WOL - Wake up on LAN übers Internet geht immer nur ganz kurz

[xyladecor]

Hallo Leute,

ich ärgere mich da mit einem Problem rum, wo ich nicht weiterkomme. Vlt. weiß jemand von euch ob bzw. wie man das Problem lösen kann.

Wake up on LAN funktioniert eigentlich okay im LAN, nur übers Internet ist es so, daß das immer nur sehr kurz, nachdem der einzuschaltende PC gelaufen ist, also einige Sekunden (10, 20?) nach dem abschalten, danach reagiert der PC darauf nicht mehr.

Zum aufewcken habe ich 2 Apps am Handy, bzw. habs auch auf einem PC mit Aquilga Wake on Lan probiert, wie gesagt, schalte ich den PC aus und teste das unmittelbar danach, klappt das reibungslos, das heisst configmässig dürfte alles passen.

Es sieht so aus, also ob der Router NETGEAR WNDR4300 dann die IP des PC´s auf welche der offene Port 9 geforwarded ist "vergisst", denn die IP fällt ja dann nach dem ausschalten dieses PC´s auch raus, und leider kann man ja beim forwarding nicht auch oder auch nur die MAC-Adresse der betreffenden Netzwerkkarte eingeben, sondern muss ja die IP des entsprechenden Rechners angeben.

Brauche ich da einen komplett anderen Router, oder gibt es da eine Möglichkeit, bzw. Trick, damit das klappt?

[Starvirus]

Solche Dinge nur mit Portforwardings zu lösen sind etwas schmutzig. Ich sag mal jeder von uns wird mal mehr mal weniger von einem Portscan durchleuchtet und Port 9 ist da so ein Klassiker hier irgendwelche Magic Pakets zu senden.
Da kann es durchaus sein das der Netgear nicht will vor lauter anfragen. Ich würd an deiner Stelle schauen ob du einen VPN Server aktivieren kannst und dann den Port 9 schließen.

[kleinem]

Hallo!

Ich glaube das "vergessen" welches du beschreibst, ist ein Problem mit dem arp cache.
Nach dem abschalten des PCs timed der arp Eintrag zur IP des PCs aus, und der Router weiß nicht mehr an welche L2 Adresse er das (geforwardete) Paket schicken soll.
Im LAN selbst ist das kein Problem, da dort das Paket einfach als Broadcast gesendet wird.

Du hast also m.M. zwei Möglichkeiten:
1) Du erstellst einen statischen arp Eintrag am Router zu deinem PC
2) Du änderst die Ziel Adresse des forwardings von der des PCs, zb. 192.168.0.11/24 auf die Broadcast Adresse deines Netzes, also 192.168.0.255/24

Fraglich ist aber ob dein Router das überhaupt unterstützt, ich Wage zu behaupten das Variante 1) eher funktioniert als 2).
Sicherheitstechnisch ist das ganze natürlich nicht sehr sauber wie Starvirus schon gesagt hat.

[Starvirus]

Schließe mich da kleinem an aber wenn es im LAN funktioniert ist der ARP Cache kontrovers.
Broadcast ist vermutlich das Problem an der Sache an was es scheitert

[xyladecor]

Danke euch für die Hinweise und die Hilfe. Die Sache ist ein bisserl eine Spielerei. Dachte mir das ist relativ einfach bewerkstelligbar, da es übers LAN ja so easy geht.

Ich würd an deiner Stelle schauen ob du einen VPN Server aktivieren kannst und dann den Port 9 schließen.

Muss mich da einlesen, hab damit null Erfahrung, aber Danke für den Hinweis. Den Port würde ich im übrigen ohnehin ändern, und einen exotischeren nehmen, aber klar, mir ist bewusst, dass es ein Risiko ist.

Du hast also m.M. zwei Möglichkeiten:
1) Du erstellst einen statischen arp Eintrag am Router zu deinem PC
2) Du änderst die Ziel Adresse des forwardings von der des PCs, zb. 192.168.0.11/24 auf die Broadcast Adresse deines Netzes, also 192.168.0.255/24

Zu Punkt 1 geht das glaub ich mit der alternativen Firmware von DD-WRT. Da hatte ich was von einer Befehlszeile mit arp stat gelesen, aber ich denke nur deswegen flashe ich den Router nicht.

Punkt 2 verstehe ich nicht so ganz. Was würde es bringen die IP des betreffenden PC´s zu ändern? Der Router würde doch die nach dem abschalten herausfallende IP auch vergessen, oder verstehe ich das generell falsch?

