Webcam / Connect Box aus dem Internet erreichen?

XXXyXXX · 2021-12-09T16:06:32+00:00

Sunrise community - customers help other customers with topics related to television, Internet, telephone and mobile. Register now!

XXXyXXX

Hallo,

ich habe vor einigen Tagen eine Webcam an der Connect Box per WLAN angeschlossen. Von LAN ist die Cam erreichbar. Aus dem Internet nicht (trotz passender einstellungen im Router). Ich habe auf der Connect Box die Info-Seite aufgerufen dann versucht die WAN IP (IPv4) der Connect Box anzupingen bze ein tracert zu machen: kein Erfolg; Zeitüberschreitung

Das seltsame - ich arbeite in einem weltweit tätigen Unternehmen. Vom Firmen PC kann ich die Webcam erreichen. Nur über das “normale” Internet geht es nicht.

Ich habe aktuell auf der Connect Box die UPC Fernsehbox, Fernseher, Webcam und einen Router für mein privates LAN laufen.

Nach einer kurzen Recherche hier, habe ich gelesen das, das die Connect Box standardmässig auf IPv6 läuft und auf IPv4 umgeschatet werden muss um von ausserhalb erreichbar zu sein.(Ich vermute, das das Firmennetzwerk auf IP6 läuft und daher das Routing funktioniert). Diese Umstellung muss durch UPC erfolgen.

Eigentlich dachte ich, das der Support das Problem rasch lösen und die Box entsprechend configurieren kann.

Falsch - ich habe fast eine Stunde telefoniert, mit vier Leuten gesprochen, dümmliche Wartescheifen Musik ertragen und die einzige Hilfestellung die mir ein “Techniker” geben konnte: “Resetten sie die Box und proieren sie es morgen nochmal”.

Ist es normal, das die IPv4 adresse meiner Connect Box nicht mit Ping und Traceroute aus dem Internet erreichbar ist? Wie kann ich aus dem Netz auf die Cam zugreifen?

Danke

Nino_52

hi @“XXXyXXX”,

da in der Connect-Box keine Routen gelegt werden können, funktioniert der Aufruf zu einer internen Adresse nur im Bridge .(Modem-Modus) mit privatem Router. Das bedingt eine Umstellung der Connect-Box auf IPV4!

Damit Dir hier geholfen werden kann musst Du @Daniele_Sunrise eine private Nachricht zukommen lassen. Darin sollte Deine persönlichen Daten:

Name, Vorname,
Wohnadresse
UPC Kundennummer

enthalten sein. Da diese Daten nicht öffentlich gezeigt werden sollen, bitten nicht hier ins öffentlichen Forum senden!

Auf deine Anfrage wird er sich sicherlich Morgen zur Arbeitszeit bei Dir melden, bez. eine Nachricht zusenden.

Gruss Nino

XXXyXXX

In den Bridge Modus kann ich die Connect Box selber auch schalten, oder? Dann kann ich aber keine Geräte direkt mit der Connect Box verbinden. Und die Webcam hängt direkt an der Connect Box und nicht im privaten LAN.

Die Conect Box unterstützt UPnP und Portweiterleitung - warum soll es dann nicht möglich sein, Geräte die an der Box hängen von ausserhalb zu erreichen?

Mein aktueller Aufbau ist Absicht und bildet eine DMZ. Geschwätzige Geräte die ich nicht unter kontrolle habe sollen ausserhalb meines persönlichen Netzes bleiben. Und es funktioniert auch alles soweit.

Einzig die Webcam ist von aussen nicht zu erreichen. Wobei auch das nicht ganzt korrekt ist - über das Firmennetzwerk meines Arbeitgebers ist die Webcam erreichbar! Sie ist nicht über das “normale” internet erreichbar. Weder per IP adresse aus meine privaten LAN noch von ausserhalb.

Ist es normal, das die Connect Box (77.58.XXX.XXX) sich nicht anpingen lässt?

Nino_52

hi @“XXXyXXX”,

Im Bridge kann an der Connect-Box lediglich ein Gerät angeschlossen sein und auch das WLAN der Box ist dann inaktiv; das ist der private Router. Ohne Routing ist kein internes Netz möglich!

In Roter-Modus jedoch sind keine Routen von Extern nach Intern möglich, da diese Option in der Box nicht vorhanden ist, Lediglich eine Port-Öffnung oder -Sperrung wird unterstützt. Ohne Route aber kann ein internes Gerät kann daher nicht via Portaufruf angesprochen werden; Portmaskering erfolgt automatisch und bezweckt ja gerade, dass interne Geräte nicht kompromittiert werden können.

Gruss Nino

XXXyXXX

Sorry - ich verstehs immer noch nicht. Vielleicht reden wir auch aneinander vorbei.

