Für Dummies: Aus dem Internet auf das Heimnetz zugreifen?

[Peter N. (alv)]

Hi

Ich möchte aus dem Internet auf mein Heimnetz zugreifen.
Ich habe dazu viel gelesen und wenig verstanden, also gaanz langsam 
anfangen...

Die Hardware:
Heimnetz: Fritzbox 6490, dahinter einige Netzwerkgeräte (NAS, 
SAT-Receiver, Smart Home, usw.) jeweils mit Webinterface.
Fern-PC: Win10 mit eingeschränkten Konfigurations- und 
Installierungsmöglichkeiten.

Bislang habe ich geschafft:
Zugriff auf die Fritzbox.
Zugriff auf das Fritznas.
Myfritzfreigabe - Zugriff über Myfritz/Smart Home auf das Webinterface 
des freigegebenen Netzwerkgerätes funktioniert. Leider praktisch nicht 
nutzbar, weil ich nur ein einziges Gerät als HTTP freigeben kann.

Zugriff über Portfreigabe funktioniert nicht. Vermutlich weil die Ports 
auf dem Fern-PC nicht frei sind. Wie kann ich rausfinden, welche Ports 
ich auf dem Fern-PC nutzen kann?

[Patrick L. (Firma: S-C-I DATA GbR) (pali64)]

Peter N. schrieb:
> Zugriff über Portfreigabe funktioniert nicht. Vermutlich weil die Ports
> auf dem Fern-PC nicht frei sind. Wie kann ich rausfinden, welche Ports
> ich auf dem Fern-PC nutzen kann?

mit IP-Scan. zum Beispiel. ;-)

Wenn ich privat Server ins Netz stelle (Gameserver z.B.)
dann schalte ich einen IPCop dazwischen.
Ein guter IPCop unter Linux bringt auch ein Firewall mit.
Dort kannst du dann auch die Ports Ruten.
https://de.wikipedia.org/wiki/IPCop

Ich weis das der IPCop ein wenig aus der Mode kam, aber trotzdem macht 
er das Leben bei privaten Netzwerk fürs Internet etwas leichter ;-)

[(prx) A. K. (prx)]

Peter N. schrieb:
> Fritzbox 6490

Kabelfritz bedeutet sehr wahrscheinlich DS Lite, und dann kein Zugang 
von aussen über IPv4. Nur IPv6. Der Client muss dann auch IPv4 können.

[Reinhard S. (rezz)]

(prx) A. K. schrieb:
> Peter N. schrieb:
>> Fritzbox 6490
>
> Kabelfritz bedeutet sehr wahrscheinlich DS Lite,

Kommt drauf an. Wenns eine eigene ist (keine von VF gekaufte/gemietete) 
meine ich, das man da automatisch auch eine öffentliche IPv4 bekommt.

> und dann kein Zugang
> von aussen über IPv4. Nur IPv6. Der Client muss dann auch IPv4 können.

Du meinst IPv6? Kann das die FritzBox mit VPN denn inzwischen?

[Dirk B. (dirkb2)]

Peter N. schrieb:
> Leider praktisch nicht
> nutzbar, weil ich nur ein einziges Gerät als HTTP freigeben kann.

HTTP ist nicht an Port 80 gebunden. Das ist nur der „Well known Port“
Du kannst auch den Port 8000 (oder andere) der FritzBox auf Port 80 
eines anderen Gerätes weiterleiten.

> Wie kann ich rausfinden, welche Ports
> ich auf dem Fern-PC nutzen kann?

Wäre es nicht sinnvoller, den Service den man nutzen möchte zu 
aktivieren?

[(prx) A. K. (prx)]

Reinhard S. schrieb:
> Du meinst IPv6? Kann das die FritzBox mit VPN denn inzwischen?

VPN wurde bisher nicht erwähnt. HTTPS beispielsweise geht auch ohne.

Für die 7590 gibt es eine Beta mit Wireguard. Schätze, dass da auch IPv6 
geht. Mit Glück also Ende des Jahres auch im Kabel.

[Oliver S. (phetty)]

Auf einer älteren 7412 läuft openwrt ganz gut und damit auch wireguard.

https://openwrt.org/toh/avm/avm_fritz_box_7412

Das sollte auch mit IPv6 gehen und man muss sich nicht mehr mit dem 
ollen IPv4 rumärgern.

[Peter N. (alv)]

(prx) A. K. schrieb:
> Kabelfritz bedeutet sehr wahrscheinlich DS Lite,

Es ist zwar eine Vodafone-6490, aber ich habe auch IPv4, sonst käme ich 
nichtmal auf die 6490, da die Internetanbindung des Fern-PC kein IPv6 
kann.

Dirk B. schrieb:
> Peter N. schrieb:
>> Leider praktisch nicht
>> nutzbar, weil ich nur ein einziges Gerät als HTTP freigeben kann.
>
> HTTP ist nicht an Port 80 gebunden. Das ist nur der „Well known Port“
> Du kannst auch den Port 8000 (oder andere) der FritzBox auf Port 80
> eines anderen Gerätes weiterleiten.

