Unitymedia Neue Provisionierung führt Portfilter ein

[addicted]

Lassen wir ihn einfach selbst antworten. Kein Grund, so energisch zu werden.

 

[MartinP_Do]

Der Notebook ist mit Windows versehen, kann aber nicht von USB-Stick booten, sodass für den wohl Linux keine Option ist ....

Der Linux Rechner ist ein fetter Tower, und der LAN-Anschluss ist über einen Switch geführt.

Habe aber gerade erst gesehen, dass mein Linux-PC aktuell nur alleine mit einen Drucker an diesem Switch hängt. Wenn ich den Drucker ausschalte, könnte ich also auch den entsprechenden LAN-Port in den Bridge-Mode versetzen...

Den Tower zur Fritzbox schleppen wäre mir doch zu viel Aufwand gewesen, bei dieser Hitze ...
Nachtrag - hat auch über den Switch nicht funktioniert. Vermute, der Switch ist da "im Weg". Muss gucken, wo ich den RJ 45 Buchse - Buchse Adapter habe, ggfs. funktioniert es damit, wenn ich den Switch dadurch ersetze ...

 

[MartinP_Do]

So, der Laptop macht wohl einen Unterschied zwischen USB-Stick und integriertem SD-Kartenleser. Mit einem richtigen USB-Stick konnte er Linux Mint XFCE vom ISO auf dem Stick booten.

sowohl
curl portquiz.net:444
als auch
curl portquiz.net:445

funktionieren

auch die ports 135,137,139, 3127, 9898 und 4444 funktionieren

P.S. Muss wohl beim Umstöpseln an der Fritzbox an das Netz-Kabel gekommen sein. Jedenfalls hat sie vor 20 Minuten einen Neustart hingelegt.
Zwar keine neuen IP-Adressen. Aber der rote Balken hat schon eine gewisse Breite. Mal schauen, ob sich das wieder normalisiert....

 

[Zagg92]

Gibts hier jemanden der ein Musterschreiben fertigen kann für die Beschwerde bei der Bundesnetzagentur? Dann könnten wir da eventuell mehr erreichen. Außerdem wäre noch die Frage wie es aussieht sich an den Verbraucherschutz zu wenden?.

Bin ebenfalls betroffener der Austauschwut von Vodafone. 1 Neue VF und eine kostenfreie Fritzbox 6660 Cable hab ich nun hier.
Der Support versteht auch einfach gar nichts.

 

[chris_86]

@Zagg92 Ich bin kein Freund von "Muster-Schreiben", da diese beim Empfänger ja auch als solche erkannt - und somit wahrscheinlich als "ein Fall" aufgefasst - werden.
Da ich ja auch selbst sehr an einer dauerhaften Lösung für das Problem interessiert bin, biete ich aber gern an, dir mit einer Beschwerde zu helfen.
Insbesondere, da ich aus zuverlässiger Quelle weiß, dass das Thema derzeit intern bei UM/VF diskutiert wird, und dass ein wenig Nachdruck seitens der BNetzA hier durchaus sehr hilfreich sein kann.

Zuerst würde ich aber gern mit dir zusammen klären, ob du wirklich von dem hier beschriebenen - netzseitigen(!) - Problem betroffen bist.
Könntest du mir bitte mal die folgenden Fragen beantworten?
- In welchem Bundesland wohnst du?
- Welchen Anschlusstyp hast du (IPv4 / DSLite / Dual Stack)?
- Welchen Kabelrouter verwendest du derzeit (Modell / eigenes oder Leih-Gerät)?
- Seit wann verwendest du dieses Gerät (wann wurde es erstmals im Netz von VF provisioniert)?
- Falls du eine FritzBox verwendest: Hast du die Einstellung zum NetBios-Filter, und hast du diesen deaktiviert (siehe hier unter Punkt 6), oder die FritzBox in den Bridge-Modus versetzt?
- Hast du deinen PC mal direkt am Kabelrouter angeschlossen?
- Was wird ausgegeben, wenn du die folgenden Links aufrufst:
http://www.portquiz.net:444
http://www.portquiz.net:445

Schreib mir bitte auch gerne eine PN. Wenn du möchtest, kannst du mir auch deine Telefonnr. mit reinschreiben, dann können wir kurz darüber persönlich reden.

