Fritzbox 7590 Portfreigabe 2 Geräte intern mit selbem Port, außen verschieden

[xamoel]

Hallo zusammen.

Ich habe eine FB7590, hinter der mehrere Geräte hängen, davon zwei Synologys.

Diese haben einen Managementport, z.B. 3000, der an beiden Geräten gleich ist. Diese werden nach außen über je einen verschiedenen Port freigegeben, um beide Geräte von extern verwalten zu können.

Synology 1 (IP 0.10) intern: 3000 -> extern: 12345
Synology 2 (IP 0.20) intern: 3000 -> extern 12344

Nun resettet die Fritzbox oft mal einen Port, so dass statt dem nach außen sichtbaren Port (z.b. 12345) der interne Port sichtbar ist, womit natürlich die eingehende Verbindung ins Leere läuft, das schaut dann so aus:

Synology 1 (IP 0.20) intern: 3000 -> extern 3000

Der AVM Support behauptet nun, dass man nicht intern den selben Port (also die 3000 an zwei Synologys mit zwei verschiedenen IPs) zwei mal nach außen freigeben dürfte, auch nicht über verschiedene Ports (einmal die 12345, einmal die 12344).

Halte ich für total hanebüchenen Unsinn, dann könnte ich ja genau einen Port im Netzwerk nur einmal nach außen weiterleiten.

Was meint ihr dazu? Bin ich im LVL1-Support hängen geblieben? Oder verstehe ich was grundlegend falsch?

 

[Raijin]

Das ist auch Unsinn. Du kannst theoretisch 100 Portweiterleitungen machen, von 12344 - 12443 und jede davon geht auf eine_andere_IP:3000. Der externe Port darf nicht doppelt belegt sein, man kann also nicht 12344 gleichzeitig auf IP_A:3000 und ein paar Zeilen weiter unten auf IP_B:3000 weiterleiten (oder einmal an IP_A:3000 und gleichzeitig an dieselbe IP_A:3001). Das wären dann ja quasi geklonte Pakete, die an zwei Ziele gehen würden - das gibt's nicht. Mehrere Externe Ports, die verschiedene lokale Ziele haben, sind aber kein Problem.

Simples Beispiel der http-Port. TCP 80 ist der Standardport, 8080 ist der Alternativport. Wenn man nu zwei Webserver im Netzwerk hat, kann man sie lokal ganz normal auf Port 80 belassen und nur in der Portweiterleitung den externen Port des zweiten Servers auf 8080 ändern, also so:

Extern 80 -----> Server1:80
Extern 8080 --> Server2:80

Das ganze nennt sich übrigens "Port Translation".

 

[Backes]

So wie du es erklärst sollte es gehen. Hab nen ähnliches Setup laufen, allerdings auf ner 7490 und handelt sich um 2 Pi's.

 

[Rome1981]

Naja, man kann schon den selben Port und die selbe externe IP auf verschiedene interne Geräte verweisen lassen, dass wäre dann aber Load Balancing und ich glaube das kann die FB nicht...

 

[DeusoftheWired]

Nun resettet die Fritzbox oft mal einen Port

Kannst du das näher beschrieben? Das hieße ja, die FRITZ!Box würde eine einmalig eingerichtete Portweiterleitung eigenmächtig verändern.
Wann tritt das auf?

Der AVM Support behauptet nun, dass man nicht intern den selben Port (also die 3000 an zwei Synologys mit zwei verschiedenen IPs) zwei mal nach außen freigeben dürfte, auch nicht über verschiedene Ports (einmal die 12345, einmal die 12344).

Vielleicht meinte der Support, daß man den gleichen Port auf einem Gerät/IP nicht zweimal verwenden darf.

Hast du beide Diskstations über den Dialog mit ihrer festen IP als Freigabe hinzugefügt und den internen sowie externen Port festgelegt?

Unabhängig davon ist es aber keine gute Idee, den Managementport der Diskstations nach außen hin erreichbar zu machen. Auch wenn man einen Port > 9999 wählt. Nutzt du auf ihnen u. a. das Standardkonto „Administrator“ oder „admin“ und hast es nicht deaktiviert, wirst du ab und an Loginversuche aus den üblichen Schurkenstaaten haben: https://www.reddit.com/r/synology/comments/9jx75h/someone_tried_logging_into_my_dsm_accountagainof/

 

[Raijin]

Nun resettet die Fritzbox oft mal einen Port, so dass statt dem nach außen sichtbaren Port (z.b. 12345) der interne Port sichtbar ist, womit natürlich die eingehende Verbindung ins Leere läuft, das schaut dann so aus:

Synology 1 (IP 0.20) intern: 3000 -> extern 3000

Das wiederum ist ein Fehler der Fritzbox. Selbst wenn das nicht so ginge wie es der Support meint, dann dürfte die GUI der Fritzbox das gar nicht erst akzeptieren und darf nicht plötzlich aus Lust und Laune die Portweiterleitung ändern! Ich finde das schon ziemlich komisch, dass die Fritzbox da eigenmächtig irgendwas ändert...

@Rome1981 : Load Balancing ist aber etwas vollkommen anderes. Auch da geht die Verbindung nur einmalig von einer Quelle zu einem Ziel. Der Unterschied ist nur, dass der Router eben bei der Portweiterleitung das Ziel dynamisch wählen kann. Er wird die Verbindung nicht an beide schicken, denn dann würden auch beide Ziele antworten wollen und das Chaos ist perfekt. Load Balancing steht also auf einem anderen Blatt.


Dem Rat von @DeusoftheWired kann ich übrigens uneingeschränkt beipflichten: Direkte Portweiterleitungen auf Endgeräte im Netzwerk bergen stets ein gewisses Risiko. Ist die Verbindung nicht ausreichend verschlüsselt, das Passwort zu schwach gewählt oder der Dienst enthält Sicherheitslücken, kann ein Angreifer von außen im worst case das gesamte Netzwerk infiltrieren. Ich empfehle daher stets, lieber ein VPN einzusetzen. Gerade bei der Fritzbox ist das ja relativ einfach zu machen. Über die VPN-Verbindung kann man dann verschlüsselt und sicher von außen auf das heimische Netzwerk zugreifen und kann sämtliche Geräte nutzen als säße man daheim auf der Couch - ganz ohne sie nackt dem Internet preiszugeben.

 

[xamoel]

Korrekt, ist ein von der 7390 bekannter Bug, der angeblich gefixt ist.
Die FB verändert eigenmächtig ab und zu die Ports.

Dann ist es genau wie ich dachte, der Support ist zu blöd zu checken was ich meine.
Habe extra nach Anweisung alles neu konfiguriert und dann einmal den "Gutfall" und einmal den Fehlerfall SUpport-Daten an AVM gemailt, die kapieren es nicht.

Zwecks externer Weiterleitung ist mir bewusst, aber der VPN-Client der Fritze ist zu schwach (bzw. die CPU) um mehr Traffic zu verschlüsseln, die stürzt dann ab.

 

[Raijin]

Wenn das VPN der Fritzbox zu langsam ist, kann man ja auch innerhalb einer Diskstation den VPN-Server nutzen. Zur Not stellt man sonst ein dediziertes VPN-Gateway ins Netzwerk, beispielsweise MikroTik, EdgeRouter oder dergleichen.