Über Fritzbox auf externen NAS zugreifen

[Dave9119]

Moin zusammen,

wahrscheinlich ein leicht zulösendes Problem, kenne mich mit einer Fritzbox jedoch nicht aus.
Ich habe bei mir in der Wohnung ein NAS installiert. Portfreigabe etc. funktioniert alles einwandfrei. Ich kann im heimischen WLAN und per Mobile Datenverbindung auf den NAS zugreifen.
Jetzt habe ich bei meiner Mutter den neuen Router angeschlossen und wollte mein NAS als FTP in Windows einbinden. Leider bekomme ich keine Verbindung hergestellt. Das gleiche wenn ich per Smartphone (im WLAN meiner Mutter angemeldet) per APP auf mein NAS zuhause zugreifen möchte.

Gibt es bei der Fritzbox eine Einstellung, die die Kommunikation mit externen FTP-Servern unterbindet?

Zur Info: Es funktioniert weder über HTTP noch über SSL oder FTP

Hat jemand eine Idee?

Grüße,
Dave

 

[WoFNuLL]

Nein die Fritzbox blockiert innerhalb des LAN / WLAN Bereichs intern keine Ports nur zw. WAN / und LAN/WLAN.

Klingt nach Fehlkonfiguration des NAS, ich würde eh empfehlen im Lokalen LAN auf Windows Clients Windows Freigaben von einem NAS zu benutzen, wenn das aus Sicherheitsbedenken nicht geht wäre noch der weg über webDAV möglich.

 

[Daniel D.]

Sollte gehen. Hat ein Freund auch gemacht und man kommt über Windows, "Internet-Radio" (für Musik) und Smartphone auf das NAS. Speziell eingestellt habe ich nichts. Wie WoFNuLL sagt: Checke mal die Konfiguration des NAS.

 

[Raijin]

Nur damit ich das richtig verstanden habe: @home ist ein NAS als FTP-Server (hoffentlich kein nacktes FTP!!). Portweiterleitung im Router hast du eingerichtet. Von der Wohnung deiner Mutter aus willst du nun per FTP (nochmal: Hoffentlich kein nacktes FTP!) auf dein NAS @home zugreifen, korrekt?

In welchem Modus läuft der FTP? Aktiv? Passiv? Wie hast du den FTP am Client-System eingebunden? Passiv? Aktiv?


Zur Erklärung:

FTP arbeitet mit 2 Verbindungen, der Steuerverbindung und der Datenverbindung.

Im aktiven Modus wird die Steuerverbindung vom Client zum Server aufgebaut und die Datenverbindung in die andere Richtung, vom Server zum Client. Das kann zu Problemen führen, wenn der Client hinter einem NAT-Router sitzt, weil dort dann keine Portweiterleitung drin ist. Mit Portweiterleitung würde es klappen. Sitzt man dagegen hinter einem DS-Lite Anschluss, also ohne eigene öffentliche IPv4, kann der Server keine Datenverbindung zum Client herstellen, weil die beim großen Router des Providers hängen bleibt.

Im passiven Modus werden sowohl Steuer- als auch Datenverbindung vom Client zum Server aufgebaut. Für den Router des Clients ist das im Prinzip egal, weil beides ausgehende Verbindungen sind. Der Router des Servers braucht jedoch eine passende Weiterleitung für den zusätzlichen Datenport..


Zum Thema "nacktes FTP":

FTP ist komplett unverschlüsselt bis hin zu Passworten in Klartext. Man sollte niemals einen nackten FTP ins Internet stellen! Wenn, dann nutze SFTP bzw. FTPS. Beides sind verschlüsselte Varianten von FTP und zumindest eine davon sollte eigentlich jedes NAS können.

 

[Wilhelm14]

Nur zum Verständnis. Das sind zwei Router an zwei verschiedenen Standorten an zwei verschiedenen Internetanschlüssen? Du möchtest in der Wohnung deiner Mutter Zugriff aufs NAS in deiner Wohnung? Dann musst du erstmal gucken, wie du die beiden Standorte verbinden möchtest.

 

[Dave9119]

Nur damit ich das richtig verstanden habe: @home ist ein NAS als FTP-Server (hoffentlich kein nacktes FTP!!). Portweiterleitung im Router hast du eingerichtet. Von der Wohnung deiner Mutter aus willst du nun per FTP (nochmal: Hoffentlich kein nacktes FTP!) auf dein NAS @home zugreifen, korrekt?

