Internetzugriff von außen auf vodafone Station -> fritzbox

[Zo R. (hsch1978)]

Hallo und guten Abend,

ich möchte auf meiner fritzbox 4040 von außen zugreifen können. Ich habe 
einen vodafone Internetzugang mit einer vodafone Station. Die Fritzbox 
ist an der vodafone Station angeschlossen. Auf der Webseite selfhost.de 
kann eine DynDns Zugang kostenlos erstellt werden. Nun zu meinen Fragen:

1) Die Zugangsdaten von selfhost.de müssen diese in der vodafone Station 
Maske unter DynDns eingetragen werden?
2) Welche Einstellungen muss ich an der Fritzbox vornehmen? Muss ich 
auch hier in der DynDns Eingabemaske die Daten von selfhost.de 
eingetragen?
3) Im Haus erfolgt die WLAN Kommunikation über die fritzbox. Der 
raspberry Pi Zero ist mit diesen WLAN verbunden. Wie kann ich zum 
Beispiel Temperaturdaten oder ein Kamerabild ausgeben?

[Harald K. (kirnbichler)]

Zo R. schrieb:
> 1) Die Zugangsdaten von selfhost.de müssen diese in der vodafone Station
> Maske unter DynDns eingetragen werden?

Das ist anzunehmen.

Wenn Dein Vodafone-Anschluss allerdings keine öffentliche IP-Adresse 
bekommt, sondern CGNAT nutzt, endet die Geschichte auch schon an diesem 
Punkt.

Zusätzlich wirst Du Port 443 auf die IP-Adresse der Fritzbox 
weiterleiten müssen.

Zo R. schrieb:
> Die Fritzbox ist an der vodafone Station angeschlossen.

Und warum? Welches Problem soll das lösen?

Zo R. schrieb:
> 2) Welche Einstellungen muss ich an der Fritzbox vornehmen?

Du musst in der Fritzbox  Zugriff auf die Fritzbox-Oberfläche über das 
Internet freischalten.

Das ist aus guten Gründen normalerweise deaktiviert.

> Muss ich auch hier in der DynDns Eingabemaske die Daten von selfhost.de
> eingetragen werden?

Nein, denn die Fritzbox hängt gar nicht im Internet. Sie erhält von der 
Vodafone-Kiste eine IP-Adresse.

In der Fritzbox musst Du auch keine Internetzugangsdaten einstellen, ein 
etwaiges DSL-Modem bleibt inaktiv.


Was ist der tiefere Hintergrund für diese Routerkaskade?

[Zo R. (hsch1978)]

Die Vodafone Station befindet sich im Keller wo auch das Vodafone Kabel 
reinkommt. Im Erdgeschoss steht unsere Fritzbox diese ist mit einem 
Ethernetkabel an der vodafone Station angeschlossen

[Zo R. (hsch1978)]

Woher weiß ich ob CGNAT aktive oder nicht aktiv ist?

Wo genau muss ich den Port 443 eintragen? In der Vodafone Station?

[Harald K. (kirnbichler)]

Zo R. schrieb:
> Die Vodafone Station befindet sich im Keller wo auch das Vodafone Kabel
> reinkommt. Im Erdgeschoss steht unsere Fritzbox diese ist mit einem
> Ethernetkabel an der vodafone Station angeschlossen

Das mag ja so sein, macht diese Konstruktion aber keinen Deut 
sinnvoller.

Zo R. schrieb:
> Woher weiß ich ob CGNAT aktive oder nicht aktiv ist?

Ruf mit einem Webbrowser z.B. https://wieistmeineip.de auf und sieh Dir 
an, was Dir da angezeigt wird.

Gibt es eine IPv4-Adresse?

[(prx) A. K. (prx)]

Zo R. schrieb:
> Woher weiß ich ob CGNAT aktive oder nicht aktiv ist?

Wenn nicht aus Altbestand übrig, sind Privatkundenanschlüsse bei 
Vodafone wohl DS lite, also mit CGNAT ohne eigene IPv4-Adresse. Die 
brauchen die paar Adressen für Business-Anschlüsse. Dann besteht 
allenfalls die Möglichkeit, per IPv6 zu verbinden.

[Dieter D. (dieter_dosenkohl)]

Du willst von außen auf die FRITZBOX zugreifen? Davon ist abzuraten. 
Oder willst du von außen auf einen Dienst auf dem RPi zugreifen? Mein 
Tipp, und das ist nicht böse gemeint: Da dir schon das ganz grundlegende 
Basiswissen fehlt, lass es lieber. Du hast keine Ahnung wie du den 
Zugang so absicherst, dass niemand mal eben Unfug in deinem Netzwerk / 
mit deinen Daten treibt.

[Re D. (Gast)]

Dieter D. schrieb:
> Du willst von außen auf die FRITZBOX zugreifen? Davon ist abzuraten.

