Unitymedia Fritzbox 6591 "double NAT"

[endurance]

Moin zusammen,

vermutlich habe ich nur das falsche Suchpattern verwendet, aber ich habe keine wirkliche Lösung für meine Herausforderung gefunden:

Situation:
- Ich betreibe lokale Server (Web, VPN etc.)
- Diese sollten extern erreichbar sein im einfachsten Fall via exposed host auf meiner FB an meinen WAN Router (aktuell zwei Zugänge VDSL und Kabel)
- dns dynamisch (habe mittlerweile aber auch eine feste IP auf dem Kabel, sprich business deswegen auch wieder eine FB bekommen)
- Verschiede Subnetze (LAN, WLAN...) vorhanden
- WLAN geht direkt an den WAN router (keine Verbindung zum LAN)

LAN -> WAN Router -> Fritzbox -> "Loopback" -> Fritzbox-> WAN Router -> LAN geht NICHT
LAN -> WAN Router -> Fritzbox -> "INET" -> VDSL MODEM -> WAN Router -> LAN geht
WAN -> Fritzbox -> WAN Router -> LAN geht

LAN -> WAN Router -> VDSL Modem -> "Loopback" -> VDSL Modem -> WAN Router -> LAN geht
LAN -> WAN Router -> Kabel Modem -> "Loopback" -> Kabel Modem ->-> WAN Router -> LAN ging (war das vorherige setup)

Aktuell habe ich die Ports dediziert (HTTP, HTTPS, OpenVPN) dediziert weitergeleitet - von außen funktioniert auch alles.

• Wenn ich jetzt vom LAN auf meine externe IP zugreife also ala "http(s)://meinedomain" bekomme ich einen timeout.
• Von extern (also test mit dem mobile über 4G alles OK).
• Ändere ich meinedomain auf den VDSL anschluss geht es auch intern - vorher mit einem Kabelmodem ging es auch -> muss etwas mit NAT oder ähnlichem auf der FB zu tun haben.

Workaround im LAN: lokaler DNS Eintrag für meine Domain der direkt auf den entsprechenden server zeigt
Workarond WLAN (z.B. um via OpenVPN ins LAN zu kommen): keiner, da kein eigener DNS server. Einzige Lösung die ich momentan habe ist die nur die IP vom VDSL Anschluss zu nutzen

Wie bekomme ich es hin meine eigene Domains mittels externe IP vom LAN aus ansprechen zu können? DNS Einträger intern zu verbiegen oder gezwungen zu sein den zweiten WAN Anschluss zu nehmen kann ja nicht die Lösung sein.

 

[tq1199]

Wie bekomme ich es hin meine eigene Domains mittels externe IP vom LAN aus ansprechen zu können?

Evtl. musst Du noch den entsprechenden Eintrag beim dns-rebind-Schutz der FritzBox machen. Bei mir war das so.

 

[endurance]

Hatte ich testhalber schon mal gemacht (da irgendwo hier im zusammenhang gelesen). Funktionierte aber nicht.

Ich verstehe den Zusammenhang auch nicht wirklich: " Ihre FRITZ!Box unterdrückt DNS-Antworten, die auf IP-Adressen im eigenen Heimnetz verweisen (DNS-Rebind-Schutz) "
DNS Antworten habe ich ja - oder die Erklärung von AVM hier ist einfach mäßig (was ich vermute). Die Adressen sind ja auch nicht im Heimnetzwerk (zumindest nicht die des DNS Eintrages), sondern am WAN Port der Traffic muss aber in LAN/Heimnetzwerk.
Was ich da auch eintragen musste war der lokalen DNS Name der Fritzbox also fb.meinelocaldomain.xyz ansonsten keine Verbindung zur Fritzbox bzw. nur mit der IP Adresse.

 

[endurance]

DNS Rebind:
https://avm.de/service/fritzbox/fri...re-Anfrage-aus-Sicherheitsgrunden-abgewiesen/
https://avm.de/service/fritzbox/fri...Auflosung-privater-IP-Adressen-nicht-moglich/

Für mich sieht das nicht nach meinem Problem aus - die FB soll ja einfach nur ein Forwarding machen. Ich greife ja nicht mittels DNS direkt auf interne host zu. Direkt aus dem WAN funktioniert der Zugriff ja auch - sprich der Traffic wird entsprechend weitergeleitet. Nur wenn er aus dem LAN über die WAN IP wieder zurück ins LAN soll funktioniert das nicht.

