Portweiterleitung funktioniert nicht fritzbox 7490

[Stefan_1979ZR]

Hallo Forum,

folgendes Problem, ich hab an meiner fritzbox ein raspberry pi per LAN hängen, mit der internen Adresse 192.168.178.30. Ich versuche vergebliche über meine DynDNS-Adresse auf das Teil "von außen" zuzugreifen, es geht einfach nicht, folgendes habe ich gemacht:

Portfreigabe des Raspberry:

Aktiv Bezeichnung Protokoll Port an Computer an Port
x HTTP-Server TCP 80 xbmc-0c75 80
x Raspberry TCP 8122 xbmc-0c75 22

Versuche ich nun via SSH von außen zuzugreifen, also mit "[email protected]:8122" bekomme ich keine Verbindung. Wenn ich jedoch ein VPN aufgebaut habe, z.b. vom smartphone aus, komme ich ohne Probleme auf die Kiste, dann natürlich mit der internen IP.

Woran liegt das ?

Danke für Infos.

Gruß
Stefan

 

[PeterPawn]

FRITZ!OS-Version?

IPv4 oder IPv6? Bei Magenta Zuhause M würde ich fast auf echten DualStack-Betrieb tippen ...

DynDNS-Adresse überprüft? (z.B. durch Zugriff auf das FRITZ!Box-GUI über das Internet nach entsprechenden Einstellungen im GUI) ... event. ist es am Ende nur ein simples Problem der Aktualisierung der DynDNS-Adresse?

Eigentlich sollte auch die Freigabe von Port 80 für ein internes Gerät kein Problem sein ... aber in der neuesten Labor-Version könnte da etwas schief gehen beim Port 80. Das erklärt natürlich den fehlschlagenden SSH-Zugriff auf den RasPi noch nicht (wenn der tatsächlich ankommt, was man ja auch mit einem Packetdump wunderbar überprüfen könnte) - daher meine Vermutung in Richtung falscher DynDNS-Adressauflösung.

 

[Stefan_1979ZR]

FRITZ!OS-Version?

FRITZ!OS 06.24 also die Neueste ...

IPv4 oder IPv6? Bei Magenta Zuhause M würde ich fast auf echten DualStack-Betrieb tippen ...

IPv4. Ja, ich habe den Magenta Zuhause M. Was meinst du mit Dualstack-Betrieb ?

DynDNS-Adresse überprüft? (z.B. durch Zugriff auf das FRITZ!Box-GUI über das Internet nach entsprechenden Einstellungen im GUI) ... event. ist es am Ende nur ein simples Problem der Aktualisierung der DynDNS-Adresse?

Dann müsste es aber mit der IP-Adresse gehen, das geht aber auch nicht.

Eigentlich sollte auch die Freigabe von Port 80 für ein internes Gerät kein Problem sein ... aber in der neuesten Labor-Version könnte da etwas schief gehen beim Port 80. Das erklärt natürlich den fehlschlagenden SSH-Zugriff auf den RasPi noch nicht (wenn der tatsächlich ankommt, was man ja auch mit einem Packetdump wunderbar überprüfen könnte) - daher meine Vermutung in Richtung falscher DynDNS-Adressauflösung.

Wie kann ich das prüfen, ob da ein Fehler vorliegt ?

 

[sf3978]

Versuche ich nun via SSH von außen zuzugreifen, also mit "[email protected]:8122" bekomme ich keine Verbindung.

Versuch mal auch mit:

ssh -p 8122 [email protected]

 

[Stefan_1979ZR]

Versuch mal auch mit:

ssh -p 8122 [email protected]

von PuTTy aus ?

 

[sf3978]

von PuTTy aus ?

Statt ssh kannst Du auch putty als ssh-Client benutzen. Versuch mal auf deinem Pi auch mit:

sudo tcpdump -c 30 -vvveni any port 22
host -t A myip.opendns.com 208.67.222.222
host -t A xxxxxx.selfhost.eu

EDIT:

Wie ist auf deinem Pi, die Ausgabe von:

sudo iptables -nvx -L

?

