Problem Fernwartung Fritz!Box 7240, IP-Adresse leitet zu LyCie NAS weiter

[fvt]

Hallo,

seitdem ich mir ein kleines NAS (LaCie Network Space) eingebunden habe, funktioniert der Fernzugriff auf meine 7240 nicht mehr, d.h. bei der Eingabe, der von der Fritz!Box vorgeschlagenenen IP-Adresse (unter dem Reiter "Fernzugriff") werde ich, wenn ich von außerhalb darauf zugreife, direkt auf das NAS geleitet. Standard Port 443 nichts dran geändert. Wer hat einen Tipp für einen Netzwerk-Laien? Danke.

 

[KunterBunter]

Standard Port 443 auf einen anderen ändern.

 

[fvt]

Danke zunächst für die schnelle Antwort. Irgendein anderer Port? Ich habe 450, 475 und 499 probiert, also in der Fernwartung geändert, so dass ich dann z.B. im externen Browser https://123.123.123:450 eingeben soll. Bei allen Versuchen bekomme ich leider die Meldung "Die Webseite kann nicht angezeigt werden".

 

[sf3978]

"Die Webseite kann nicht angezeigt werden".

Du hast doch Linux. Versuch mal von _außerhalb_ mit nmap ein scan auf die externe IP-Adresse deiner Box und den Port 450 (wenn in der Fernwartung so eingestellt). Z. B.:

sudo nmap -sS <externe IP-Adresse der Box> -p450

 

[fvt]

Als Antwort kommt:

Starting Nmap 5.00 ( http://nmap.org ) at 2012-04-30 12:54 CEST
Interesting ports on mnsr-d9bf34d8.pool.mediaWays.net (xxx.xxx.xx.xxx):
PORT STATE SERVICE
450/tcp open tserver

Nmap done: 1 IP address (1 host up) scanned in 0.17 seconds

Zugriff extern mit IE und XP = Die Webseite kann nicht angezeigt werden... anschließende Netzwerkdiagnose = keine Probleme mit Http/s aber FTP nicht möglich, eventuell sperrt Firewall den Port...
Zugriff extern mit Firefox und XP = Proxy-Server verweigert die Verbindung...
Zugriff intern mit Firefox und Ubuntu = Kein Treffer und automatische Weiterleitung zu Google.
Zugriff intern mit Opera und Ubuntu = Nach Sicherheitswarnung kommt Einloggfenster mit Benutzernamen und Passwortabfrage, Passwort ist klar, aber Benutzername? FritzBox geht nicht.

Also alles verschieden Meldungen, je nach Zugriff von extern oder intern und Browser/Betriebssystem.

 

[sf3978]

450/tcp open tserver

Hast Du deine externe IP-Adresse von deinem eigenen Internetanschluss gescannt oder von einem fremden/anderen Internetanschluss? Ist deine externe IP-Adresse noch gültig? Wenn ja, von hier aus, ist dein Port 450 "filtered" und nicht "open".

 

[sven@mainz]

@fvt: nimm am besten mal die IP raus. Ich habe mal https://.... eingegeben und es kommt tatsächlich die Anmeldeseite der Lacie. Ob die sich irgendwie PnP-mäßig reinklinkt?

 

[sf3978]

Und der Port 80 ist auch offen:

# sudo nmap -sS 2#7.###.##.### -p80,443

Starting Nmap 5.00 ( http://nmap.org ) at 2012-04-30 14:12 CEST
Interesting ports on xxxxxxxxxt (2#7.###.##.###):
PORT    STATE SERVICE
80/tcp  open  http
443/tcp open  https

Nmap done: 1 IP address (1 host up) scanned in 0.24 seconds

 

[fvt]

Sorry, hatte den Port 450 versehentlich wieder herausgenommen. Ist jetzt wieder gesetzt.

@sven@mainz Was meinst du mit der IP herausnehmen? Aus der Fernwartung Fritzbox?

@sf3978 Handlungsbedarf mit dem Port 80? Internetadresse wurde vom eigenen Anschluss gescannt, Fremdanschluss ist nur XP.

 

[Telefonmännchen]

Nein, die aus Deinem obigen Posting, denn mit den Daten kann jeder versuchen, sich auf Deiner Box einzuhacken. Ebenfalls antwortet unter der IP Dein LaCie-NAS. Ist das Absicht, dass das Gerät aus dem Internet unverschlüsselt erreichbar ist? Wenn nicht, dann würde ich das auch deaktivieren. Einfach in dem Beitrag auf "ändern" gehen und die gültige IP gegen was anderes austauschen. Am besten ein paar X rein.

Gruß Telefonmännchen

 

[sf3978]

@sf3978 Handlungsbedarf mit dem Port 80?

Evtl. ja. Ich weiß aber nicht welcher Server auf Port 80 und deiner externen IP-Adresse, lauscht.

Internetadresse wurde vom eigenen Anschluss gescannt, Fremdanschluss ist nur XP.

