SSH Verbindung zu Raspberry PI über externes öffentliches WLAN

[Tobi (Gast)]

Hi zusammen,

wie im Betreff ja steht, habe ich versucht mich von "ausserhalb" auf 
meinen Raspberry Pi zu verbinden. Ich hab in meiner Fritzbox die Ports 
freigeschaltet und SSH im Pi aktiviert. Dann testweise einen mobilen 
Hotspot mit dem Handy erstellt und versucht auf den Pi zu kommen, hat 
soweit problemlos geklappt. Dann war ich heute unterwegs, eingeloggt in 
einem Wlan (das wlan gehört einem Friseurgeschäft, ist allerdings nur 
für Kunnden mit Passwort nutzbar, falls diese Info hilft) und wollte 
mich wieder mit dem Pi verbinden. Als Antwort bekam ich dann immer:

ssh: connect to host [meine ip adresse] port 22: Connection refused

Dann hab ichs wieder mit dem Hotspot meines Handys probiert, da ging es 
dann.

Ich würde gerne verstehen warum dass so ist. Kann dieses Wlan Netz meine 
Versuche abblocken oder erkennt der pi diese Verbindung als nicht 
sicher? Es sieht für mich ja so aus als würde der Pi die Anfrage 
ablehen. Woran liegt dass? Ich hoffe für die Frage bin ich im richtigen 
Thread gelandet.

Danke schon mal und Grüße,

tobi

[Tobi (Gast)]

Nachtrag: Das Wlan ist nicht öffentlich, im sorry!

[Ruediger A. (Firma: keine) (rac)]

Welche IP Adresse hast Du denn benutzt? Wenn Du schreibst "von 
ausserhalb," wird damit die (temporäre) öffentliche IP Adresse, die 
deinem Anschluss zugewiesen wurde, gemeint sein. Wie Du sicherlich 
weisst, kann sich die Adresse ändern, d.h. mit derselben IP Adresse 
kannst Du zu einem Anderen Zeitpunkt irgendwo anders landen.

Hat die Fritzbox nicht so etwas wie einen eigenen DynDNS Mechanismus, 
mit dem dem Gerät eine pseudoglobale symbolische Adresse zugewisen wird?

Dass die routerrelative 192.168.x.x Adresse für ausserhalb keinerlei 
Relevanz hat, braucht ja sicher nicht geklärt zu werden, denke ich?

Frohe Feiertage noch!

[(prx) A. K. (prx)]

Welche Dienste das Netz des Friseurs nach aussen durchlässt, weiss 
vielleicht nicht einmal der Friseur. Das Gastnetz einer Fritzbox ist 
dahingehend konfigurierbar, u.U. kommt nur http/https durch.

[Tobi (Gast)]

Genau ich hab die IP benutzt die mein Heimnetz ins Internet hat. Man 
kann sich über die Homepage myfritz.net auf seiner fritzbox einloggen 
und schauen welche IP man gerade hat. Möglicherweise kann man sich eine 
art statische ip zuweisen lassen, das weis ich nicht genau.

[(prx) A. K. (prx)]

Tobi schrieb:
> Möglicherweise kann man sich eine
> art statische ip zuweisen lassen, das weis ich nicht genau.

Nicht die IP, aber der per MyFritz gewonnene DNS-Name bleibt 
unverändert, sowas wie asdfghjkiuzvzejhfrjkh.myfritz.net

[Sascha W. (sascha-w)]

@Tobi,

was [halb]öffentliche Hotspots außer den Standartports für 
http,https,imap,pop3,smtp noch so durchlassen ist immer ungewiss. Wenn 
du unbedingt von ausserhalb Zugriff brauchst, dann richte dir eine 
VPN-Verbindung ein. Geht mit der Fritzbox eigentlich ganz einfach.

Sascha

[c-hater (Gast)]

Sascha W. schrieb:

> was [halb]öffentliche Hotspots außer den Standartports für
> http,https,imap,pop3,smtp noch so durchlassen ist immer ungewiss.

Ja, das liegt allein im Ermessen des jeweiligen Betreibers.

> Wenn
> du unbedingt von ausserhalb Zugriff brauchst, dann richte dir eine
> VPN-Verbindung ein. Geht mit der Fritzbox eigentlich ganz einfach.

Leider kann die FB von Hause aus aber nur IPSEC. Und auch das kann 
leicht geblockt werden. Einfach UDP komplett verbieten und aus ist's mit 
FB-VPN. Manche Netzbetreiber blocken sogar gezielt nur UDP 500 und UDP 
4500, speziell um IPSEC-VPNs zu blockieren. Und die allerfrechsten 
dieser Anbieter verkaufen das den unwissenden Kunden sogar noch als 
"Sicherheitsfeature". Bieten dann aber gleichzeitig irgendwelche 
deutlich teureren "Businesstarife" an, bei denen scheinbar diese 
"Sicherheit" wieder keine Rolle mehr spielt, weil dort IPSEC 
funktioniert...

Die übliche Umgehungsstrategie ist OpenVPN, welches u.a. über 443 TCP 
laufen kann, also ganz genau wie normaler HTTPS-Traffic. Das 
funktioniert dann aus praktisch allen öffentlichen Netzen. Nur leider 
kann's die FB halt nicht.

Aus Firmennetzen wird aber übrigens bei einer kompetenten IT auch das 
nicht funktionieren.

[Rolf M. (rmagnus)]

Wenn's nur darum geht, eine Remote-Shell zu bekommen, kann man auf der 
Server-Seite auch sowas wie shellinabox installieren. Das bietet die 
Möglichkeit, direkt im Webbrowser über eine normale https-Verbindung 
eine Shell zu betreiben. Das funktioniert dann überall, wo https geht.