Zugriff über IP:PORT obwohl keine Portweiterleitung eingerichtet

[miqa]

Hallo zusammen.

Klingt erstmal kompliziert, vermutlich steh ich aber gerade nur mal wieder auf dem Schlauch.

Ich hatte bis zum Wochenende mein Netzwerk im Adressbereich 192.168.178.XX laufen. Dort gab es eine Portweiterleitung auf einen von mir gewählten Port.
Nun hab ich meinen IP Bereich auf 10.0.1.XX umgestellt. Die Portweiterleitung in der FritzBox geht dabei verloren. In der Loxone Config steht nun bei interne Adresse IP:Port (also Adresse aus dem neuen Bereich mit dem bisherigen Port). Obwohl in der Fritzbox gar keine Portweiterleitung eingerichtet ist, ist der Miniserver über die neue IP inkl. Portangabe erreichbar. Wie kann das sein?

(Beim schreiben frage ich mich jetzt gerade ob die Portangabe überhaupt zur internen Adresse gehört und nicht eigentlich zur externen müsste.)
(Für den Fall das jemand fragt. Ich werde das noch auf VPN umstellen, daher ja der ganze Aufwand)

Vielleicht kann mich da ja jemand ins Bild setzen.

[Muto]

Vielleciht geht die Protweiterleitung nciht verloren sondern die FritzBox ist so "schlau" und stellt es auf diesselbe Endadresse im neuen Adressbereich um. Das ist aber pure Spekulation.

Die Portweiterleitung gehört zur internen Adresse da die Fritzbox ja wissen muss, an welche interne IP-Adresse sie eine Anfrage auf Port XY weiterleiten muss. Auf die externe Adresse hast du ja keinen Einfluss. Wenn du beispielsweise Port 80 auf 192.168.178.2 weiterleitest, leitet die Fritzbox alle Anfragen die bei ihr für Port 80 aufschlagen an 192.168.178.2 weiter.

[romildo]

Hallo
Für intern nimmt er die Porteinstellung welche in den Einstellungen unter dem Ordner Zugriff im Feld HTTP Port eingetragen ist.
Wenn DHCP eingeschaltet ist, bezieht er die IP-Adresse automatisch, den Port aber aus diesem Feld und der hat sich ja durch die Umstellung nicht geändert.

Einstellungen über Config:
In Config den MS anwählen -> Menüpunkt Miniserver konfigurieren -> Ordner Zugriff

oder über Web:
http://Miniserver:Port/admin

[miqa]

Vielleciht geht die Protweiterleitung nciht verloren sondern die FritzBox ist so "schlau" und stellt es auf diesselbe Endadresse im neuen Adressbereich um. Das ist aber pure Spekulation.

Dann müsste Sie aber in der Liste stehen und das tut sie nicht.

Hallo
Für intern nimmt er die Porteinstellung welche in den Einstellungen unter dem Ordner Zugriff im Feld HTTP Port eingetragen ist.
Wenn DHCP eingeschaltet ist, bezieht er die IP-Adresse automatisch, den Port aber aus diesem Feld und der hat sich ja durch die Umstellung nicht geändert.

Einstellungen über Config:
In Config den MS anwählen -> Menüpunkt Miniserver konfigurieren -> Ordner Zugriff

oder über Web:
http://Miniserver:Port/admin

Ich müsste jetzt mal gucken was da drin steht. Vermutlich ist der Port da noch eingetragen. Die App verbindet sich (intern) auf alle Fälle auch mit Port. Das ist ja eigentlich was mich gerade wundert, da eben gar keine Portweiterleitung mehr eingerichtet ist.

[romildo]

Intern gehst Du ja nicht über die Portweiterleitung der Fritzbox.
Für den Zugriff auf den MS, benötigst Du aber die HTTP-Server Porteinstellung.
Wenn der Port <>80 eingestellt ist, musst Du diesen beim Aufruf über die App, Web so wie auch in der Config mitgeben, ansonsten der MS nicht erreichbar ist.
'Die App verbindet sich auf alle Fälle auch mit Port'
In Deinem Fall aber nicht ohne

[miqa]

Also unter http://Miniserver:Port/admin ist der Port noch eingetragen.

