Fritzbox Exposed Host Funktion nutzen?

[Campari_Kurita]

Moin,
Ich bin Webcoder ohne Tiefergehendes Netzwerkwissen, ab Layer 4 interressiert mich der Kram nicht mehr

Ich habe einen Wilhelm.Tel Glasfaseranschluss ,250 Mit mit ner Fritzbox 7590 und nem Gaming system welches per Kabel verbunden ist

Leider habe ich bei Diversen Games Ping Spikes bemerkt (COD andere shooter, battlefield)

Zum Testen habe ich meinen PC als Exposed Host eingetragen und Siehe da, bei Battlefield ist mein Ping einstellig (!) ...und gut.
Bin mir jetzt aber bewusst das die Sicherheitstechnisch...nun ja....supoptimal ist.

Was würdet ihr Empfehlen, neuen Router holen?, wenn ja welchen....loder einfach ALLE Protokolle ausser IPv4 Deaktiverien, die Zone auf Öffentlich Setzen und an die WIndows 11 Sicherheit glauben?

Der Gameplay unterschied ist schon Stark....und nen Portscan aus dem Internet hat zumindest nichts offenes ergeben.
Bin mir aber auch nicht sicher die Risiken richtig einschätzen zu können...

 

[Lawnmower]

Finde ich ein bisschen seltsam das Verhalten, im LAN sollte der Ping von und zum Router so niedrig sein dass das keine Rolle spielen sollte.
Wie hoch war denn der Ping sonst? Wenn Du es wieder zurückänderst, geht der Ping wieder hoch?

 

[Hammelkopp]

Lass das mit dem Exposed Host! Damit veröffentlichst du deinen PC im Internet. Woher die Ping Spikes kommen, schwierig zu sagen. Wenn du meinst es liegt am Router, bestell dir doch einfach mal einen und teste es aus. Oder besorg dir einen von nem Kumpel oder so. Wie lang hast du denn getestet d.h. über welchen Zeitraum hast du die Spikes denn beobachtet? War es ggf. nur ein temporäres Problem?

 

[CoMo]

Exposed Host bedeutet lediglich, dass Verbindungsanfragen an deine öffentliche IP-Adresse an deinen PC weitergeleitet werden. Auf allen Ports.

Wenn das wirklich zu einer Verbesserung des Pings führt, benötigt das Spiel wohl eingehende Verbindungen auf bestimmten Ports. Welche das sind, wirst du mit etwas Recherche sicher herausfinden. Genau diese leitest du dann an deinen PC weiter.

Das mit dem Exposed Host bitte bleiben lassen. Dein Windows ist kein Serverbetriebssystem und nicht dafür gedacht, ohne NAT ins Internet gehängt zu werden.

 

[FR3DI]

Bin mir jetzt aber bewusst das die Sicherheitstechnisch...nun ja....supoptimal ist.

Du könntest ja auch wie folgt deinen Router einstellen;

Selbstständige Portfreigaben für dieses Gerät erlauben.
Diese Option ermöglicht diesem Netzwerkgerät, Portfreigaben über PCP oder UPnP selbstständig anzulegen.

Zu finden unteranderem unter Heimnetz / Netzwerk / im Tab Netzwerkverbindungen.

Gruß Fred.

 

[CoMo]

Unsinniger Tipp. Erstens muss die Anwendung das explizit unterstützen, zweitens ist es ein Sicherheitsrisiko und drittens funktioniert es nur selten zuverlässig.

Bitte die Ports in Erfahung bringen und die Portfreigaben händisch konfigurieren.

 

[FR3DI]

Erstens muss die Anwendung das explizit unterstützen

Erstens hatte ich bisher keine die dies nicht tat.

zweitens ist es ein Sicherheitsrisiko

Zweitens ist sicher das eben nichts sicher ist.

drittens funktioniert es nur selten zuverlässig.

Drittens behaupte ich ganz klar das Gegenteil!

Unsinniger Tipp.

Danke für deine grobe Einschätzung.

Gruß Fred.

 

[Lawnmower]

Wäre mir jetzt auch neu dass ein nicht offener Port den Ping erhöhen würde - da geht dann schlicht einfach nix.
Für ausgehender Verkehr braucht man das sowiso nicht, da ist in der Regel alles offen.
Und für BF hat man das auch noch nie benötigt solange man nicht selber einen Server gehostet hat.

 

[CoMo]

Wäre mir jetzt auch neu dass ein nicht offener Port den Ping erhöhen würde - da geht dann schlicht einfach nix.

Das würde ich so pauschal nicht sagen. Wenn das Spiel Peer-to-Peer Kommunikation zwischen den Clients unterstützt, kann ein erreichbarer Port durchaus Vorteile in der Latenz und im Datendurchsatz mit sich bringen.