 

[Maurice]

Meine Vodafone Station (Bridge Mode) wurde kürzlich auch neu provisioniert ("Netzangleichung" in BW), Port 445 TCP kann ich aber weiterhin sowohl über IPv6 als auch über IPv4 erreichen.

 

[Zagg92]

Hi, anbei die Beantwortung deiner Fragen. Ich bin auf diesen Thread und das Forum gestoßen weil ich seit letztem Monat nicht mehr an mein Azure File Share rankomme, welches über SMB/445 läuft.

- In welchem Bundesland wohnst du?
NRW
- Welchen Anschlusstyp hast du (IPv4 / DSLite / Dual Stack)? Dualstack /56 bei IPv6
- Welchen Kabelrouter verwendest du derzeit (Modell / eigenes oder Leih-Gerät)?
Seit gestern FritzBox6660 Cable (Leih-Gerät)
Anfang der Woche bis gestern VodafoneBox TG6442VF. Davor eine VodafoneBox TG3442DE.
- Falls du eine FritzBox verwendest: Hast du die Einstellung zum NetBios-Filter, und hast du diesen deaktiviert oder die FritzBox in den Bridge-Modus versetzt?
NetBios lässt sich nicht abschalten ist aber unter Sicherheit zu finden bei der FritzBox als aktiv.
- Hast du deinen PC mal direkt am Kabelrouter angeschlossen? Jop
- Was wird ausgegeben, wenn du die folgenden Links aufrufst:
Portquiz 444 - Seite öffnet sich
Portquiz 445 - lädt sich zu Tode

 

[chris_86]

Du meinst, der "Netbios-Filter" ist unter "Sicherheit" als "aktiv" gekennzeichnet?
-> Die FritzBox sperrt die SMB-Ports leider mit dem "Netbios-Filter". Diesen müsstest du zuerst mit Tricks abschalten, um hier wirksam testen zu können.

- Ironischerweise hättest du mit der Vodafone Station höhere Chancen gehabt, dass es funktioniert! ;-)

Kannst du bei deiner FritzBox mal bitte LAN-Anschluss 4 in den Bridge-Modus schalten, und einen Laptop direkt an diesen Anschluss anschließen?
Der sollte dann eine öffentliche IPv4 und IPv6 Adresse beziehen.
Und damit dann nochmal die Portquiz-Seite testen. Wenn es über Port 445 dann immernoch sich zu Tode lädt, dann bist du wohl von der netzseitigen Portsperre betroffen...

 

[Zagg92]

Ich hab die FRITZ!Box seit gestern und das Problem habe ich seit über nem Monat. Aber ja, ich mach den Bridge Modus an und gebe dann ein Update. Spoiler, wird das gleiche Ergebnis Falls es doch klappen sollte, halte deine Anleitung mal parat wie ich den NetBios-Filter aus mache. Via Config Editing hab ich es nicht geschafft

 

[chris_86]

Spoiler, wird das gleiche Ergebnis

Ich fürchte auch... (Tut mir Leid, aber wir müssen das ja nochmal genau prüfen, bevor wir eine Beschwerde schreiben)

Falls es doch klappen sollte, halte deine Anleitung mal parat wie ich den NetBios-Filter aus mache. Via Config Editing hab ich es nicht geschafft

Ich habe dazu leider keine Anleitung.
"Falls" es doch klappt, dann würde ich
(a) es über Config Editing versuchen
(b) eine Beschwerde bei AVM empfehlen, da die den Netbios-Filter nur aus dem einen Grund un-abschaltbar gemacht haben, "weil Vodafone die Ports eh sperrt".
(c) die Box an VF zurückgeben oder den Bridge-Modus nutzen

 

[chris_86]

Meine Vodafone Station (Bridge Mode) wurde kürzlich auch neu provisioniert ("Netzangleichung" in BW), Port 445 TCP kann ich aber weiterhin sowohl über IPv6 als auch über IPv4 erreichen.