[romildo]

...und somit der MS auch nur unter diesem erreichbar....
intern vermutlich auch noch unter dem Port 443

[PBaumgartner]

wirklich blöde Frage: Fritzbox schon mal rebootet?

[miqa]

Ja. hab ich probiert.

[Gerd Clever]

Erstens, für den internen Zugriff von der Config auf den Miniserver gibt eine Portangabe m. E. keinen Sinn. Ich habe dort nur die interne IP des Miniservers eingetragen.

Zweitens, du kannst mit dem "Port Forwarding Tester" http://www.yougetsignal.com ganz schnell überprüfen, ob ein Port geöffnet oder geschlossen ist, unabhängig von jeder "Fritzbox-Intelligenz".

[Thomas M.]

Wie Romildo schon sagte. Wenn du den port auf 10000 gestellt hast und config nur die ip vom MS sagst, dann wird sich config nie mit dem MS verbinden können.
config kann ja nicht beim verbinden jeden Port ausprobieren ob da nicht doch wo ein MS versteckt ist.

Und wenn der Port von 80 auf 10000 gestellt ist, dann gilt das für intern und extern.

[miqa]

Also unter http://Miniserver:Port/admin ist der Port eingetragen. In der Loxone Config ist er wie gesagt auch eingetragen.

Das man den Port nur für den Zugriff von außen braucht man Sinn. Hab ich verstanden.
Die Verbindung von außen mit der Config Software funktioniert allerdings tatsächlich nicht. Hab ich grad ausprobiert. Liegt das jetzt daran das eben keine Portweiterleitung eingerichtet ist?

Beibt aber nach wie vor die Frage warum die Verbindung intern mit Angabe des Ports funktioniert, obwohl der da ja garnicht notwendig ist.


Nochmal sorry für die dummen fragen. Als ich das einrichtet hab war mir klar wie das funktioniert. Momentan steh ich aber anscheinend echt auf dem Schlauch.

[Gerd Clever]

romildo und Thomas M. Danke euch vielmals, jetzt habt ihr mich voll auf dem linken Fuß erwischt Ich hab's jetzt so verstanden:


1. Fall: Externer Zugriff auf den Miniserver mittels DDNS

Beispiel: http://81.82.83.84:7654

wobei 81.82.83.84 = öffentliche IP des Routers und 7654 = Freigabeport (am Router, d. h. der Router "lauscht" auf Port 7654).



Über die Portfreigabe (am Router) wird die Anfrage jetzt (intern) an 192.168.1.77:55333 weitergeleitet, wobei 192.168.1.77 die (interne) IP des Miniservers ist. D. h. der Miniserver "lauscht" auf Port 55333.



Der HTTP Port 55333 muss also in der Miniserver-Konfiguration und in der Portfreigabe (Router) angeben werden.


2. Fall: Interner Zugriff auf den Miniserver

Beispiel: 192.168.1.77:55333 (wenn kein Port angegeben ist, wird ersatzweise Port 80 angenommen). Hier spielt die Portfreigabe keine Rolle.


Habe ich das jetzt richtig verstanden? Und sagt jetzt bitte nicht, jetzt hat er's endlich auch kapiert.

[romildo]

Ja, genau so.

[Gerd Clever]

Jetzt habe ich noch ein echtes Verständnisproblem:

In der Doku zum Admin Interface empfiehlt Loxone dringend, den standardmäßig auf Port 80 eingestellten HTTP Port zu ändern, wenn der Miniserver für den Fernzugriff freigegeben wird.

Worin liegt der Unterschied zwischen 192.168.1.77:80 und 192.168.1.77:55333, wo doch dieser Schritt durch die Portfreigabe vom Router automatisch durchgeführt wird? Ich kann hier keinen Gewinn an Sicherheit im Bezug auf den Fernzugriff entdecken.