EDIT 2:

Poste mal von deinem Pi, auch die Ausgaben von:

route -n
cat /etc/network/interfaces
sudo cat /var/log/syslog | grep -i dhclient

 

[Stefan_1979ZR]

ich baue die Verbindung von keinem Linux-System auf, sondern von der App "ConnectBot" (Android-smartphone), oder eben über PuTTy. Wie soll ich diese Befehle über PuTTy absetzen ?

 

[sf3978]

Wie soll ich diese Befehle über PuTTy absetzen ?

Wie hast Du deinen Pi konfiguriert? Hast Du evtl. z. Zt. (bzw. nur temporär) eine Tastatur und einen Bildschirm an deinem Pi?

 

[Stefan_1979ZR]

Also, ich habe derzeit nur das raspberry ohne Tastatur etc. am Netz hängen, das ist aber auch egal. Ich möchte "von außen" auch nur auf das raspberry zugreifen, was auch funktioniert, wenn ich das ganze über eine bestehende VPN-Verbindung mache. Ich möchte nun auch vom Internet auf das pi zugreifen, eben über die DynDNS-Adresse, die ich ja über die Portfreigabe in der fritzbox habe freischalten lassen.

 

[PeterPawn]

Stimmt denn die interne IP-Adresse, die sich hinter dem Namen "xbmc-0c75" verbirgt?

Auch da gibt es hin und wieder Probleme, wenn ein Gerät mit einem neuen System (und damit auch neuer DHCP-Client-ID) eine neue IP-Adresse per DHCP bezieht.

Vielleicht überprüfst Du ja mal, wohin die Freigabe wirklich geht (findet sich m.W. unter "Sicherheit") bzw. ob sich hinter der freigegebenen IPv4-Adresse im LAN auch tatsächlich aktuell der RasPi (ist da tatsächlich Kodi drauf?) wiederfindet ... ansonsten ist das Timeout logischerweise auch vorprogrammiert.

Und beim Zugriff über VPN greifst Du ja wohl direkt auf die LAN-Adresse zu ...

 

[sf3978]

Also, ich habe .... Ich möchte ...

Was Du hast und was Du möchtest haben wir schon verstanden. ;-) Du hast evtl. Probleme mit deinem ssh-Client und/oder mit der Portweiterleitung in deiner FritzBox und/oder mit dem dyndns. Wie sind auf einem Client-PC im (W)LAN deiner FritzBox, die Ausgaben von:

nslookup xbmc-0c75 192.168.178.1
nslookup myip.opendns.com 208.67.222.222
nslookup xxxxxx.selfhost.eu

?

 

[Stefan_1979ZR]

Stimmt denn die interne IP-Adresse, die sich hinter dem Namen "xbmc-0c75" verbirgt?

wie meinst du das mit stimmt die Adresse ? Das Gerät "xbmc-0c75" hat die IP-Adresse 192.168.178.30, mit der Adresse gehe ich ja nur aus dem Heimnetz bzw. wenn ich über die VPN-Verbindung die connection aufbaue, drauf.

Auch da gibt es hin und wieder Probleme, wenn ein Gerät mit einem neuen System (und damit auch neuer DHCP-Client-ID) eine neue IP-Adresse per DHCP bezieht.

Vielleicht überprüfst Du ja mal, wohin die Freigabe wirklich geht (findet sich m.W. unter "Sicherheit") bzw. ob sich hinter der freigegebenen IPv4-Adresse im LAN auch tatsächlich aktuell der RasPi (ist da tatsächlich Kodi drauf?) wiederfindet ... ansonsten ist das Timeout logischerweise auch vorprogrammiert.

Und beim Zugriff über VPN greifst Du ja wohl direkt auf die LAN-Adresse zu ...

wie soll ich das überprüfen wo die Freigabe hingeht ? Bei der Portfreigabe wähle ich doch das Gerät aus, und dem ist der Port 22 (für SSH) zugewiesen, also muss es doch "eigentlich" gehen..

 

[sf3978]

wie soll ich das überprüfen wo die Freigabe hingeht ?

Z. B. mit:

nslookup xbmc-0c75 192.168.178.1

, auf einem PC im (W)LAN deiner FritzBox.