Jetzt habe ich auch wieder den Beitrag gefunden den ich im Kopf hatte bzgl rebind und zugriff von außen:
https://www.unitymediaforum.de/threads/36658/

Ist das hier die nicht Problembeschreibung? Wobei bei mir jetzt noch mehrere Router dazwischen sind.
https://wiki.mikrotik.com/wiki/Hairpin_NAT

 

[tq1199]

Direkt aus dem WAN funktioniert der Zugriff ja auch - sprich der Traffic wird entsprechend weitergeleitet. Nur wenn er aus dem LAN über die WAN IP wieder zurück ins LAN soll funktioniert das nicht.

Ja, genau so war es auch bei mir, ich habe die identische Konstellation (Business-Tarif mit einer statischen IPv4-Adresse). Ohne den Eintrag beim dns-rebind-Schutz, kann ich aus dem LAN nicht auf die WAN-IPv4-Adresse zugreifen.
Was AVM mit dem dns-rebind-Schutz hier meint bzw. will, weiß ich auch nicht, aber ohne diesen Eintrag geht es hier nicht.

 

[endurance]

Wie gesagt habe meine DNS namen schon eingetragen - ich befüchte ich muss wohl wireshark und tcpdumps machen und mir die "von -> zu" IP adressen genauer anschauen. Ich gehe mal davon aus die source IP and irgendeinem Knoten in der Kette passt nicht mehr zu der die er eigentlich erwartet (sprich wo er das vorher hingeschickt hat) und dann wird das Paket eben verworfen, da nicht zuzuordnen.

habe jetzt mal spaßeshalber meine PublicIP im Browser (LAN) eingetragen - da öffnet sich doch das Fritzbox anmelde fenster...
Nein INternetzugriff auf der FB ist deaktiviert - passiert ja auch nur von innen - von außen geht es auf den gewünschten Webserver

 

[tq1199]

Ich gehe mal davon aus die source IP and irgendeinem Knoten in der Kette passt nicht mehr zu der die er eigentlich erwartet (sprich wo er das vorher hingeschickt hat) und dann wird das Paket eben verworfen, da nicht zuzuordnen.

Wenn ich aus dem (W)LAN auf die statische/feste IPv4-Adresse zugreife, wird auf dem Gerät mit der festen IPv4-Adresse, als source-IP-Adresse die interne/private IPv4-Adresse aus dem (W)LAN gesehen. D. h. die IP-Adressen aus dem Subnetz der FritzBox, dürfen als source-IP-Adressen nicht geblockt werden.

 

[endurance]

Wenn aber die Fritzbox sich nicht selber als source einträgt (mit ihrer LAN IP), sondern nur die Destination beim Forwarding ändert wird vom internen Webserver der TRaffic auch nicht mehr an die Fritzbox gehen, sondern an den "hop" vor der Fritzbox. Dieser sagt sich dann aber oops was soll damit, ich erwarte eine Antwort von der Firtzbox zum weiterleiten und nicht vom Webserver.

Im Prinzip braucht es zusätzlich zum Destination NAT auch ein source NAT so mein Verständnis. Aber evtl. liege ich voll daneben...

Das jetzt das Friztzbox webinterface aufgeht wenn ich vom LAN die public IP des FB WAN ports aufrufe finde ich auch mehr als merkwürdig. Irgendwas stimmt hier nicht.

Und was soll das hier sein? Hat vermutlich aber gar nix mit dem eigentlichen Problem zu tun, aber ich stocher mich gerade durch alle Konfigseiten der Box.

Internet->Zugangsart->Portkonfig - ist das um die LAN ports für Internetzugang freizuschalten oder steck da noch mehr dahinter (mein WAN Router ist am LAN port 1).

 

[boba]

Was AVM mit dem dns-rebind-Schutz hier meint bzw. will, weiß ich auch nicht

Wenn man die IP Adresse eines Hosts abfragt, und die Antwort dazu kommt aus dem Internet und nicht von einem DNS Server im lokalen Netz, und die Adresse ist eine lokale Adresse wie 192.168.x,y, dann entfernt der dns rebind Schutz die Antwort. Das soll verhindern, dass mittels DNS Einträgen bei irgendeiner fremdgesteuerten domain auf LAN-interne Adressen verwiesen werden kann.

