Von aussen auf mein NAS zugreifen

[Lava]

Hallo,

ich möchte auf mein NAS, welches ich im LAN in meiner Arbeitsgruppe eingebunden habe zugreifen. Im Moment muss ich nur ein Passwort auf dem NAS eingeben, wenn ich per WebClient darauf zugreife, nicht jedoch wenn ich auf einem PC ein Netzlaufwerk erstelle um auf einen Ordner im NAS zuzugreifen.

Beide PCs haben kein Passwort und ich möchte dies auch so beibehalten, hab aber gehört, dass das nicht möglich sei, wenn ich den Zugriff von aussen schützen will.

Intern (LAN) läuft alles wie am Schnürchen, aber komischerweise nicht von aussen (Internet) !?

D.h. Ich kann die Webseite mypage.no-ip.org intern aufrufen, aber wenn ich vom Internet versuche kommt keine Antwort. Komischerweise kann ich mit deaktivieren der Portfreigabe intern auch nicht mehr zugreifen???

Bin "A little bit confused"

Im Forum Von aussen auf mein NAS zugreifen - Windows Forum hab ich das ganze schon gepostet, aber da kann mir offenbar keiner mehr helfen. Mal sehen ob hier die besseren IT-Leute sind .

Also hier nochmal der momentane Zustand:

Das Modem hängt am Internet, daran hängt ein Switch an welchem neben dem NAS (um das es hier geht) auch zwei PC's hängen.

Portfreigabe:

Die Portfreigabe hab ich am Modem gemacht.

Dort kann keine Portnummern sondern nur Dienste auswählen, also z.B. HTTP, FTP usw.

Zur Portfreigabe muss ich zudem ein Gerät angeben auf welches sich diese bezieht.

DynDNS:

Auch die DynDNS hab ich im Modem gemacht.

Dort muss ich einen der unterstützten Provider (unter anderem no-ip), den Host- und Usernamen sowie Passwort eingeben.

Bei no-ip hab ich gesehen, dass sie dort meine aktuelle IP erkannt haben. Allerdings wird die nicht wie z.B. beim NAS alle 10 Minuten aktualisiert. (Ich nehme mal an, das mein ISP das nur dann aktualisiert, wenn er meine IP wechselt, das weiss er ja selbst)

Ergo:

- Das Modem sollte ansprechbar sein, da no-ip meine IP kennt.

- Das Modem sollte ausserdem, anfragen die per HTML kommen auf mein NAS weiterleiten, da dies eingeschaltet ist.

- Und das NAS sollte die Webseite darstellen, was es ja auch macht, aber komischerweise nur von meinen internen PC's aus, obwohl ich mich ja mit .org ins internet rauswähle!?

Oder mache ich bei Dyn - DNS etwas falsch?

Vielen Dank, zum Voraus

Geräte:

Client1: XP SP3

Client2: Win7 Pro

NAS: QNAP TS-459Pro+

Hub: Netgear GS105

Modem: Swisscom Centro Grande (Mit Internet acces / und Digitalfernsehen)

[uenetz]

Servus!

DynDNS ist richtig parametriert und funktioniert.

Der Fehler liegt in Deinem Bereich.

Dieses Resultat eines nmap sollte Dir Aufschluss geben um weiter Handeln zu können:

Starting Nmap 4.62 ( http://nmap.org ) at 2013-02-06 09:18 CET

Interesting ports on 162-177.104-92.cust.bluewin.ch (92.104.177.162):

Not shown: 1710 closed ports

PORT     STATE    SERVICE

21/tcp   filtered ftp

53/tcp   filtered domain

80/tcp   filtered http

443/tcp  filtered https

8080/tcp open     http-proxy

[127.0.0.1]

wie testest du den zugriff "von außen". Von einem Lan-PC über die den dyn-dns-account? oder richtig von außen z.b. über umts?

wenn ersteres, dann versuch mal letzteres!

[Crash2001]

Hätte da mal ein paar Anmerkungen.

Ich denke die Kiste ist ein Router und nicht nur ein Modem, denn ansonsten müsstest du über einen der PCs die Verbindung aufbauen und über diesen PC eine Internetverbindungsfreigabe erstellen, damit du mit dem anderen PC und dem NAS überhaupt ins Internet kommst.

[...]Bei no-ip hab ich gesehen, dass sie dort meine aktuelle IP erkannt haben. Allerdings wird die nicht wie z.B. beim NAS alle 10 Minuten aktualisiert. (Ich nehme mal an, das mein ISP das nur dann aktualisiert, wenn er meine IP wechselt, das weiss er ja selbst)[...]

Irgendwie verstehe ich das nicht so ganz, was du damit meinst. Dein NAS wird seine interne (und somit von dir einstellbare) IP-Adresse schliesslich gar nicht verändern, sondern diese sollte fest eingestellt sein. Oder meinst du damit die externe IP-Adresse (dein Internetanschluss)? Deine externe IP-Adresse ändert sich (falls überhaupt - abhängig vom Internet Service Provider) nur dann, wenn du dich neu einwählst (Stichwort Zwangstrennung). Sobald der DynDNS-Service von deinem Router oder durch einen anderen DynDNS-Dienst die Information erhält, dass du eine neue IP-Adresse hast, wird dies im dyn. DNS dann geändert und der Eintrag zeigt auf die neue IP-Adresse.

