NAS über FritzBox ins Internet - die unendliche Geschichte

[SportMönch]

@h00bi bei bedarf kann man das nochmal extra über CF aktivieren. Bevor deine Domain aufgerufen wird, musst dann erst einloggen.

 

[fengshui]

und weit entfernt von "Professionelle IT-Netze und -Systeme"

Ich weiß nicht, warum ich bei Dir gerade den Flottenadmiral der Japaner beim Harakiri sehe, aber wieso Cloudflare, Nginx etc etc keine "Professionellen IT-Netze und -Systeme" sind, erschließt sich mir nicht.
Aber gut .
Bevor Du nun die große Keule rausholst - Nein, ich hab den möglichen Hinweis schon verstanden. Kannst ja vielleicht den Thread umlenken.
Trotzdem Danke für Deine Antwort.

-------------

Ich hab mich ganz spontan 😬 für TAILSCALE entschieden, da CF meine Kreditkarennummer tatsächlich haben wollte, trotz FREE Option. Das ist ein absolutes NOGO. Tailscale läuft tatsächlich sofort. Mein einziges Problem ist, dass ich nicht weiss, trotz studiums der einschlägigen Google Links, wie ich in Nextcloud einen gesicherten User ( trusted domains ) anlegen kann, da ich Nextcloud über Portainer installiert habe. Ich komme also vom Handy über Tailscale bis vor die Nextcloud Haustür, kann aber nicht öffnen, da ich keinen gesicherten User angegeben habe.
Wer kann mir hier bitte weiterhelfen? ( Portainer ist wichtig bei der Umsetzung!!)

 

[h00bi]

da ich Nextcloud über Portainer

Welches Container Image nutzt du denn?
Ich bevorzuge das AIO Image: https://github.com/nextcloud/all-in-one

da ich keinen gesicherten User angegeben habe.

Den Begriff "gesicherter user" habe ich bei nextcloud noch nie gelesen.
Poste doch mal einen Screenshot.

 

[fengshui]

war der "trusted domains" Eintrag.
Steht bei " Zugriff über eine nicht vertrauenswürdige Domain"

p.S: Dein AiO Image sieht toll aus.
Problem - NEVER CHANGE A RUNNING SYSTEM !
Ich bin mir nicht sicher, ob ich den einen Container mit meiner Nextcloud einfach stoppen kann und dann Deinen einfach neu aufsetzen kann? Dafür bin ich halt zu unbedarft

 

[SportMönch]

Meistens so, Änderung = geht nicht mehr 😂

Docker stop nextcloud und Docker restart nextcloud unter Windows. Container stoppen und neu starten ist täglich Brot und sollte nix kaputt machen, es sei denn deine dateipfade haben sich seit dem letzten Docker Start verändert.

 

[fengshui]

@SportMönch Man(n) ist ja auch halt neugierig. Das ist wahrscheinlich das größte Problem.
Ich glaub, ich versuch es dann auch mal in einer RUHIGEN Stunde.

ABER: Ich würde gern erst mal die "TRUSTED DOMAIN" hinzufügen !🙏

 

[Der Lord]

trusted domain, was im übrigen keinen user, sondern netzwerke und fqdns whitelisted, kannst du ganz einfach in der config file definieren:

https://docs.nextcloud.com/server/s...ig_sample_php_parameters.html#trusted-domains

die config Datei sollte ja hoffentlich in jedem docker image in ein volume ausgelagert und entsprechend editierbar sein.

 

[SportMönch]

ABER: Ich würde gern erst mal die "TRUSTED DOMAIN" hinzufügen !🙏

Klar, mach doch. Hab nur auf die Frage mit docker geantwortet. Was du schlussendlich machst bleibt doch dir überlassen

 

[fengshui]

