Digitalisierungsbox Smart (einfache) Portweiterleitung/öffnung

[mc235]

Hallo,

gleich vorneweg Asche auf mein Haupt und eine Entschuldigung für die (mutmaßlich) simple Frage, aber auch ich bin inzwischen am Ende meiner Ideen angelangt, was ja auch in diesem Forum etlichen VorgängerInnen so passierte. Das Frustrierende für mich ist, daß ich deren Lösungen (die der meinen wohl ähnlich sein müßten) in keiner Weise umändern kann. Sprich - obwohl ich normalerweise sowas mit Internet-Recherche hinbekomme, hab ich in dieser Box meinen Meister gefunden...

Also bitte ich in aller Demut einen freundlichen Geist, mir einen Link auf ein passendes Beispiel zu schicken oder mir evtl. nochmal die Daten (Stellen) zu nennen, in die ich (was) eintragen muß.

Es ist eigentlich wirklich einfach, Vuze möchte, daß ich einen Port (sagen wir mal 55555) für TCP und UDP weiterleiten lasse.

Mit meinem Speedport war das trivial, ich bekam ein Popup mit allen Rechnern im Heimnetz (praktischerweise mit Namen, ich schätze, da muß ich für die DS nun manuell die 192.168.x.y eingeben) und dann mußte ich nur noch einmal für TCP und einmal für UDP die Portnummer eingeben - und fertig.

Mit der DS... scheitere ich, und die Beispiele hier (einmal eine Playstation, einmal ein Webserver, einmal irgendwas VPC) bekomme ich nicht so umgebacken, daß Vuze im Test nicht trotzdem sagt, der Port wäre zu.

Bitte, und Danke schon jetzt, kann mir jemand sagen, in exakt welchen Einstellungen für diesen (eigentlich einfachsten, oder?) aller Fälle wo etwas angelegt werden muß?

Andere selbstmodifizierte Einstellungen habe ich nicht, ist alles auf Factory-Default nach automatischer Konfigurierung durch die Telekom.

Die Beispiele im Netz (auch hier) haben fast immer einzelne abweichernde Settings, auf die aber nicht eingegangen wird (also nichts, was dem jeweiligen Frager angewiesen wird). Mir ist nicht ersichtlich, welche davon evtl. auch für meinen Fall signifikant sind, das macht es so schwer.

Danke und Grüße, Martin

 

[Raijin]

Mach bitte mal einen Screenshot von deinen bisherigen Einstellungen bei der Portweiterleitung. Die wenigsten werden dieselbe Box daheim haben wie du. Und ohne dass man sieht was da wie eingestellt ist bzw. eingestellt werden kann, sind Lösungsvorschläge schwierig.

 

[chrigu]

so viel text aber trotzdem keine kontrete frage??

1. welche ports von welchen geräten?
2. genaue skizze wie was verbunden ist.
3. welche ports genau für welches gerät freigegeben werden muss..

 

[mc235]

Yep... das war zunächst allgemein gefragt, in der Hoffnung, daß es für diesen Fall schon irgendwo ein Tutorial gibt, das ich lediglich nicht gefunden habe.

Zu den "Geräten" kann ich nicht mehr sagen, als daß sie im Speedport damals unter ihrem Netzwerknamen erschienen und ich sie jetzt (offensichtlich) unter ihrem IP-Code angeben muß, das meinte ich mit 192.168.x.y. Sofern das für die Beantwortung schon jetzt grundsätzlich wichtig ist, der Computer der den offenen Port braucht ist 192.168.2.105

Den Port hatte ich auch schon benannt, zum Test ist es 55555, genau diesen Port für genau diesen Computer 192.168.2.105 für TCP und UDP.

Meine (von den anderen Beispielen abgeleiteten) Einstellungen als Screenshot:

Netzwerk > NAT > Konfiguration > (Detail)

Das hab ich zweimal angelegt, einmal für TCP, einmal für UDP (hier nur TCP, der andere ist völlig gleich).
Hier gibt es einen Unterschied zu den früheren Beispielen zur Digitalbox Small/Premium, und zwar der Punkt "Dienst". Hier haben frühere Beispiele "Any" ausgewählt, aber dann kommt bei mir darunter nicht mehr die Wahl von TCP, UDP, etc. Umgekehrt kommt bei "Benutzerdefiniert" bei mir unten Original/Ziel-Portbereich, der fehlt sonst. Muß ich hier was anderes eingeben?

Netzwerk > NAT > Konfiguratiom

Die beiden Einträge in der Liste

Netzwerk > NAT > Schnittstellen

Hier steht bei mir anderes Zeug als in den meisten Beispielen, muß etwas geändert werden?