Lassen wir den Bridge Modus weg - will ich soweiso nicht einrichten.

Und ausserdem lassen wir meinen privaten Router weg - der sollte mMn irrelevant sein.

Dann habe ich eine Connect Box an der über das LAN und WAN anschlüsse verscheidenen Geräte hängen. Eines der Geräte is meine Webcam die via UPnP die passenden Ports auf dem Router (Connect Box) öffnet.

Frage 1: Ist die Cam dann von ausserhalb erreichbar?

Wenn das funktioniert und ich an einen freien LAN Port auf der Connect Box einen privaten Router/Firewall anschliesse, sollte das keinen Einfluss auf die Webcam haben. Aus Sicht der Connect Box ist die Webcam und der private Router innerhalb. Aus Sicht des privaten Netzes ist die Webcam ausserhalb. Das ist doch ein klassisches DMZ mit zwei Firewalls? Oder?

siehe: https://de.wikipedia.org/wiki/Demilitarisierte_Zone_(Informatik)#/media/Datei:DMZ_network_diagram_2_firewall.svg

bzw der komplette Artikel zu “Demilitarized Zones”: https://de.wikipedia.org/wiki/Demilitarisierte_Zone_(Informatik)

Frage 2: ist so eine DMZ mit der Connect Box im UPC Netz möglich?

Frage 3: wie kann ich prüfen ob die Connect Box überhaupt vom Internet erreichbar ist? Ping, Tracert und Test-NetConnection liefern allesamt “time out”

danke

Nino_52

@“XXXyXXX”,

lass mir ein wenig Zeit, werde das ein wenig graphisch darstellen, um den Sachverhalt zu erklären.

XXXyXXX

Inzwischen eine schematische Darstellung wie meines Netzaufbaus:

Die Webcam hängt über WLAN an der Connect Box und bekommt eine IP von DHCP Server der Connect Box. Geräte im Privat Net bekommen ihre IP vom DHCP Server auf dem Privat Router

Test ob die Webcam erreichbar ist:

Test 1: Privat Net - Client Software des Webcam-Hersteller - OK

Test 2: Privat Net - Webbrowser mit DMZ IP Adresse - OK

Test 3: Privat Net - Webbrowser mit WAN IP der Connect Box - Fehler

Test 4: Corporate net - Webbrowser mit WAN IP der Connect Box - OK!!!!!!!!!!!!

Test 5: Internet PC - Webbrowser mit WAN IP der Connect Box - Fehler

Ich versuche zu verstehen warum 4 funktioniert, 3 und 5 aber nicht und wie ich testen kann ob die Connect BOX grundsätzlich aus dem Internet zu erreichen ist.

Nino_52

@“XXXyXXX”,

wenn Test #4 via Initialisierung der Web-Cam erfolgt; von Innen nach Aussen; funktioniert es, da dem Empfänger mitgeteilt wird, auf welches Port; durch das Portmaskerin erzeugt; die Antwort erfolgen soll. Wird hingegen von Aussen nach Innen initialisiert geht es nicht, da das Port zur WebCam ja bekannt ist, aber nicht die mit Portmaskering zugewiesene IP der Web-Cam. Der Router empfängt ja auf seinem Eingang seine IP und das Port welches für das Protokoll genutzt werden soll, nicht aber ein zugewiesenes Port zur Identifizierung der innen-liegenden IP der Web-Cam! Diese Portweiterleitng vom Cam-Protokoll bedingt eben eine Route; sprich eine definiertes Port zu einer definierten inliegende IP; was die Connect-Box eben nicht unterstützt!

Das bedeutet, dass wenn Deine WebCam durch innen-liegende Software ein Ziel z.B. einen Visualisierung-Server beim Auf-starten anspricht, kennt der Server die Route, mit welchem er nun die Bilder abholen kann. Ott wird zwischen solchen Glieder auch ein VPN-Tunnel erzeugt welcher steht, solange beide im Netz aktiv verbleiben.

Gruss Nino

XXXyXXX

Test 4 war ein normaler Google Chrome Browser in dem ich in der Adresszeile die WAN IP meines Connect Box eingegeben habe. Ich glaube nicht, das da “von innen” etwas initialisiert wurde.

Funktioniert die Portmaskierung nicht durch die Potweiterleitung auf der Connect Box? Da wird doch die Übersetzung von externen Port auf die interne IP/Port gemacht, oder?

Nino_52

XXXyXXX Funktioniert die Portmaskierung nicht durch die Potweiterleitung auf der Connect Box? Da wird doch die Übersetzung von externen Port auf die interne IP/Port gemacht, oder?

richtig, Aber dazu muss das Port welches genutzt werden soll, dem Aufrufer bekannt sein. Das jedoch wird erst dann bekannt, wenn der Innere Partner eine Meldung vom Externen anfordert. Dir als User ist diese Port-Zuweisung nicht bekannt und kann auch nicht abgefragt werden. Diese Daten sind nur in der internen Tabelle des Routers gehalten, dazu sind diese nicht Fix, sondern werden bei jedem neuen Verbindungsaufbau erneut definiert.

