB-Anschluss ;-) (die Box hat halt nur die zwei Interfaces)

Jörg