In welchem Modus läuft der FTP? Aktiv? Passiv? Wie hast du den FTP am Client-System eingebunden? Passiv? Aktiv?

Nein FTP mit SSL, also FTPS. Keine Angst
Mit der Frage "Aktiv/Passiv" bin ich überfordert. Kann ich, jedenfalls nicht gefunden, bei meinem NAS nicht einstellen.

[...] Dann musst du erstmal gucken, wie du die beiden Standorte verbinden möchtest.

Per Internet und DDNS? Oder was meinst du? o0

Das Problem ist doch, dass alles wunderbar funktioniert, solange ich nicht im Heimnetz meiner Mutter unterwegs bin.
Daher ja meine Frage, ob es an der Fritzbox liegt Oder habe ich etwas übersehen?
Externer Zugriff funktioniert ja über Mobile Daten. Anderes Heimnetz habe ich bisher nicht testen können.

 

[chrigu]

hast du den port20/21 und bei ssl den 443 explizit zum nas weitergeleitet?
mit welchen tool greifst du auf das ftp? schon ein anderes getestet?

 

[Wilhelm14]

Okay, also dein Netz erreichst du aus dem Mobilfunknetz, dann sollte dort alles passen.
Wenn du im Netz deiner Mutter bist und die DDNS-Adresse in einen Browser eintippst, was passiert? Kannst du statt der DDNS-Adresse versuchen direkt die IP-Adresse einzugeben?

@Mandulli unter mir: Hätte ich später auch vorgeschlagen, allerdings muss auch dazu der DDNS-Kram laufen.

 

[Mandulli]

Wäre es in diesem Fall nicht besser beide FB per VPN zu verbinden und dann einfach das NAS von der Mutter aus im internen Netzwerk aufzurufen?

 

[riff-raff]

Wenn beide Router Fritzboxen sind: VPN und nichts anderes.

Wichtig: 2 verschiedene Subnetze vergeben: Bsp.: 192.168.44.1 für den ersten Router und 192.168.55.1 für den Zweiten. 55 bzw. 44 können durch beliebige, aber verschiedene Zahlen ersetzt werden.

Du brauchst noch jeweils einen DynDNS-Dienst, ich empfehle dir freedns

 

[Vindoriel]

Man braucht kein DynDNS, sondern ein Konto über Myfritz. Und darüber läuft auch VPN.

 

[riff-raff]

Ob nun MyFritz oder DynDNS kommt aufs gleiche raus. Bei mir laufen 4 Boxen im VPN, 3 via FreeDNS, 1 Selfhost. Ein MyFritz Konto habe ich dafür nicht erstellen müssen ... zumal Ich mit den DynDNS-Diensten nicht an eine Fritzbox gebunden bin.

 

[Raijin]

Myfritz ist DDNS! Es ist Jacke wie Hose ob blabla.myfritz oder blabla.xbeliebigerddns.de - im Endeffekt beides dasselbe..

 

[Dave9119]

Wow, ok. Ich versuche die Informationen mal zu sondieren

Also:
Ich habe die Ports 20/21 und 443 freigegeben und explizit ans NAS weitergeleitet.

Zurzeit habe ich zuhause ein Schrottrouter alá o2. Nächsten Monat kommt dann die Fritzbox. Da wollte ich dann eh auf VPN umsteigen. Bisher spielt mein Router da nicht mit, oder ich bin einfach zu dämlich dafür.

Nochmal: Ich habe ein NAS, Port 20/21/443 eingestellt, FTP über SSL, Portweiterleitung im Router funktioniert auch.
Mittlerweile bekomme ich eine Verbindung über HTTP zu meinem NAS aus dem Netzwerk meiner Mutter.
FTPS funktioniert immer noch nicht. Bin jetzt mal auf FileZille gespannt. Muss ich aber ersteinmal testen.

Ergänzung (6. Juli 2017)

Im passiven Modus werden sowohl Steuer- als auch Datenverbindung vom Client zum Server aufgebaut. Für den Router des Clients ist das im Prinzip egal, weil beides ausgehende Verbindungen sind. Der Router des Servers braucht jedoch eine passende Weiterleitung für den zusätzlichen Datenport..

