Zwangstrennung AON + Speedtouch 546

[jutta]

> Das portforwarding für VNC und dem Webserver funktioniert natürlich nicht. Im Prinzip habe ich alles so wie bei Diskette beschrieben.

bitte, gib einmal die genau config an. welche ports hast du auf welche ip(s) geforwardet und wie sind die betreffenden rechner konfiguriert? normalerweise funktioniert das naemlich. hier im forum gibts hunderte, die bei einem st546 ports forwarden.

mit einem passenden (!) business-produkt geht es natuerlich leichter, weil das dafuer gemacht ist und dir der vor-ort-techniker oder der support remote alle noetigen einstellungen machen. vom modem (modell) ist das eher nicht abhaengig, nur von der konfiguration.

//ps zu dieser frage:

>wie sieht es denn mit INODE aus.
> Da gibt es ja ein vernünftiges Modem.

inode ADSL funktioniert gleich wie bei aon, auch das modem ist das gleiche. einziger unterschied: kein 8stunden-disconnect (was aber nicht heisst, dass es nicht die eine oder andere unterbrechung geben kann)

bei xDSL einzelplatz muss entweder dein rechner einwaehlen oder du musst dir einen passenden router kaufen. bei xDSL mehrplatz ist das modem als nat-router mit pauschalem portforward auf 10.xx.0.16 konfiguriert. bei xDSL business anschluessen ist es als router mit /29 netz konfiguriert. (ausnahme: das neue kleine businesspaket, das ist afaics mit nat)

[diskette]

standardkonf einspielen und neu proggen

hat schon oft geholfen

[N501461]

Hallo Jutta, Hallo Diskette,
ich war gestern Abend noch vor Ort und werde gleich nochmals dorthin fahren. Die Situation ist nun folgende:
1. habe wieder die original Konfig im ST 546 eingespielt.
2. habe Dyndns auf dem St 546 eingerichtet und es funktioniert.
3. Habe als Anwendung „WebCam“ mit any port 8080-8080 -> 8080 eingerichtet und dem PC zugeordnet
4. Desgleichen VNC dem PC zuordnet.
Der ST 546 ist nun über „burkia.dynalias.org“ pingbar. Die Firewall, das habe im Protokoll auf dem ST546 gesehen, blockt aber sowohl VNC als auch WebCam.
Die Konfig kann ich heute Abend zur Verfügung stellen.
Danke mal soweit. Es ist ja schon ein Fortschritt. Bleibt in der jetzigen Situation nur das Firewall Handling.

[diskette]

erreiche am Port 5800 und 5900 den PC (Authentifizierung VNC)
Die Firewall dürfte nix sperren.

[zid]

welches firewall-level hast du eingestellt? welche chain dropt?
was sagt
=>ip debug traceconfig input=-telnet forward=-telnet output=-telnet drop=-telnet arp=none mode=line
u.
=>nat maplist?

d. ports 80, 1080, 8080 werden auch v. systemdiensten verwendet, heikel ist 8080 (HTTPI), da d. acl alle schnittstellen u. -gruppen zuläßt, wenn d. mappings nicht stimmen, landest i. besten fall a. d. st, normalerweise i. nirwana (sink chains!)
-> falls aktiv, webbrowsing interception abschalten.

ps.:
hab' b. mir probeweise 8080 weitergeleitet, funkt mit u. ohne httpi

test v. innen (natloopback):
[IN]LocalN-> : 10.0.0.142 62.47.138.202 0060 TCP 37395->8080 [S.....] seq 1602937511 win 5840
[UT]LocalN->Intern : 62.47.138.202 62.47.138.202 0060 TCP 49167->8080 [S.....] seq 1602937511 win 5840
[IN]Intern-> : 62.47.138.202 62.47.138.202 0060 TCP 49167->8080 [S.....] seq 1602937511 win 5840
[FW]Intern->LocalN : 62.47.138.202 10.0.0.150 0060 TCP 49167->8080 [S.....] seq 1602937511 win 5840
[UT]Intern->LocalN : 62.47.138.202 10.0.0.150 0060 TCP 49167->8080 [S.....] seq 1602937511 win 5840
<84> May 24 10:43:36 FIREWALL rule (1 of 1) : Protocol: TCP Src ip: 62.47.138.202 Src port: 49167 Dst ip: 10.0.0.150 Dst port: 8080 Chain: forward_host_service Rule Id: 1 Action: accept

v. außen m. grc:
[IN]Intern-> : 4.79.142.206 62.47.138.202 0040 TCP 47268->8080 [S.....] seq 19088743 win 8192
[FW]Intern->LocalN : 4.79.142.206 10.0.0.150 0040 TCP 47268->8080 [S.....] seq 19088743 win 8192
[UT]Intern->LocalN : 4.79.142.206 10.0.0.150 0040 TCP 47268->8080 [S.....] seq 19088743 win 8192
<84> May 24 10:45:39 FIREWALL rule (1 of 1) : Protocol: TCP Src ip: 4.79.142.206 Src port: 47268 Dst ip: 10.0.0.150 Dst port: 8080 Chain: forward_host_service Rule Id: 1 Action: accept

du solltest ähnliche traces sehen.

