Portfreigabe 5000 und/oder 5001

[jemue]

In punkto Netzwerk und seine Technik bin ich ein Neueinsteiger.
Sweit läuft mit meiner DS 107+ auch alles. Aber trozdem hat man immer wieder eine Frage, welche man so in der Literatur nicht beantwortet bekommt.

Ich habe meine DS eingerichtet (incl. sicheres Verbinden im Manager) und die Ports 5000 und 5001 in der Fritzbox freigegeben.

Warum sollte man eigentlich sich besser extern über den 5001 einwählen, bzw. warum macht es Sinn, wenn der 5000 in der Adresse eigegeben wird, dass dann die DS auf den 5001 umleitet?

Was kann denn passieren, wenn der 5001 mit der sicheren Umleitung nicht aktiv ist?

 

[jahlives]

Von extern würde ich nur Verbindungen auf Port 5001 (https) zulassen. Port 5000 würde ich nicht am Router öffnen, sondern nur für Verbindungen aus dem LAN benutzen. Denn http ist wesentlich schneller als https

 

[denon2002]

Passwörter werden verschlüsselt übertragen über https.

 

[jemue]

Danke für die Erklärung, aber

Denn http ist wesentlich schneller als https

Ist doch sicher andersrum, oder?

Könnte also auch den 5000 als Port garnicht freigeben, oder reicht es:
Freigabe 5000 bis 5001 und die Umleitung zur sicheren https-Verbindung?

Wie gesagt, ich bin kein Netzwerkadministrator von Berufswegen, sondern muss alles erst erlernen.
Ein Haus umbauen ist aus meiner Sicht doch einfacher.

 

[Trolli]

HTTP ist schneller als HTTPS, weil bei HTTPS ja alles verschlüsselt werden muss. Und das kostet nun mal Rechenzeit.

Wenn Du den Port 5000 zu 5001 umleiten lässt, kannst Du ihn auch lokal nicht mehr benutzen. Deshalb: nicht umleiten und Weiterleitung im Router nur für Port 5001. Somit ist Port 5000 lokal benutzbar, von außen geht aber nur 5001 mit HTTPS.

Trolli

 

[jahlives]

Nö es ist schon so, dass http schneller ist als https. Weil ja nixc verschlüsselt werden muss.
Also ich würde nur Port 5001 am Router freigeben. In den Einstellungen den https Zugriff aktivieren ABER nicht Zugriff nur auf https erzwingen. Dann kannst du von extern https und von intern http benutzen

 

[jemue]

Recht herzlichen Dank.
Durch eure Antworten ist mir meine Frage mehr als verständlich erläutert worden.
Echt Klasse - ich gebe euch ein virtuales Bier aus.

 

[pseudoreal]

Mal eine Frage:

Wie habt ihr das mit der AudioStation gelöst? Im Endeffekt funktioniert die nur über Port 5000. Geht ihr dann bewusst das Sicherheitsrisiko ein oder gibt es da eine andere Lösung?

Gruß und Danke

 

[Trolli]

Die Audio Station funktioniert natürlich auch über Port 5001. Wäre ja auch ziemlich sinnfrei sonst...

 

[pseudoreal]

stimmt, kann über das webportal auch über Port 5001 die AudioStation starten. Nur die Android App benötigt den 5000er Port... Yikes!

 

[Neo207]

Hallo. Es ist etwas länger her, dass dieser Thread eröffnet wurde, aber das Problem ist identisch:

Ich verfolge nun die verschiedensten Tutorials und bekomme die Ports 5000 und 5001 nicht geöffnet.

Ich habe versucht die Ports direkt in der Fritzbox zu öffnen. externer Zugriff ist dennoch nicht möglich; somit kann ich auch den Alexa Skill für die Audio Station nicht nutzen.

Ich habe auch schon versucht die Ports direkt bei der NAS freizuschalten in der Routerkonfiguration. Dort scheitert der Verbindungstest, weshalb ich die Portweiterleitungen erst gar nicht speichern kann.

Aktuell ist auch ein "Reverse Proxy" eingerichtet, wie in einem Tutorial vorgestellt... Ich weiß nicht was dies ist oder bewirkt (ich bin nur ehrlich), aber wie auf dem Bild habe ich alles eingegeben und den Proxy (noch) nicht gelöscht, da ich keinen Vor- oder Nachteil feststellen konnte.

Kann mir jemand sagen, woran es denn liegen könnte?

Zur Hardware:
Fritzbox 7430 von M-Net (UPNP ist aktiviert!)
NAS von Synology (Synology DiskStation DS218J)

 

[Wollfuchs]

was ist denn in der frotz.bix eingestellt?
port 80 und 443 sind ja nach aussen offen.