Das ist doch Schwachsinn. Und es gibt verschiedene Möglichkeiten, ich 
würde es über vpn lösen.

[Zo R. (hsch1978)]

Warum Schwachsinn. Die Vodafone Kiste befindet sich halt im Keller.

[Christopher B. (chrimbo)]

Die Konstellation mit VF Box und FB hatte ich auch so, einfach weil die 
VF Box der letzte Mist ist. An der FB hingen bei mir noch Telefone 
(DECT) und Thermostate etc. Wollte mir ungern eine FB cable kaufen, vor 
allem weil bei VF eine IPv4 nur gegen Aufpreis möglich ist (war?).
Bin nach zwei Jahren froh gewesen endlich wieder aus dem Kabelvertrag 
raus zu sein und habe seit dem wieder DSL. Das wird mir für immer eine 
Lehre gewesen sein.

Zum Thema, ich habe keine Möglichkeit gefunden wie man von außen auf die 
FB kommt, ausser vom PC zu einem Server einen SSH tunnel aufzubauen. 
Aber ist jetzt auch schon 3 Jahre her.

Viel Erfolg!

[(prx) A. K. (prx)]

VF verkauft auch mit IPv4, als Business-Anschluss. Haben wir ein paar 
davon, mit Fritz direkt am Koax. Wo es kein brauchbares DSL gibt.

[Zo R. (hsch1978)]

Es handelt sich bei mir um eine IPv4 Adresse. IPv6 ist nicht vorhanden.
Hab folgenden Link ausgeführt: https://wieistmeineip.de

Ich habe bei uns Zuhause Funksteckdosen von Hama. Und mit der Hama App 
kann ich außerhalb auf unsere Funksteckdosen zugreifen.

Ist der Weg mit DynDns wirklich abzuraten? Wie würde das mit VPN 
funktionieren?

[(prx) A. K. (prx)]

Zo R. schrieb:
> Es handelt sich bei mir um eine IPv4 Adresse. IPv6 ist nicht vorhanden.

Wie alt?

[Zo R. (hsch1978)]

Die IPv4 Adresse habe ich heute Morgen mit dem Link ermittelt.

[(prx) A. K. (prx)]

Zo R. schrieb:
> Ich habe bei uns Zuhause Funksteckdosen von Hama. Und mit der Hama App
> kann ich außerhalb auf unsere Funksteckdosen zugreifen.

Und die arbeitet mit direkter Verbindung zum Hausnetz? IoT Steuerungen 
arbeiten häufig über die Cloud, d.h. das Gerät wird nicht von außen 
direkt angesprochen, sondern hält Kontakt mit einem Cloud-Server, der 
auch von der App angesprochen wird. Nicht zuletzt, weil ebendies bei 
jedem Haushalt funktioniert.

[(prx) A. K. (prx)]

Zo R. schrieb:
> Die IPv4 Adresse habe ich heute Morgen mit dem Link ermittelt.

:) Wann wurde der Anschluss eingerichtet?

[Zo R. (hsch1978)]

Wenn ich auf meiner fritzbox einen VPN Zugang einrichte, kann ich dann 
auch auf meine Netzwerkkomponenten (raspberry pi) zugreifen?

https://www.youtube.com/watch?v=j7EuQQ1aIgI

Wann wurde der Anschluss eingerichtet? Hmmm...das ist schon Jahre her. 
Genau weiß ich das nicht.

[Zo R. (hsch1978)]

(prx) A. K. schrieb:
> Zo R. schrieb:
>> Ich habe bei uns Zuhause Funksteckdosen von Hama. Und mit der Hama App
>> kann ich außerhalb auf unsere Funksteckdosen zugreifen.
>
> Und die arbeitet mit direkter Verbindung zum Hausnetz? IoT Steuerungen
> arbeiten häufig über die Cloud, d.h. das Gerät wird nicht von außen
> direkt angesprochen, sondern hält Kontakt mit einem Cloud-Server, der
> auch von der App angesprochen wird. Nicht zuletzt, weil ebendies bei
> jedem Haushalt funktioniert.

Trotzdem müssen ja die Daten irgendwie durchgetunnelt werden.
Wie sieht das schematisch aus.

[Np R. (samweis)]

Besorge Dir einen günstigen VPS mit irgendeinem Linux. Auf dem VPS lässt 
Du alle Ports zu bis auf z.B. 51820/udp.
Installiere Wireguard auf dem VPS und verbinde Deinen Raspi via 
Wireguard.
Dann kannst Du (und nur Du!) Dich von irgendwo via Internet/Wireguard 
mit dem Raspi verbinden.
Das wäre eine Lösung für Dein Problem.

Es sei denn, Du möchtest, dass  Dein Raspi für jedermann erreichbare 
Services im Internet anbieten soll. Davon würde ich aber bei Deinem 
Kenntnisstand die Finger lassen.