[N501461]

Hallo Zid,
habe deine Message erst jetzt gelesen. Am Samstag erst, kann ich wieder zum „Video“ PC fahren. Dann werde ich alles ausprobieren. Aber vorweg, du gibst schon eine gute Anregung. Ich muß auf dem Webserver nicht 8080 nehmen, ich kann den port frei konfigurieren. Die Firewall ist jetzt nur per GUI disabled. Mit der Einstellung „standard“ hat nichts funktioniert.
Ich könnte ja noch hart via telnet eingreifen oder eine modifizierte Konfig uploaden.
Aber zur aktuellen Situation. Mit Hilfe von Jutta und Diskette funktionierte seit gestern Nachmittag ca. 15 Uhr alles. Ich konnte auf die Kameras schauen und konnte den PC via VNC remote steuern… bis kurz nach 22 Uhr. Dann kam wieder die Zwangstrennung und nichts ging mehr. Im Ping von außen kann ich die neue IP sehen, der Ping selbst aber endet mit timeout.
Vorher hatte ich den PC dyndns machen lassen, was auch funktionierte. Jetzt macht der ST546 dyndns, was auch funktioniert( im Ping ist die neue öffentliche IP ja sichtbar) und für mich bedeutet es jetzt, dass selbst der ST 546 nach der Zwangstrennung öffentlich nicht mehr pingbar ist.

[jutta]

jutta@chili1:~$ ping burkia.dynalias.org
ping: unknown host burkia.dynalias.org

klingt mir eher danach, als wuerde das dydns-update nicht richtig funktionieren. (oder als haettest du den host inzwischen geloescht/geaendert)

[N501461]

Hallo,
es ist mir noch etwas eingefallen. Nach dem gestrigen „config back to he origin“ habe ich in der ppp.ini die parameter auch original auf „demanddial=enabled doddelay=1 dnsmetric=0 idletime=900“ stehen lassen. Sollte ich demanddial nicht doch wieder disableln und idletime= 0 setzen.

[jutta]

> Sollte ich demanddial nicht doch wieder disableln und idletime= 0 setzen.

das wuerde ich sicherheitshalber tun, wenn du keinen client im lan hast, der von sich aus in kurzen abstaenden eine verbindung ins internet aufmacht.

[N501461]

Hallo Jutta,
nachfolgende message hat dich wohl nicht erreicht:
leider zu früh gefreut. Gestern um ca. 21 Uhr habe ich von zu Hause sowohl VNC als auch WebCam machen können, kurz nach 22 Uhr wollte ich nochmal kurz auf die Kameras schauen und siehe da, es war das gewohnte Bild. Zeitüberschreitung im Browser und im Ping timeout.
Ich habe gestern um 16 Uhr, nachdem es lief, die Namen geändert. So ping doch bitte mal „turli.dynalias.net“. Es ist jetzt die Situation seit gestern, ich habe noch nichts am System geändert. Gestern Abend war das Forum nicht erreichbar(MySQL Error).

[roro]

rbr:~ rbr$ ping turli.dynalias.net
PING turli.dynalias.net (80.121.59.230): 56 data bytes


IP kennt er zwar aber es kommt keine Antwort.

[N501461]

Hallo,
ja genau das… und wie gesagt bis gestern kurz vor 22 Uhr funktionierte der Ping

[jutta]

ich wuerde meinen, dass wir einfach einen wildfremden ta-kunden pingen, weil das update nicht funktioniert hat.

zum vergleich: so sieht ein portscan dzt aus:

Code: Alles auswählen

chili1:/home/jutta# nmap -P0 turli.dynalias.net

Starting nmap 3.81 ( http://www.insecure.org/nmap/ ) at 2007-05-24 14:29 CEST
All 1663 scanned ports on M1504P006.adsl.highway.telekom.at (80.121.59.230) are: filtered

Nmap finished: 1 IP address (1 host up) scanned in 335.795 seconds


und so sah er gestern aus:

Code: Alles auswählen

debian:/home/jutta# nmap -P0 burkia.dynalias.org

Starting Nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2007-05-23 13:18 CEST
Interesting ports on M1336P013.adsl.highway.telekom.at (80.121.38.237):
Not shown: 1679 closed ports
PORT   STATE    SERVICE
25/tcp filtered smtp

Nmap finished: 1 IP address (1 host up) scanned in 6.586 seconds


[N501461]

Hallo,
ist nicht schlimm, nach der Lösung werde ich alle Namen ändern und ich muss dir wiedersprechen. Das update funktioniert sehr wohl … die IP die man jetzt sieht ist eine andere als gestern Nachmittag.

[jutta]

> die IP die man jetzt sieht ist eine andere als gestern Nachmittag.

das heisst noch lang nicht, dass es die richtige ist. zwischen gestern nachmittag und heute nachmittag muessten ja zumindest 2 updates erfolgt sein - eher 3. und wenn du zwischendurch was geaendert hast, noch mehr.