Firewall > Richtlinien > IV4 Filterregeln

So eingetragen wie im Netz gelesen, das gibt es auch nochmal für IV6 (identische Werte)

Firewall > Richtlinien > Optionen

Hier was ändern?

Vielen Dank...

Ergänzung (11. Januar 2017)

Zusatz, wegen "Skizze, verbunden". Spielt es eine Rolle, daß ein Switch dazwischensitzt?

Also: Digitalisierungsbox Smart an der Telekom-Quelle, von dort Ethernet Kabel zu einem Switch, von dort Kabel in meinen Rechner. Muß etwa als "Quelle" die IP vom Switch (und nicht von meinem Rechner) angegeben werden? Oder gar die IP vom Router selbst? Das kann ich mir ehrlich gesagt nicht vorstellen, und wäre dann mein Irrtum gewesen.

 

[Raijin]

Also das Interface sieht komisch aus. Naja, sei's drum. Was auffällt ist die "Quell-Adresse".

Mal ein paar Basics zur Portweiterleitung:

Portweiterleitungen sind eine Form des Destination NAT (kurz: DNAT). Dabei werden die Zielangaben modifiziert, eben eine Weiterleitung. Von außen wird ein Paket an deine öffentliche IP auf Port 1234 geschickt. Der Router erkennt dies, nimmt das Paket und ersetzt die Ziel-IP (und ggfs den Port) mit den geänderten Werten - der IP des Geräts in deinem LAN.

Die Quell-IP wird dabei NICHT geändert! Etwaige Einstellungen beziehen sich auf das Matching, also die Erkennung der Pakete. So kann man zB eine Portweiterleitung NUR für eine bestimmte Quell-IP freigeben, beispielsweise die IP vom Büro. Kommt das Paket von woanders - zB von meiner öffentlichen IP - dann wird die Portweiterleitung nicht greifen.

Lange Rede, kurzer Sinn: Nimm mal die Quell-IP raus. Du brauchst nur den externen Port, die interne IP deines Geräts und den internen Port des Geräts (sofern nicht identisch mit externem Port). Das war's. Bei Quelle wird in der Übersicht dann entweder gar nichts stehen oder 0.0.0.0 für "beliebige IP".

 

[mc235]

Also das Interface sieht komisch aus. Naja, sei's drum. Was auffällt ist die "Quell-Adresse".

[snip]

Lange Rede, kurzer Sinn: Nimm mal die Quell-IP raus. Du brauchst nur den externen Port, die interne IP deines Geräts und den internen Port des Geräts (sofern nicht identisch mit externem Port). Das war's. Bei Quelle wird in der Übersicht dann entweder gar nichts stehen oder 0.0.0.0 für "beliebige IP".

Danke, also so (Screenshot)?

Ergibt leider keine Änderung, Vuze meint:
Testing port TCP 55555 ...
NAT Error - Connection to (...):55555 (your computer) refused.

 

[chrigu]

wenn ich das so sehe, ist port 55555 nicht korrekt
http://blog.vuze.com/2014/01/22/vuze-101-how-to-configure-ip-address-nat-port-vuze/

 

[mc235]

Falls Du auf das 52052 in dem Bild anspielst, das ist nur ein Beispiel. Die eigene Nummer wird entweder ausgewürfelt oder selber gesetzt. Es geht auch mit jedem anderen Port bei mir nicht, bzw. über Port-Tester im Netz.

 

[chrigu]

lass das zitieren bitte sein wenn der beitrag auf den du antwortest der nächste ist... sieht doof aus und wird vom FB nicht gerne gesehen.

so wie ich das sehe sind noch weitere ports zu öffnen... läuft vuze überhaupt? weil wenn niemand hinter der tür (port) horcht, wird nicht geantwortet.

 

[mc235]

Entschuldigung, aber ich bin neu hier - Zitat entfernt. (Ich mach das normalerweise immer gerne, für den Fall, daß jemand dazwischen antwortet, und es dann ebenfalls konfus wirken kann).

Zum Thema, ob Vuze überhaupt läuft - ich hatte oben schon gepostet, daß Vuze einen NAT-Test hat, und auf diesen Test Folgendes antwortet:
Testing port TCP 55555 ...
NAT Error - Connection to (...):55555 (your computer) refused.

Damit Vuze diesen Test ausführt und mir das Ergebnis mitteilt, muß Vuze natürlich laufen (ich dachte, das ist klar).

Weiterhin tritt das Problem auch mit Port-Testern im Netz auf, wenn ich also z.B. auf die Testseite bei Heise (oder wo auch immer) gehe und Port 55555 eingebe, dann sagt mir die Antwortseite, daß Port 55555 blockiert wird.

