FritzBox Cable verliert DynDNS Verbindung

[Weihnachtsman91]

Hallo liebe CBler,

Leider habe Ich habe folgendes Problem.

Ich habe mit meiner Frau zusammen (zu Hause) eine Wohnung und berufsbedingt derzeit eine 2. Wohnung.

Zu Hause steht eine Fritte 6590 Cable und ist mit einem Kostenlosen Selfhost.eu Account an eine DynDNS-Adresse angebunden. Die Fritte ist so freigegeben, dass ich auf die Oberfläche von extern zugreifen kann. So weit so gut.

Per Portweiterleitung ist ein Raspberry 4 mit Nextcloud eingerichtet um als NAS und Server für meine Enpass-PWVerwaltung zu agieren.



Jetzt habe ich folgendes Problem:

Meine FritzBox trennt seit 3 Wochen 2-3x die Woche die Verbindung zum DynDNS und ich kann von außen leider auf kein Gerät mehr zugreifen, auch nicht auf die Fritte selbst.

Der Internetzugang der internen Geräte läuft trotzdem gut weiter. Wenn ich am Wochenende wieder zu Hause bin, starte ich die Box neu und alles läuft gut.

Hätte jemand so ein ähnliches Problem?

Wie kann man das lösen?

Im Log der FritzBox steht leider kein Ereignis.
Als Workaround hatte ich an eine Steckdose die am besten mit einer eigenen Adresse (Cloudbasiert, nicht über Port Weiterleitung, ähnlich wie MyFritz oder über die Synology-Cloud) versehen ist und bei einem erneuten Verbindungsverlust die Fritte vom Strom trennen und wieder anschalten kann.

Gibt es da vielleicht auch die Möglichkeit mit einer Smarthome Lösung? Man müsste ja praktisch eine Netztrennung für ein paar Sekunden realisieren können. Wenn die Fritte aus ist, gibts ja auch kein Internet mehr.
zum Beispiel Fritzhome, DLink oder eine OpenSource Variante?
Hat jemand zum testen eine gute, verlässliche und kostenlose Alternative für das DynDNS von Selfhost?

Früher ging das Jahre ohne Probleme (andere FritzBoxen und DSL-Provider).
Ich bin gespannt,

Vielen Dank für eure Hilfe!

 

[Gamecollector]

Wenn die Verbindung abgebrochen ist, ist die fritte denn über external IP weiterhin erreichbar?
Also trennt wirklich nur der dyndns? mal einen anderen dyndns anbieter ausprobiert?

 

[snaxilian]

was spricht gegen den AVM eigenen myfritz Dienst? Ansonsten gibt es doch auch "smarte" Steckdosenschalter von AVM. Du könntest auf dem Raspi dann ein Script schreiben:

Prüfe externe IP und schreibe in variable_1
Prüfe bzw. löse dyndns Adresse auf und schreibe in variable_2
Vergleiche variable_1 und variable_2
if nicht identisch, schalte Steckdose aus, dann an
else exit

Das kann man relativ simpel in python realisieren, es gibt eine fertige Library für die Fritzbox, nennt sich python-fritzhome

Das Skript lässt du dann per cronjob alle 5 Minuten oder so aufrufen. Ist zwar ziemlich Holzhammer weil du so deiner Frau das Internet kappst aber es funktioniert. Zuerst würde ich allerdings den myfritz Dienst testen, spart dir die Programmierung und Anschaffungskosten.

 

[Raijin]

Also grundsätzlich wird keine Verbindung zum DDNS "getrennt", weil das Update des DDNS nur Bruchteile einer Sekunde dauert und das auch erst dann, wenn eine neue WAN-IP erkannt wird oder ggfs ein Timer abgelaufen ist (ähnlich wie der von @snaxilian angesprochene cronjob alle 5 Minuten). Ich weiß nicht in welchem Zyklus die Fritzbox normalerweise ein solches DDNS-Update macht, aber scheinbar macht sie es nicht oft genug oder das Update wird nicht getriggert, wenn die WAN-IP sich geändert hat.

Prinzipiell ist natürlich der AVM-eigene DDNS-Dienst in den meisten Fällen vorzuziehen, weil AVM es da selbst in der Hand hat, diesen Dienst zuverlässig zu betreiben. Bei externen Anbietern kann es nämlich durchaus passieren, dass der Dienst das Update gar nicht annimmt, wenn es zu häufig kommt. Updates <5 Minuten mag der eine oder andere DDNS-Anbieter gar nicht........


Abgesehen vom DDNS möchte ich aber noch auf eine Sache hinweisen: Es ist beliebig gefährlich, die Router-GUI nach außen hin zugänglich zu machen! Wenn das Passwort nicht stark genug ist oder es eine Sicherheitslücke gibt, kann ein Angreifer ohne Umwege in das Netzwerk eindringen. Ich rate dringend davon ab, das so zu machen, weil die Router-GUI jedes Heimrouters nur für die lokale Konfiguration gedacht ist, auch wen's irgendwo einen Haken gibt, der die GUI auf dem WAN-Port freigibt.