Missbrauchs-Beispiel:
Man wird verleitet, auf eine böse Webseite zuzugreifen, z.B. über eine Suchmaschine. Die böse Webseite sei www.böse-example.org. Der html und/oder Javascript Code auf dieser Seite referenziert intern auf pc1.böse-example.org, pc2.böse-example.org, pc3.böse-example.org, usw. für http oder Websocket-Verbindungen oder was auch immer. Der Betreiber von böse-example.org hat im DNS für die pc*.böse-example.org lauter interne Adressen angegeben, also 192.168.1.2, 192.168.1.3, 192.168.1.4 usw. Jetzt greift der Browser also testweise auf die internen Maschinen im LAN zu. Die Antworten bzw. Ergebnisse dieser Zugriffe werden dann via Javascript als Requests wiederum zu www.böse-example.org übertragen, womit die böse Webseite das lokale LAN all derer Opfer erkunden kann, die auf sie zugreifen.
Das verhindert der dns-rebind Schutz. Eine sinnvolle Sache.

 

[endurance]

So hätte ich das auch verstanden und Antworten auf DNS Abfrage/Antwort bezogen. Das macht auch absolute Sinn. Von daher begreife ich den Zusammenhang mit dem Portforwarding NAT Problem nicht.

Da man den lokalen namen der FB (nicht fritz.box sondern meineigenerfbnamen.meinelokaledomäne.xyz) ja auch eintragen muss
https://avm.de/service/fritzbox/fri...re-Anfrage-aus-Sicherheitsgrunden-abgewiesen/
scheint hier aber etwas mehr als nur DNS Unterdrückung zu geschehen. In meinem Fall kommt meineigenerfbnamen.meinelokaledomäne.xyz von einem lokalen DNS server (nicht die Fritzbox) und verweist auf 192.168.178.1 (die interne LAN IP der FB). Trage ich den Namen im DNS Rebind feld ein, kann ich damit auf die FB zugreifen, wenn nicht dann nicht - also wie von AVM beschrieben.

Aber auch hier will mir noch nicht so recht einleuchten wie das mit dem Portfarding zusammenhängen soll. In meinem Fall möchte ich ja nicht auf die FB zugreifen (diese soll weiterleiten) und die IP Adresse der ensprechenden DNS ABfrage (meineöffentlichedomain.net) ist ja auch eine öffentliche (die des WAN ports).

 

[MartinP_Do]

Einen Schritt zurückgetreten und betrachtet ist Deine Lösung zum Zugriff auf die lokalen Server, wenn deine Endgeräte im LAN sind nicht besonders effizient:
Der Traffic muss ja jedesmal über "das Internet" gehen, und ist somit auf die gebuchte Geschwindigkeit Deines Anschlusses limitiert ... Mir fällt aber auf Anhieb auch keine Lösung ein, wie man da bequem zwischen einer Art "Zugangsprofilen" switchen kann, um die Server mit der vollen LAN-Geschwindigkeit erreichen zu können, wenn man zu Hause ist ...

 

[tq1199]

Wenn man die IP Adresse eines Hosts abfragt, und die Antwort dazu kommt aus dem Internet und nicht von einem DNS Server im lokalen Netz, und die Adresse ist eine lokale Adresse wie 192.168.x,y, dann entfernt der dns rebind Schutz die Antwort. Das soll verhindern, dass mittels DNS Einträgen bei irgendeiner fremdgesteuerten domain auf LAN-interne Adressen verwiesen werden kann.

Die IP-Adresse ist keine lokale, es ist die statische/feste öffentliche/externe zusätzliche IPv4-Adresse die ich mit der FritzBox als gateway, benutze. Wenn es um den dns-rebind-Schutz geht, wird diese statische externe IPv4-Adresse, von der FritzBox genau so "behandelt" wie eine lokale IPv4-Adresse aus dem Subnetz der FritzBox.

 

[tq1199]

So hätte ich das auch verstanden und Antworten auf DNS Abfrage/Antwort bezogen. Das macht auch absolute Sinn. Von daher begreife ich den Zusammenhang mit dem Portforwarding NAT Problem nicht.

BTW: Wenn man im RIP-Modus (FritzBox) eine zusätzliche feste IPv4-Adresse hat, dann ist das kein klassisches NAT, das da gemacht wird. Es ist eher mit der Portfreigabe bei IPv6 zu vergleichen (d. h. es ist eine Art von v4-Firewall der FritzBox).