Ich weiß nicht, wie Myfritz das macht, jedenfalls bin ich aus dem 
Internet in der 6490 (Meine.Wan.IP:8080), von da geht es weiter auf das 
Webinterface des freigegebenen Netzwerkgerät in meinem Heimnetz. 
Webinterface ist HTTP, also Port 80, und der geht nur einmal. Vielleicht 
könnte ich mehr freigeben, wenn ich jedem Netzwerkgerät in meinem 
Heimnetz einen eigenen HTTP-Port zuweisen würde, aber das ist auch nicht 
praktikabel.

[DANIEL D. (Gast)]

In der Fritzbox Dyn DNS Dinst funktioniert zumindest mit ipv6.

Ich habe mir einfach einen Business Anschluss gebucht mit einer festen 
IP-Adresse. Aber erreichbar sind nur zwei Kameras, aber dort nicht der 
Port 80 sondern der nur der SSL port, der ist komplett gesperrt selbst 
im internen Netz. Auf Wikipedia gibt es eine Liste welcher Port für was 
genutzt wird, meiner braucht für jedes Gerät eine extra 
Portweiterleitung. Ich habe auch einen NAS-Server auf den ich gerne 
zugreifen würde von Synology, aber das ist so ein billig Ding, und ich 
habe da irgendwie bedenken und es bisher gelassen.

[Dirk B. (dirkb2)]

Peter N. schrieb:
> Vielleicht
> könnte ich mehr freigeben, wenn ich jedem Netzwerkgerät in meinem
> Heimnetz einen eigenen HTTP-Port zuweisen würde, aber das ist auch nicht
> praktikabel.

Das bringt ja nur was, wenn
1) auf dem Gerät ein HTTP-Server läuft
2) das Gerät aus dem Internet errreichbar sein soll.

Nicht jedes Gerät/Software ist so abgesichert, dass es derartig 
erreichbar sein sollte.

[Peter N. (alv)]

Dirk B. schrieb:
> Das bringt ja nur was, wenn
> 1) auf dem Gerät ein HTTP-Server läuft
> 2) das Gerät aus dem Internet errreichbar sein soll.
>
> Nicht jedes Gerät/Software ist so abgesichert, dass es derartig
> erreichbar sein sollte.

Auf jedem Netzwerkgerät, das ein Webinterface hat, läuft doch ein 
HTTP-Server, oder verstehe ich da was falsch?
Klar will ich auf alle meine Geräte im Heimnetz, insbesondere die NASse, 
auch aus dem Internet zugreifen können.
Die Sicherheit ist mir erstmal egal. Wenn ich ganz sicher sein wollte, 
würde ich mein Heimnetz physisch vom Internet trennen...

[Reinhard S. (rezz)]

Peter N. schrieb:
> Klar will ich auf alle meine Geräte im Heimnetz, insbesondere die NASse,
> auch aus dem Internet zugreifen können.

Nur auf den Webserver oder auch per Dateifreigabe/SMB?

> Die Sicherheit ist mir erstmal egal.

Dann mach halt einfach ne Portweiterleitung und greif per IPv6 zu. 
Kannst ja jedem NAS nen eigenen Port nach außen hin geben. Vergiss nicht 
die Zugangsdaten auf den Standard-Werten zu lassen.

> Wenn ich ganz sicher sein wollte,
> würde ich mein Heimnetz physisch vom Internet trennen...

Wenn ich ganz sicher vor Verkehrsunfällen sein will nutze ich keine 
Straßen. Ist halt unrealistisch und deshalb gibts halt 
Sicherheitsmaßnahmen wie Gurt, Airbags, etc., damit ich halbwegs sicher 
bin bzw. die Folgen nicht schwerwiegend werden. Das gleiche gilt im 
Internet.

[Peter N. (alv)]

Reinhard S. schrieb:
> Peter N. schrieb:
>> Klar will ich auf alle meine Geräte im Heimnetz, insbesondere die NASse,
>> auch aus dem Internet zugreifen können.
>
> Nur auf den Webserver oder auch per Dateifreigabe/SMB?

SMB übers Internet wäre schön, aber geht mit der 6490 nicht (aus 
Sicherheitsgründen ist der Netbios-Filter nicht deaktivierbar).

Dateizugriff läuft deshalb über das Webinterface des NAS.

[Reinhard S. (rezz)]

Peter N. schrieb:
> Reinhard S. schrieb:
>> Peter N. schrieb:
>>> Klar will ich auf alle meine Geräte im Heimnetz, insbesondere die NASse,
>>> auch aus dem Internet zugreifen können.
>>
>> Nur auf den Webserver oder auch per Dateifreigabe/SMB?
>
> SMB übers Internet wäre schön, aber geht mit der 6490 nicht (aus
> Sicherheitsgründen ist der Netbios-Filter nicht deaktivierbar).