 

[Fusion]

Ein Reverse Proxy ist erst mal ein Proxy, der nimmt die Anfrage an der "Quelle" entgegen und leitet sie in einer eigenen von ihm aufgebauten Verbindung an das "Ziel". Der Rückweg läuft ebenfalls über den Proxy, es gibt keine direkte Kommunikation zwischen anfragendem Client und Ziel.

Das nur der Vollständigkeit halber, weil es nichts mit deinem Problem zu tun hat.

Also erst mal
- reverse Proxy löschen
- alle Einträge in der Routerkonfiguration des DSM löschen

Dein Problem besteht vermutlich schon am Anschluß selbst. Prinzipiell war dein erster Schritt (Port-Öffnung direkt in der Fritzbox) schon der richtige.
Allerdings betreibt M-Net deinen Anschluß vermutlich in DS-lite (Dual Stack Lite, öffentliche IPv6, nur private IPv4)
Damit ist dein Anschluß nur via IPv6 von außen uneingeschränkt erreichbar.

Ob das dein Problem ist sollte sich relativ leicht klären lassen indem du entweder oder
- deinen Vertrag studierst
- die Übersichtsseite / Online Status in der Fritzbox anschaust ob dort etwas von AFTR-Gateway oder direkt DS-Lite geschrieben steht
- die IPs für WAN die du in der Fritzbox siehst mit den Ausgaben eines IP-Prüfers wie wieistmeineip.de oder anderen vergleichst

Referenzen
https://avm.de/service/fritzbox/fri...1611_Was-ist-DS-Lite-und-wie-funktioniert-es/https://www.m-net.de/fileadmin/Serv...efonie/Schnittstellenbeschreibung-SurfFon.pdf
Bei Surf-Flat Gamer Tarifen gibt es Dual Stack (öffentliche IPv4 und IPv6) gratis dazu.
Vielleicht gibt es dies bei den Surf-Flat Tarifen zum Aufpreis für €4.90 pro Monat dazu....
Einfach mal anrufen...

 

[Fusion]

Korrektur: Hast ja deine Synology.me Adresse geposted. Wie @Wollfuchs schrieb scheint die NAS darunter ja erreichbar zu sein, sonst würde auf 80/443 nicht eine Umleitung auf 5000/5001 erfolgen.
Von daher ist schon die Frage wieso der Reverse Proxy unter dem Namen auf 443 nicht greift.
Aber wie @Wollfuchs schon geschrieben hat muss man sehen was in der Fritzbox eingestellt ist.

 

[Wollfuchs]

443 wird auf 5001 geleitet .. das ist an sich schon korrekt .. wenn man das so will.

vermutlich ist es der reverse, der es jetzt wieder malad macht ..

 

[Neo207]

DSL ist deaktiviert steht hier... liegt vielleicht daran, dass ich mich in einem Neubauhaus befinde, in das eine Glasfaserleitung gelegt wurde. M-Net hat ein kleines Gerät an der Wand installiert (ich kenne die Bezeichnung nicht), von dem ein LAN Kabel in das LAN1-Port der Fritzbox führt. LAN 2 und LAN 3 sind jeweils an eine große Switch angeschlossen, um alle LAN-Dosen im Haus versorgen zu können.

Könnt ihr mit diesem Screenshot etwas anfangen?
Ich zahle 4,90€ mehr, um Onlinespiele spielen zu können. Dies ging zu Beginn tatsächlich nicht, was meiner Meinung nach ein Unding ist, so etwas von Haus aus abzuschalten... Nun ist das Online-Gaming aber möglich, nachdem ich die knapp 5€ mehr bezahle... Hat dies mit IPv4 bzw. 6 etwas zu tun? Was genau M-Net freigeschaltet hat, damit das Onlinespielen funktioniert, weiß ich leider nicht.

Reverse-Proxy habe ich soeben gelöscht.

 

[Thonav]

Zunächst einmal eine Frage - wer hat denn da 16 Portfreigaben eingerichtet? Wofür sind die??

 

[Wollfuchs]

ich hab jetzt bissi pippi in de bux ...

geh mal in die portfreigaben und korrigier mal die 0er da raus ...

 

[Neo207]

aktueller Stand:

Ich selbst habe keine Ports mit 55001 oder 55002 freigegeben

die meisten Freigaben sind für PC-Spiele und/oder Konsolen.

 

[Fusion]

Dein IP Anschluß ist schon in Ordnung, kein Problem da. Bin ich anfangs vom Standard bei M-Net ausgegangen, bis ich gesehen habe, dass du deine dynDNS geschrieben hattest. Damit ist auch eine Anonymisierung deiner IPs hinfällig.
Die Portfreigaben, ja da müsste man mal aufräumen.

Wenn du die Audio Station per benutzerdefinierte Domain erreichbar machst (Systemsteuerung > Anwendungsportal) und sonst nichts von extern brauchst, reicht auch Port 443 dafür. Der Hostname den du dafür verwendest ist dann eh für die Audio Station belegt.