Fritzbox 7360 / Netcologne: Freigegebene Ports bleiben gesperrt

[Xyks]

Hallo zusammen,

ich habe eine Fritzbox 7360 und bin bei Netcologne mit dem 100mb Paket.
ich will für einen Gameserver Dienst die Ports 5002-5898 freischalten. Das geht bei Fritzbox leider nicht in einem Satz, sondern nur 255 Schritten. Das habe ich also für meinen Rechner in der Fritzbox Oberfläche für TCP und UDP gemacht in hjeweils 4x255 Schritten. UpnP ist übrigens auch aktiviert.

Also: Im Firtz OS: Internet -> Freigaben -> Geät hinzufügen -> Mein Rechner ausgewählt -> Neue Freigabe -> Andere Anwendung | TCP | 5002-5257 (Beispiel) -> Frreigabe für IP4 & IP6-> Ok gedrückt (Freigabe Übersicht) -> Übernehmen (Geräte Übersicht)

Für die Ports habe ich auch in der Firewall neue Regeln erstellt. Die habe ich auch doppelt gegen gecheckt. Habe übrigens auch mal die Firewall ganz deaktiviert und auf canyouseeme gecheckt. Immer noch geblockt, das Problem scheint also der Router oder der ISP zu sein...

Das müsste ja jetzt eigentlich gehen, ein Test auf http://www.canyouseeme.org/ sagt aber das egal welchen Port ich teste, der noch geschlossen ist. Natürlich getestet als die Apllikation lief. Was übersehe ich?

 

[Sephe]

Hast du überhaupt eine echte IPv4 oder ist diese geNATtet oder gar ein DS-Lite Tunnel?

 

[easy.2ci]

Den GameServer als Exposted Host laufen lassen? Also ganz außerhalb der Firewall der Fritzbox?
Oder eben DS Lite?

 

[Xyks]

Danke für die schnellen Antworten. DS Lite kann ich wohl ausschließen. Habe gerade noch einmal mit dem technischen Support von Netcologne gesprochen. Die haben mir versichert das ich eine öffentliche IPv4 Adresse habe mit der es gehen könnte.
Exposed Host und Firewall Off, als Hose voll runter, habe ich auch schon erfolglos getestet :/
Was vielleicht spanennd ist: Wenn ich dei Firewall ausschalte bekomme ich bei canyouseeme die Fehlermeldung: "Connection Refused", wenn sie an ist "Connection Timed Out"

Wie kann ich sehen ob ich geNATtet bin? Hab das gerade realtiv erfolglos gegoogelt.

(PS: Auch wenn das denke ich belanglos ist, ich nutze Powerline als Verbindung zum Router)

 

[Mr. Robot]

Ist die IP-Adresse auf der Statusseite deiner Fritzbox identisch mit der, die canyouseeme.org anzeigt?
Falls nicht, bist du "genatted".

 

[brainDotExe]

canyouseeme.org prüft augenscheinlich TCP Ports.
Sicher das auf deinem PC auch eine Serveranwendung läuft die auf einem TCP Port lauscht?
Die meisten Gameserver arbeiten mit UDP.

 

[Xyks]

Ja, die IPS sind im Router als auch auf canyouseeme.org identisch.

Die anwendung nutzt sowohl UDP als auch TCP. HAbe das auch entsprechend doppelt in der Firewall und im Router freigegeben.

Eine Kuriosum habe ich allerdings noch. Laut canyouseeme.org ist selbst Port 80 nicht erreichbar (No route to host). Was ja nicht stimmen kann, dann könnte ich die Seite erst gar nicht aufrufen...

 

[Mr. Robot]

Warum sollte Port 80 erreichbar sein (und was hört dort), wenn du die Ports 5002-5898 freischaltest?
Und dein Server hört auf 896 verschiedenen Ports?? Klingt ungewöhnlich...

Antwortet dein Server, wenn du ihn mit 'telnet [Adresse] [port]' von einem Rechner im LAN aus ansprichst?

 

[Raijin]

"Connection refused" und "Connection timeout" sind zwei verschiedene Fehlermeldungen, die auf unterschiedlichen Antworten der Gegenstelle basieren.