Was spricht für dich gegen ein VPN via FritzBox?

[Chris K. (kathe)]

Nimm VPN.

Oder willst du vielleicht folgendes machen?
https://www.shodan.io/search?query=domoticz

Probier mal 2-3 aus und schon bist du in der Homeautomation von jemand 
anderem.

Nimm VPN.
App fürs Handy OPENVPN (Android)
https://play.google.com/store/apps/details?id=de.blinkt.openvpn&hl=de&gl=US

[Peter N. (alv)]

Reinhard S. schrieb:
> Was spricht für dich gegen ein VPN via FritzBox?

Weiter oben schrieb ich doch: Für Dummies, ganz langsam und Fern-PC mit 
eingeschränkten Möglichkeiten.
Bei VPN bin ich noch lange nicht...

Erstmal muß ich rausfinden, welche Ports ich auf dem Fern-PC nutzen 
kann.
Port 80 und 8080 scheinen frei zu sein, aber die tauchen nicht in der 
Netstat-liste auf...?

[Pepe T. (pepe_t)]

Früher konnte man einfach die NAT im router setzen und mit "myip" die 
adresse rausfinden. Geht das auch heute noch?

[Chris K. (kathe)]

Für Dummies:
https://avm.de/service/vpn/uebersicht/

nix mit Portweiterleitung ....

Nimm VPN.
Wenn die Verbindung steht befindest du dich in deinem Hemnetzwerk.

[Reinhard S. (rezz)]

Peter N. schrieb:
> Erstmal muß ich rausfinden, welche Ports ich auf dem Fern-PC nutzen
> kann.
> Port 80 und 8080 scheinen frei zu sein, aber die tauchen nicht in der
> Netstat-liste auf...?

Wenn die Ports 80 und 8080 auf dem Fern-PC in der Netstat-Liste 
auftauchen wären sie nicht frei...

Der Fern-PC muss einfach nur Internet-Zugang haben. Die Zuordnung von 
Ports zu Geräten musst du bei deiner FritzBox einstellen. Wenn du bei 
dem Fern-PC noch irgendwas einstellen musst ist irgendwas faul und 
kannst du dir auch gleich VPN einrichten.

[DANIEL D. (Gast)]

Bei der Fritzbox sind die Portweiterleitung unter Freigaben zu finden, 
so war es glaube ich auf jeden Fall, da steht nicht wie bei anderen 
Router Portweiterleitung, sondern die sind in irgend so einem doofen 
unter Menü.

Bei einer Portweiterleitung wird einmal der externe Port angegeben.

Und einmal die Adresse des internen Netzwerk Gerät ist mit dem Port.

Als Beispiel sagen wir mal du hast 10 Kameras mit IP Adressen von von 
192.168.100.40:443 bis 192.168.100.49:443 da kann man dann einstellen 
durch diese z.b. auf den Port 20000 bis 20009 verteilt werden. Für jede 
Kamera muss natürlich eine eigene Portweiterleitung erstellt werden.

Die externe IP-Adresse ist z.b. 222.222.33.22 um deine erste Kamera zu 
erreichen musst du dann auf 222.222.33.22:20000 gehen und der Router 
leitet dann auch die interne Adresse 192.168.100.40 mit dem Port 443 
weiter.  Für die zweite Kamera musst du dann über 222.222.33.22:20001 
zugreifen usw usw.


Aber ich würde die alle anderen hier auch nur Geräte nutzen wo ich mir 
sicher bin dass das Web-Interface solide ist, und vor allem nichts mit 
http ohne Verschlüsselung.

Aber da kann ja jeder machen wie er will.

[100Ω W. (tr0ll)]

DANIEL D. schrieb:
> Aber da kann ja jeder machen wie er will.

Und sich dann über ein Botnetz Zuhause wundern…

[Dirk B. (dirkb2)]

100Ω W. schrieb:
> Und sich dann über ein Botnetz Zuhause wundern…

Da verlangst du aber sehr viel.
So ein Botnetz muss man erstmal erkennen.

[Matthias S. (da_user)]

Peter N. schrieb:
> Die Sicherheit ist mir erstmal egal.

Wenn die Polizei mit einem Durchsuchungsbeschluss vor deiner Haustüre 
steht, weil sich in dein System ein Botnetz eingenistet hat, welches 
gemeinerweise hochillegale Inhalte verteilt, spätestens dann ist es dir 
nicht mehr egal.

Nimm ein VPN.

[Peter N. (alv)]

Chris K. schrieb:
> Für Dummies:
> https://avm.de/service/vpn/uebersicht/
Nicht Dummie-genug.
Ich finde da nicht das Prgramm "FRITZ!Box-Fernzugang einrichten" für 
Windows. Die Links auf den AVM-Seiten führen im Kreis.

Ich habe zwar den "Shrew Soft VPN Client 2.2.2" gefunden, aber mit dem 
kann ich so gar nichts anfangen, da ich scheinbar eine 
Konfigurationsdatei brauche, die ich vorher mit dem 
"FRITZ!Box-Fernzugang einrichten" erzeugt habe...

