Port Weiterleitung funktioniert plötzlich nicht mehr

[Bender86]

Moin moin, ich habe zuhause ein NAS das an einer Fritzbox (7590 AX) hängt, und auf das ich bisher problemlos aus dem Internet zugreifen konnte.

Ich habe eine Domain bei Strato gekauft und bei der Fritzbox DynDNS und eine Port-Weiterleitung von 443 auf das NAS eingerichtet, bis vor 3 Tagen funktionierte das problemlos, auf einmal nicht mehr.

Ich stehe grade bei der Problemsuche auf dem Schlauch und hoffe hier kann mir jemand helfen. Was ich bisher sagen kann:

• DynDNS scheint zu funktionieren. Wenn ich auf wieistmeineip.de gehe wird mir dort die gleiche IP angezeigt, die mir bei Strato im Benutzerportal auch als DynDNS IP angezeigt wird (ein "ping meine-domain.de" gibt mir auch die richtige IP Adresse zurück, das scheint richtig zu sein)
• Angeblich ist die Portweiterleitung aktiv, wenn ich bei der Fritzbox Benutzeroberfläche auf Internet -> Freigaben -> Portfreigaben gucke wird mir zumindest eine grüne Lampe in dem entsprechenden Eintrag angezeigt (siehe Screenshot)
• Wenn ich im Browser direkt auf https://192.168.178.44/ gehe (die IP des NAS) dann sehe ich die index.html vom Nginx der auf dem NAS läuft, der scheint mir also zu funktionieren
• Wenn ich auf https://meine-domain.de gehe bekomme ich allerdings eine Sicherheitswarnung wegen einem selbst signierten Zertifikat angezeigt, mein Nginx hat aber ein letsencrypt Zertifikat. Und wenn ich die Seite dann trotzdem öffne lande ich auch auf der Startseite der Fritzbox. Scheinbar funktioniert die Port Weiterleitung also nicht

Hier stehe ich nun und weiß grade nicht weiter. Noch eine Randnotiz: vor Jahren mal konnte ich das NAS gar nicht erreichen und hatte gelesen das man für DynDNS einen Dual Stack Betrieb beim Provider braucht, damit man eine echt IPv4 Adresse bekommt. Das habe ich auch beantragt damals und das hat bisher immer Funktioniert. Ich habe Heute beim Provider angerufen, der hat mir bestätigt dass das auch weiterhin aktiv ist.

Hat jemand eine Idee woran es haken könnte und wo ich weiter nach Fehlern suchen könnte?

 

[redjack1000]

wegen einem selbst signierten Zertifikat angezeigt

Von wem wurde das Zertifikat ausgestellt?

Cu
redjack

 

[Bender86]

@redjack1000 Also wenn ich mir das unter Chrome anzeige steht unter "Issuer" nur "CN = meine-domain.de", ich denke das hat die Fritzbox generiert.

 

[JumpingCat]

Teste das ganze mal von außen, das heißt nicht aus dem LAN.

 

[redjack1000]

DNS-Rebind-Schutz konfiguriert?

Cu
redjack

 

[Bender86]

Danke erstmal für die Tipps,

DNS-Rebind-Schutz sagte mir bisher nichts, war nicht konfiguriert (allerdings auch vorher nicht, als es noch funktionierte). Ich habe mal meine-domain.de eingetragen, das hat leider nichts geändert soweit ich sehe kann.

Was etwas geändert hat ist als ich mal über mobiles Internet die Seite aufgerufen habe, da bin ich tatsächlich auf meinem Nas Webserver gelandet. Ich verstehe zwar grade nicht wieso, aber immerhin.

Also warum auch immer funktioniert die Weiterleitung nur von extern.

 

[redjack1000]

Du hast das Problem also nur im LAN?

Cu
redjack

 

[JumpingCat]

Das nennt sich NAT Refelektion: https://forum.opnsense.org/index.php?topic=7627.0

 

[Bender86]

Das scheint so (WLAN, aber ja). Sobald ich über iPhone/iPhone Hotspot, sprich mobiles Internet meine Seite aufrufe wird sie normal geladen.

 

[qiller]

Check mal folgendes:

Ergänzung (4. September 2024)

Also warum auch immer funktioniert die Weiterleitung nur von extern.

Achso, ja das ist doch normal, vom LAN aus gibts 2 Möglichkeiten:

• Split-DNS
• NAT Loopback

 

[Bender86]

@JumpingCat Ok die Beschreibung aus deinem Link klingt ja nach meinem Problem, ich verstehe noch nicht alles aber so halb. Das versuche ich mal weiter zu verfolgen.

@qiller Die Option ist bei mir auch aus. Nach meinem Verständnis bedeutet es ja das ich den Zugriff auf die Fritzbox selber erlaube, was ich ja nicht möchte.

 

[qiller]

das ich den Zugriff auf die Fritzbox selber erlaube, was ich ja nicht möchte.

Ich habs nur erwähnt, weil

Wenn ich auf https://meine-domain.de gehe bekomme ich allerdings eine Sicherheitswarnung wegen einem selbst signierten Zertifikat angezeigt, mein Nginx hat aber ein letsencrypt Zertifikat. Und wenn ich die Seite dann trotzdem öffne lande ich auch auf der Startseite der Fritzbox.

das irgendwie danach klingt. Aber da wusste ich nicht, dass du vom internen LAN auf dein NAS wolltest.