Bei "Connection refused" kommt die Verbindungsanfrage bis zu einem Endpunkt durch und wird dort aktiv abgelehnt, refused. D.h. der Server antwortet "Nö, is nich!". Das kann der Fall sein, wenn zB die Firewall des Servers selbst die eingehende Verbindung ablehnt oder wenn die Server-Anwendung selbst die Verbindung ablehnt.

"Connection timeout" wiederum tritt auf, wenn am Endpunkt gar nichts antwortet. Das ist in der Regel dann der Fall, wenn zB die Server-Anwendung gar nicht gestartet wurde und somit gar nichts da ist was antworten kann. Allerdings kann auch hier die Firewall schuld sein, weil eine Firewall auf eingehende Pakete sowohl mit "Reject" (=refuse) als auch mit "Drop" (=nix tun) reagieren kann.

Das deutet für mich darauf hin, dass die Firewall auf dem Server eben doch nicht korrekt konfiguriert wurde. Du verschweigst uns leider dein Betriebssystem daher gehe ich jetzt mal von Windows aus. Gehe dazu in die Firewall, wähle die erweiterten Einstellungen und prüfe die eingehenden Regeln. Finde die passende Regel (oder erstelle sie neu) und achte darauf, dass unter "Bereich" auch Verbindungen von beliebigen IPs erlaubt sind.

 

[chrigu]

mhhh… upnp aktiv und portforwarden? das ist doch doppelt gemoppelt.

 

[h00bi]

Einfachster Test der Welt: Nimm einen simplen FTP Server und starte ihn auf einem der weitergeleiteten Ports.
Dann mit dem Handybrowser übers Mobilfunktnetz darauf verbinden, also z.B.: ftp://12.34.56.78:5002 nur eben mit deiner IP

Canyouseeme reagiert nur wenn auch tatsächlich ein Service läuft.

Eine Kuriosum habe ich allerdings noch. Laut canyouseeme.org ist selbst Port 80 nicht erreichbar (No route to host). Was ja nicht stimmen kann, dann könnte ich die Seite erst gar nicht aufrufen...

Um die Seite aufzurufen brauchst du Port 80 nur ausgehend! Eingehend hat der gefälligst dicht zu sein.

 

[Xyks]

Hallo zusmmen,

vielen Dank für alle eure Antworten. Ich nutze Win10.

Falls es wen interessiert:
Konkret geht es um ein Serversetup für das Spiel Atlas, bei dem paralell mehrere Server laufen und adaptiv nur den Server auf den der Spieler und ie vier umgebenden sind. Hintergrund: Die Atlas Map wird Vanilla von 225 Servern getragen. Daher muss ich so viele ports öffnen. https://www.reddit.com/r/playatlas/comments/ah2izu/release_atlas_server_controller_my_program_to/

Hier Beispiele wie die Regel in der Firewall aufgesetzt wurde:

Und hier die IPv4 Ports aus der Fritzbox

Mehr Infs habe ich glaube ich nicht mehr

 

[kisser]

Als Remote-Port musst du alle Ports zulassen. Du weißt ja nicht, über welchen Port die Anfrage reinkommt.

 

[Xyks]

Als Remote-Port musst du alle Ports zulassen. Du weißt ja nicht, über welchen Port die Anfrage reinkommt.

Vielen Dank für den Hinweis. Ich habe den Haken für das Gerät gesetzt, leider hat das aber noch nicht das Problem behoben. Du meinst mit Remote Port die "Selbstständige Portfreigabe", richtig? Oder meinst du jeden Eintrag als "MS Remotsdesktop" ?

 

[Raijin]

Nein, @kisser meint die Firewall-Regel.

Eine Regel besteht aus zwei Teilen, dem Matching und der Action. Letztere ist das was mit dem Datenpaket passieren soll, blocken oder zulassen. Das Matching beschreibt die Eigenschaften, die auf das Paket zutreffen müssen, damit besagte Action ausgeführt wird. Sinngemäß sagt eine Regel also folgendes: "Alle Pakete, die Ziel-Port=x UND Quell-Port=y UND bla=z ... sollen geblockt werden". Trifft auch nur eine Eigenschaft nicht zu, tut die Regel gar nix.

Was heißt das nu konkret? Du hast der Firewall gesagt, dass Ziel-Port (=Lokaler Port) und Quell-Port (=Remote Port) im Bereich 5002-5898 sein müssen. Letzteres weißt du aber gar nicht, weil der Absendeport bis auf wenige Ausnahmen stets zufällig ist. Die Firewall müsste also "Lokaler Port = 5002-5898 --> zulassen" lauten.