Wenn das nicht der Fall ist (was der Normalzustand sein dürfte), dient eben der Game-Server als Relay-Server.

Ob das in diesem Fall so ist, wissen wir natürlich nicht. Konkrete Titel wurden ja nicht genannt, nur recht schwammig COD andere shooter, battlefield.

 

[Campari_Kurita]

naja ich hatte ehrlichgesagt die Firewall der Fritzbox im verdacht, die wird ja Deaktivert.

Portweiterleitung, inklusive Upnp hatte ich schon aktiv hat aber den Effekt nicht gehabt.
Hab alle Dokumentierten CoD Ports manuell auf den Gaming PC weitergeleitet ohne das es nen unterschied gemacht hat.


Titel währen:
CoD: Warzone, Battlefield, CS

und d ich weiss das das BF kein P2P basierter Shooter ist....effektist tortzdem da, ohne andere Last im netz....extra Wifi ausgemacht und alles abgesteckt...als Single kann man sowas machen

Hatte schon erwogen einfach per PPPoE übers Glasfasermodem Online zu gehen....


by the way....ist jetzt nicht unspielbar oder so.....einfach nur hakelig
ist mir aufgefallen als in mein input lag etwas optimiert hab und "bewusst" verschiedene Settings probiert hab.

Aber ist wie bei nem leichten sound delay....once u heard it....you have to fix it...

 

[Raijin]

naja ich hatte ehrlichgesagt die Firewall der Fritzbox im verdacht, die wird ja Deaktivert.

Die ist aber schnell genug, weil es ihr Job ist, schnell genug zu sein. Wäre sie es nicht, würdest du das nicht nur beim Zocken spüren. Viele Millionen andere Besitzer einer 7590, die immerhin das Flaggschiff von AVM darstellt, würden außerdem dasselbe Problem haben.

Exposed host ist auf jeden Fall eine ganz miese Idee, um das Problem zu "lösen". Da du selbst sagst, dass du von sowas keine Ahnung hast, kannst du die Gefahr auch nicht einschätzen. Portscanner sind keineswegs belastbare Werkzeuge, wenn man nicht genau weiß was sie tun und wie sie es tun. Zudem ist ein Scan lediglich eine Momentaufnahme und schon 10 Sekunden danach startest du womöglich ein Programm, welches munter öffentlich erreichbar ist und von jedem Skriptkiddie mit ein paar google-Skills angegriffen werden kann.

Schalte exposed host also unbedingt sofort wieder aus, wenn du auch nur einen Funken Sucherheitsbewusstsein hast, der dich eigentlich von vornherein schon davon hätte abhalten sollen.

Wenn exposed host tatsächlich das Spielerlebnis vernessert, bin ich bei @CoMo und rate zur Recherche der nötigen Ports. Zum einen kann man sie meistens über google finden, zum anderen sieht man die ggfs auch mittels netstat -ano mit dem Vermerk listening bzw abhören. Vor dem Weiterleiten aber auch hier absichern und die dazugehlrige Prozess-ID prüfen und die Ports googlen.

 

[Campari_Kurita]

.Zudem ist ein Scan lediglich eine Momentaufnahme und schon 10 Sekunden danach startest du womöglich ein Programm, welches munter öffentlich erreichbar ist und von jedem Skriptkiddie mit ein paar google-Skills angegriffen werden kann.

die aussage ist Falsch solange
A; Das Program mit User Rechten läuft
B: Das für Internetverbindung genutzte Lan Verbindung in der "Öffentlichen" Zone ist (dafür macht man das ja)

Dann darf kein Programm ohne Genehmigung Ports auf machen.
Danke für den Input. Ich hab übrigens den Traffic per Wireshark mitgeschnitten und die Ports sind schon weitergeleitet.

Ich gehe hier echt davon aus das die Fritzbox einfach nich so ganz performt und es die meisten Leute einfach nicht stört.

Generell habt ihr wahrscheinlich Recht das hier Risk/Benefit nicht so wirklich im Verhältnis stehen.

 

[norKoeri]

Könnte auch ein Fehler in der Hardware-Beschleunigung sein. Bei einem Wilhelm.Tel/Glasfaser weiß ich nicht, ob es überhaupt geht, aber probiere mal ohne Exposed-Host aber mit automatischem Ingress-Shaping …

 

[chrigu]

Ich vermute mal du hast ds-lite/cgn und deshalb extreme gamerprobleme. Ruf beim Provider an und besorge dir dualstack (ipv4 öffentlich erreichbar).

