blockierter Ports unterbindet Fritz!Box-VPN?

[tomm1984]

Hallo werte Community.

Ich wollte jemanden einen VPN-Zugang zu meinem Netzwerk via FRITZ!Fernzugang gewähren, doch leider konnte die Verbindung nicht aufgebaut werden.

In https://avm.de/service/fritzbox/fri...126_Firewall-fur-FRITZ-Fernzugang-einrichten/ las ich, da an dem Router der "zugreifenden Person" die Ports 53, 500, 4500 sowie 50 freigegeben sein müssen.

Deshalb kam ich auf folgende Idee: Ich suchte mir meine aktuelle Internet-IP raus und ließ die zugreifende Person im dessen Browser die IP ergänzt um den Port eingeben, also xxx.xxx.xxx.xxx:53.

Dabei erhielten wir folgendes Resultat:

• xxx.xxx.xxx.xxx:53 = im Brrowser die Meldung "dieser Port ist gesperrt"
• xxx.xxx.xxx.xxx:500, 4500, 50 = "Seite kann nicht angezeigt werden" (wundert mich nicht, da es ja auch keine Seite gibt) ... aber eben doch anders als die erste Antwort zu Port 53

Ich würde daraus schlussfolgern, dass am Router der "zugreifenden Person" mal mindestens der Port 53 gesperrt ist.

Nun meine Fragen:

1. Ist das ein sinnvoller Weg, so die benötigten Ports zu testen?
2. Ist meine Schlussfolgerung richtig?
3. Gibt es eine andere Möglichkeit den Zugang herzustellen (die Person kann / darf leider den Router nicht managen ... ich nehme an, man kann dem Programm FRITZ!Fernzugriff nicht sagen, es soll für diesen einen Port stattdessen einen anderen verwenden, oder?)?

Danke

 

[razzy]

wenn du an deiner fritzbox einen VPN zugang einrichtest, sind die entsprechenden Ports automatisch geöffnet.
Da dies über IPSec funktioniert -> Port 500

Port 53 ist DNS und braucht dafür nicht freigegeben werden.

Entweder hat dann dein Gegenüber ein Firewall problem, oder du sitzt noch hinter einer Firewall.
Was auch möglich wäre ist, wenn du "nur" DS-Lite hast anstatt DualStack native, was bei vielen Kabelprovidern so ist.

Wie man geöffnete Ports testet.

Mit dem PC die IP + Port mit Telnet öffnen, falls kein fail kommt ist der Port offen.



z.B. per externen Client:

"telnet externeIP Port" ausführen

 

[Bob.Dig]

Für so was nutzt man was externes wie z.B. https://www.portcheckers.com/

 

[kartoffelpü]

Ein Browser kann vor allem mit HTTP und FTP umgehen, aber von irgendwelchen VPN-Protokollen weiß der nix.
Daher wird ein Test aus dem Browser auch nichts sinnvolles zurückliefern können.

 

[tomm1984]

@razzy: "Was auch möglich wäre ist, wenn du "nur" DS-Lite hast anstatt DualStack native, was bei vielen Kabelprovidern so ist. " => damit meinst Du meinen Anbieter, richtig? Falls ja, so erinnere ich mich dunkel an soetwas, als ich mich einst damit beschäftigte, VPN einzurichten. Grundsätzlich funktioniert der Zugriff von außerhalb auf mein Netzwerk ... damit dürfte sich dieser Punkt erledigt habe (damit will ich sagen, dass es an der "zugreifenden Person" liegt bzw. dessen Umgebung)

Ergänzung (10. März 2020)

@Bob.Dig: Super, danke für den Hinweis ... die Seite sieht übersichtlich und benutzerfreundlich aus.
@kartoffelpü: okay, verstanden. dürfte ja mit dem Hinweis von Bob.Dig dann erledigt sein.

 

[Bob.Dig]

@Bob.Dig: Super, danke für den Hinweis ... die Seite sieht übersichtlich und benutzerfreundlich aus.

Wobei diese Porttester in der Regel nur TCP können und du brauchst UDP. Aber wie schon gesagt wurde, die Fritzbox gibt die benötigten Ports wohl automatisch frei.

 

[tomm1984]

@Bob.Dig: ah, interessant: wenn ich alle vier Ports mit meiner aktuellen Internet-IP auf der Seite checke, so sind alle closed und ich frage mich, ob wohl das FRITZ!Fernzugriff-Programm so clever ist, dass es erst beim Aufbau der Verbindung diese Ports öffnet (also, weil der Router auch bei Mein-FRITZ registriert ist, wo ja auch die aktuelle IP jeweils bezogen wird).

 

[Bob.Dig]

Wenn Du dir sicher bist, dass der Zugriff von außen zu Dir funktioniert, dann hat sich die Sache eigentlich erledigt für "den anderen" und der Fehler ist bei ihm zu suchen und nicht bei dir. 😉

So was trifft aber nie auf normale Internetanschlüsse zu sondern höchstens Hotspots oder ähnliches.

 

[tomm1984]

@Bob.Dig: Danke, verstanden.
Eine Idee, wie ich "dem anderen" helfen kann bzw. wo dessen Problem liegen könnte?