Ist bei deinem NAS denn eingestellt, dass per http drauf zugegriffen werden darf, oder ist evtl eine Firewall aktiv, die den Zugriff aus einem anderen Netzsegment verbietet? Läuft die Oberfläche dort überhaupt auf Port 80 (http) oder vielleicht auf Port 8080 (https)?

[uenetz]

Eine kleine Anmerkung zu DynDNS:

Es ist von Vorteil, wenn sich die IP-Adresse Deines Anschlusses so wenig wie möglich ändert (z.B. nur einmal pro Tag), da DNS-Server i.d.R. mit Cache arbeiten.

[Lava]

Hallo und vielen Dank schon mal für Eure Hilfe

@uenetz:

Hab keine Ahnung was nmap genau ist. Mittlerweile hab ich nmap mal runtergeladen (Konsolenversion) aber die Bedienung ist ja nicht gerade einfach.

Muss ich den Code in eine Datei schreiben und die in der Konsole ausführen? Welche Dateiendung und welchen Befehl?

@ 127.0.0.1:

Mit aussen meine ich aussen, also nicht vom LAN aus, sondern von der Firma oder vom Freund aus.

Ich hab erst vom lan getestet und dachte schon dass alles funktioniert. Dann hab ich von der Firma aus gemerkt dass es eben doch nicht tut (auch von meinem Freund aus nicht (Firewall proxi usw.)

Danach hab ich rausgefunden, dass es komischerweise auch vom lan nicht mehr tut, sobald ich die Port-Forwarding rausnehme!?

=> Ich nehm mal an, dass der Router/Modem intern die Anfrage an no-ip.org gleich wieder zum NAS zurückleitet, aber eben von "echt" aussen durch eine Firewall oder sonst ein Sicherheitsmechanismus geblockt wird, aber was?

Ein weiterer Test von aussen mit Ping hat ergeben, dass er mein Router/Modem erreicht. (Dyn DNS funktioniert)

@Crash2001:

Ja, du hast natürlich recht, das Modem ist auch ein Router. Ich dachte, dass das mittlerweile logisch ist, da es kaum mehr ein Modem ohne Router gibt.

Oder meinst du damit die externe IP-Adresse (dein Internetanschluss)? Deine externe IP-Adresse ändert sich (falls überhaupt - abhängig vom Internet Service Provider) nur dann, wenn du dich neu einwählst (Stichwort Zwangstrennung). Sobald der DynDNS-Service von deinem Router oder durch einen anderen DynDNS-Dienst die Information erhält, dass du eine neue IP-Adresse hast, wird dies im dyn. DNS dann geändert und der Eintrag zeigt auf die neue IP-Adresse.

Genau das hab ich eigentlich gemeint. Ich hab natürlich keinen Einfluss darauf, wann mein ISP die IP meines Routers (Anschlusses) ändert.

Ist bei deinem NAS denn eingestellt, dass per http drauf zugegriffen werden darf, oder ist evtl eine Firewall aktiv, die den Zugriff aus einem anderen Netzsegment verbietet? Läuft die Oberfläche dort überhaupt auf Port 80 (http) oder vielleicht auf Port 8080 (https)?

Die ersten beiden Screenshots meines ersten posts sind beide vom Router/Modem. D.h. Sowohl Port-Forwarding wie auch DynDNS werden vom Router/Modem gemacht. Das Nas funktioniert, das haben interne Tests gezeigt, ich komme bloss nicht von ausserhalb meines LANs (vom Internet) auf das NAS. Es könnte eine Firewall im Router sein, aber da finde ich nichts zum Konfigurieren.

Btw:8080 ist übrigens auch HTTP, HTTPS ist 443: Liste der standardisierten Ports

[Crash2001]

[...]Hab keine Ahnung was nmap genau ist. Mittlerweile hab ich nmap mal runtergeladen (Konsolenversion) aber die Bedienung ist ja nicht gerade einfach.

Muss ich den Code in eine Datei schreiben und die in der Konsole ausführen? Welche Dateiendung und welchen Befehl?

Einfach auf der Kommandozeile (cmd) mit den entsprechenden Parametern ausführen und dann scannt er einen bestimmten IP-Adress-Bereich, oder auch nur eine IP-Adresse durch. Man kann einstellen, ob er alle Ports überprüft, oder nur bestimmte Ports, oder nur bestimmte ranges an Ports.

@ 127.0.0.1:

Mit aussen meine ich aussen, also nicht vom LAN aus, sondern von der Firma oder vom Freund aus.

Ich hab erst vom lan getestet und dachte schon dass alles funktioniert. Dann hab ich von der Firma aus gemerkt dass es eben doch nicht tut (auch von meinem Freund aus nicht (Firewall proxi usw.)

Danach hab ich rausgefunden, dass es komischerweise auch vom lan nicht mehr tut, sobald ich die Port-Forwarding rausnehme!?