Ich würde deshalb zur Vereinfachung vorschlagen, das Thema Vuze sogar zu vergessen und meine Hilfeanfrage auf den einfacheren allgemeinen Fall zu reduzieren:

Was muß ich eingeben, damit der Port 55555 auf meinem Computer (192.158.2.105) bei Tests/Zugriffen über allgemeine Port-Scans z.B. einer Website nicht blockiert wird? Bzw. was ist bei meinen bisherigen Einstellungen (siehe Screenshots) oben falsch oder unvollständig?

(Ich nehme da auch gerne einen anderen Port, falls mit 55555 irgendwas faul ist. Ich denke, wenn ich es mit einem hinbekomme, geht es genauso auch mit einem anderen)

 

[Raijin]

Eigentlich musst du nix weiter angeben. Für Portforwarding braucht man

- externer Port
- interner Port (falls vom externen Port abweichend)
- interne Ziel-IP

Das war's. Normalerweise sollte hinter den Kulissen automatisch eine Ausnahme zur Firewall hinzugefügt werden, um den Traffic zu erlauben.

Ich kenne Vuze leider nicht. Was ist das? Ist das eine Software auf deinem PC? Dann wäre auch noch die Windows-Firewall zu prüfen. Geh in die Systemsteuerung und dort in die Firewall. Nu prüfst du ob die vuze.exe (o.ä.) erlaubt ist bzw. in den advanved settings explizit der eingehende Port 55555. Achte dort auch auf die Einstellungen bezüglich quell-IP ("alle IPs") sowie den Haken beim Netzwerktyp (privat, office, domain)

 

[mc235]

Danke.

Zunächst, Betriebssystem ist OS-X und die im System integrierte Firewall ist komplett abgeschaltet. Wobei ja alles bis vor 3 Tagen ja auch mit exakt den identischen Einstellungen (aber halt dem Speedport) korrekt lief. Neu ist der VoIP Anschluß statt ISDN, und die "Digitalisierungsbox Smart" von der Telekom, statt des Speedports.

Ausnahmen "on the fly" hinzufügen kenne ich nur von der OS-X Firewall, auch das Speedport mußte da händisch programmiert werden. Was aber kein Act war. Generell will ich ausschließlich einen Router mit eigener Firewall, damit die Grenze im Router verteidigt wird, und nicht in meinem laufenden Rechner.

Vuze ist ein Torrentclient, aber im Prinzip ist das (wohl) wurscht, denn der Fehler wird ja nicht nur von Vuze angezeigt, sondern generell von "außerhalb". Sprich, eine beliebige Software XYZ möchte auf dem Port 55555 (oder 44444 oder 54321) kontaktiert werden, ich habe die NAT Ausnahmen wie oben angelegt, "irgendwer aus dem Netz" (zum Beispiel Portscanner zum Test) klopfen bei meiner aktuellen ISP Adresse an, und die Digitalisierungsbox Smart sagt "Nö".

Kann es mit VoIP IPv4/IPv6 zusammenhängen? Aber ich hab alles identisch für beide eingetragen.

Kann es daran liegen, daß das Ding als "Mediengateway" geschaltet ist (um die ISDN-Anlage weiterzunutzen)?

Zur Info, absolut *alles* andere (das Internet betreffend) außer diesem Port-Problem läuft problemlos wie früher.

 

[Raijin]

Naja, Portscanner im Netz sind nicht 100% zuverlässig. Wie vuze selbst testet ist auch fraglich. Evtl prüft vuze ja noch weitere Ports. Ich würde es zB mal mit einem simplen FTP-Server testen. Besser wäre natürlich direkt mit einem Netzwerksniffer wie WireShark. Gibt es bestimmt auch für Mac.

Testen würde ich dann ohne Scannerseiten, sondern direkt mit einem FTP-Client. Vorzugsweise von einem anderen DSL/Kabelanschluss, zur Not via Hotspot übers Handy (evtl blockt hier aber der Mobilfunk Provider). Wenn das läuft, ist die Weiterleitung soweit ok. Der Fehler liegt dann vermutlich in Vuze, weil's eben doch noch andere Ports braucht

 

[chrigu]

mhhhh... hast du dummerweise kabelanschluss und nur ipv4 ds-lite? dann ist portforwarding unmöglich..