 

[Bob.Dig]

Wenn der andere einen regulären Internetanschluss hat, dann ist das Problem (betreffend Ports) bei dir zu suchen. Wenn er das nicht hat, weil er einen öffentlichen Hotspot oder Internet beim Arbeitgeber oder was auch immer nutzt, dann hat sich die Sache quasi erledigt.

 

[tomm1984]

ja, aber dann verstehe ich es nicht: ich selbst kann von außen mit exakt demselben VPN-User auf mein Netzwerk zugreifen ... vom Büro aus und sogar über den iphone-Hotspot; ich erinnere mich aber auch daran, dass es mal von einem Hotel aus nicht ging.

Die zugreifende Person hat einen ganz normalen Festnetz-DSL-Anschluss.

Wo ist dann der Fehler zu vermuten? (oder fehlt in Deiner Nachricht oben das Wörtchen "nicht"? => "dann ist das Problem bei dir zu suchen" => "dann ist das Problem nicht bei dir zu suchen")

 

[Bob.Dig]

Nope, wenn er normales Internet hat, dann kann man Ports etc. auf seiner Seite quasi als Fehlerquelle ausschließen.
Wenn Du aber von außen zugreifen kannst, dann ist das tatsächlich merkwürdig.

Ergänzung (10. März 2020)

ja, aber dann verstehe ich es nicht: ich selbst kann von außen mit exakt demselben VPN-User auf mein Netzwerk zugreifen ... vom Büro aus und sogar über den iphone-Hotspot;

Mit welchem Client (Software) denn? Benutzt ihr beiden den gleichen Client?

 

[easy.2ci]

las ich, da an dem Router der "zugreifenden Person" die Ports 53, 500, 4500 sowie 50 freigegeben sein müssen.

An dem Router der zugreifenden Person????? Da muss nix freigegeben sein.
Die Ports müssen bei DEINEM Router freigegeben sein.

 

[tomm1984]

konkret mach ich das stets über eine Win 8.1-VM ... da läuft die Fritz-VPN-Software drauf und dann baue ich über den Host die www-Verbindung auf (WLAN im Cafe, Hotel, Netzwerk im Büro oder iphone-Hotspot) ... und i.d.R. funzt das immer ... wie gesagt: manchmal in Hotels oder Cafes nicht, da kommen aber auch meistens parallel irgendwelche Script-Fehler-Fenster in Outlook hoch oder DropBox funktioniert mal nicht ... deshalb habe ich mich dann da auch nicht wirklich gewundert, sondern das auf deren eingeschränktes WLAN geschoben (keine Ahnung: verständlicher Weise kann ich mir vorstellen, dass auch Download-Seiten /-Verbindungen wie torrent unterbunden werden etc.).

Die zugreifende Person hat noch Windows 7 ... aber den Fritz-VPN-Client gibt es auch noch für Win7 ... also sollte das nicht der Fehler sein. Die Person hatte Norton-AntiVirus und -Firewall, aber die haben wir dann tmp. deaktiviert - hatte leider auch nichts gebracht.

 

[easy.2ci]

so sind alle closed

Status closed heisst, die Ports sind erreichbar, aber es gibt keinen Service der darauf antwortet.
Status Filtered heisst, daß die Firewall die Ports blockiert.

 

[d2boxSteve]

Kann es sein, dass die andere Person das selbe Netz intern hat, also 192.168.178.0/24? Dann geht das nicht ... dann müsste die andere Person seine Fritzbox umstellen auf z.B. 192.168.177.0/24.

 

[tomm1984]

@easy.2ci: wie man unschwer erkennen kann, habe ich von Ports keinen Plan ... ich nahm schlichtweg an, dass man Ports in beide Richtungen freigeben kann / muss und, da wie hier beschrieben, ich sonst kaum Probleme habe, von außen auf mein Netzwerk zuzugreifen, vermutete ich schlichtweg das Problem bei der "zugreifenden Person"

Ergänzung (10. März 2020)

@easy.2ci 2.0: Oh, das ist ein wertvoller Hinweis (bzgl. der Interpretation von "closed")! Danke!!

 

[d2boxSteve]

Baut sich denn die VPN auf und er kommt danach nur nicht auf deine Resourcen oder baut sich die VPN mit einer Fehlermeldung (welcher?) nicht auf?

 

[tomm1984]

@d2boxSteve: stimmt, hatten wir - aufgrund desselben Hinweise auf der Fritz-Seite - geprüft; anderer IP-Bereich

Ergänzung (10. März 2020)

Fehler-Meldung in der Fritz-VPN-Client-Software der "zugreifenden Person" = Zeitüberschreitung ... mehr Informationen liefert das "Journal" dort leider nicht

 

[d2boxSteve]

Hm, hat die andere Person vielleicht irgendeine andere VPN Lösung, z.B. NordVPN im Einsatz? Das kann sich gegenseitig evtl. stören. Oder einen anderen "Filter" im Netzwerk oder Router?

Wenn die andere Person selbst eine Fritzbox oder einen anderen Router mit aktiviertem VPN hat kann es auch sein, dass von innerhalb des Netzes keine andere VPN des selben Typ's (hier IPSEC-VPN) verwendet werden kann weil die Fritzbox dann die ESP Pakete (Ptorokoll Nr. 50) für sich behält und nicht mehr an den PC weiterreicht.
Falls dies zutrifft dann in dessen Fritzbox das VPN mal testweise deaktivieren.