> Wenn die Verbindung steht befindest du dich in deinem Hemnetzwerk.
Wie (mit welcher Oberfläche) bin ich dann im Heimnetz? Wie spreche ich 
meine Heimnetzgeräte an?

[Johannes S. (Gast)]

das ist auf der AVM Seite doch sofort zu finden:
https://avm.de/service/vpn/uebersicht/

Wenn das VPN verbunden ist kannst du auf deine Geräte wie im lokalen 
Netz zugreifen.
Funktioniert auch mit Smartphones, die Einrichtung ist auf der Fritzbox 
unter Internet/VPN zu finden.

[Peter N. (alv)]

Johannes S. schrieb:
> Wenn das VPN verbunden ist kannst du auf deine Geräte wie im lokalen
> Netz zugreifen.
Lokal greife ich auf die Datenspeicher per 
SMB-Laufwerksfreigabe/Laufwerksbuchstaben zu.
Auf die Webinterfaces per Browser/IP.

Bedeutet das, bei VPN kann ich auf dem Fern-PC im Browser z.B. 
192.168.0.xx eingeben, und ich lande in meinem Heimnetz auf Gerät xx?

Johannes S. schrieb:
> Funktioniert auch mit Smartphones, die Einrichtung ist auf der Fritzbox
> unter Internet/VPN zu finden.
Das Android meiner Android-Geräte ist wahrscheinlich zu alt, die 
entspechenden Fritz-APPs werden erst gar nicht im Store angezeigt...

[Johannes S. (Gast)]

Peter N. schrieb:
> Bedeutet das, bei VPN kann ich auf dem Fern-PC im Browser z.B.
> 192.168.0.xx eingeben, und ich lande in meinem Heimnetz auf Gerät xx?

ja, das ist der Sinn eines VPN. Durch den VPN Client bekommst du eine IP 
Adresse in deinem Heimnetz.

Peter N. schrieb:
> Das Android meiner Android-Geräte ist wahrscheinlich zu alt, die
> entspechenden Fritz-APPs werden erst gar nicht im Store angezeigt...

Dafür braucht man auch keine App, ein VPN richtet man in den 
Einstellungen ein. Der installierte Client muss nur mit dem Fritz oder 
Remote VPN kompatibel sein, da gibt es zig verschiedene. Android ist 
nicht meine Welt, muss man einfach ausprobieren.

Der Screenshot ist die genannte Seite in der Fritzbox, die zeigt dann 
die Daten an die man im Smartphone eingeben muss.

[Peter N. (alv)]

Patrick L. schrieb:
> Peter N. schrieb:
>> Zugriff über Portfreigabe funktioniert nicht. Vermutlich weil die Ports
>> auf dem Fern-PC nicht frei sind. Wie kann ich rausfinden, welche Ports
>> ich auf dem Fern-PC nutzen kann?
>
> mit IP-Scan. zum Beispiel. ;-)
IP-Scan oder Port-Scan?
Ich habe mal den "Advanced Port-Scan" auf dem Fern-PC laufen lassen.
Der zeigt einige "Anschlüsse" (wohl die Ports) an, aber das hilft mir 
nicht weiter...
Über Port 8080 erreiche ich meine 6490, also ist dieser frei, angezeigt 
wird der aber nirgends. Mit anderen, nicht angezeigten Ports, und auch 
mit dort angezeigten Ports funktioniert die Portfreigabe nicht (und ich 
kann ja schlecht alle 65536 mögliche Ports durchprobieren).

Johannes S. schrieb:
> Wenn das VPN verbunden ist kannst du auf deine Geräte wie im lokalen
> Netz zugreifen.

Ich habe mal genau der Fritz-Anleitung eine VPN-Verbindung eingerichtet, 
und es funktioniert - nicht!

In der 6490 hat die VPN-Verbindung einen grauen Punkt (dieser müßte doch 
grün sein?) und das Journal des FRITZ!Fernzugangs sagt etwas von IKE 
Fehler 1

[Markus M. (Firma: EleLa - www.elela.de) (mmvisual)]

Falls der VPN Zugang etwas kosten darf:

https://www.wachendorff-prozesstechnik.de/produktgruppen/fernwartung-und-fernwirken/produkte/flexy/eWON-Flexy-205-fernwartungsrouter/

Von Wachendorff gibt es ein "E-Won Flexy", mit dem kann man eine VPN 
Verbindung in sein Heim Netzwerk aufbauen und hat damit vollständigen 
Zugriff auf alle Geräte im Heim Netzwerk.
Man verbindet sich damit und es ist so als ob man sich per Netzwerkkabel 
direkt zu hause befindet.
Dieser VPN Router wird in der Industrie eingesetzt, daher nicht ganz 
billig, dafür gut, es gibt auch gute Doku dazu.