[Jan W.]

Die Verbindung von außen mit der Config Software funktioniert allerdings tatsächlich nicht.

Wenn das Webinterface per Browser richtig von extern aufgerufen werden kann, dann ist im Admin-Interface ( http://Miniserver:Port/admin) die Option „FTP, Telnet und Konfigurationssoftware“ nicht auf „online“ gestellt.

Die Standardeinstellung "nur lokal" bedeutet, dass nur aus dem gleichen lokalen IP-Netz der MS konfiguriert werden kann. Bsp: der PC hat die IP-Adresse 10.0.1.55, die Netzwerkmaske ist 255.255.255.0 und der MS die IP-Adrese 10.0.1.10 - eine Konfiguration per Config Software ist möglich. Den richtigen HTTP Port, so wie er im Admin-Interface festgelegt ist muss man natürlich angeben. Ein anderer Port funktioniert definitiv auch nicht.

Wenn man den Zugriff auf "online" stellt, dann darf man (mit der richtigen Anmeldung) von beliebigen IP-Netzen auf den MS zugreifen. Mit einer Portweiterleitung auf der Frizbox eben auch aus dem Internet. Selbst Loxone warnt auf https://www.loxone.com/dede/kb/online-freigabe/ vor dieser Option - allerdings nur mit einem Hinweis: Aus Sicherheitsgründen sollten Sie für sicherheitsrelevante Anwendungen vor der Verbindung mit dem Miniserver eine VPN-Verbindung herstellen!

Gruß Jan

[Gerd Clever]

Wenn das Webinterface per Browser richtig von extern aufgerufen werden kann, dann ist im Admin-Interface ( http://Miniserver:Port/admin) die Option „FTP, Telnet und Konfigurationssoftware“ nicht auf „online“ gestellt.

Ich gehe davon aus, dass nach "Browser" noch ein "nicht" stehen sollte. Woraus schließt du, dass sich die Option "nur lokal" / "online" auch auf das Webinterface bezieht? Im Admininterface ist nur von „FTP, Telnet und Konfigurationssoftware“ die Rede.

Außerdem frage ich mich, ob der Haken in "Miniserver konfigurieren" (s. Bild in #9) genau diese Option widerspiegelt. Allerdings ist dort nur von der Loxone Config die Rede. Die Doku hat hier irgendwie Luft nach oben.

[men1c]

Möchte mich hier noch kurz einklinken.
D.h. du änderst den Port des Miniservers und konfigurierst den Router so, dass er Port 80 an deinen Miniserver und -port weiterleiten soll?
Ich denke nicht, dass das so gängige Praxis ist und ich sehe auch nicht Loxone in der Pflicht dies zu dokumentieren oder gar zu verhindern. Warum sollte ich von extern den Port 80 und intern einen anderen verwenden wollen?
Nur weil was funktioniert muss ich es ja noch lange nicht umsetzen ?
Ich denke entweder gebe ich den Port 1 zu 1 durch den Router durch oder, was vermutlich im Heimbereich auch oft gemacht wird, erstelle ich einen Exposed Host; für beide Fälle erhöht der von Loxone propagierte Portwechsel die Sicherheit. Was du beschreibst ist ja fast mutwilliges Umgehen jeglicher Sicherheitsfeatures

[Gerd Clever]

men1c Du schreibst:

"D.h. du änderst den Port des Miniservers und konfigurierst den Router so, dass er Port 80 an deinen Miniserver und -port weiterleiten soll? ... Was du beschreibst ist ja fast mutwilliges Umgehen jeglicher Sicherheitsfeatures."

Ich habe selbst keinerlei Empfehlung bezüglich Sicherheitsfeatures abgegeben, sondern zunächst nur versucht die Loxone-Empfehlung zu verstehen. Möglicherweise hat Loxone stillschweigend unterstellt, dass man dann für den Router den gleichen Port wählt wie für den Miniserver. Aber das sollten sie dann auch schreiben oder die Miniserver Konfiguration so einschränken, dass Router-Port = Miniserver-Port erzwungen wird.

