Kein Zugriff auf VM von außen möglich

[localhost]

Hallo zusammen,

nachdem meine DS918+ schon seit längerer Zeit über eine eigene Domain (ds.domain.de) erreichbar ist, VPN wunderbar klappt und auch ein Dokuwiki soweit wunderbar auf der Web Station läuft, wollte ich mal eine Alternative zum DokuWiki testen (Atlassian Confluence). Dazu habe ich Ubuntu 18.04.2 in einer VM installiert, PostgreSQL drauf, Confluence drauf, passt. Soweit, so gut.

Jetzt das Problem: Gerne würde ich von außerhalb auf die VM zugreifen können und das will einfach nicht funktionieren. Wir haben eine feste IP. Confluence läuft auf den Ports 8090/8091, die ich so auch von außerhalb in der FritzBox 7490 als Portfreigaben eingerichtet und an die IP der VM weitergeleitet habe. Passieren tut da allerdings nix, mein Browser zeigt mir nur die Fehlermeldung: "Website ist nicht erreichbar." Mit dem einen Unterschied, dass bei aktiver Portweiterleitung ERR_CONNECTION_RESET angegeben wird und bei deaktivierter ERR_CONNECTION_REFUSED. Helfen tut mir beides nicht.

Gleiches gilt übrigens auch für einen Docker-Container, mit dem ich es mal alternativ probiert habe. Ich bekomme nur die Verbindung zur DS (ds.domain.de:5000) hin und zum Dokuwiki (ds.domain.de:8888). Es war auch unwahrscheinlich einfach, das einzurichten. Jetzt würde ich ja verstehen, wenn Confluence 443 wollte und der eben von der Web-Station blockiert würde, aber 8090? Bei rDNS kann ich auch nichts eintragen, da die "Domain schon verwendet wird." Tolle Wurscht.

Da mir langsam die Psychopharmaka ausgehen würde ich mich freuen, wenn Ihr mir vielleicht unter die Arme greifen könntet.

Danke!

 

[meagain]

Firewall in der DSM nachgezogen?

 

[localhost]

Firewall in der DSM nachgezogen?

Ja, sogar testweise einfach mal komplett deaktiviert. Wobei, meinste die macht was aus? (Weil es ja an eine ganz andere IP geht meine ich.)

 

[meagain]

Ich denke schon dass die was ausmacht. Du kanst ja z.B. auch die Rules pro Interface festlegen.Korrektur: Ist natürlich Quatsch. Die VM erhält ja eine eigene IP...

Und was hast du bei der VM bei den Netzwerksettings angegeben?

 

[localhost]

Also man kann da ja nicht viel eingeben – ich habe das zuerst mit dem VM Default Network probiert und anschließend mal ein eigenes versucht (Confluence). Aber das kann man dann auch nur dem Bond hinzufügen und nicht beschränken oder Beschränkungen festlegen…

 

[meagain]

Ja stimmt, bei einer Linux VM kann man da nicht viel angeben (bei einer vDSM kann man mehr angeben). Aber wenn ich das richtig verstehe, wird für die Linux VM eine eigene MAC Adresse konfiguriert. Dieser müsstest du dann entweder in Ubuntu eine IP-Adresse vergeben haben, oder der DHCP Server hat ihr eine zugeordnet.

Ist die IP Adresse der Linux VM denn auch diejenige auf die du das Port-forwarding eingerichtet hast?

 

[localhost]

Genau, meine DS hat die 192.168.0.180 und in der VM habe ich die 192.168.0.51 eingerichtet. Das Gerät wird mir auch in der FritzBox mit korrektem Hostnamen, IP und MAC-Adresse angezeigt. Deswegen bin ich so perplex – die Portfreigabe sollte doch den Rest erledigen, aber nein: ERR_CONNECTION_RESET

 

[meagain]

Hm, also ich habe das jetzt bei meiner DS918+ nochmals nachgestellt (allerding mit einer vDSM als VM). Bei mir ist ebenfalls eine FritzBox im Einsatz (FB 5490; OS 7.01). Da habe ich einen Forward auf :5001 auf die IP meiner vDSM eingerichtet und wenn ich meine DynDNS mit https://my.dyn.dns:5001 aufrufe, lande ich auch korrekt auf meiner vDSM...

Hat vielleicht Ubuntu noch etwas eingerichtet, dass den externen Zugriff blockiert?

Versuch es doch vielleicht mal mit der vDSM, ist ja relativ schnell eingerichtet und würde schon mal alles vor deinem Ubuntu ausschliessen...

 

[localhost]

Gute Idee! Hab mal ein vDSM erstellt. Dabei auch gesehen, dass weder da noch bei der Confluence-VM Berechtigungen für die Gruppe "http" eingerichtet waren, das hab ich dann noch schnell korrigiert. Ergebnis war aber ähnlich, diesmal hieß es ERR_ADDRESS_UNREACHABLE. Das das so schwer sein kann! Ich sehe auch 1.000 Threads von Leuten, die das für ihre DS machen wollen, aber finde nix über Zugriff auf eine VM aus dem Internet. Ist das denn echt eine so seltene Sache?