[Chris K. (kathe)]

Peter N. schrieb:
> Ich habe mal genau der Fritz-Anleitung eine VPN-Verbindung eingerichtet,
> und es funktioniert - nicht!
>
> In der 6490 hat die VPN-Verbindung einen grauen Punkt (dieser müßte doch
> grün sein?) und das Journal des FRITZ!Fernzugangs sagt etwas von IKE
> Fehler 1

Also User mit VPN Zugang auch aus dem Internet erlaubt und
VPN  VPN-Verbindungen zur FRITZ!Box können hergestellt werden. 
aktiviert ?
Unter Internet Freigaben VPN eine VPN verbindung aktiv ?

Die VPN einstellungen öffnen und in das Handy eingeben.
Hast du in den Einstellungen eine Server Adresse ?
Zum testen darf das Handy nicht über WLAN im Heimnetz sein.

IKE 1 Fehler
https://ch.avm.de/service/wissensdatenbank/dok/FRITZ-Box-7560/3632_FRITZ-Fernzugang-meldet-Im-IKE-Modul-ist-der-Fehler-1-aufgetreten/

Soweit ich weiss bekommst du mit MyFritz auch eine Dyndns adresse.

[900ss (900ss)]

Wenn du die VPN Verbindung hergestellt hast, dann befindest du dich in 
deinem Hausnetz. So als wenn du zu Hause z.B. per WLAN verbunden bist. 
Es ist das einfachste. Da brauchst du nichts mit Fernzugang einrichten. 
Nur das VPN.

[Peter N. (alv)]

Eingerichtet wie in den Fritzanleitungen ist alles.
In der Fritzbox unter "Verbindungen" wird "Fernzugang User" angezeigt, 
aber mit grauen Punkt.

Den Fritz-Fernzugang hab ich nochmal de- und neu installiert, keine 
Änderung.

Ich habe auch den "Shrew Soft VPN Client" probiert. Da kommt nach 
"bringing up tunnel..." "negotiaton timeout occured".

Ich gehe jetzt davon aus, VPN so nicht auf dem Fern-PC funktioniert.

Damit sind wir wieder bei Portfreigaben...

[Johannes S. (Gast)]

Peter N. schrieb:
> In der Fritzbox unter "Verbindungen" wird "Fernzugang User" angezeigt,
> aber mit grauen Punkt

ja, grau, weil der Benutzer nicht verbunden ist. Wenn der Benutzer mit 
dem VPN verbunden ist wird der Punkt grün.

Der Shrewsoft Client ist grottenalt, da ist die Frage ob der mit 
modernem Windows überhaupt noch läuft.

Mit 'Fernzugang einrichten' wird der Benutzer angelegt und das 
Schlüsselpaar public/private erzeugt um es dem Benutzer einfach zu 
machen.
Für den VPN Zugriff selber ist dann der AVM VPN Client zuständig. Habe 
ich unter Windows jetzt auch schon lange nicht mehr benutzt, aus einem 
Firmennetz heraus hat das z.B. auch nicht funktioniert.

[Peter N. (alv)]

Scheinbar gibt es eingehende und ausgehende Ports.
Um auf mein Heimnetz vom Fern-PC per Portweiterleitung zuzugreifen, 
müßte ich wissen, welche ausgehenden Ports am Fern-PC frei sind.
Wie kann ich das feststellen?

[Cyblord -. (cyblord)]

Peter N. schrieb:
> Um auf mein Heimnetz vom Fern-PC per Portweiterleitung zuzugreifen,
> müßte ich wissen, welche ausgehenden Ports am Fern-PC frei sind.
> Wie kann ich das feststellen?

Unsinn. Ausgehende Ports sind unwichtig. Der Ausgehende Port wird 
automatisch ausgewählt.
Wichtig sind die Zielports.
Wichtig ist dass der Zielport erreichbar ist und per NAT auf den 
korrekten Rechner in deinem Netzwerk weitergeleitet wird.

[Pepe T. (pepe_t)]

Cyblord -. schrieb:
> per NAT auf den
> korrekten Rechner in deinem Netzwerk weitergeleitet wird.

Ich könnte das hier demonstrieren und port 80 auf den esp8266 im 
heizraum weiterleiten, aber dann würden die mir mit dauer ein/aus die 
wärmepumpe kaputtmachen :)

[DANIEL D. (Gast)]

Pepe T. schrieb:
> Ich könnte das hier demonstrieren und port 80 auf den esp8266 im
> heizraum weiterleiten, aber dann würden die mir mit dauer ein/aus die
> wärmepumpe kaputtmachen :)

Stelle man sich mal vor man müsste sein Haus so absichern, wie seinen PC 
im Internet. Einen VPN muss ich auch unbedingt mal einrichten, jetzt 
hänge ich fest und habe keinen zugriff auf das Nas. Wenigsten ist meine 
Datensammlung was das Bastelprojekte Zeug angeht so klein das man sie 
auf dem Laptop gespiegelt hat. Und für Kamera und Co werden halt wie 
oben erwähnt Portweiterleitungen benutzt.