Darüber hinaus sind auch Portweiterleitungen auf Geräte im Netzwerk potentiell gefährlich, da es darauf ankommt wie sicher eben dieses Gerät bzw. der darauf laufende Dienst ist. Und selbst wenn der Dienst sicher ist, überlegt man mit der Zeit, noch weitere Ports weiterzuleiten, weil's ja auch ganz cool wäre, wenn man Gerät x auch noch aus der Ferne bedienen könnte - bis dann eben doch irgendwann mal ein Sicherheitsrisiko entsteht...

Fernzugriff von außen würde ich daher ausschließlich über einen VPN-Tunnel realisieren! Fritzboxxen bringen praktischerweise gleich einen VPN-Server mit und diesen muss man lediglich aktivieren, konfigurieren und am Client entsprechend einrichten. Portweiterleitungen kann man dann vollständig weglassen und bei Bedarf das komplette Heimnetzwerk aus der Ferne nutzen als säße man daheim auf der Couch. Bei zwei Wohnungen kann man sogar eine feste Standort-Verbindung aufbauen.

 

[Bob.Dig]

Zumal wozu ein externer Zugriff überhaupt, das Teil ist doch konfiguriert.
Über welche Ports erfolgt denn der jeweilige Zugriff?
Wenn Du daheim bist, was sagt dann der Selfhost.eu Account, ist die IP die richtige? Ist doch vermutlich dort einsehbar.
https://freedns.afraid.org/ wird auch gerne als DDNS genommen, wenn es wirklich daran liegen sollte.

 

[Weihnachtsman91]

Wenn die Verbindung abgebrochen ist, ist die fritte denn über external IP weiterhin erreichbar?
Also trennt wirklich nur der dyndns? mal einen anderen dyndns anbieter ausprobiert?

Nein, dass habe ich noch nicht. Welche Anbieter sind da noch empfehlenswert?

was spricht gegen den AVM eigenen myfritz Dienst? Ansonsten gibt es doch auch "smarte" Steckdosenschalter von AVM.

Im Prinzip spricht nichts dagegen. Ich habe nur gedacht, dass es vielleicht sinnvoller wäre einen anderen Dienst zu nutzen, da lange Zeit auch eine Synology DiskStation per DDNS erreicht werden sollte. Dann werde ich das auch gerne so einmal testen.

Fernzugriff von außen würde ich daher ausschließlich über einen VPN-Tunnel realisieren! Fritzboxxen bringen praktischerweise gleich einen VPN-Server mit und diesen muss man lediglich aktivieren, konfigurieren und am Client entsprechend einrichten. Portweiterleitungen kann man dann vollständig weglassen und bei Bedarf das komplette Heimnetzwerk aus der Ferne nutzen als säße man daheim auf der Couch. Bei zwei Wohnungen kann man sogar eine feste Standort-Verbindung aufbauen.

Hmm, ok. Damit kenne ich mich nicht wirklich aus. Vor einiger Zeit, als meine Frau und ich noch getrennte Wohnungen hatten, wollte ich 2 Fritten per VPN miteinander verbinden, doch das hatte nie geklappt.
Später habe ich dann versucht mit meinem Handy in das Netzwerk per VPN zu kommen, dass hat auch geklappt, ich hatte Zugriff auf meine Geräte, doch hatte ich keine Internetverbindung mehr. Dann habe ich das wohl falsch eingestellt oder?

Noch ein paar generelle Fragen zum VPN:
Kann ich beispielsweise nur eine App über einen Proxy oder ähnliches mit dem VPN verbinden?
Ich habe ein Firmenhandy welches ich nicht dauerhaft über einen VPN laufen lassen möchte.
Daher wäre es unpraktisch jedes mal in meinem iPhone/iPad in die Einstellungen zu gehen und die VPN-Verbindung zu aktivieren, beispielsweise wenn ich meine Enpass-PWs syncen will, oder über die App "FileBrowser Biz" eine PDF anschauen oder über die App "PhotoSync" die geschossenen Bilder auf die NextCloud per WebDAV hochladen will.
Das klingt erstmal etwas aufwändig, darum kann ich ja über die DDNS mit der Portangabe die Daten mit einem Knopfdruck verschicken.
Habe ich nur einen Denkfehler oder ist das dann wirklich etwas komplizierter/aufwendiger?

Ergänzung (21. August 2019)

Das Skript lässt du dann per cronjob alle 5 Minuten oder so aufrufen. Ist zwar ziemlich Holzhammer weil du so deiner Frau das Internet kappst aber es funktioniert. Zuerst würde ich allerdings den myfritz Dienst testen, spart dir die Programmierung und Anschaffungskosten.

Das würde ich auch gern mal versuchen, aber leider habe ich davon absolut keine Ahnung, was scripten/coden angeht. Aber da lässt sich ja sicher auch eine Anleitung finden, sieht ja auf den ersten Blick nicht wirklich aufwendig aus.