So, dass auffinden der Config war dank Deinem Hinweis @h00bi ja zum Glück kein Akt.
Nun steht leider im Internet etwas anderes als bei mir in der Config. Meine sieht für den Bereich "Trusted Domains" wie folgt aus:
array (
0 => '192.168.123.12:8181',
1 => '192.168.123.13:8181',
2 => '192.168.123.14:8181',
),
Den BOLD Teil habe ich dann mit meinen Daten erst mal aufgefüllt. Frage: Müssen da jetzt auch die von Tailscale angegebenen ipv4 und ipv6 Adressen mit rein?
WEIL: ich hab nachdem ich mit den EIngaben fertig war, probiert, ob ich über das iPhone auf die Portainer zugreifen konnte. Hier gibts aber gewaltige Probleme.
A) Alte wireguard Verbindung deaktiviert !
B) Tailscale zeigt Verbindung zum Portainer als grün an !
C) Tailscale VPN on Demand immer eingeschaltet !
D) DNS settings ausgeschaltet da über PiHole geblockt wird !

a) über WLAN im Heimnetz - keine Probleme
b) wenn ich WLAN ausschalte und dann über mobile Daten gehe, Kann ich zB. Nextcloud aufrufen, Jellyfin aber nicht mehr.( Verbindung zum Server nicht möglich. Versuche mit http und https sowie 192.168... klappen genausowenig wie die taila6b... Tailscale Adressen. hier erscheint die Warnung "Diese Verbindung ist nicht privat. IP Adresse anzeigen funktioniert nicht. 😢
c) wenn ich mich dann irgendwo in der Stadt aufhalte und versuche die Adressen zu erreichen - klappt gar NIX mehr. ( überall Server nicht erreichbar )
Also irgendwie scheint da noch ein klitzekleiner Fehler drin zu sein.
Könnt mir jemand bitte auf die Sprünge helfen?

 

[fengshui]

Keiner mehr einen TIPP oder Hinweis wie ich das ganze überprüfen kann bzw wo eventuell an einer Einstellung noch etwas geändert werden muß ?

 

[mchawk777]

Das Problem ist halt "Ägypten".
Die Wahrscheinlichkeit, dass das jemand ad hoch weiß - und es nach seinen Tests aktuell noch funktioniert - ist halt sehr, sehr gering.

Ich hatte gemini mal gefragt, wie es mit der Nutzung von Wireguard ausschaut - hier die Antwort:

Ja, es gibt tatsächlich massive Probleme beim Versuch, aus Ägypten eine direkte WireGuard-Verbindung zu einer Fritzbox aufzubauen. Ägypten gehört zu den Ländern mit einer sehr strikten Internet-Zensur, die gezielt VPN-Protokolle identifiziert und blockiert.
Hier sind die spezifischen Gründe und Hürden, die dich erwarten:

1. Deep Packet Inspection (DPI)​

Die ägyptischen Provider nutzen fortschrittliche Filtertechnologien (DPI), um den Datenverkehr in Echtzeit zu analysieren. Da WireGuard ein sehr charakteristisches Paketmuster hat, erkennt die Firewall sofort, dass es sich um einen VPN-Tunnel handelt, und unterbricht die Verbindung.

2. UDP-Blocking und Throttling​

WireGuard basiert standardmäßig auf dem UDP-Protokoll. In Ägypten wird UDP-Traffic auf unbekannten Ports häufig entweder komplett blockiert oder so stark gedrosselt, dass kein stabiler Tunnel zustande kommt. Da die Fritzbox für WireGuard standardmäßig einen zufälligen oder festen UDP-Port nutzt, landet dieser oft direkt im Filter.

3. Fehlende Obfuskation ("Stealth"-Modus)​

Das ist das Hauptproblem bei der Fritzbox:

• Kommerzielle VPN-Anbieter (wie NordVPN oder Surfshark) bieten oft obfuskierte Server an, die den VPN-Traffic als normalen HTTPS-Web-Traffic tarnen.
• Die Fritzbox bietet diese Tarnung nativ nicht an. Dein WireGuard-Stream ist für den ägyptischen Provider "nackt" als VPN erkennbar.