[(prx) A. K. (prx)]

Zo R. schrieb:
> Trotzdem müssen ja die Daten irgendwie durchgetunnelt werden.
> Wie sieht das schematisch aus.

Auf höherer Ebene. Das IoT Gerät hält permanenten oder zyklischen 
Kontakt mit dem Server in der Cloud, und der reicht Anfragen und 
Kommandos der App durch. Bei einer batteriebetriebenen WLAN-Funkstation, 
die nur stündlich in der Cloud vorbei schaut, kann das entsprechend 
dauern (z.B. Temperatur).

[Zo R. (hsch1978)]

Wenn ich mich mit dem VPN entscheide, müsste ich die Einrichtung an der 
Fritzbox oder an der vodafone Station vornehmen?

[Harald K. (kirnbichler)]

Zo R. schrieb:
> Wenn ich mich mit dem VPN entscheide, müsste ich die Einrichtung an der
> Fritzbox oder an der vodafone Station vornehmen?

An beidem, und zwar wie folgt:

An der Vodafone-Kiste musst Du den DynDNS-Teil erledigen und eine 
Portweiterleitung für alle VPN-Dienste auf die Fritzbox einrichten.

Auf der Fritzbox musst Du das VPN konfigurieren; die meisten Fritzboxen 
unterstützen zwei unterschiedliche Protokolle, das alte ipsec-VPN und 
Wireguard.

Keines dieser VPNs lässt sich ohne zusätzliche Software von einem 
Windows-Client nutzen, für das alte ipsec-Protokoll empfiehlt sich die 
grässlich zu konfigurierende Software "Shrewsoft", da das von AVM selbst 
angebotene Produkt noch unbrauchbarer ist.

Dafür hat ipsec den Vorteil, daß es von allen anderen Betriebssystemen 
nativ unterstützt wird, d.h. Linux, macOS, Android, iOS können 
problemlos eine VPN-Verbindung zur Fritzbox aufbauen.

Wireguard ist moderner, deutlich schneller, aber erfordert immer eine 
eigene Clientsoftware.

Du musst aufpassen, daß das lokale Netzwerk der Fritzbox in einem 
anderen Adressbereich liegt als das der Vodafone-Box, sonst wird es 
hübsche Verknotungen geben.

[Zo R. (hsch1978)]

Harald K. schrieb:
> Zo R. schrieb:
>> Wenn ich mich mit dem VPN entscheide, müsste ich die Einrichtung an der
>> Fritzbox oder an der vodafone Station vornehmen?
>
> An beidem, und zwar wie folgt:
>
> An der Vodafone-Kiste musst Du den DynDNS-Teil erledigen und eine
> Portweiterleitung für alle VPN-Dienste auf die Fritzbox einrichten.

Muss ich zuvor zum Beispiel mit Selfhost.de eine DynDns beantragen?

> Auf der Fritzbox musst Du das VPN konfigurieren; die meisten Fritzboxen
> unterstützen zwei unterschiedliche Protokolle, das alte ipsec-VPN und
> Wireguard.

Die VPN Konfiguration müsste ich dann wie oben im YouTube Link gezeigt 
einrichten.

> Keines dieser VPNs lässt sich ohne zusätzliche Software von einem
> Windows-Client nutzen, für das alte ipsec-Protokoll empfiehlt sich die
> grässlich zu konfigurierende Software "Shrewsoft", da das von AVM selbst
> angebotene Produkt noch unbrauchbarer ist.
>
> Dafür hat ipsec den Vorteil, daß es von allen anderen Betriebssystemen
> nativ unterstützt wird, d.h. Linux, macOS, Android, iOS können
> problemlos eine VPN-Verbindung zur Fritzbox aufbauen.
>
> Wireguard ist moderner, deutlich schneller, aber erfordert immer eine
> eigene Clientsoftware.
>
> Du musst aufpassen, daß das lokale Netzwerk der Fritzbox in einem
> anderen Adressbereich liegt als das der Vodafone-Box, sonst wird es
> hübsche Verknotungen geben.

[Oliver S. (oliverso)]

Zo R. schrieb:
> Muss ich zuvor zum Beispiel mit Selfhost.de eine DynDns beantragen?

Gegenfrage: Kann deine Vodafone-Box mit DynDNS bei selfhost.de umgehen?

Oliver

[Harald K. (kirnbichler)]

Zo R. schrieb:
> Muss ich zuvor zum Beispiel mit Selfhost.de eine DynDns beantragen?

Natürlich brauchst Du einen DynDns-Anbieter.

Zo R. schrieb:
> Die VPN Konfiguration müsste ich dann wie oben im YouTube Link gezeigt
> einrichten.

Weiß ich nicht, habe ich mir nicht angesehen und werde ich mir nicht 
ansehen.