[kleinem]

Wenn du die Broadcast IP (.255 im letzten oktett) als forwarding Ziel einträgst, sollte der Router das Paket auch als Layer2 Broadcast schicken.
Das hätte dann quasi denselben effekt als ob du das Paket "im LAN" verschickst.
Ist aber halt auch aus Sicherheitsgründen oft deaktiviert, und die Frage ist deshalb ob dein consumer Router das auch machen wird.

Probiers einfach aus und berichte uns.


Die IP und sonstige Header sind bei WOL im übrigen völlig egal. Wichtig ist nur dass
1) der magic packet pattern irgendwo drinnensteht.
2) dieses packet den Rechner auch erreicht. Und das erreichst du eben nur mit einem Broadcast (daher auch die Broadcast IP variante), oder unicast auf die richtige MAC des Rechners (statisches arp variante)

[xyladecor]

Bin mir zwar nicht ganz sicher, ob ich es richtig verstanden habe, aber in keinem Feld nimmt mir der Router die Broadcast IP.

Ich schätze, dass das maximal mit einer DDWRT Firmware machbar ist.

Danke jedenfalls.

P.S. Gibt es home consumer Router, wo man beim portforwardng anstatt die IP die MAC-Adresse der NIC eingeben kann?

[zid]

hallo die illustre runde,

kleinem,

genau das is der punkt,...

>"...Im LAN selbst ist das kein Problem, da dort das Paket einfach als Broadcast gesendet wird...

...und genau das sollte man auch aus sicherheitsgründen ausnutzen.
deine 2, von dir erwähnten, punkte sind völlig richtig, hab ich selbst vor jahren propagiert, hier z.b.:
http://www.wcm.at/forum/showthread.php/ ... 39905.html
heute würde ich das nicht mehr empfehlen (man lernt ja dazu), sondern folgendes machen:
1.
ich nehm mir einen router her, der einen wol-client von kaliber etherwake implementiert hat. etherwake produziert ein sog. "naked" magic packet, das im gegensatz zu den "encapsulated" magic packets nicht in ip/udp gekapselt is und somit nicht routebar is (wir reden von einem "limited" bcast). hier z.b. ein naked magic packet von einem pire (da rennt eben etherwake):

pire_etherwake_naked_magic_packet.png (60.53 KiB) 41786-mal betrachtet

2. ich verbinde mich von außen über eine gesicherte verbindung zu dem router und setze dann von dort aus das naked magic packet ab, um den schläfer zu wecken.

vorteile sind klar:
- gesicherte verbindung.
- kein statischer eintrag im arp-cache nötig.
- keine weiterleitung auf den (sub)net-directed bcast (= sicherheitsrisiko) nötig.

einen nachteil gibts natürlich auch:
- man braucht einen geeigneten router...

>"...Ich schätze, dass das maximal mit einer DDWRT Firmware machbar ist..."
auch, aber nicht nur...
hier z.b. ein mikrotik:

tikerl_wol.png (8.47 KiB) 41786-mal betrachtet

>"...Gibt es home consumer Router, wo man beim portforwardng anstatt die IP die MAC-Adresse der NIC
eingeben kann?..."
das geht nicht, weil im internet geroutet (=layer3) wird.
grundsätzlich kann man einen eoip-tunnel aufziehen, dann bist du ***getunnelt/im tunnel*** auf layer2 unterwegs.
das prob is halt nur, daß ein eoip-tunnel nicht verschlüsselt is, du müßtest also noch zusätzlich eine sicherung einbauen (ipsec, openvpn, wwi). ziemlich viel aufwand für so'ne lappalie...


lg
zid

[xyladecor]

Danke nochmals für eure Ausführungen, man lernt als Laie damit gut dazu und es ein bisserl mehr zu verstehen.

Fakt ist also in jedem Fall, dass nicht so einfach auf schnell schnell zu bewerkstelligen ist, war mir vorher so nicht bewusst.

Ich habe im LAN mehrere Linux Receiver permanent laufen, auf denen sich eigentlich auch ein VPN Server installieren lassen müsste, mal sehen ob ich dann von der Box aus den PC vlt. gestartet bekomme, alle anderen Optionen sind glaub ich wie schon erwähnt im Moment leider eher keine Option.