 

[Campari_Kurita]

Könnte auch ein Fehler in der Hardware-Beschleunigung sein. Bei einem Wilhelm.Tel/Glasfaser weiß ich nicht, ob es überhaupt geht, aber probiere mal ohne Exposed-Host aber mit automatischem Ingress-Shaping …

thx das kling als ob es was damit zu tun haben könnte werde dem mal nachgehen

@chrigu
dann würde der exposed host ja nix dran ändern..
ne bei WT hast du immer Dual Stack. Hab ne echte Öffentliche IPv4v und bekomme nen IPv6 Subnetz zugewiesen

 

[Raijin]

die aussage ist Falsch solange
A; Das Program mit User Rechten läuft
B: Das für Internetverbindung genutzte Lan Verbindung in der "Öffentlichen" Zone ist (dafür macht man das ja)

A:
Da wäre ich mir nicht so sicher. Die Ports <1024 gelten als System- bzw Well-known-Ports und können zumindest unter Linux nur mit root-Rechten geöffnet werden. Ports 1024+ kann man auch ohne root öffnen. Unter Windows kann ich das gerade mangels eines Testsystems leider nicht gegenchecken und daher kann ich deine Aussage weder bestätigen noch widerlegen.

B:
Jein. Das öffentliche Profil der Windows-Firewall ist für Situationen gedacht, in denen das Gerät in öffentlichen Netzwerken betrieben wird, beispielsweise in einem Hotel-WLAN oder einem Hotspot am Flughafen, o.ä. Dabei macht die Firewall in der Standardkonfiguration alle eingehenden Ports zu - auch vom lokalen Netzwerk aus.

Wenn man das öffentliche Profil im eigenen Netzwerk aktiviert, kann man natürlich Ausnahmen für die gewünschten Server-Anwendungen einpflegen. Möchte man jedoch aus dem lokalen Netzwerk auf das Gerät zugreifen, um zB eine Netzwerkfreigabe anzubinden, muss man auch diese Ports im öffentlichen Profil freigeben - und hier liegt der Knackpunkt: Passt man nicht auf und schränkt die Regel nicht explizit auf Quelle=lokales Subnetz ein, ist sie auch für Zugriffe aus dem WWW offen, da etwaige Requests aus dem www ja mittels exposed host im Router direkt an den Server durchgereicht werden und plötzlich sind eigentlich nur für die lokale Nutzung gedachte Ports auch aus dem Internet erreichbar.

Ja, mit einer sorgfältigen Konfiguration kann man die Windows-Firewall selbstverständlich sicher konfigurieren, aber man kann über die Windows-Firewall alle mögliche sagen, nur nicht, dass sie besonders übersichtlich ist. Es ist also doppelte und dreifache Vorsicht geboten und daher bleibt es dabei, dass exposed host insbesondere bei einem Windows-Ziel ein gehöriges Sicherheitsrisiko darstellt oder zumindest darstellen kann, wenn man nicht richtig dolle doll doll aufpasst.

Ich gehe hier echt davon aus das die Fritzbox einfach nich so ganz performt und es die meisten Leute einfach nicht stört.

Das kann natürlich so sein. Bei WAN-Firewalls gibt es bestimmte Konzepte, die die Paketverarbeitung beschleunigen können wie zB Abkürzungen für einmal geprüfte und hergestellte Verbindungen mit Portweiterleitungen (=> allow established/related). Das sind allseits bekannte best practices und ich kann mir kaum vorstellen, dass AVM es anders macht, aber wer weiß...

 

[Campari_Kurita]

@Raijin
Die von dir Genannten Punkte Stimmen zwar, mein Gaming Rechner muss allerdings mit keinem Gerät im Lokalen Netz kommunizieren, ausser meiner Nas und die ist an einem Anderen Netzadapter (2.5 G Crossover Kabel )

Aber du hast schon recht das man hier eine sehr Wartungsintensive und Potentiell gefährliche Konfig schafft

Habe heute Morgen mit der Hotline meines ISP (Wilhelm.Tel - lokaler GF Provider)
verhandelt. Für 30€ bearbeitungsgebühr darf ich meine 7590 gegen eine 4060 Tauschen.

Die Fritzbox 4060 hat weniger Ports aber wesentlich besseres Wlan uuuund ...für das Problem wichtig einen 9 mal so schnelle SOC.

Werde es mal damit Probieren....es bleibt spannend

 

[Campari_Kurita]

@Raijin
Stellt sich raus, die 7590 ist nicht schnell genug um absolut verzögerungsfrei zu arbeiten.
Ist halt ne klassische "kann alles aber nichts richtig geil" Lösung.

Der Tausch gegen die 4060 hat das Problem Behoben, sogar ohne Extra Freigeben der Ports, typischer fall von Hardware gegen das Problem werfen!
Aber du hattest schon recht das es schon besser ist zumindest ne Stateful Firewall + NAT zwischen sich und dem Internet zu haben

Mit der besseren Hardware läuft es jetzt perfekt.
Plus mein WiFi ist jetzt Up to date und Stabiler