Die Fritzbox selbst hat eine Konfigurationsoberfläche, über die ein VPN 
konfiguriert werden kann; Anleitungen dazu findest Du hier:

https://avm.de/service/vpn/

Dringend abzuraten ist von der von AVM zur Verfügung gestellten 
Software "Fritz!Fernzugang" und dem Einrichtungsassistenten. Dieses 
archaische Verfahren stammt noch aus der Zeit, als Fritzboxen keine 
Konfigurationsoberfläche für VPNs besaßen, und erzeugten 
Konfigurationsdateien, die man dann in die Fritzbox laden musste.

Großer Nachteil: Ein so konfiguriertes VPN lässt sich mit nichts anderem 
als dem AVM-eigenen "Fernzugang" verwenden.

[(prx) A. K. (prx)]

Harald K. schrieb:
> Natürlich brauchst Du einen DynDns-Anbieter.

Auch hier ist man im Vorteil, wenn man keine Connect Box einsetzt, 
sondern eine Fritzbox direkt verbindet. Denn AVM bietet bereits ein gut 
funktionierendes und in der Box direkt konfigurierbares DynDNS über 
myfritz.net.

[Harald K. (kirnbichler)]

Naja, die kryptischen myfritz-Namen à la abcdef123ghijklm.myfritz.net 
würde ich nur als Notlösung betrachten.

Selfhost erlaubt die Auswahl einer Subdomain unter "selfhost.co", d.h. 
so etwas wie "ewald-globke.selfhost.co". Kann man sich leichter merken.


Mir ist es die ca. 5 Euro im Jahr wert, eine .de-Domain nebst von mir 
frei konfigurierbarem DNS-Server zu betreiben, damit versorge ich in der 
Familie alle DynDns-Belange und andere Dinge, für die eine eigene Domain 
nebst DNS praktisch ist. Ich nutze dafür joker.com, aber ich bin mir 
sicher, daß es da auch andere, vergleichbare Anbieter gibt.

[(prx) A. K. (prx)]

Harald K. schrieb:
> Naja, die kryptischen myfritz-Namen à la abcdef123ghijklm.myfritz.net
> würde ich nur als Notlösung betrachten.

Das Clipboard wurde bereits vor langer Zeit erfunden. Ja, sieht nicht 
schön aus, aber kostenlose DynDNS-Anbieter pflegen in meiner Erfahrung 
auch irgendwelche Pferdefüsse zu haben, nur halt andere.

[Frank O. (frank_o)]

Mit WireGurad komme ich immer auf meine FB und kann die üblichen 
Heimnetz Adressen ansprechen.
Allerdings schalte ich das nur bei bedarf am Telefon an, weil sonst der 
Anroid Adapter im Auto nicht funktioniert.

Vielleicht wäre das eine Option?

[Harald K. (kirnbichler)]

(prx) A. K. schrieb:
> Das Clipboard wurde bereits vor langer Zeit erfunden.

Wow, was für eine schlaue Erkenntnis.

> Ja, sieht nicht schön aus, aber kostenlose DynDNS-Anbieter pflegen
> in meiner Erfahrung auch irgendwelche Pferdefüsse zu haben,
> nur halt andere.

Da auch AVM hier kostenloser DynDns-Anbieter ist, sehe ich auch hier 
einen Pferdefuß, nämlich die willkürlich zugewiesenen Namen. Und meine 
Lösung damit umzugehen, habe ich auch beschrieben. Funktioniert ohne 
Clipboard. Ist halt nicht kostenlos, aber deutlich günstiger als z.B. 
der gerade von der Briefpost beworbenen Briefe-Scan-Service, oder 
irgendein Streaming-Anbieter, oder wofür sonst sich die Menschheit ein 
Abo anlacht.

[Zo R. (hsch1978)]

Oliver S. schrieb:
> Zo R. schrieb:
>> Muss ich zuvor zum Beispiel mit Selfhost.de eine DynDns beantragen?
>
> Gegenfrage: Kann deine Vodafone-Box mit DynDNS bei selfhost.de umgehen?
>
> Oliver

Ich habe in den Einstellungen in der vodafone Station nachgeschaut. Da 
kann in einer Kombobox "selfhost.de" ausgewählt werden. Also sollte das 
funktionieren.

[Oliver S. (oliverso)]

Zo R. schrieb:
> Ich habe in den Einstellungen in der vodafone Station nachgeschaut. Da
> kann in einer Kombobox "selfhost.de" ausgewählt werden. Also sollte das
> funktionieren.

Das ist dann doch schon mal ein erster Schritt vorwärts.
Empfehlenswert wäre da jetzt dann auch mal ein Blick ins Handbuch zu dem 
Thema. Ja, Anleitungen lesen ist furchtbar oldschool, hilft aber 
erstaunlicherweise öfter weiter, als man denkt.

Oliver