=> Ich nehm mal an, dass der Router/Modem intern die Anfrage an no-ip.org gleich wieder zum NAS zurückleitet, aber eben von "echt" aussen durch eine Firewall oder sonst ein Sicherheitsmechanismus geblockt wird, aber was?

Ein weiterer Test von aussen mit Ping hat ergeben, dass er mein Router/Modem erreicht. (Dyn DNS funktioniert)

Wenn du das Port-forwarding beim Router raus nimmst, funktioniert es im LAN schon noch - nur nicht mehr über die no-ip-Adresse. Über die interne IP-Adresse (192.168.x.x) deines NAS kannst du trotzdem noch problemlos drauf zugreifen. Über die externe IP-Adresse oder das Pendant (no-ip-Name löst ja auf die externe IP-Adresse auf) kannst du nicht mehr aufs NAS kommen dann, da ja das Paket nicht ans NAS weitergeleitet wird. Woher soll der Router denn auch wissen, an welche IP-Adresse er das Paket weiterleiten soll, wenn es nirgends angegeben ist? Könnten ja durchaus auch mehrere in Frage kommende Geräte dahinterhängen. Dass du den Router per Ping erreichen kannst, ist davon unberührt, da für einen Ping ja keine Pakete an interne Rechner weitergeleitet werden müssen, sondern der Router selber antwortet.

@Crash2001:

Ja, du hast natürlich recht, das Modem ist auch ein Router. Ich dachte, dass das mittlerweile logisch ist, da es kaum mehr ein Modem ohne Router gibt.

Kaum noch heisst aber ja nicht, dass es sie nicht mehr gibt, oder sie nicht mehr eingesetzt werden. Manch einer will einfach keinen Router mit integriertem Modem haben, da man wenn ein Teil des Routers den Geist aufgibt man den kompletten Router in die Tonne kloppen kann. wenn nur das Modem kaputt geht, kann man es einfach austauschen. Geht nur der Router kaputt, kann man sich trotzdem noch per Modem einwählen mit den Logindaten.

Genau das hab ich eigentlich gemeint. Ich hab natürlich keinen Einfluss darauf, wann mein ISP die IP meines Routers (Anschlusses) ändert.

Naja, wenn der Router im Dauerbetrieb läuft, und der ISP dir bei jedem neuen Einwahlversuch eine neue IP-Adresse gibt, dann kannst du das durch einen Neustart des routers schon provozieren. Kann aber auch sein, dass das Lease von deinem ISP für x Stunden gesetzt ist und du innerhalb dieses Zeitraums dann die gleiche IP-Adresse zugeordnet bekommst. Wie gesagt - ist ISP-abhängig und wenn man weiss, was eingestellt ist beim ISP, kann je nachdem dann halt das Wissen auch genutzt werden, um eine neue IP-Adresse zu bekommen. Genauso kann die 24-Trennungs-Uhrzeit bei vielen Routern festgelegt werden.

[...]

Btw:8080 ist übrigens auch HTTP, HTTPS ist 443: Liste der standardisierten Ports

8080 ist nicht der Standardport für https, wird jedoch oftmals dafür verwendet. Und zwar genau aus dem Grund, dass es gerade nicht der Standardport dafür ist und somit nicht so oft nach Port 8080 gescannt wird, wie nach Port 443. Ich würde an deiner Stelle einen Port nehmen, der entweder nicht mit einer standardisierten bekannten Anwendung belegt ist, oder aber > 10.000 liegt. Auf welchen Port du diesen intern weiterleitest ist ja dann eine andere Sache.

Scheint mit deinem Router aber entweder nciht zu gehen, oder aber es gibt eine Möglichkeit, dies noch genauer zu bearbeiten (evtl andere Ansicht? Bei Fritzbox gibt es z.B. irgendwo den Haken "Expertenansicht", mit der man insgesamt einige Optionen mehr zur Verfügung hat. Keine Ahnung, ob es etwas entsprechendes bei deinem Router auch gibt.)

Wenn du per FTP drauf zugreifen willst, müsste der entsprechende Port (ich denke mal wenn dann ja passives FTP) 21 dann auch noch weitergeleitet werden, bzw ein anderer Port auf den Port 21 weitergeleitet werden zu deinem NAS. Wobei ich ehrlich gesagt FTP nicht mehr unbedingt nutzen wollen würde, sondern schauen würde, ob nicht auch SFTP unterstützt wird. Dabei werden die Daten dann verschlüsselt übertragen. Bei FTP wirds komplett unverschlüsselt übertragen.

Eine andere Möglichkeit wäre, einen VPN-Tunnel zu deinem Router aufzubauen und dann darüber FTP zu fahren. Kommt halt drauf an, wofür du das nutzen wolltest. Ob nur für dich von einem deiner Geräte aus, oder ob egal von wo, dass du dich immer mal drauf einloggen und Sachen auf den lokalen PC von Freunden oder so kopieren kannst.

Mit dem VPN-Tunnel wäre der Vorteil, dass du gar keine Ports für dein NAS nach aussen öffenen müsstest und man somit nicht so einfach dran käme.