 

[Raijin]

Im Prinzip spricht nichts dagegen. Ich habe nur gedacht, dass es vielleicht sinnvoller wäre einen anderen Dienst zu nutzen, da lange Zeit auch eine Synology DiskStation per DDNS erreicht werden sollte.

DDNS ist nur eine Möglichkeit, die regelmäßig wechselnde öffentliche IP-Adresse mit einer festen Domain zu verbinden. Es ist vollkommen egal welchen DDNS-Anbieter man nimmt oder was man hinter dem eigenen Router erreichen will, jeder DDNS macht exakt dasselbe und ob abc.ddns oder ddns.xyz, beide zeigen auf dieselbe IP - die IP des Routers.
Das ist so als wenn ein im Wohnwagen umherziehender Eremit mit täglich wechselnder Adresse bei der Post ein Postfach mietet. Ob das Postfach 27 (selfhost), 453 (fritz) oder 1749 (afraid.org) ist, es zeigt sozusagen immer auf seine aktuelle Adresse.

Dann habe ich das wohl falsch eingestellt oder?

Vermutlich. Kann man natürlich im Nachhinein nicht beurteilen.

Das klingt erstmal etwas aufwändig, darum kann ich ja über die DDNS mit der Portangabe die Daten mit einem Knopfdruck verschicken.

Ja, ein VPN müsste man bei Bedarf aktivieren. Aber wie gerade beschrieben ist DDNS nur ein Platzhalter für die IP. Du könntest auch jeden Morgen vor dem Verlassen des Hauses die aktuelle IP des Routers aufschreiben und dann mit dieser verbinden. Ist mühsam und deswegen lässt man eben via DDNS die aktuelle IP hinterlegen.

DDNS bietet aber keinerlei Sicherheit, weil es eine reine Domain <> IP Übersetzung ist. Das heißt, dass was auch immer du nun via Portweiterleitung erreichbar machst, potentiell offen ist wie ein Scheunentor. Es kommt also darauf an wie sicher der Dienst ist, den du über die Portweiterleitung bedienst.

Beispiel gefällig? Zu Hause nutzt du ja evtl ein NAS und hast es als Netzlaufwerk angebunden, das geschieht über das SMB-Protokoll. Nu könnte man ja auch einfach diese Ports weiterleiten und von unterwegs das NAS ebenfalls als Netzlaufwerk nutzen? Theoretisch (und auch praktisch) ja, aber das Problem ist, dass man dann nach kurzer Zeit ungebetene Gäste hat, weil SMB in der Form nicht für das Internet gedacht und angreifbat ist.
Fängt man aber mit einer Portweiterleitung an, folgen früher oder später weitere, weil's ja so gut funktioniert...

Ein VPN verschlüsselt die Daten jedoch und ist explizit für Fernzugriffe gedacht. Wenig bis gar nicht angreifbar, zumindest nicht ohne Supercomputer an der Hand....

Komfort und Sicherheit sind gegenläufig. Man kann also grob sagen: Je komfortabler etwas ist umso unsicherer ist es. Je sicherer umso unbequemer.

 

[Weihnachtsman91]

Hmm ok, danke für deine ausführlichen Tipps.. Jetzt weiß ich erstmal was ich im Urlaub zu tun habe.. Ein VPN-Netzwerk aufbauen und nutzen.
Vielleicht klappt es diesmal auch mit dem Internet über das VPN-Nutzen.

Bei Fragen und beim Ergebnis melde ich mich wieder.

Vielen Dank!

 

[Gamecollector]

ja, kannst ja mal myfritz testen.

 

[Weihnachtsman91]

Der Test mit MyFritz läuft jetzt seit etwas mehr als einer Woche und die Verbindung ist bis jetzt noch nicht abgerissen und war dauerstabil, MyFritz funktioniert auch genau so mit dem Link usw. wie Selfhost, also gibt es da keinen Unterschied. Vielen Dank für den Tipp!

Dazu habe ich die Erreichbarkeit meine Fritzbox aus dem Netz heraus getrennt.
Des Weiteren habe ich auch eine VPN-Verbindung zu meiner Fritte aufbauen können, das funktioniert auch gut, nur leider habe ich bei einer aktiven VPN-Verbindung keinen Zugriff auf das Internet. Ich kann nur eine Verbindung zu den Geräten selbst herstellen. Eine alternative Einstellung in der Fritzbox habe ich leider nicht gefunden..

 

[Weihnachtsman91]

Jetzt nach gut 2 Monaten möchte ich gern einmal kurz Rückmeldung geben. Also der Test die Dynamische Weiterleitung durch den Fritzdienst zu nutzen klappt super. Hatte bis jetzt noch keine Abbrüche.
Eine andere Änderung ist außerdem, dass ich seit gut 3 Wochen meinen Raspi als NextCloud-Server eingemottet und meine DS218 mit einer SSD geupgraded und jetzt im Einsatz habe.
Also noch einmal, vielen Dank!