Nino_52

hi @“XXXyXXX”,

diese Einstellung ist bei mir;IPV6; nicht vorhanden:

Ist Deine Connect-Box auf IPV4?

Dann nehme ich alles zurück und behaupte das Gegenteil 😇

XXXyXXX

Nino_52

Ich hab eine IPv4 Adresse unter Admin / Informationen. Aber ich kann aus dem internet diese IPv4 Adresse nicht erreichen (ping, tracert, …). Ping geht weder von einem normalen Internet Anschluss noch über das Firmennetzwerk…

XXXyXXX

Aber Google Chrome auf dem Firmen PC weiss doch auch nicht welche Ports genutzt werde sollen. Es gibt eine http request auf die WAN IP Port 80 (bzw 443 wenns über https geht). Der Aufruf wird von der Connect Box über die Portweiterleitung auf die Interne IP und Port weitergeleitet wo die Webcam antwortet. Anderen Ports sind “well-known ports” für Dinge wie Real-Time Streaming Protocol (RTSP) (Port 554) oder werden vom Server (Webcam) den Client (Webbrowser) mitgeteilt.

Portweiterleitungen wird NICHT bei jedem Aufruf neu definiert. Sie werden einmal definiert und bleiben dann bestehen bis sie manuell oder über UPnP automatich geändert werden (ist uU notwendig wenn sich interne IP zuordnungen ändern). Der Trick ist ja gerade das ich externen Aufrufe an einen bestimmten Port auf eine definiertes interne IP Port umgeleitet werden.

Bsp

Externe Port 80 -> Intern 192.168.10.123 Port 80
Externe Port 8800 -> Intern 192.168.10.111 Port 80

Brower:
http://WAN_IP -> Webpage von 192.168.10.123 wird angezeigt
http://WAN_IP:8800 -> Webpage von 192.168.10.111 wird angezeigt

Das funktioniert nur wenn die Portweiterleitung statisch ist - ansonsten müsste der Webbrowser im zweiten fall jedes mal raten auf welchen Port er zugreiffen soll.
Oder liege ich hier falsch?

Nino_52

hi @“XXXyXXX”,

logisch, da Du ja eine Weiterleitung hast. Aber eine Route von einem Port zu einer IP hast Du so noch nicht. z.B. ein neutrales Port 39390 zu IP 192.168.0.254. Dazu sollten solche Geräte fix Adressiert sein, nicht, dass die durch ein Ereignis plötzlich eine andere IP durch den DHCP zugewiesen erhalten und die Route in die Wiese zeigt. Nur so funktioniert aber ein eindeutiger Aufruf richtig von Port zu IP. Bei mehreren WebCam brauchst Du jede einzelne Cam-IP mittels eigenem Port das Routers. Wie willst Du diese sonst auseinanderhalten?

Beim Aufruf musst Du natürlich das Port mitgeben. Das Protokoll z.B. FTP wird ja vom Browser selber hinzugefügt. Eine Weiterleitung ist eben noch keine Route!

XXXyXXX

Nino_52

Aber genau die Zuordnung externen Port zu internner Port und IP mache ich ja über die Portweiterleitung:

Siehe auch den Screenshot in einem vorherigen Beitrag.

Klar, wenn ich mehrere Webcams oder mehrere Webserver hinter meinen Connect Box hätte, würde es nicht so einfach gehen. Habe ich aber nicht.

ich versthe noch immer nicht wo du den Unterscheid zwischen Portweiterleitung und Routing siehst.

Im obigen Beispiel werden alle Pakete die an den externe WAN Port 8800 gerichtet sind an die interne IP 192.168.10.111 Port 80 weitergeleitet. Zwischen Connect Box und Webcam sind keine weiteren Geräte (Router/Bridges/…) die ein Routing erforderlich machen würden.

Ich verstehe aber noch immer nicht wie ich von extern meine Connect Box erreichen kann.

Nino_52

hi @“XXXyXXX”,

Da ich, wie gesagt diese Seite nicht habe, war mir nicht klar, wie diese gehalten ist.

So wie das hier dargestellt ist, sollte das auf Port #80 soweit funktionieren, aber so hast Du nur eine einziges Protokoll zur Verfügung, #80 = http, wäre es https müsste #443 oder ftp = #20 & 21 angesprochen werden. Diese Port’s schreibst Du ja in der Regel im Browser mittels der alphabetischen Anfangskürzel im Aufruf:

https://community.sunrise.ch/d/18556-webcam-connect-box-aus-dem-internet-erreichen/15

das https: ist ja der Postaufruf #443 !