Wann genau ist "kürzlich"?

Tatsächlich gab es ein Zeitfenster ab Anfang/Mitte Juni, in dem die Portsperren nicht angewendet wurden. Womöglich hat @Zagg92 genau dieses Zeitfenster leider verpasst?

 

[Maurice]

Wann genau ist "kürzlich"?

Diese Woche, 5.7.2022.

 

[Zagg92]

mhm, ja, das nun ja doof. bridge modus klappt

 

[tq1199]

NetBios lässt sich nicht abschalten ist aber unter Sicherheit zu finden bei der FritzBox als aktiv.

BTW: Der NetBios-Filter der FB-cable blockt nicht den Zugang zum TCP-Port 445 im Internet. Der NetBios-Filter der FB-cable blockt nur NetBios-Pakete:

NetBIOS-Filter
In Ihrer FRITZ!Box Cable ist der NetBIOS-Filter aktiviert. Dies bewirkt, dass der Paketfilter der FRITZ!Box NetBIOS-Pakete blockiert. In der FRITZ!Box Cable kann der NetBIOS-Filter nicht deaktiviert werden.

NetBIOS-Pakete werden normalerweise nicht für die Kommunikation im Internet benötigt.

Quelle: https://service.avm.de/help/de/FRITZ-Box-6591/019p2/hilfe_sicherheit_filter
In meiner FB6591-cable ist der NetBios-Filter auch aktiv und trotzdem kann ich auf den TCP-Port 445 im Internet zugreifen:

:~$ nc -zv portquiz.net 445
Connection to portquiz.net 445 port [tcp/microsoft-ds] succeeded!

Der SMTP-Filter meiner FB6591-cable ist auch aktiv und sperrt somit SMTP-Pakete und _nicht den Zugang zum TCP-Port 25_ im Internet:

:~$ nc -zv mail.gmx.de 25
Connection to mail.gmx.de 25 port [tcp/smtp] succeeded!

Wenn ich statt SMTP das "SMTP AUTH" benutze, kann ich ohne Probleme, auch emails über den TCP-Port 25 (mail.gmx.de 25) senden:

Jul 07 20:00:59 xxxxxx sendEmail[3788]: Email was sent successfully! From: <[email protected]> To: <######@web.de> Subject: [my internal ip address] Server: [mail.gmx.de:25]

Ich will damit nur sagen, dass die Filter der FritzBox, die Ports nicht sperren.

 

[Zagg92]

@tq1199 dann ist die Frage was da blockt. Wie gesagt BridgeMode geht. Ohne nicht. Also muss es ja was in der 6660 sein

 

[tq1199]

Also muss es ja was in der 6660 sein

Ja, aber es ist nicht der NetBios-Filter der FB.

 

[chris_86]

Tatsache ist: Wenn man den Netbios-Filter ausschaltet, dann geht es durch.

 

[tq1199]

Wenn man den Netbios-Filter ausschaltet, dann geht es durch.

Kann sein, aber Du weißt ja nicht was "durch das ausschalten" des NetBios-Filters, evtl. zusätzlich in der _betroffenen_ FritzBox-cable geändert wird. Die Aussage von AVM in der Hilfe (siehe oben):

In der FRITZ!Box Cable kann der NetBIOS-Filter nicht deaktiviert werden.

, ist doch klar.

 

[chris_86]

Richtig, deshalb werden wir das nicht herausfinden.

Ich glaube zwar nach wie vor nicht, dass die FB Deep Packet Inspection macht, sondern tippe auf einen einfachen Portfilter, den der Marketingstratege für die Doku "schöner" formuliert hat.

Aber das spielt hier für mich auch keine Rolle.
Der Filter sollte seitens AVM deaktivierbar sein, sofern der Provider die Ports durchlässt!

