Webcam / Connect Box aus dem Internet erreichen?

XXXyXXX · 2021-12-09T16:06:32+00:00

Sunrise community - customers help other customers with topics related to television, Internet, telephone and mobile. Register now!

XXXyXXX

Test 4 war ein normaler Google Chrome Browser in dem ich in der Adresszeile die WAN IP meines Connect Box eingegeben habe. Ich glaube nicht, das da “von innen” etwas initialisiert wurde.

Funktioniert die Portmaskierung nicht durch die Potweiterleitung auf der Connect Box? Da wird doch die Übersetzung von externen Port auf die interne IP/Port gemacht, oder?

Nino_52

XXXyXXX Funktioniert die Portmaskierung nicht durch die Potweiterleitung auf der Connect Box? Da wird doch die Übersetzung von externen Port auf die interne IP/Port gemacht, oder?

richtig, Aber dazu muss das Port welches genutzt werden soll, dem Aufrufer bekannt sein. Das jedoch wird erst dann bekannt, wenn der Innere Partner eine Meldung vom Externen anfordert. Dir als User ist diese Port-Zuweisung nicht bekannt und kann auch nicht abgefragt werden. Diese Daten sind nur in der internen Tabelle des Routers gehalten, dazu sind diese nicht Fix, sondern werden bei jedem neuen Verbindungsaufbau erneut definiert.

Nino_52

hi @“XXXyXXX”,

diese Einstellung ist bei mir;IPV6; nicht vorhanden:

Ist Deine Connect-Box auf IPV4?

Dann nehme ich alles zurück und behaupte das Gegenteil 😇

XXXyXXX

Nino_52

Ich hab eine IPv4 Adresse unter Admin / Informationen. Aber ich kann aus dem internet diese IPv4 Adresse nicht erreichen (ping, tracert, …). Ping geht weder von einem normalen Internet Anschluss noch über das Firmennetzwerk…

XXXyXXX

Aber Google Chrome auf dem Firmen PC weiss doch auch nicht welche Ports genutzt werde sollen. Es gibt eine http request auf die WAN IP Port 80 (bzw 443 wenns über https geht). Der Aufruf wird von der Connect Box über die Portweiterleitung auf die Interne IP und Port weitergeleitet wo die Webcam antwortet. Anderen Ports sind “well-known ports” für Dinge wie Real-Time Streaming Protocol (RTSP) (Port 554) oder werden vom Server (Webcam) den Client (Webbrowser) mitgeteilt.

Portweiterleitungen wird NICHT bei jedem Aufruf neu definiert. Sie werden einmal definiert und bleiben dann bestehen bis sie manuell oder über UPnP automatich geändert werden (ist uU notwendig wenn sich interne IP zuordnungen ändern). Der Trick ist ja gerade das ich externen Aufrufe an einen bestimmten Port auf eine definiertes interne IP Port umgeleitet werden.

Bsp

Externe Port 80 -> Intern 192.168.10.123 Port 80
Externe Port 8800 -> Intern 192.168.10.111 Port 80

Brower:
http://WAN_IP -> Webpage von 192.168.10.123 wird angezeigt
http://WAN_IP:8800 -> Webpage von 192.168.10.111 wird angezeigt

Das funktioniert nur wenn die Portweiterleitung statisch ist - ansonsten müsste der Webbrowser im zweiten fall jedes mal raten auf welchen Port er zugreiffen soll.
Oder liege ich hier falsch?

Nino_52

hi @“XXXyXXX”,

logisch, da Du ja eine Weiterleitung hast. Aber eine Route von einem Port zu einer IP hast Du so noch nicht. z.B. ein neutrales Port 39390 zu IP 192.168.0.254. Dazu sollten solche Geräte fix Adressiert sein, nicht, dass die durch ein Ereignis plötzlich eine andere IP durch den DHCP zugewiesen erhalten und die Route in die Wiese zeigt. Nur so funktioniert aber ein eindeutiger Aufruf richtig von Port zu IP. Bei mehreren WebCam brauchst Du jede einzelne Cam-IP mittels eigenem Port das Routers. Wie willst Du diese sonst auseinanderhalten?

Beim Aufruf musst Du natürlich das Port mitgeben. Das Protokoll z.B. FTP wird ja vom Browser selber hinzugefügt. Eine Weiterleitung ist eben noch keine Route!