 

[mc235]

Danke. Kann natürlich alles sein, ist aber unwahrscheinlich (Vuze ist Open-Source und der Platzhirsch unter den Clients, der Test läuft über alle Updates hinweg seit Jahren immer und überall auf der Welt zuverlässig, jedenfalls finde ich keine Bug-Reports, er war für meine 3 früheren Router korrekt, und was er jetzt ausspuckt, deckt sich mit allen Port-Scannern die versucht habe... natürlich *können* die jetzt auch alle simultan irren (und zwar nur bei mir) aber... Ihr kennt sicher "Ockhams Rasiermesser", das ist ein (seriöser) Begriff aus der Wissenschaft, und benennt das Prinzip, daß bei mehreren Möglichkeiten für ein Problem meistens die einfachste Lösung richtig ist, und seltener die komplizierten. Merksatz: "Trifft man in Afrika auf ein großes vierbeiniges Tier mit schwarzen und weißen Streifen, ist es vermutlich ein Zebra, und nur selten ein Pferd mit einer speziellen Pigmentstörung"...

Having said that, kam mir jetzt erst die Idee, etwas zu versuchen, was ich gleich hätte machen sollen... nämlich: die Firewall in der DS komplett abzuschalten. Generell, global, Firewall aus, Tür weit auf, Hallo Internet, hereinspaziert, bedient Euch. Und wißt ihr was? Der Port wird *immer* noch blockiert, und nicht nur 55555, sondern alle. Die Box mit abgeschalteter Firewall besteht *alle* Komplett-Tests von Heise & Co., perfekt sicher, nix und niemand kommt rein.

Sprich - das Ding ist schlicht und einfach ka-putt, futsch aus der Schachtel, dead on arrival. Telefonat mit der Kundenserviceberatungsmanagerin (vormals Dame vom Amt) und bei der "Digitalisierungsbox Smart" müßte ich entweder wochenlang auf eine Antwort warten, oder eine dreistellige Summe für den Support zahlen. Und sie wüßte auch nicht, warum der T-Punkt Laden mir ausgerechnet die verkauft hat, die wäre nämlich nur für Geschäftskunden... eine Fritzbox soll ich mir holen, und das Ding hier geht 1:1 retour.

Also ein Ende mit Schrecken, statt einem Schrecken ohne Ende...

Danke an Euch allen trotzdem für die Hilfe, immerhin komme ich mir jetzt nicht mehr ganz so doof vor, denn eingetragen hab ich wohl überall die richtigen Daten.

Ergänzung (11. Januar 2017)

an chrigu:

Ähhh... keine Ahnung. Das ist der ISDN -> VoIP Ablöser von der Telekom, der Prospekt behauptet, es bliebe (modulo ISDN Anlage) alles an Features erhalten. Das Netz sagt mir auf die Schnelle, "ipv4 ds-lite" gäbe es hierzuland "überwiegend nur bei TV-Anbietern".

Wie kann ich das feststellen, was die Telekom da mit mir macht?

Aber das würde ja bedeuten, daß so gut wie niemand mehr von außerhalb auf *irgendwas* zuhause zugreifen kann, das die Verbindung nicht von sich aus lostritt. Wie funktioniert dann das vielzitierte Internet-der-Dinge wenn man die Geräte nicht mehr von außen anbimmeln kann? Denn die müssen ja doch auch auf irgendeinen Port lauschen, ob sich da mal jemand meldet?

 

[CptHirni]

Die Firewall hat so erstmal nichts mit den Portweiterleitungen zu tun.
Indem du die Firewall ausgeschaltet hast, hast du nur die DS-Box selbst frei ins Netz gestellt. Da die aber am WAN-Port keinerlei Dienste anbietet ändert sich genau...nichts
Deine Clients im LAN sind weiterhin unerreichbar aus dem Internet, dank NAT.

Neueste Firmware ist drauf? Werkseinstellungen nach Firmware-Update geladen?

Netzwerk->NAT->NAT-Schnittstellen:
Alles so lassen, wie auf deinem vorherigen Screenshot von 14:00

Netzwerk->NAT->NAT-Konfiguration:
Hab deinen letzten Screenshot editiert, da passte fast alles.
Check ob die 192.168.2.105 wirklich dein PC ist.


Firewall->Adressen->Neu:
Beschreibung: DEINPCNAME (beliebig)
IPv4: Aktiviert
Adresstyp: Adresse/Subnetz
Adresse/Subnetz: 192.168.2.105/255.255.255.255

Firewall->Dienste->Diensteliste->Neu:
Beschreibung: vuze
Protokoll: TCP
Port: 55555-55555

Firewall->Richtlinien->Neu:
Quelle: WAN_DTAG Internet Zugang
Ziel: DEINPCNAME
Dienst: vuze
Aktion: Zugriff

Alternativ eben der Vorschlaghammer und die Firewall global deaktivieren...