[Pepe T. (pepe_t)]

DANIEL D. schrieb:
> hänge ich fest und habe keinen zugriff auf das Nas

Was ist denn passiert? Quarantäne oder so?
Bei uns in CH wurden soeben alle massnahmen aufgehoben.

[Peter N. (alv)]

Cyblord -. schrieb:
> Unsinn. Ausgehende Ports sind unwichtig. Der Ausgehende Port wird
> automatisch ausgewählt.
> Wichtig sind die Zielports.

Unter "ausgehenden Port" verstehe ich den, der auf dem Fern-PC hinter 
dem Doppelpunkt der WAN-Adresse meines Heim-Routers angegeben wird, und 
in diesem Router per Portweiterleitung auf den Zielport (80) umgeleitet 
wird.

[DANIEL D. (Gast)]

Pepe T. schrieb:
> Was ist denn passiert? Quarantäne oder so?
> Bei uns in CH wurden soeben alle massnahmen aufgehoben.

Mir gings nicht gut (Morbus Crohn bedingte Entzündungen) und ich habe 
mir gehörig zeit gelassen mit dem Arztbesuch, schlechte erfahrungen usw. 
Naja der Arzt (ein neuer wo ich jetzt sehr zufrieden bin) dann so, nee 
das geht so nicht nächste Woche Darmspiegel, Darmspiegelung rum, alles 
kaputt, Krankhaus bitte im laufe des Tages. Und jetzt werde ich mit 60mg 
Kortison aufgeladen, auf 48Kg Körpergewicht, zusätzlich tacrolimus? Ich 
will nicht wissen was es ist. Und meine Kräuter eigenberuhigunszusatz 
Therapie wird auch akzeptiert deswegen sehe ich das auch alles sehr 
entspannt.

[Pepe T. (pepe_t)]

DANIEL D. schrieb:
> Kräuter eigenberuhigunszusatz Therapie

LOL. Man sagt das hilft.

[Cyblord -. (cyblord)]

Peter N. schrieb:

> Unter "ausgehenden Port" verstehe ich den, der auf dem Fern-PC hinter
> dem Doppelpunkt der WAN-Adresse meines Heim-Routers angegeben wird, und
> in diesem Router per Portweiterleitung auf den Zielport (80) umgeleitet
> wird.

Diese Definition ist falsch. Verwende die korrekte Terminologie bei NAT: 
Quellport und Zielport.

Der Router bekommt eine Anfrage auf der WAN IP an den Quellport und 
leitet sie an eine lokale IP und den Zielport weiter.

Klar kannst du jeden Quellport nur einmal angeben. Mehr muss man aber 
nicht beachten.
Mir ist nicht klar was du prüfen willst oder was da nicht mehr frei sein 
soll?

[Dirk B. (dirkb2)]

Cyblord -. schrieb:
> Der Router bekommt eine Anfrage auf der WAN IP an den Quellport und
> leitet sie an eine lokale IP und den Zielport weiter.

Noch als Anmerkung für den TO
Quellport und Zielport müssen nicht identisch sein.

Man kann von verschiedenen Quellports auf gleiche Zielports an 
verschiedenen IP (Geräte) weiter leiten.

[Peter N. (alv)]

Cyblord -. schrieb:
> Mir ist nicht klar was du prüfen willst oder was da nicht mehr frei sein
> soll?

Es scheint, daß die meisten Quellports auf dem Fern-PC bzw. dessen 
Netzwerk gesperrt sind.
Ich suche nun eine Methode um rauszufinden, welche Quellports noch offen 
sind.

[Cyblord -. (cyblord)]

Peter N. schrieb:
> Es scheint, daß die meisten Quellports auf dem Fern-PC bzw. dessen
> Netzwerk gesperrt sind.

Diese Aussage ist nicht zu verstehen. Quellport muss auf dem Router 
offen sein. Nicht auf dem Fern-PC.

[Peter N. (alv)]

Ok, mal ganz genau:

Ich richte in meiner Fritzbox eine Portweiterleitung ein: IP 
192.168.0.40, externer Port 5000, Port am Gerät 80.

Ich gebe auf dem Fern-PC im Browser Meine.WAN.IP:5000 ein - und lande 
auf dem Webinterface von Gerät 192.168.0.40 meines Heimnetzes.
Also so wie es sein soll.

Nun richte ich in meiner Fritzbox eine Portweiterleitung ein: IP 
192.168.0.40, externer Port 5001, Port am Gerät 80 (die vorherige 
Portweiterleitung natürlich  gelöscht).

Ich gebe auf dem Fern-PC im Browser Meine.WAN.IP:5001 ein - und bekomme 
keine Verbindung zur Seite.
Woran soll das liegen, wenn nicht Port 5001 am Fern-PC gesperrt ist?