XXXyXXX

Nino_52

Aber genau die Zuordnung externen Port zu internner Port und IP mache ich ja über die Portweiterleitung:

Siehe auch den Screenshot in einem vorherigen Beitrag.

Klar, wenn ich mehrere Webcams oder mehrere Webserver hinter meinen Connect Box hätte, würde es nicht so einfach gehen. Habe ich aber nicht.

ich versthe noch immer nicht wo du den Unterscheid zwischen Portweiterleitung und Routing siehst.

Im obigen Beispiel werden alle Pakete die an den externe WAN Port 8800 gerichtet sind an die interne IP 192.168.10.111 Port 80 weitergeleitet. Zwischen Connect Box und Webcam sind keine weiteren Geräte (Router/Bridges/…) die ein Routing erforderlich machen würden.

Ich verstehe aber noch immer nicht wie ich von extern meine Connect Box erreichen kann.

Nino_52

hi @“XXXyXXX”,

Da ich, wie gesagt diese Seite nicht habe, war mir nicht klar, wie diese gehalten ist.

So wie das hier dargestellt ist, sollte das auf Port #80 soweit funktionieren, aber so hast Du nur eine einziges Protokoll zur Verfügung, #80 = http, wäre es https müsste #443 oder ftp = #20 & 21 angesprochen werden. Diese Port’s schreibst Du ja in der Regel im Browser mittels der alphabetischen Anfangskürzel im Aufruf:

https://community.sunrise.ch/d/18556-webcam-connect-box-aus-dem-internet-erreichen/15

das https: ist ja der Postaufruf #443 !

Bei vielen WebCams werden mittels ftp die Inhalte der Aufzeichnungen übergeben. Das bedeutete in Deinem Falle, dass Du zu jedem Protokoll eine explizite Weiterleitung erzeugen müsstest. Darum werden ja Routen gelegt. Diese sind nicht an ein Protokoll gebunden, sondern geben alle Anfragen weiter, sofern den diese Ports geöffnet sind. Gute Router haben dazu auch die Möglichkeit, nur definierte Anfragen von fixen IP’s oder eingetragenen MAC durchzulassen. Also wie gesagt, Routen sind mehr als nur Postweiterleitungen, aber werden von der Connect-Box eben nicht unterstützt.

Gruss Nino

XXXyXXX

Nino_52

Sorry - aber das war nur ein Beispiel und hat mit meiner eigentlichen Frage nur am Rand zu tun. ich will aucgh gar nicht darüber diskutieren was ein guter Router alles kann oder können sollte.

Die notwendgen Ports sind per UPnP eingereichtet und - wie bereits erwähnt - aus dem Firmennetz ist die Kamera zu erreichen. Von einem privaten PC aus nicht.

Was muss ich machen damit die Connect Box und ein an der Box angeschlossenes Gerät aus dem Internet erreichbar ist?

Danke

XXXyXXX

Nino_52 So wie das hier dargestellt ist, sollte das auf Port #80 soweit funktionieren, aber so hast Du nur eine einziges Protokoll zur Verfügung, #80 = http, wäre es https müsste #443 oder ftp = #20 & 21 angesprochen werden. Diese Port’s schreibst Du ja in der Regel im Browser mittels der alphabetischen Anfangskürzel im Aufruf:

https://community.sunrise.ch/d/18556-webcam-connect-box-aus-dem-internet-erreichen/15

das kann man so nicht stehen lassen.

Der Port wird durch einen Doppelpunkt von der IP adresse (oder dem DNS Eintrag) getrennt und ist ein Wert zwischen 0 und 65536 (16bit).

eg: www.alternativerPort.com:8080

In deinem Beispiel hat das “d” überhaupt nichts mit dem Port zu tun. ich vermute eher das es sich darauf bezieht was du gerade ansiehst. In der Übersicht hast du ein “t” (https://community.sunrise.ch/t/internet) beium einzelnen Beitrag steht ein “d”. Aber das ist einzig davon abhängig wie der Webserver die Daten nach aussen präsentiert

Vermutung: t -> Thread; d -> discussion

Komplet aufgelöst: https://Adresse/Discussion/Id-Titel-der-Diskussion/Beitragsnummer