Konfiguration speichern nicht vergessen(!)

 

[mc235]

Wow... tausend Dank.

In der Kurzfassung - es geht jetzt so tatsächlich, und auch wenn ich die neuen Schritte nachvollziehen kann, wäre ich im Leben nicht selbst drauf gekommen. Daher ein wirklich großes Dankeschön für Deine Mühe und Hilfe.

Falls es Dir nichts ausmacht, hätte ich jetzt noch zwei Verständnisfragen (in der Hoffnung, zukünftige Probleme dann gleich allein hinzubekommen).

1) Der Schlüssel waren/sind offenbar die drei neuen Einträge unter Firewall > Adressen/Dienste/Richtlinien.

"Adressen" bildet natürlich die Funktion meines alten Speedports nach, einfach den Computer per Name zu identifizieren (wobei das für den Hausgebrauch saupraktisch war, ihn per Name auch über DHCP Wechsel zu verfolgen). Unter "Dienste" nur für mein futzeliges Einzelprogramm einen eigenen Namen zu all den Standard-Sachen hinzuzufügen hätte ich mich alleine *niemals* getraut, bzw. wäre ich nie auf die Idee gekommen...

Aber was ich jetzt nicht verstehe, aber gerne verstehen möchte: Wozu braucht er dann eigentlich noch die NAT Regeln unter Netzwerk > NAT-Schnittstellen?

Das ist doch eigentlich komplett redundant. Den Rechner kennt er mit seiner IP aus dem Eintrag "Adressen". Den Dienst (TCP und UDP) mit der Portnummer kennt er aus den "Diensten". Und die Erlaubnis, letzteres an ersteres weiterzugeben, bekommt er in "Richtlinien".

In den beiden "NAT-Schnittstellen" stehen exakt die gleichen Informationen (nichts zusätzliches, nichts weniger), aber die scheinen keinerlei Auswirkung zu haben. Ist da ein (einfach zu verstehender) tieferer Sinn darin?

2) Eine Info verstehe ich gar nicht, am Anfang schreibst Du "Die Firewall hat so erstmal nichts mit den Portweiterleitungen zu tun. Indem du die Firewall ausgeschaltet hast, hast du nur die DS-Box selbst frei ins Netz gestellt. Da die aber am WAN-Port keinerlei Dienste anbietet ändert sich genau...nichts"
Am Ende schreibst Du "Alternativ eben der Vorschlaghammer und die Firewall global deaktivieren"

Ich kann mir das nur so zusammenreimen, daß es quasi zwei Firewalls gibt. Die "eine", die ich schon mal abgeschaltet hatte ohne Ergebnis, die nur die Box selbst (Oberfläche) schützt, und dann quasi noch eine "andere", die z.B. die ganzen Ports zumacht.

Wo in den Einstellungen kann ich die abschalten? Wenn ich bei meinem Speedport abgeschaltet habe (da gab es nur "eine" für das gesamte Gerät), waren immer alle Ports offen - das war praktisch für Trial-and-Error, wenn es damit lief war klar, daß man nur die Regeln von "weit" nach "eng" zumachen mußte, um genau den gewünschten Zugang freizuhalten. Ich habe bei der DS aber nirgendwo einen zweiten Ausschalter gefunden, mit dem man irgendeine Blockierung (u.A. Ports) abschalten könnte.

PS Nachtrag zur Info an die vorherigen Poster: Der NAT-Test in Vuze war korrekt, und die Portscans aus dem Netz auch. jetzt ist genau dieser Port offen, und alles andere wird als blockiert gemeldet.

Ergänzung (12. Januar 2017)

Ähh... erst nachdenken, dann schreiben...

Ich glaub ich hab Punkt 1 doch teilweise verstanden. Die "NAT-Schnittstellen" dienen der *Umleitung* von Ports, aber nicht der *Erlaubnis*. Sprich, ich könnte da sagen, daß eine Software (draußen) z.B. an Port 44444 anklopft, und das wird hier (drinnen) an 55555 gemeldet. Das impliziert aber weder, daß 44444 offen ist, noch 55555, und daher ging es vorher nicht.

Habe ich mir das so richtig zusammengereimt?

In dem Fall wäre die Frage, ob ich die augenblicklichen NAT-Regeln überhaupt brauche (die ja aktuell nur besagen, daß exakt der Port 55555 auf der eigenen Nummer selbst bleiben und nicht geändert werden soll)?

 

[Nizakh]

Es ist zwar ein bisschen spät für den Thread, aber ich habe ein passendes Tutorial auf Youtube gefunden. Hilft vllt. demnächsten, der im Forum nach dem Problem sucht Youtube-Link