 

[endurance]

@MartinP_Do: Die Effizienz ist bei dem Lowvolume traffic den ich da habe kein Thema, aber prinzipiell richtig. Im LAN kann ich das über DNS lösen indem ich den DNS Eintrag statt auf öffentlich IP auf den lokalen Server zeigen lasse. Gut bekomme dann nicht mehr mit wenn von Außen etwas nicht geht, aber das ist anderes Thema.
Beim WLAN habe ich hier noch keine einfache Möglichkeit gefunden, da ich im WLAN keine eigenen DNS Server habe - WLAN soll bewusst "direkt" ins INET gehen.

Bzgl. Wie das eigentlich gehen sollte:
Ich weiss von anderen Routern dass man es einstellen kann "wenn Du etwas aus subnet x bekommst und weiterleitest dann trage bitte xyz als src IP ein". Aber wie gesagt ich vermute ja nur das in dem Src nat das Problem begraben ist.

 

[tq1199]

Die Effizienz ist bei dem Lowvolume traffic den ich da habe kein Thema, aber prinzipiell richtig.

Wenn ich aus dem Subnetz meiner FritzBox einen Zugriff auf die zusätzliche statische externe IPv4-Adresse mache, ist genau ein hop (die FritzBox) dazwischen:

~ $ mtr -4nr -c 1 -T -P xxxxx 109.##.###.###
Start: 2021-02-25T09:53:27+0100
HOST: YYYYYY Loss% Snt Last Avg Best Wrst StDev 1.|-- 192.168.178.1 0.0% 1 0.8 0.8 0.8 0.8 0.0 2.|-- 109.##.###.### 0.0% 1 2.1 2.1 2.1 2.1 0.0

Das ist dann der Zugriff "via Internet".

 

[MartinP_Do]

Wäre interessant ob da auch ein Traffic-Shaping auf die in der Konfig-Datei der Fritzbox hinterlegten Transferraten erfolgt....

 

[tq1199]

... ob da auch ein Traffic-Shaping auf die in der Konfig-Datei der Fritzbox hinterlegten Transferraten erfolgt....

Wenn es um die Priorisierungsfunktion der FritzBox geht, kann auch diese zusätzliche externe IPv4-Adresse, dort konfiguriert bzw. berücksichtigt werden.

 

[endurance]

Naja Volume - priorisierung ist ja denke ich nicht mein Problem.

BTW: Wenn man im RIP-Modus (FritzBox) eine zusätzliche feste IPv4-Adresse hat, dann ist das kein klassisches NAT, das da gemacht wird. Es ist eher mit der Portfreigabe bei IPv6 zu vergleichen (d. h. es ist eine Art von v4-Firewall der FritzBox).

Was meinst Du damit?
Wenn es routing wäre, dann würden ja die (DEST) IP adresse nicht geändert. Das muss er aber ja tun da es ja eine Forwarding regel gibt. Ansonsten würde das Paket ja am WAN port terminiert. Oder nicht?

 

[tq1199]

Das muss er aber ja tun da es ja eine Forwarding regel gibt. Ansonsten würde das Paket ja am WAN port terminiert. Oder nicht?

Ich weiß nicht was Du wie in der FritzBox konfiguriert hast.
Was meinst Du mit "Forward regel" und mit "würde das Paket ja am WAN port terminiert"? Was wie am WAN-Port weiter geht bzw. weiter geben wird, muss doch im Gerät mit dem "WAN-Port" konfiguriert werden und nicht in der FritzBox.

 

[endurance]

LAN -> Router -> Fritzbox -> Internet

Fritzbox (Routermodus - kein Bridge Modem) ist der Zugang zum Internet -> externer Port der FB ist für mich in dem Fall der WAN Port (public IP Adresse).
Forwarding regeln (zum LAN) sind in der Fritzbox die Freigaben - entweder spezifisch (protocoll, port, dest ip) oder als exposed host (alles an DESTip).

 

[tq1199]

LAN -> Router -> Fritzbox -> Internet

Also aus deinem Beitrag #20 verstehe ich nur Bahnhof.

Du hast in deinem 1. Beitrag u. a. geschrieben:

(habe mittlerweile aber auch eine feste IP auf dem Kabel, sprich business deswegen auch wieder eine FB bekommen)

Hast Du jetzt eine zusätzliche feste externe IPv4-Adresse, die Du am LAN-Anschluss deiner FritzBox-cable verwenden kannst? Oder ist es die FritzBox-cable die als "border device" eine feste/statische IPv4-Adresse hat?