Dasselbe gilt im übrigen für Portweiterleitungen. Auch da wird stets nur das angegeben was 100% auf das eingehende Paket zutreffen muss, um als Action die Weiterleitung zu triggern. Auf dem Handy kann ich den Screenshot aber irgendwie nicht richtig ranzoomen und sehe daher nix.

 

[Xyks]

Alles klar , habe die Firewall-Regel entsprechend umgestellt, so dass der Remoteport nun alle Ports bedient.
@ Riajin: Was müsstet du denn auf den SCreenshots erkennen können? Mache gerne Neue...

Telnet spuckt übrigens nur Verbindungsfehler aus

 

[Raijin]

Ich lese gerade nur am Handy und da zoomt er mir das Bild entweder ganz raus (zu klein, nix lesbar) oder auf gefühlt 100000000x Vergrößerung heran. Liegt wohl am mobilen Browser.

Ist auch egal. Worauf ich hinaus will ist, dass man auch bei Portweiterleitungen das matching bzw den Trigger ähnlich wie bei der Firewall einstellen kann. In der Regel definiert man dabei ausschließlich den externen Port sowie die lokale Ziel-IP mit dem internen Port. Der externe Port ist derjenige, den zB ein Mitspieler von außen eingeben würde, während der interne derjenige ist, auf den die Verbindung weitergeleitet wird. Quell-Port bzw. -IP lässt man leer (=beliebig). Je nach Router heißen die Port evtl anders, aber das Prinzip ist dasselbe.

Beispiel für Portweiterleitung + Server-Firewall

Portweiterleitung: externer port=tcp/udp 5002 + Ziel=serverip / interner port tcp/udp 5002
Firewall : lokaler port=tcp/udp 5002 + bereich/quell-ip=beliebig

Der Rest bleibt leer bzw. wird nicht eingeschränkt, weil pro Verbindung variabel.

 

[Mr. Robot]

Telnet spuckt übrigens nur Verbindungsfehler aus

Welche Fehler denn?

Du dokterst an deiner Firewall rum, und weißt nicht mal, ob dein Server richtig läuft...

 

[Xyks]

Welche Fehler denn?

Du dokterst an deiner Firewall rum, und weißt nicht mal, ob dein Server richtig läuft...

"Es konnte keine Verbindung mit dem Host hergestellt werden, auf Port 5002: Verbindungsfehler"
Ahnung habe ich ja sowieso keine, falls das noch nicht längst jedem klar ist

Ich lese gerade nur am Handy und da zoomt er mir das Bild entweder ganz raus (zu klein, nix lesbar) oder auf gefühlt 100000000x Vergrößerung heran. Liegt wohl am mobilen Browser.

Ist auch egal. Worauf ich hinaus will ist, dass man auch bei Portweiterleitungen das matching bzw den Trigger ähnlich wie bei der Firewall einstellen kann. In der Regel definiert man dabei ausschließlich den externen Port sowie die lokale Ziel-IP mit dem internen Port. Der externe Port ist derjenige, den zB ein Mitspieler von außen eingeben würde, während der interne derjenige ist, auf den die Verbindung weitergeleitet wird. Quell-Port bzw. -IP lässt man leer (=beliebig). Je nach Router heißen die Port evtl anders, aber das Prinzip ist dasselbe.

Beispiel für Portweiterleitung + Server-Firewall

Portweiterleitung: externer port=tcp/udp 5002 + Ziel=serverip / interner port tcp/udp 5002
Firewall : lokaler port=tcp/udp 5002 + bereich/quell-ip=beliebig

Der Rest bleibt leer bzw. wird nicht eingeschränkt, weil pro Verbindung variabel.

Das müsste nach meinem bescheidnen Verständnis der Fall sein. Hier ein Screen der Freigabe eine der Ranges:

Hier die Regel, wie aktuell hinterlegt:

 

[Raijin]

Die Screenshots kann ich auch ohne zoom lesen

Das sieht soweit gut aus. Prüfe aber noch auf welches Profil deine Netzwerkverbindung eingestellt ist (öffentlich/privat/domain, privat sollte es sein) und stelle sicher, dass die Firewall-Regel auch für dieses Profil gilt.