 

[meagain]

Also verstehe ich dich richtig, du erhältst den ERR_ADDRESS_UNREACHABLE wenn du versuchtst auf die vDSM zuzugreifen? Auch aus dem lokalen Netz? Und hast du den Zugriff aus dem lokalen Netz schon mal direkt mit der IP Adresse versucht?

 

[localhost]

Ach so; nee, aus dem LAN klappt alles wunderbar, genau wie bei der Confluence-VM. Nur von außen geht eben nix.

 

[meagain]

OK, kannst du es dann mal mit der externen IP Adresse (die der FritzBox zugeordnet wurde) direkt versuchen (vDSM)?

 

[localhost]

Sodele, nun habe ich es einmal über die externe IP probiert und das funktioniert teilweise. Rufe ich von einem entfernten Rechner aus http://IP:8090 auf, erscheint tatsächlich das Confluence-Login. Warum auch immer, selbst das Aufrufen über http://sub.domain.de:8090 funktioniert jetzt – allerdings nur, wenn ich wirklich von extern zugreife.

Nun möchte ich das aus Sicherheitsgründen natürlich mit https nutzen. Der Aufruf mit https://IP:8090 ergibt dann den folgenden Fehler:

"Beim Verbinden mit IP:8090 trat ein Fehler auf. SSL hat einen Eintrag erhalten, der die maximal erlaubte Länge überschritten hat. Fehlercode: SSL_ERROR_RX_RECORD_TOO_LONG"

 

[meagain]

Ist doch schon mal ein Fortschritt

Sonderbar, bei mir klappt das auch, wenn ich von intern die externe Adresse angebe. Vielleicht hat es etwas mit der Loopback Themaik zu tun, wenn auch der Beitrag schon ein paar Jahre alt ist...

Zu SSL_ERROR_RX_RECORD_TOO_LONG habe ich im Internet folgenden Link gefunden. Demzufolge läge das Problem bei der SSL Konfiguration auf dem Server. Könnte vielleicht am Port 8091 liegen (?). Kommst du damit weiter?

Ach ich sehe grad noch, dass du https://IP:8090 geschrieben hast, ich denke aber, dass du es schon mit 8091 versucht hast...

 

[localhost]

Ja, das ist schon irre. Mal ab von der SSL-Geschichte, ich komme auch nicht mit http://sub.domain.de auf den Server, NUR mit der IP. Habe eben mal nen Apache2 in der VM aufgesetzt, das läuft astrein – aber eben nur via IP von intern aus. Wie gesagt, mein Dokuwiki klappt super, auch vom LAN aus via https://sub.domain.de:8888. Wobei das über die Web-Station läuft, aber mir erschließt sich der Unterschied nicht…

 

[meagain]

Könnte es vielleicht damit was zu tun haben? Wäre auch eine Erklärung, warum es bei mir geht, da ich die FritzBox nicht für DNS verwende...

 

[localhost]

Ja, das dachte ich auch. Hatte die Nacht nochmal probiert (sub.domain.de war schon eingetragen als Rebind-Ausnahme, hab's testweise auch mal entfernt und Router neu gestartet), komischerweise komme ich so oder so per Domain auf mein Dokuwiki – was ohne Eintrag ja gar nicht funktionieren sollte – aber nicht auf die VM. Das grenzt langsam an Voodoo.

Muss Dir mal einen ganz herzlichen Dank aussprechen, dass Du Dich so bemühst, mir zu helfen!

 

[meagain]

Bitte gerne - ich finde IT-Rätsel immer spannend

Aber zum Voodoo Priester scheine ich nicht zu taugen

Vielleicht ist das mit dem Loopback in der FritzBox zwischenzeitlich auch von AVM behoben...

Dein Dokuwiki rufst du ja auf dem Standardport (443) auf, das ist aktuell der einzige Unterschied, den ich noch sehe. Kannst du in der VM auch mal auf 443 umstellen und die Portfreigabe in der FritzBox anpassen? Wenn es dann nicht klappt könnte man noch die aktuelle Freigabe auf die DS deaktivieren und 443 direkt auf die VM:443 weiterleiten. Wenn das auch nicht klappt, kommt mir leider grad nichts mehr in den Sinn...

 

[localhost]

Ach, auch bei zertifizierten Vodoo-Priestern gibt's keine Erfolgsgarantie.

Das Dokuwiki rufe ich übrigens über 8888 auf, der einzige Unterschied: Das läuft über die Web-Station, nicht auf einer VM. Die Weiterleitungen hatte ich im Rahmen der Testinstallation des Apache-Servers mal ausprobiert, nutzt aber nix. Ich kann die VM sogar als Exposed Host eintragen, keine Chance.

Jetzt muss ich wohl irgendwo einen vServer mieten, obwohl ich mir für so nen Kram eigentlich die DS angeschafft hatte. Gah.

Bleibt zu hoffen, dass sich noch jemand meldet, der eine Idee hat. Komischerweise scheint das Thema Zugriff auf VM von außen nur wenige zu interessieren, warum auch immer – deswegen findet man auch so wenig darüber über Tante Google.

 

[meagain]

Tut mir leid, dass wir das Rätsel noch nicht lösen konnten.

Aber es gibt bestimmt noch jemanden hier im Forum, der eine gute Idee hat, woran es liegen könnte!