Die _externe_ IP-Adresse vom eigenen Anschluss zu scannen ist uninteressant und ergibt ein falsches Ergebnis.

 

[KunterBunter]

Ich weiß aber nicht welcher Server auf Port 80 und deiner externen IP-Adresse, lauscht.

Das war der gleiche von der LaCie, nur ohne https.

 

[sf3978]

OK, dann wird diese Konfiguration (... d. h. Port 80 offen zum Internet) evtl. Absicht sein.

 

[fvt]

@ telefonmännchen
Danke, habe die IP nun unkenntlich gemacht. Tja, LaCie unverschlüsselt. Ich muss gestehen, dass ich dachte, das wäre Standard und nur durch Passwörter geschützt. Wo könnte ich da noch was verschlüsseln (bzw. siehe weiter unten)?

@sf3978
Ich kann von extern nicht scannen, jedenfalls nicht mit Linux-Tools, da das der Büro-Rechner (mit XP) ist.

Habe ich das jetzt richtig verstanden, dass die LaCie unter Port 80 unverschlüsselt und unter Port 443 verschlüsselt zu empfangen ist? Dann wäre es doch richtig den Port 80 zu sperren, hätte die LaCie dann unter Port 443 verschlüsselt und müsste noch eine Lösung finden, meine FritzBox fernwarten zu können. In der LaCie Konfiguration gibt es noch Einstellungsmöglichkeiten zu IP-, Proxy und SMTP Konfiguration, außerdem kann man dort eine automatische Port-Weiterleitung unterbinden. Habe jetzt noch nichts weiter unternommen, um nicht alles zu verfrickeln.

 

[sven@mainz]

Schaue mal in der Fritzbox, ob dort eine Portweiterleitung drin ist. Hast Du UPnP eingeschaltet und auch den Haken bei "Änderungen der Sicherheitseinstellungen über UPnP gestatten" gesetzt?

 

[Telefonmännchen]

Ich kann bei meinem NAS wählen, welche Dienste es anbietet. Auf Port 80 würde maximal ein Webserver laufen, wenn ich das wollte. Keineswegs jedoch ein Login, mit dem man Zugriff auf die Daten des Gerätes hat. UPnP in der FritzBox abzuschalten ist erst mal eine gute Maßnahme. So kann so ein Gerät nicht einfach irgendwelche Ports öffnen. Dann widme Dich mal Deinem Gerät und deaktiviere alle Dienst, die Du nicht benutzt. Solltest Du von außen unbedingt zugreifen wollen, dann leite den Port 443 separat auf das NAS. Somit hast Du sichergestellt, dass nur verschlüsselte Daten über die Leitung gehen (ich hoffe ja, das Teil macht dann auch wirklich https).

Das Verschieben der Fernwartung der FritzBox auf einen anderen Port ist eigentlich auch eine gute Maßnahme. Nimmt es doch die Box etwas aus der Schusslinie von irgendwelchen Möchtegernhackern. Allerdings ist dann bei jeder Verbindungsaufnahme der Port explizit mit anzugeben. Das ist aber kein Problem weiter. Nur bei Zugriffen von einem Arbeitsplatzrechner hinter einer Firewall kann es da Probleme geben, wenn die https nur auf 443 zulassen und ungewöhnliche Ports sperren. Administratoren können das noch weiter verfeinern. Kommt eben drauf an, in welchen Hochsicherheitsnetz man dann selbst sitzt. Ob man denn nun unbedingt vom Arbeitsplatz aus auf die eigene FritzBox und eigene Daten zugreifen muss, sei dahingestellt. Ich spare mir das, denn eigentlich mag ich meinen Job.

Gruß Telefonmännchen

 

[fvt]

Habe UpnP deaktiviert und nun kann ich auch vom Büro aus wieder auf die FritzBox zugreifen. Danke für die Hilfe.

@Telefonmännchen Danke auch für deine Hilfe, der letzte Satz hätte aber nicht sein müssen, da du mein Arbeitsumfeld nicht kennst. Ich arbeite von Zuhause und vom Büro und muss mein Telefon an beiden Plätzen umstellen können, deshalb der Fernzugriff auf die FritzBox.

Grüße Frank

 

[Telefonmännchen]

Das sollte auch kein Angriff auf Dich persönlich sein, sondern nur als Denkanstoß für Leute, die meinen, von ihrem Arbeitsplatzrechner in Firmen mit höheren Sicherheitsanforderungen ungenehmigte Verbindungen vorbei an allen Firewalleinschränkungen nach Hause aufzubauen. Stimmt, ich kenne Dein Arbeitsumfeld nicht, aber eben beschriebene Leute haben wir hier im Forum öfter mal und entsprechende Anfragen kommen ebenfalls. Die empfinden die Sicherheitseinrichtungen und entsprechende Mitarbeiter nur als Belästigung und können nicht verstehen, warum dieses oder jenes eben nicht geht. Nichts für ungut. Also nichts gegen Dich...

Gruß Telefonmännchen