[Dirk B. (dirkb2)]

Peter N. schrieb:
> Ich gebe auf dem Fern-PC im Browser Meine.WAN.IP:5001 ein - und bekomme
> keine Verbindung zur Seite.
> Woran soll das liegen, wenn nicht Port 5001 am Fern-PC gesperrt ist?

Hast du das mal vom Handy und/oder Tablet probiert?
Oder vom lokalen PC über die WAN-Adresse?

[Cyblord -. (cyblord)]

Peter N. schrieb:
> Ich gebe auf dem Fern-PC im Browser Meine.WAN.IP:5001 ein - und bekomme
> keine Verbindung zur Seite.
> Woran soll das liegen, wenn nicht Port 5001 am Fern-PC gesperrt ist?

Es gibt keinen Grund warum 5000 geht und 5001 nicht. Vor allem 
ausgehend. Du kannst aber in der Firewall des Fern-PCs die benutzen 
Ports mal explizit freigeben und schauen ob es was ändert.

Ich halte es aber für wahrscheinlicher dass der Router 5001 aus 
irgendeinem Grund sperrt. Da drin gibts auch oft Firewalls.
Um welche Ports geht denn genau? Sind die Ports 5000/50001 echt oder 
Beispiele?

[Peter N. (alv)]

Dirk B. schrieb:
> Hast du das mal vom Handy und/oder Tablet probiert?
> Oder vom lokalen PC über die WAN-Adresse?

Vom Heim-PC über WAN-Adresse funktioniert es wie es soll, auch über 
einen anderen PC mit einfacher Intenet-Anbindung.

[(prx) A. K. (prx)]

Vielleicht hilft dir diese Seite, um rauszufinden, ob der Client mit den 
gewünschten Ports überhaupt aus seiner Gummizelle rauskommt: 
http://portquiz.net/

[Peter N. (alv)]

Cyblord -. schrieb:
> Es gibt keinen Grund warum 5000 geht und 5001 nicht. Vor allem
> ausgehend. Du kannst aber in der Firewall des Fern-PCs die benutzen
> Ports mal explizit freigeben und schauen ob es was ändert.

Auf die Firewall des Fern-PC/-Netzes habe ich keinen Zugriff, daran kann 
ich nichts ändern.

Cyblord -. schrieb:
> Um welche Ports geht denn genau? Sind die Ports 5000/50001 echt oder
> Beispiele?

Sowohl, als auch. Die 5000er Ports funktionieren am Fern-PC nicht, 
zuhaus schon,
ein anderer Port funktioniert am Fern-PC, der unmittelbar nachfolgende 
Port wieder nicht.

[(prx) A. K. (prx)]

Peter N. schrieb:
> Auf die Firewall des Fern-PC/-Netzes habe ich keinen Zugriff, daran kann
> ich nichts ändern.

Ist das rein zufällig ein Unternehmensnetz? In dem Fall wäre ich an 
deiner Stelle etwas vorsichtig beim unabgestimmten rumprobieren. Könnte 
sein, dass die IT das nicht gerne sieht.

Cyblord -. schrieb:
> Es gibt keinen Grund warum 5000 geht und 5001 nicht.

Wenn - anders als beim üblichen Homerouter - eine ernsthafte Firewall 
auch ausgehend initiierten Traffic unter Kontrolle hält, dann kann es 
durchaus Gründe geben, weshalb manche Ports evtl auch in Betrachtung mit 
Anwendungen und Inhalten als koscher gesehen werden, und andere nicht.

Wobei wohl auch AVMs "Kindersicherung" Ports einschränken kann, wenn 
entsprechend eingestellt.

[Frank E. (Firma: Q3) (qualidat)]

Also wenn jemand behauptet, VPN mit einer Fritzbox funktioniere nicht, 
dann macht er definitiv etwas falsch. Ich habe im Laufe der letzten 
Jahre dutzende VPN-Verbindugnen eingerichtet und ausser hier und da mal 
wegen eines Tippfehlers ... es funktioniert definitiv immer (wenn die 
Randbedingungen zutreffen):

- die Fritzbox, die den VPN-Zugang bereitstellt, verfügt über eine 
öffentliche IP.V.4-Adresse

- der sich verbindene PC/Laptop muss diese IP-Adresse kennen bzw. es 
muss ein DynDNS-Dienst oder das AVM-eigene myfritz.net eingerichtet sein

- in der Fritzbox muss ein Benutzer eingerichtet werden, mit Username, 
Passwort und der Berechtigung, VPN zu nutzen. Die Fritzbox generiert 
eigenständig ein sog. "Secret", eine Art zusätzliches Passwort, was man 
später ebenfalls zur Einrichtung auf dem Client benötigt.

- soll ein Apple Macintosh (Desktop oder Laptop) oder ein iOS-Gerät 
(iPad, iPhone) die Verbindung aufbauen, wird keine zusätzliche Software 
auf dem Client benötigt, das geht mit Bordmitteln (VPN Typ Cisco IPSec).