[men1c]

Ich möchte jetzt nicht schon wieder eine Diskussion auslösen, was Loxone sicherheitstechnisch verbieten sollte oder was auch nicht, wenn ich aber einen Port von 80 auf irgendwas anderes umleite, dann ist das eine bewusste Aktion und für die kann Loxone nicht verantwortlich gemacht werden. Wenn ich das so konfiguriere, dann passiert das nicht einfach mal aus Versehen so oder weil es schneller oder einfacher geht. Das passiert nur weil ich mich bewusst dazu entscheide und das sollte Loxone nicht verbieten; ganz im Gegenteil, das darf Loxone, mMn, nicht verbieten.
Es sei nochmal erwähnt, dass ich ja nicht alles umsetzen brauche, was möglich ist...

[romildo]

Die Option „FTP, Telnet und Konfigurationssoftware“ bezieht sich nur auf FTP, Telnet und die Config.
App und Webinterface betrifft dies nicht.

[svethi]

Genauso sollte man es machen. Nicht das der MiniServer ständig neu startet wenn er direkt am Internet hängt und so schon unsicher genug ist. Auf alle Fälle sollte dann auch noch die Config von außen zugelassen sein. Applaus.

Zusätzlich sollte man sich aber auch hier im Forum melden (mehrmals und dringen!), weil: ''Die Lox'' bootet wohl irgendwie ständig neu, die Frau des Kunden (!) schimpft auch schon...

[svethi]

Genau.
MiniServer bootet alle 2 Stunden neu. HILFE!!
:-)

[miqa]

Also im Admin Interface ist der Zugriff natürlich auf online gestellt.


Ich resümiere noch mal:
Beim Zugriff von extern über dns.loxone.com/blablabla findet bei loxone ein aufschlüsselung in meine öffentliche IP statt. Mit der komm ich dann bei mir zu Hause auf Port 80 an. Aufgrund der nicht vorhandenen Portweiterleitung geht's von da nicht auf meinen selbst gewählten Port des Miniservers weiter. Macht Sinn soweit.

Beim internen Zugriff müsste, wenn es stimmt was Gerd Clever sagt, der Port unerheblich sein. Das kann ich so nicht bestätigen. Sowohl die App zeigt an das sie sich mit 10.0.1.XX:Port verbindet. Als auch die Config Software fordert als Eingabe zur Verbindung mit dem Minisever eben diese 10.0.1.xx:Port. Die Portangabe scheint also durchaus relevant zu sein.

was ich mir vorstellen könnte (hab ich aber noch nicht getestet): Wenn der Miniserver Port 80 hat und ich gebe dann zum verbinden keinen Port an, das es in diesem Fall trotzdem funktioniert. Kann das so jemand bestätigen?

[Gerd Clever]

"Beim internen Zugriff müsste, wenn es stimmt was Gerd Clever sagt, der Port unerheblich sein." Diese Aussage hatte ich in Post #9 bereits revidiert. Dort kannst du aber sehen, wie die Einstellungen der Config und die Portfreigabe/weiterleitung zusammenspielen.

Müsstest nur berücksichtigen, dass der Loxone Cloud DNS-Service "dns.loxone.com/<MS-Seriennummer>" auflöst in <Öffentliche IP des Routers>:<Freigabeport des Routers>.

Ein von 80 abweichender HTTP Port muss angegeben werden. Das gilt sowohl intern (Port Miniserver), als auch extern (Port Router).

[miqa]

Öffentlich ist wie gesagt klar. das du die Aussage bzgl. intern revidiert hattest, hatte ich übersehen. Bin aber ebenfalls zu dem Ergebnis gekommen.

[Thomas M.]

Letzteres ist klar, ansonsten müsstest beim aufruf vom webinterface vom sat-receiver ja auch http://IP-VOM-SAT:Port eingeben.
Port 80 musst nie angeben. Nur wenn der http-port wo anders liegt.

[miqa]

Das leuchtet ein.