---

Was du versuchen kannst (Workarounds)​

Falls du es dennoch versuchen möchtest oder eine Alternative suchst, hier ein paar Ansätze:

• Port-Wechsel: Versuche, den WireGuard-Port in der Fritzbox auf einen Port zu legen, der seltener blockiert wird (z. B. Port 53 für DNS-Anfragen), wobei auch das durch DPI oft erkannt wird.
• ZeroTier oder Tailscale: Einige Nutzer berichten, dass Mesh-VPN-Dienste wie ZeroTier oder Tailscale in Ägypten teilweise besser funktionieren, da sie aggressivere Techniken nutzen, um Firewalls zu durchdringen (NAT-Traversal). Diese müssten jedoch auf einem Gerät hinter der Fritzbox (z. B. Raspberry Pi oder NAS) laufen.
• Alternative Protokolle: Falls deine Fritzbox noch das alte IPSec unterstützt, könntest du das testen, aber auch hier sind die Erfolgschancen in Ägypten seit 2024/2025 sehr gering.
• Shadowsocks / Outline: Die effektivste Methode in Ägypten ist derzeit das Shadowsocks-Protokoll (oft über die App "Outline" genutzt). Dies ist kein klassisches VPN, sondern ein verschlüsselter Proxy, der speziell für die Umgehung von Zensur entwickelt wurde. Du müsstest dafür allerdings einen kleinen Server (VPS) zu Hause oder bei einem Provider betreiben.

---

Zusammenfassung der Situation​

Problem	Auswirkung
Protokoll-Erkennung	WireGuard wird meist innerhalb von Sekunden identifiziert und getrennt.
UDP-Filter	Erschwert den Verbindungsaufbau massiv.
Stabilität	Selbst wenn eine Verbindung steht, bricht sie oft nach kurzer Zeit ab oder ist extrem langsam.

Empfehlung: Verlasse dich nicht allein auf den direkten Fritzbox-Zugang. Wenn der Zugriff auf dein Heimnetzwerk kritisch ist, richte dir vor der Reise zusätzlich einen Shadowsocks-Server oder einen Dienst wie Tailscale auf einem Rechner in deinem Netzwerk ein.
Fritz!Box VPN Probleme lösen
Dieses Video erläutert allgemeine Lösungswege bei Problemen mit dem Fritzbox-VPN, die dir helfen können, die Konfiguration grundsätzlich zu prüfen, auch wenn die länderspezifische Sperre in Ägypten eine zusätzliche Hürde darstellt.
Möchtest du, dass ich dir erkläre, wie du einen Shadowsocks-Server als stabilere Alternative für den Zugriff auf dein Heimnetzwerk einrichtest?

Tja, selbst mit eigenem VPN-Server wird es knifflig.

 

[fengshui]

Ja genau, das hab ich auch gelesen und kann es bestätigen. Aber die Möglichkeit von @Real-Duke kann ich auch noch probieren.
Wie dem auch sei. Ich hab ja zur zeit schon HIER meine Probleme, dass ich die Container in Portainer nicht erreichen kann, wenn ich nicht im eingenen WLAN bin. VIelleicht ist da ja erst mal eine Lösung wünschenswert.


P.S.: Langsam wird es ja . DLNA soll ja wohl nicht gehen,( ODER? ) Netxcloud scheint im moment mit mobilen Daten (zu Hause) zu funktionieren und bei Jellyfin ist es wohl ein BUG, wie ich jetzt gelesen habe. Ist wohl nicht nur mein Problem mit dem iPhone.
Und Tailscale klappt auch irgendwie ( mit dem Exit Node hab ich noch Probleme und würde mich über eine Hilfestellung freuen )

 

[Dandelion]

Ich hab mich ganz spontan 😬 für TAILSCALE entschieden, da CF meine Kreditkarennummer tatsächlich haben wollte, trotz FREE Option. Das ist ein absolutes NOGO.

Da ich gestern mein NAS Setup umgestrickt habe und von der Tailscale-VPN-Lösung zu nem Cloudflared-Tunnel gewechselt bin kann ich dir sagen, dass das nicht stimmt.
Ja, erst erscheint der Eindruck, dass man trotz free Option die Kreditkarte angeben muss. Das kannst du aber einfach abbrechen und nochmal rein.

Wo Tailscale noch sehr einfach einzurichten war, war das mit Cloudflare schon etwas weniger trivial. Jetzt läuft aber alles. Kann dich da wirklich ermuntern mit KI durchführen zu lassen. Funktioniert einwandfrei.

Jetzt kann ich mein Jellyfin mit Freunden und Familie ohne Tailscale teilen. Einfach Domain mitteilen und fertig.