 

[boba]

Der dns rebind Schutz agiert nur auf dns Anfragen. Wenn man testweise direkt IP Adressen benutzt, und das Problem tritt auch auf, dann liegts nicht am DNS. Sollte man ausprobieren (habe anhand der Beiträge nicht rausfinden können, ob du das bereits getestet hast). Wenn es nicht am DNS liegt, dann liegt es aller Wahrscheinlichkeit am Routing.

Man muss beim Routing nicht nur korrekt aus dem Netz herausrouten, also in Richtung Internet. Man muss auch die zurückkommenden Pakete betrachten, insbesondere bei so einem loopback zurück ins eigene Netz. Auch für die muss das Routing stimmen, und da braucht man u.U. einen extra Eintrag. Du wirst wahrscheinlich mit wireshark feststellen, dass die Pakete auf dem Zielserver zwar ankommen, aber die von dort zurückkehrenden Pakete kommen nicht beim Client an.

Früher konnten diverse Router nicht damit umgehen, dass man die WAN Adresse des Routers aus dem internen Netz anspricht. Die Fritzbox allerdings kann das. Gerade bei mir mal wieder ausprobiert, das geht. Ich benutze die Fritzbox allerdings in Standardkonfiguration ohne extra zusätzliche Router, die auch nochmal NAT machen.

Ich schlage vor, du machst mal eine Grafik über dein Netz-Setup. Du hast das bisher nur als Text beschrieben, aber es wäre sinnvoll, wenn du jedes Endgerät und jeden Router mit ihren LAN Verbindungen aufzeichnest und auch welche Interfaces welche IP Adressen haben und welche LAN Verbindungen welche Netzadressen+Netmasks haben. Sowas sollte man schon eigentlich gemacht haben, bevor man überhaupt so ein etwas komplexeres Setup aufbaut, denn sonst weiß man ja gar nicht, was man auf den einzelnen Geräten konfigurieren muss.

 

[endurance]

Also aus deinem Beitrag #20 verstehe ich nur Bahnhof.

Du hast in deinem 1. Beitrag u. a. geschrieben:

Hast Du jetzt eine zusätzliche feste externe IPv4-Adresse, die Du am LAN-Anschluss deiner FritzBox-cable verwenden kannst? Oder ist es die FritzBox-cable die als "border device" eine feste/statische IPv4-Adresse hat?

LAN -> Router -> Fritzbox - (FESTE externe IP) > Internet, so war das aber seit dem ersten Posting gemeint. In meiner Beschreibung war die FB immer der Übergang zum WAN/Internet.
Nicht verwirren lassen von WAN Router im ersten post - das ist ein WAN router im VDSL Fall, im Kabelfall bekommt er eine dynamische IP von der FB hat also keine externe IP. Wenn es nach mir ginge könnte die FB ein reines Modem sein, das kann man aber nciht mehr konfigurieren.

 

[endurance]

Ich schlage vor, du machst mal eine Grafik über dein Netz-Setup. Du hast das bisher nur als Text beschrieben, aber es wäre sinnvoll, wenn du jedes Endgerät und jeden Router mit ihren LAN Verbindungen aufzeichnest und auch welche Interfaces welche IP Adressen haben und welche LAN Verbindungen welche Netzadressen+Netmasks haben. Sowas sollte man schon eigentlich gemacht haben, bevor man überhaupt so ein etwas komplexeres Setup aufbaut, denn sonst weiß man ja gar nicht, was man auf den einzelnen Geräten konfigurieren muss.

Natürlich habe ich das
Einzige Änderung Kabelmodem (TC4400) getauscht durch Fritzbox (da Bestandteil des neuen Vertrages) - vorher mit dem Modem hat das problemlos funktioniert, das läuft seit mehreren Jahren - bis auf die FB ist nichts geändert.
Hier mal das alte Setup - die Clients hängen entweder am WLAN Router oder an IPFire. Im neuen Setup ist TC4400 ersetzt durch FB6951 mit einer festen externen IP. Die Mauern sind symbolisch zu betrachten, da ist kein extra knoten. Das Vigor 165 ist ein VDSL Modem

 

[tq1199]

LAN -> Router -> Fritzbox - (FESTE externe IP) > Internet, ...

Das verstehe ich noch nicht:

Fritzbox - (FESTE externe IP)

Hat nur deine FritzBox die feste IP-Adresse oder musst Du die (zusätzliche) feste IP-Adresse, mit einem Gerät (hier dein Router) am LAN-Anschluss deiner FritzBox benutzen? Wenn der Router am LAN-Anschluss deiner FritzBox die feste IP-Adresse hat, wie hast Du in der FritzBox die Portfreigaben konfiguriert?