Aber diese Interpretation der UPC webadresse is Spekulation und hat weder mit dem Ausgangsthem noch mit Portweiterleitung zu tun

Nino_52

hi @“XXXyXXX”,

vielleicht ist der Port, welchen Du ansprechen willst auf deinem genutzten Netz wo Dein Laptop steht geblockt.

versuche es mal mit dieser Anleitung:

Testen Sie die Verbindung zum Port mit PowerShell

Verwenden Sie einen der folgenden PowerShell-Befehle, um zu überprüfen, ob der TCP-Port auf einem Remote-Host geöffnet ist:

$$
PS C:> tnc www.zentica-global.com -p 443
$$

- oder -

$$
PS C:> New-Object System.Net.Sockets.TcpClient(“www.zentica-global.com”, 443)
$$

Überprüfen Sie offene Ports auf mehreren Hosts

Wenn Sie mehrere TCP-Verbindungen testen müssen, listen Sie die erforderlichen Ziele auf und kopieren Sie das Skript in die PowerShell-Konsole:

$$
PS C:> @“ # List of hosts and ports to check www.zentica-global.com:443 8.8.8.8:53 8.8.4.4:53 ”@.split(“`n”) | ForEach-Object Out-String -Stream
$$

XXXyXXX

Nino_52

wenn der Port in meinem Netz geblockt wäre, würde kein Dienst der diesen Port verwendet funktionieren. Der Port 443 aus deinem Beispiel ist für HTTPS reserviert. Wäre dieser Port blockiert würde fast keine Website mehr gehen (oder dauern security warnungen im browser auslösen).

Ich sehe das Problem darin, das die externe LAN IPv4 meiner Connect Box nicht von externe IPv4 Netzwerken erreicht werden kann (vermutlich verwendet das Firmennetzwerk IPv6 adressen und daher gehts von dort). Ichglaube, das das Problem im UPC routing liegt. Wie kann man das überprüfen?

thx

Nino_52

XXXyXXX

nicht der! Port, sondern jener der Du extern zur Webkam nutzt!

Das vor externe Ort, denn dort könnte dieser geblockt sein.

XXXyXXX

Sorry - aber für so eonfach gestrickt musst du mich nicht halten. All die Ports welche die Webcam verwendet habe ich zuallererst getestet. Und das sind alles Standardports für http, https, rtsp, rtmp. Würden diese Ports in einem Netz geblockt sein, würde kein Streamingdienst funktionieren.

Nochmals:
Sollte der Aufbau mit einer DMZ in UPC netz und der Connect Box funktionieren?
Warum kann ich die LAN IP nicht erreichen?
Was muss ich machen das ich die Connect Box aus dem Internet erreichen kann?

Nino_52

@“XXXyXXX”

ixh spreche nicht von den Atandardport, sondern von jenem, welchen Du für die Zuweisung nutz

[upl-image-preview url=

Hier im Beispiel von Dir wäre das ja der Port #8800, Das die Standardport offen sind, dürfte ja klar sein!

Nino_52

also @“XXXyXXX”,

hatte ich etwas anderes behauptet?

Nino_52 Hier im Beispiel von Dir wäre das ja der Port #8800,

Aber bitte, wenn Du alles besser weist - so lassen wir das Ganze.

Schönen Tag noch

XXXyXXX

das war ein Beispiel und nicht ein tatsächlich genutzer Port.

Die tatsächlich genutzten Ports würdest du in einem anderen Screenshot sehen - wenn ich sie nicht unkenntlich gemacht hätte.

XXXyXXX

Ich weiss nicht alles besser. Ganz im Gegenteil. ich habe viele offenen Fragen. Wegen der Frage “Webcam und Connect Box” bin ich hier.

Aber wenn mir jemand erklären will, das der Port ein Buchstabe ist der mit Schrägstrich vom DNS-Eintrag abgetrennt ist - dann denk ich mir “DAS weiss ich besser”

Nochmals meine Fragen:
Sollte die oben skizierte Netzwerkarchitektur mit einer zweistufigen Firewall und DMZ funktionieren?
Warum kann ich die IPv4 Adresse meiner Connect Box nicht aus dem Internet erreichen?
Warum kann ich die Webcam aus dem Firmennetzwerk (IPv6) erreichen?

ich persönlich vermute ein Problem bei UPC in der IPv4/IPv6 transition (siehe https://en.wikipedia.org/wiki/IPv6_transition_mechanism).