[zid]

hallo xyladecor,

>"...Fakt ist also in jedem Fall, dass nicht so einfach auf schnell schnell zu bewerkstelligen ist,..."
fürcht ich auch. netgear unterstützt offiziell einen opensource train:
http://myopenrouter.com/
für deinen 4300er konnte ich da aber keine alternative fw. finden. und daß da noch was kommen wird, glaub ich jetzt weniger, weil der 4300er schon älter ist...


>"...Ich habe im LAN mehrere Linux Receiver permanent laufen, auf denen sich eigentlich auch ein VPN Server installieren lassen müsste,..."
wenn openvpn und/oder ipsec am receiver tatsächlich verfügbar sind, dann is eh alles paletti...:

1. die receiver distro hat kein etherwake- oder wol-packerl:
in dem fall richtest du am receiver ein vpn-relay ein und schickst das magic packet durch den tunnel zum penner. wenn das tunnel-intf z.b. "tun0" heißt, schaut das ganze schematisch so aus:
wol-client -> tun0 -> receiver -> eth0 -> penner.
insgesamt also ganz einfach, nichtdestotrotz übersehen die leute in der begeisterung bei der aktion 2 sehr banale punkte, ohne die aber genau nix geht. und jetzt bitte net lachen...:

i. wenn kein typisches router-linux (dd-wrt, openwrt, routeros...) vorliegt, dann is im default das forwarding des kerns nicht aktiv und muß explizit aktiviert werden:

- entweder in /etc/sysctl.conf...

Code: Alles auswählen

# cat /etc/sysctl.conf
...
# *** das is die default einstellung:
# Uncomment the next line to enable packet forwarding for IPv4
#net.ipv4.ip_forward=1
...
# *** damit wird das forwarding aktiviert:
net.ipv4.ip_forward=1

- ...oder als post-up-cmd in /etc/network/interfaces...:

Code: Alles auswählen

...
...
auto eth0
iface eth0 inet static
    ...
    ...
# forwarding aktivieren
    post-up echo 1 > /proc/sys/net/ipv4/ip_forward

- ...oder "echo 1 > ..." in rc.local reinpempern.

ii. man muß einen statischen arp eintrab für den penner setzen, sonst bist du genau dort, wo du jetzt eh schon bist. wieder post-up in /etc/network/interfaces (der schläfer soll jetzt beispielhaft die ip 10.10.10.10 und die mac 10-10-10-10-10-10 haben):

Code: Alles auswählen

...
...
auto eth0
iface eth0 inet static
    ...
    ...
# forwarding aktivieren
    post-up echo 1 > /proc/sys/net/ipv4/ip_forward
# statischer arp eintrag fuern penner
    post-up ip neigh add 10.10.10.10 lladdr 10:10:10:10:10:10 nud permanent dev eth0

danach rebooten und nachschauen, ob die einträge korrekt sind. wenn ich 'ne mac eintippen muß, brauch ich dazu mindestens 3 anläufe...


2. fürn receiver gibts wol oder etherwake:
dann gilt das früher gesagte. via vpn einfach mim receiver verbinden und von dort aus etherwake/wol anwerfen. wennst mehrere penner im lan hast, dann is es ganz praktisch, eine kleine wol-function in ~/.bashrc reinzupempern, sodaß du die dinger über ihre hostnames wecken kannst und net dauernd irgendwelche macs reinhacken mußt.
schaut auf einem meiner tikerls (auf den tikerls rennt etherwake) z.b. so aus:

r6_globals_wolwo.png (31.13 KiB) 41537-mal betrachtet

lg
zid

[kleinem]

Extra VPN einrichten, routing aktivieren und statische arp Einträge sind dann aber imho ein bissl ein overkill.
ssh portforwarding auf den receiver tuts auch. Es gibt zig ssh client apps für Android.

Ansonsten ist es fast dieselbe Vorgehensweise wie von zid beschrieben.
Vorraussetzung ist eben etherwake o.ä. am receiver.
Dann verpackst du das entsprechende command um den PC aufzuwecken in ein alias oder eigenes shell script,
und führst es via ssh aus.
<WOL command>=etherwake <mac>

ssh <username>@<ip> <WOL command>
Fertig.

[xyladecor]

Eure postings haben mir den richtigen Denkanstoss zur Lösung gebracht.

Ich hab ja ohnehin Linux Receiver im LAN laufen, welche eh immer zumindest im standby sind.
Über die lässt es sich in der Tat recht einfach bewerkstelligen auch die PC´s im Netzwerk aufzuwecken.
Hab das jetzt ein paar mal getestet, funktioniert bestens.

Nochmals vielen Dank an Euch, ihr wart mir eine super Hilfe!!!