 

[Stefan_1979ZR]

Was Du hast und was Du möchtest haben wir schon verstanden. ;-) Du hast evtl. Probleme mit deinem ssh-Client und/oder mit der Portweiterleitung in deiner FritzBox und/oder mit dem dyndns. Wie sind auf einem Client-PC im (W)LAN deiner FritzBox, die Ausgaben von:

nslookup xbmc-0c75 192.168.178.1
nslookup myip.opendns.com 208.67.222.222
nslookup xxxxxx.selfhost.eu

?

siehe hier:Anhang anzeigen 81140

 

[sf3978]

siehe hier:Anhang anzeigen 81140

Deinen Anhang kann ich nicht öffnen.

 

[Stefan_1979ZR]

Deinen Anhang kann ich nicht öffnen.

und nochmal (is ne jpg-Datei):

 

[PeterPawn]

nslookup xbmc-0c75 192.168.178.1

@Stefan_1979ZR:
Der Hinweis aus #10 auf die Seite "Diagnose/Sicherheit" kann auch helfen ... der im Moment von AVM praktizierte Mix aus Geräte-(DNS-)Namen und IP-Adressen bei den Freigaben macht manchmal Fehler.

Du wirst doch hoffentlich wissen, welche IP-Adresse der RasPi im Moment hat ... dann schmeiße einfach die existierenden Freigaben in der FRITZ!Box noch einmal weg und richte für's erste nur eine einfache Freigabe des externen Ports 8122 auf die IP-Adresse (nicht den Namen !) des RasPi und den internen Port 22 ein. Anschließend gehst Du mit einem Telnet(!)-Client auf den RasPi und startest dort das von sf3978 vorgeschlagene "tcpdump"-Kommando für SSH-Verkehr. Wenn Du dann von extern eine Verbindung zum DynDNS-Namen der FRITZ!Box auf Port 8122 aufnimmst, muß in der Telnet-Session irgendwelcher Netzwerkverkehr zu sehen sein. Wenn da nichts ist, stimmt es in der FRITZ!Box nicht. Wenn da etwas ankommt und der RasPi trotzdem nicht antwortet, liegt es wohl an einer Firewall auf dem RasPi (die nötigen "iptables"-Kommandos hat sf3978 auch schon angeführt) ... das systematische Testen (und das meint eben das Überprüfen jedes einzelnen Schrittes und nicht nur die Feststellung "geht nicht") kann Dir nun mal niemand abnehmen. Wir können nur anhand der dabei auftretenden Ergebnisse auf mögliche Ursachen schließen ..

 

[sf3978]

und nochmal ...

OK, das passt. Nimm eine Linux-Live-CD/DVD (z. B. Knoppix) und mach von extern (obwohl bei der FB auch von intern möglich, weil diese hairpin-nat kann) einen Portscan:

sudo nmap -sS xxxxxx.selfhost.eu -p8122

bzw. mit der Linux-Live-CD/DVD kannst Du auch ssh als ssh-Client (statt putty) benutzen.

 

[PeterPawn]

Ich habe in irgendeinem Beitrag vor mehr als 6 Monaten schon einmal gezeigt, daß sich bei mir in einer 7490 zwei Geräte mit identischen DNS-Namen und unterschiedlichen IP-Adressen wiedergefunden hatten. Dabei lief dann auch bei mir eine per GUI für diesen Namen eingerichtete Freigabe ins Leere, weil intern einfach die nicht aktive Adresse für den Namen verwurstet wurde. Die Anzeige im GUI stimmte natürlich (anscheinend) trotzdem ...

 

[sf3978]

Ich habe in irgendeinem Beitrag vor mehr als 6 Monaten schon einmal gezeigt, daß sich bei mir in einer 7490 zwei Geräte mit identischen DNS-Namen und unterschiedlichen IP-Adressen wiedergefunden hatten. ...

Ja, die IP-Adresse ist besser als der DNS-Name, bei der Portfreigabe. Man kann das aber auch testen, ob es z. Zt. Probleme im (W)LAN der FB gibt, z. B. mit:

sudo nmap -sP -R --dns-servers 192.168.178.1 192.168.178.0/24 | grep -i fritz.box

EDIT:

@Stefan_1979ZR:
Versuch mal auch (nur als Test) mit Port 22 in der FB (d. h. nicht 8122) und 22 auf dem PI (oder 8122 auf der FB und 8122 auf dem PI).