Wie sowas umgesetzt werden kann findet man hier:
https://www.kernel.org/doc/ols/2003/ols2003-pages-34-43.pdf

Auf der zweiten Seite ist auch einSchaubild das Hinweise gibt warum die WebCam aus dem IPv6 netz meines Arbeitgebers erreichbar is aber nicht aus einem IPv4 Netz (unterschiedliche Border Router):

Aber das ist wilde Spekulation meinerseits. Wo ich mir aber sicher bin: es liegt nicht an komplexen Routinganforderungen innerhalb meiner DMZ. Die Connect Box soll einfach das machen was konfiguriert ist. Pakete die an einen bestimmten externen Port der Connect Box gerichtet sind an eine internen IP und Port weiterleiten (und viceversa). Das ist konfiguriert und das soll die Box machen.

Wenn ich deutliche Hinweise hätte, das die Conncet Box das nicht kann (obwohl sie alle notwendigen Einstellungen anbietet), dann würde ich die Box in den Bridge Modus schalten und eine zusätzlichen Router (incl Firewall) zwischen meinem Privaten Router und Conncet Box hängen um so die DMZ zu realiseren. Aber die Conncet Box reagiert nicht auf übliche Tests mit Standardbefehlen …

Belegnor

Hallo XXXyXXX

Deine Topologie ist in Ordnung und ich glaube nicht, dass die Ursache deines Problems in deinem Netz zu finden sind.

Jetzt mal zu deinen Tests. Die Tatsache, dass die Webcam vom internen Netz erreichbar ist, deutet darauf hin, dass der Zugriff darauf funktioniert (Tests 1 und 2).

Beim Test 3 ist es so, dass “Hairpinning” oder “NAT-Loopback” Verbindungen von der Connect Box nicht unterstützt werden. Somit ist es normal, dass der Zugriff auf die Webcam über die WAN IP der CB vom internen Netz aus nicht funktioniert, und dieser Test kann daher ignoriert/vernachlässigt werden.

Interessanter sind die Tests 4 und 5. Die Tatsache, dass die Webcam vom “deinem” Firmennetz (Internet) erreichbar ist, bestätigt dass die Portweiterleitungen und somit auch Verbindung grundsätzlich funktionieren. Allerdings sollte dies auch der Fall sein, wenn der Zugriff aus irgendeiner anderen Internet IP erfolgt.

Dieses Verhalten kann mehrere Ursachen haben, u. a.:

Die Webcam akzeptiert Anfragen nur, wenn diese von bestimmten IPs kommen.
Die Connect Box akzeptiert akzeptiert Anfragen nur, wenn diese von bestimmten IPs kommen.
Die Anfragen von der betroffenen Internet IP werden nicht korrekt zur WAN IP der Connect Box geroutet

Mir ist aufgefallen, dass deine Portweiterleitungen automatisch durch UPnP hinzugefügt wurden. Es stellt sich nun die Frage, ob dies einen Einfluss auf dein Problem hat oder nicht. Kann es sein, dass andere Einstellungen (z. B. Port Triggering) dazwischen funken?

Gruss
Belegnor

XXXyXXX

Port Triggering ist leer

Ich habe jetzt auch nochmal auf der Support Seite des Herstellers der Cam nachgesehen - die im Portforwarding eingetragenen Ports sind die gleichen die vom Hersteller angegeben werden.

Und weil ich ganz sicher gehen wollte das alles so funktioniert bzw. nicht funktioniert wie wie beschrieben, habe ich die gleichen Test wie gestern und vorgestern nochmal gemacht und - voila - heute funktionierts. D.h., über das handy ping, tracert und seitenaufruf geteste. Heute wird die Begrüssungsseite der Cam angezeigt, auf ein ping bekomme ich einen response aber tracepath sagt noch immer “No adress associated with hostname”…. Anyway - es funktioniert erstmals.

Ich werde heute mal mit einem Freund den Remotezugriff aus der weiten Welt testen.

Wobei, ein bisschen seltsam ist es schon Ich habe keine Änderung gemacht und plötzlich geht’s - vielleicht hat sich was im UPC Netz getan. (Gestern habe ich die TV Box beim neu initialisieren erwischt…)