Bei vielen WebCams werden mittels ftp die Inhalte der Aufzeichnungen übergeben. Das bedeutete in Deinem Falle, dass Du zu jedem Protokoll eine explizite Weiterleitung erzeugen müsstest. Darum werden ja Routen gelegt. Diese sind nicht an ein Protokoll gebunden, sondern geben alle Anfragen weiter, sofern den diese Ports geöffnet sind. Gute Router haben dazu auch die Möglichkeit, nur definierte Anfragen von fixen IP’s oder eingetragenen MAC durchzulassen. Also wie gesagt, Routen sind mehr als nur Postweiterleitungen, aber werden von der Connect-Box eben nicht unterstützt.

Gruss Nino

XXXyXXX

Nino_52

Sorry - aber das war nur ein Beispiel und hat mit meiner eigentlichen Frage nur am Rand zu tun. ich will aucgh gar nicht darüber diskutieren was ein guter Router alles kann oder können sollte.

Die notwendgen Ports sind per UPnP eingereichtet und - wie bereits erwähnt - aus dem Firmennetz ist die Kamera zu erreichen. Von einem privaten PC aus nicht.

Was muss ich machen damit die Connect Box und ein an der Box angeschlossenes Gerät aus dem Internet erreichbar ist?

Danke

XXXyXXX

Nino_52 So wie das hier dargestellt ist, sollte das auf Port #80 soweit funktionieren, aber so hast Du nur eine einziges Protokoll zur Verfügung, #80 = http, wäre es https müsste #443 oder ftp = #20 & 21 angesprochen werden. Diese Port’s schreibst Du ja in der Regel im Browser mittels der alphabetischen Anfangskürzel im Aufruf:

https://community.sunrise.ch/d/18556-webcam-connect-box-aus-dem-internet-erreichen/15

das kann man so nicht stehen lassen.

Der Port wird durch einen Doppelpunkt von der IP adresse (oder dem DNS Eintrag) getrennt und ist ein Wert zwischen 0 und 65536 (16bit).

eg: www.alternativerPort.com:8080

In deinem Beispiel hat das “d” überhaupt nichts mit dem Port zu tun. ich vermute eher das es sich darauf bezieht was du gerade ansiehst. In der Übersicht hast du ein “t” (https://community.sunrise.ch/t/internet) beium einzelnen Beitrag steht ein “d”. Aber das ist einzig davon abhängig wie der Webserver die Daten nach aussen präsentiert

Vermutung: t -> Thread; d -> discussion

Komplet aufgelöst: https://Adresse/Discussion/Id-Titel-der-Diskussion/Beitragsnummer

Aber diese Interpretation der UPC webadresse is Spekulation und hat weder mit dem Ausgangsthem noch mit Portweiterleitung zu tun

Nino_52

hi @“XXXyXXX”,

vielleicht ist der Port, welchen Du ansprechen willst auf deinem genutzten Netz wo Dein Laptop steht geblockt.

versuche es mal mit dieser Anleitung:

Testen Sie die Verbindung zum Port mit PowerShell

Verwenden Sie einen der folgenden PowerShell-Befehle, um zu überprüfen, ob der TCP-Port auf einem Remote-Host geöffnet ist:

$$
PS C:> tnc www.zentica-global.com -p 443
$$

- oder -

$$
PS C:> New-Object System.Net.Sockets.TcpClient(“www.zentica-global.com”, 443)
$$

Überprüfen Sie offene Ports auf mehreren Hosts

Wenn Sie mehrere TCP-Verbindungen testen müssen, listen Sie die erforderlichen Ziele auf und kopieren Sie das Skript in die PowerShell-Konsole:

$$
PS C:> @“ # List of hosts and ports to check www.zentica-global.com:443 8.8.8.8:53 8.8.4.4:53 ”@.split(“`n”) | ForEach-Object Out-String -Stream
$$

XXXyXXX

Nino_52

wenn der Port in meinem Netz geblockt wäre, würde kein Dienst der diesen Port verwendet funktionieren. Der Port 443 aus deinem Beispiel ist für HTTPS reserviert. Wäre dieser Port blockiert würde fast keine Website mehr gehen (oder dauern security warnungen im browser auslösen).

Ich sehe das Problem darin, das die externe LAN IPv4 meiner Connect Box nicht von externe IPv4 Netzwerken erreicht werden kann (vermutlich verwendet das Firmennetzwerk IPv6 adressen und daher gehts von dort). Ichglaube, das das Problem im UPC routing liegt. Wie kann man das überprüfen?

thx

Nino_52

XXXyXXX

nicht der! Port, sondern jener der Du extern zur Webkam nutzt!

Das vor externe Ort, denn dort könnte dieser geblockt sein.