 

[Zagg92]

Habe n Ticket bei AVM mal sehen was die sagen

 

[tq1199]

Ich glaube zwar nach wie vor nicht, dass die FB Deep Packet Inspection macht, sondern tippe auf einen einfachen Portfilter, ...

Und warum kann ich dann bei aktivem SMTP-Filter in der FB, eine email via TCP-Port 25 senden?

:~$ nc -zv mail.gmx.de 25
Connection to mail.gmx.de 25 port [tcp/smtp] succeeded!

Jul 07 20:00:59 xxxxxx sendEmail[3788]: Email was sent successfully! From: <[email protected]> To: <######@web.de> Subject: [my internal ip address] Server: [mail.gmx.de:25]

 

[chris_86]

@tq1199 Es macht keinen Sinn, darüber zu diskutieren, da wir es einfach nicht wissen. Und es zudem keine Rolle spielt.
Denn der Netbios-Filter (oder eine damit zusammenhängende Komponente, die über dasselbe Kontrollkästchen aktiviert und deaktiviert wird) verhindert ganz klar die HTTP-Kommunikation mit Ziel-Port 445/TCP.

(1) Es ist überhaupt nicht gesagt, dass der SMTP-Filter und der Netbios-Filter identisch funktionieren.

(2) Wie identifiziert man Netbios-Pakete? Ich bin nicht 100% sicher, aber soweit ich weiß, haben die keinen speziellen Header, so dass sie eigentlich nur anhand des Ports erkannt werden können(?)

(3) Bist du sicher, dass deine Box überhaupt filtert?
Du hast diesen PEI-Modus, der eigentlich analog zum Bridge-Modus funktionieren sollte.
Vielleicht wird das (normale) SMTP ja auch irgendwo anders in deinem Netz geblockt?
Die Frage ist, ob du bei aktivem Filter irgendwas NICHT tun kannst, was bei deaktiviertem Filter aber geht?

PS: Netbios nutzt überhaupt nicht den Port 445. Dass dieses Kontrollkästchen (bei fast allen FBs) auch 445 filtert, macht also sowieso überhaupt keinen Sinn.

 

[chris_86]

Habe n Ticket bei AVM mal sehen was die sagen

Sehr gut! Berichte uns dann mal bitte!
(Ich fürchte, sie werden bloß sagen: "Ja, isso. Steht auf der Webseite")

Offtopic: Darf ich fragen, was genau für ein Produkt du bei Azure hast? Und wie viel Speicher, und was du dafür so zahlst?
Ich bin noch auf der Suche nach einer guten Alternative zum Strato HiDrive. Aber Azure scheint mir extrem teuer...?

 

[tq1199]

@tq1199
Du hast diesen PEI-Modus, der eigentlich analog zum Bridge-Modus funktionieren sollte.
Vielleicht wird das (normale) SMTP ja auch irgendwo anders in deinem Netz geblockt?
Die Frage ist, ob du bei aktivem Filter irgendwas NICHT tun kannst, was bei deaktiviertem Filter aber geht?

Nein, der RIP-Modus (den ich habe) ist mit dem Bridge-Modus nicht vergleichbar.
Ich benutze für diese Tests, Geräte (Clients) an der FritzBox, für die die FritzBox mit ihrer internen IPv4-Adresse (192.168.178.1), das gateway (default route) ins Internet ist.

Es ist entscheidend zu wissen ob die Filter der FritzBox, Port-Filter oder Paket-Filter sind. Erst wenn Du das sicher weißt, kannst Du dein Anliegen bei Vodafone richtig vortragen bzw. richtig formulieren.

 

[chris_86]

Da bin ich voll bei dir!
Aber Filter in der FritzBox trage ich gar nicht bei Vodafone vor.
Deshalb hatte ich Zagg doch gebeten, nochmal den Bridge Modus auszuprobieren.
Nur wenn die Filter netzseitig bestehen (bzw. mit dem VF Leihgerät im Bridge Modus auftreten), dann liegt ein Verstoß gegen die Netzneutralität vor!
(Und das war zeitweise der Fall, was der Auslöser für diesen Thread war)