Ergänzung (4. September 2024)

Ok, also die FB unterstützt wohl standardmäßig eigt. NAT Loopback und hier schreiben sie dasselbe für den DNS-Rebindschutz, wie redjack1000 es schon erwähnte.

Wenn das nicht geht, vlt mit Split-DNS versuchen. Testweise kann man das ja auch erstmal mit der hosts-Datei machen.

 

[Mu Wupp]

Tut mir leid, aber wieso nutzt Du nicht einfach Wireguard? Kein Ärger mit Portforwarding oder DynDNS und sehr leicht einzurichten.

Geht es Dir um den reinen Zugriff aus der Ferne oder läuft da etwas was "permanent" erreichbar sein soll auf dem NAS?

 

[redjack1000]

Sobald ich über iPhone/iPhone Hotspot, sprich mobiles Internet meine Seite aufrufe wird sie normal geladen.

Also hast du kein Problem mit deiner Portweiterleitung, da diese ja offensichtlich funktioniert.

Im LAN ist keine Portweiterleitung notwendig.

CU
redjack

 

[Bender86]

@qiller Alles klar, danke dir trotzdem für den Hinweis.

@JumpingCat Ok ein bisschen googeln später weiß ich jetzt das der DNS-Rebind-Schutz dafür ist.

Und ich habe eben auf der Fritzbox Hilfeseite gelesen das man den Router neustarten muss wenn man die DNS-Rebind-Regeln ändert. Das habe ich nun getan und meine-domain.de geht schonmal aus dem LAN. Yay!

Was leider noch nicht klappt ist meine Cloud-Subdomain, obwohl ich subdomain.meine-domain.de auch in den DNS-Rebind-Schutz eingetragen habe. Da muss ich nochmal suchen was ich falsch gemacht habe.

Ergänzung (4. September 2024)

Ok ich habe mich zu früh gefreut, ich habe jetzt ein super merkwürdiges Verhalten.

Ich rufe https://meine-domain.de (im LAN) auf und lande auf meinem NAS Webserver. Ich lade die Seite neu, lande auf der Fritzbox-Anmeldeseite (immernoch LAN). Bei jedem refresh wechselt es vom NAS Webserver zu Fritzbox hin und zurück.

Und noch merkwürdiger wird es.. das passiert nur wenn ich Safari benutze, bei Chrome lande ich auf der Fritzbox und bleibe dort.

 

[qiller]

Lol, kann das sein, dass deine Browser gar nicht dein im System festgelegten DNS-Server (ich nehme an, ist die FB?) verwenden, sondern vlt. irgendwelche externen DoH-Server?

 

[Bender86]

Tut mir leid, aber wieso nutzt Du nicht einfach Wireguard? Kein Ärger mit Portforwarding oder DynDNS und sehr leicht einzurichten.

Sorry das habe ich überlesen, auf dem Nas läuft meine Nextcloud, um die geht es letztenendes.

Ergänzung (4. September 2024)

Ich habe mich mal auf DNS Suche begeben, da finde ich keine Auffälligkeiten. Für den Safari (MacOS) kann man scheinbar gar keinen separaten konfigurieren. In meinen WLAN Netzwerkeinstellungen ist kein spezieller angegeben, und Macos zeigt mir die Fritzbox als DNS Server an.

In der Fritzbox selber ist "Vom Internetanbieter zugewiesene DNSv4-Server verwenden (empfohlen)" akriv.

 

[JumpingCat]

Ich würde die nextcloud nichts ungeschützt ins Internet hängen. Wireguard ist eine gute Absicherung.

Ansonsten überlege ob du mit mehren Blocklisten, dedizierte IP Freigaben etc auf der Firewall arbeiten willst.

 

[Bender86]

Danke nochmal für die vielen Hinweise! Leider komme ich Heute erst wieder dazu danach zu gucken.

Ich kann die Bedenken verstehen, die Nextcloud direkt im Internet zu haben, muss aber sagen das ich sehr penibel darauf achte Updates für Router, NAS und Nextcloud immer so schnell wie möglich zu installieren, weshalb ich denke das die einigermaßen sicher ist, auch wenn mir klar ist das ein Restrisiko immer bestehen bleibt.

Was ich nicht verstehe: wieso funktionierte der Zugriff im lokalen Netz jetzt knapp 5 Jahre reibungslos und auf einmal nicht mehr?

Die Fritzbox hat angeblich seit dem 20.06.24 die aktuellste Version, hier sollte sich theoretisch nichts geändert haben. Auf dem NAS und Nextcloud habe ich in der letzten Zeit natürlich Updates eingespielt, aber ich habe nie einen lokalen DNS Server laufen gehabt, der nun vielleicht "kaputt" gepatcht sein könnte.

Wie konnten die lokalen Clients dann das NAS auflösen? Kann der Provider irgendwas damit zutun haben? Ich erinnere mich das wir kurz bevor es aufhörte zu funktionieren eine Mitteilung von Vodafone bekommen haben das sie Netzarbeiten durchführen. Aber nach dem was ich verstanden habe entsteht ja das Problem im lokalen Netz.

 

[JumpingCat]

Kann der Provider irgendwas damit zutun haben?

Nein, nur du bist für deine Technik und Einstellungen Zuhause zuständig. Außer du hast das als Service vom Provider gebucht.