So, da liegt anscheinend der Hund begraben. Ich arbeite im passiven Modus, habe in meinem NAS einen automatischen Portbereich für den passiven Modus eingestellt. Diese Ports sind aber nicht freigegeben, da ich nur SSL und FTP freigegeben habe.
Habe gerade per FileZilla die Fehlermeldung bekommen, dass die Adresse des passiv-Modus nicht routingfähig ist und bei WinExplorer werden zwei Ports aufgelistet, die ich nicht freigegeben habe.

Kann das daran liegen?

 

[Oli_P]

Funktionieren tut sowas auf jeden Fall, auch wenn ich mich nicht mit den Fritzboxen auskenne. Da du selber von ausserhalb auf das NAS zugreifen kannst (also z.B. über mobiles Internet), scheint die Port-Weiterleitung ja schonmal in Ordnung zu sein (zumindest in deinem Router). Weil viel mehr muss man da nicht einstellen. Das NAS scheint auch eingerichtet zu sein für den externen Zugriff. Also sollte der Router deiner Mutter korrekt eingerichtet werden.

 

[riff-raff]

Du musst natürlich auch den passiven Portbereich mappen sonst wird das nix.

Und nochmal genau: Nutzt du SFTP (SSH) oder FTPS?

Ich würde Ports abseits der Standardports nutzen.

Bsp: Port 23100 für aktiv und 23200-23600 für passiv .... beides im NAS festlegen sowie im Router durchmappen.

Port 443 ist normal für HTTPS-Verbingungen reserviert. Ich vermute, dass da dein Webinterface deines NAS drüber läuft? Das sollte möglichst nicht von außen erreichbar sein. Sicherheitshalber ....

 

[Dave9119]

Moin riff,

daran lag es auch. Benutze FTPS und habe die passiven Ports nicht weitergeleitet bei meinem Router. Habe sie jetzt fest eingestellt im NAS und im Router weitergeleitet. Externer Zugriff funktioniert jetzt komplett wunderbar

Stimmt, das Webinterface bzw. die NAS-eigene APP zur Steuerung, steuer ich über 443 an.

Mhh, was ja eine große Einschränkung wäre :/ Gibt es eine andere Möglichkeit?

Grüße,
Dave

 

[Raijin]

Naja, jede Portweiterleitung bzw. jeder Dienst, der von extern erreichbar ist, stellt ein potentielles Sicherheitsrisiko dar. Ich persönlich vertrete die Philosophie, außer einem VPN nichts nach außen zu führen. Ansonsten ist man auf Gedeih und Verderb darauf angewiesen, dass Hersteller xy auch seine Hausaufgaben gemacht hat und nicht zB alte SSL-Versionen ohne Patches, etc. verwendet. Im worst case blockiert sogar der Browser automatisch, weil zB noch SSLv2/v3 zum Einsatz kommt.

Ein VPN ist zwar auch nicht unangreifbar, aber es ist speziell für verschlüsselten Zugriff konzipiert. Für einen Hersteller von NAS, Receivern oder was weiß ich, steht primär die Hauptfunktion des Geräts im Fokus. Ob die dann auch wirklich alles absichern, ist fraglich. Bei großen Herstellern wie Synology und QNAP habe ich wenig Bauchschmerzen - solche Schnitzer können die sich gar nicht leisten -, aber bei anderen/billig(st)en Geräten bin ich mir nicht so sicher - zB China-Webcams für 10€ oder irgendwas in der Richtung..

Daher mach ich aus Prinzip alles via VPN. Zumal man damit ein für alle Mal alle Geräte im (W)LAN erschlagen hat, auch wenn später mal etwas dazukommt.

 

[riff-raff]

Ich reiche auch nur VPN und 80/443 für Letsencrypt und Webserver nach außen. Selbst da hab ich Bauchweh, jedoch ist ein Nextcloud, welches nur lokal erreichbar ist recht unpraktisch ...

 

[Dave9119]

Alles klar.

Ich habe ein NAS von QNAP, gott sei dank

Wenn meine Fritzbox im August dann endlich mal da ist, muss ich eh alles neu einstellen. Da werde ich dann gleich auf VPN umrüsten.
Mein NAS bietet 3 verschiedene Protokolle an: OpenVPN, PPTP und L2TP.
Könnt ihr mir kurz und knapp sagen, welches das geeignetere ist?
L2PT und OpenVPN haben ja die bessere Verschlüsselung, wobei L2PT das zu lasten der Performance geht.
Ich habe ein QNAP TS-451.