- für Windows (von mir selbst getestet) funktioniert bis einschließlich 
Win11 bis heute der kostenlos ladbare ShrewSoft VPN-Client. Dieser muss 
in der Standardversion (nix Pro) instaliert werden. Die genaue Anleitung 
findet man auf den Seiten von AVM.

- durch den Aufbau einer VPN-Verbindung versetzt sich der Client logisch 
in die gleiche Lage, als befände er sich direkt im verbunden LAN. Ein 
IP-Scanner kann lediglich die MAC-Adressen der Geräte im LAN nicht 
anzeigen, weil die nicht durch den Router gelangen ...

[Oliver S. (phetty)]

Frank E. schrieb:
> - die Fritzbox, die den VPN-Zugang bereitstellt, verfügt über eine
> öffentliche IP.V.4-Adresse

Das ist leider wirklich eine Einschränkung und irgendwie aus der Zeit 
gefallen.
Allerdings setzt AVM demnächst (?!) bei VPN auf Wireguard und damit 
sollte das IP4-Geeiere endlich ein Ende haben.

[(prx) A. K. (prx)]

Interessanterweise gibts dann nicht nur Wireguard, sondern auch 
"IPv4-VPN-Verbindungen (IPSec) können über IPv6 getunnelt werden, etwa 
zur Erreichbarkeit von FRITZ!Box-Produkten an DS-Lite-Anschlüssen 
(IPv6-Tunnel für IPv4, IPv4-in-IPv6)" (O-Ton AVM zur 7.39)

Klingt irgendwie nach Gürtel und Hosenträger. War genug Druck in der 
Hose, um vorsichtshalber beide Wege zu gehen?

Oder kann es sein, dass man mit Wireguard (kenne ich nicht selbst) zwar 
eine IPv6-VPN hinbekommt, aber mit einem reinen IPv4-Gerät im Heimnetz 
trotzdem dumm dasteht.

[Peter N. (alv)]

Frank E. schrieb:
> Also wenn jemand behauptet, VPN mit einer Fritzbox funktioniere nicht,
> dann macht er definitiv etwas falsch. Ich habe im Laufe der letzten
> Jahre dutzende VPN-Verbindugnen eingerichtet und ausser hier und da mal
> wegen eines Tippfehlers ... es funktioniert definitiv immer (wenn die
> Randbedingungen zutreffen):

Alle angegebenen Randbedingungen treffen zu.
Es gibt aber noch weitere: Für VPN werden noch die Ports 500 und 4500 
benötigt Diese sind auf dem Fern-PC ausgehend zu. Also ist Fritz-VPN 
wohl nicht möglich.

[(prx) A. K. (prx)]

Peter N. schrieb:
> Für VPN werden noch die Ports 500 und 4500
> benötigt Diese sind auf dem Fern-PC ausgehend zu.

Also Unternehmens- oder Behördennetz? China?

[Peter N. (alv)]

Etwas anderes:
Lokaler Zugriff auf meinen SAT-Receiver (VU+ Solo4k) per IP auf das 
Webinterface funktioniert.
Versuche ich über das Internet darauf zuzugreifen (auch vom Heim-PC), 
kommt die Meldung: "403.6 IP address rejected".
Woran kann das liegen?
Eine Besonderheit der Solo4k: Sie befindet sich nicht in der 
Arbeitsgruppe "Workgroup" sondern in "Vuplus".

[Dirk B. (dirkb2)]

Die Workgroup hat nur was mit der Windows- Dateifreigabe (SMB) zu tun.

Aber was hindert dich daran, mal „VU+ 403.6“ in google einzutippen.
Ja, eintippen, kein C&P, dann schlägt schon die Autovervollständigung 
zu.

[Peter N. (alv)]

Dirk B. schrieb:
> Aber was hindert dich daran, mal „VU+ 403.6“ in google einzutippen.

Gute Idee...
Ich hatte nach "403.6" gegoogelt, aber die Ergebnisse waren für mich 
unverständlich...

Nun will die Solo4k sowohl Lokal als auch vom Internet Username und 
Passwort - nur welche?

[Stephan S. (uxdx)]

Eine weitere sehr sichere Möglichkeit auf ein Heimnetz zuzugreifen ist 
SSH. Das gibt es bei Linux schon "seit ewig" und bei Windows seit W10.

Man braucht auf der Serverseite den openssh-Server und auf Clientseite 
den openssh-Client oder Win-fsp und Win-sshfs. Die Verbindung wird über 
SSH getunnelt, am Router muss daher eine Portweiterleitung für den 
WAN-Port 22 auf den Server Port 22 angelegt werden. SSH kann man mit 
Username und Passwort benutzen, ich rate jedoch dringend davon ab und 
würde unbedingt das PublicKey-Verfahren nutzen, in den Einstellungen für 
den ssh-Server sollte man dann auch das User/Passwort-Verfahren 
abschalten und auch das Einloggen für Root. Anleitungen gibt es bei den 
bekannten Suchmaschinen.