Netzwerkproblem mit Speedport W701V (von Telekom) DSL-Modem-Router

[Pinarek]

Hallo Freunde

Ich habe schon viel gelesen in Eurem Forum und habe bemerkt das der Michael und Andere hier, ausserordentlich viel wisst über Windows XP und Vista.

Ich bitte mal hier konkret bei einem Problem, zu helfen.

Ich habe Telekom-DSL mit einen Telekom DSL Router/Modem Speedport W701V. Ich habe das Problem das ich auf den PC meines Freundes, welcher mir immer seine IP zusendet, nicht mehr zugreifen kann unter Vista und XP.

Mit meinem alten Gerät dem W700V ging das problemlos. Man sagte mir bei der Telekom Hotline, es liegt an dem NICHT zu deaktivierendem NAT im Speedport W701V.

Hast du eine Lösung wie man noch auf dem Rechner drauf kommt, er hat seinen PC nur an einem D-Link-DSL-Modem (ohne Router) angeschlossen, wie geagt mit dem Speedport W700V ging es auch problemlos.

Vorher konnte ich mit Suche, Computer und Personen-Computer, suchen...unter XP, die IP-Nummer eingeben und schon habe ich ihn gefunden.
Logisch ist, das er natürlich ein Laufwerk freigegeben hat unter seinem XP. Wie geagt vorher funzte das Jahre lang.

Ich bin dir für Eure Hilfe sehr dankbar, habe schon im Forum und auch andeswo nichts über so ein spezielles Problem gefunden, habe schon Google abgesucht, aber nichts passendes gefunden.

Ich will das jetzt auch unter meinem Vista-PC machen.

Gruß Pinarek

[Funkenzupfer]

Herzlich Willkommen bei uns, Pinarek!

Zuerstmal: Es ist sehr leichtsinnig, auf einem Windows-Rechner einfach Laufwerke über das Internet freizugeben. Nicht nur Du, sondern jeder Fremde im Internet kann sich auf diese Weise Zutritt zur Festplatte Deines Freundes verschaffen. Es gibt Menschen, die nichts besseres zu tun haben als systematisch nach solchen Freigaben im Netz zu suchen. Den Daten auf diesen Laufwerken würde ich nicht mehr trauen. Aber das ist letztlich eine andere Frage und eure Entscheidung.

Du kannst bei der Lösung Deines Problems aber gleich Nägel mit Köpfen machen, und das Sicherheitsloch mit stopfen. Dazu bieten sich zwei Verfahren an, die grundsätzlich beide sicher sind und auch beide durch die NAT hindurch funktionieren:


1.) ein VPN (Virtuelles privates Netzwerk) aufsetzen, mit dem Du euer privates LAN quer durch das Internet hindurch tunnelst. Eine gut und nach eigener Erfahrung zuverlässig funktionierende kostenfreie und quelloffene Software dafür wäre z.B. OpenVPN. Einer von euch (am besten Dein Freund) installiert sich die Servervariante, der andere den Client. Die Übertragung aller Daten quer durch's Internet erfolgt hoch verschlüsselt. Zugleich kannst Du auf die Freigaben Deines Freundes wieder wie gewohnt zugreifen.
Der Trick darbei ist simpel: OpenVPN richtet eine virtuelle Netzwerkkarte ein, für die Dateifreigabe zugelassen wird. Für die reale Netzwerkkarte, die am Internet hängt, wird die Datei- und Druckerfreigabe hingegen vollständig deaktiviert. Die VPN-Software verschlüsselt den Datenverkehr und leitet ihn als normale TCP-IP Pakete über die echte Netzwerkkarte und den Router ins Internet.

Zugegeben, es erfordert einen einmaligen Arbeitsaufwand, das VPN zu Beginn erstmal richtig einzurichten, und es ist auch icht ganz einfach. Später, wenn es einmal läuft, verbindest Du Dich wie bisher gewohnt mit einem Mausklick.

Falls Du Dich für diese Variante entscheidest, können wir versuchen, Deine Fragen bei der Einrichtung zu beantworten und die auftretenden Probleme zu lösen. Hier schonmal der Link zum Software-Download: OpenVPN Download


2.) Die andere Möglichkeit wäre ein FTP-Server, den Dein Freund aufsetzt. Auch damit kommst Du problemlos durch jede NAT hindurch, sofern die Serversoftware dies unterstützt. Lies Dir dazu am besten einfach einmal unser Tutorial zum Thema FTP-Server durch, da erfährst Du, welche Vor- und Nachteile diese Variante bietet:

Der FTP-Server
Der FTP-Client

Mit einer anständigen Verschlüsselung, wie in unserem Beispiel gezeigt, ist diese FTP-Lösung genauso sicher wie der VPN-Tunnel, jedoch vielleicht nicht ganz so komfortabel. Der Windows-Explorer von Microsoft, der zwar auch auf FTP-Konten zugreifen könnte, beherrscht leider noch immer keine Verschlüsselung, weder bei der Paßwort- noch bei der Datenübertragung. Daher kannst Du diese FTP-Konten nicht einfach im Arbeitsplatz öffnen, sondern nur über die separate Client-Software.
Immerhin ist die FTP-Lösung etwas einfacher bei der Ersteinrichtung.

Wenn ihr euch das ewige Gefummel mit der dynamischen IP ersparen wollt, empfiehlt sich ein (kostenlos erhältlicher) No-IP Dienst, wie er im FTP-Tutorial beschrieben ist. Der funktioniert genau so auch mit OpenVPN.


Unter'm Strich: Ich empfehle Dir unbedingt, eine der beiden Varianten zu installieren und die Dateifreigabe auf der Netzwerkkarte die am Internet hängt sofort zu deaktivieren, und zwar ganz egal, was für Dateien ihr austauscht: Jeder Depp kann euch sonst einen Virus oder Trojaner unterjubeln.


Grüße
Funkenzupfer.


P.S.: Auch wenn die Programme in unseren Beispielen noch unter Win2000 und XP gezeigt werden - mittlerweile funktionieren sowohl OpenVPN als auch Serv-U und SmartFTP unter Microsofts Vista.

[Pinarek]

Funkenzupfer

Über die Sicherheitsbedenken sind wir uns schon seit langem immer im Klaren, wir sind ja auch keine Anfänger auf dem Gebiet.

Ja und all deine aufgezeigten Möglichkeiten kennen wir auch, WOLLEN das ABER NICHT !!! Wir wollen einfach und Simpel wie vorher auch, nur mal kurz bei Bedarf auf unsere Rechner gehen, wie es vorher ohne dem blöden Speedport W701V auch möglich war.
Bei XP einfach IP-Nummer eingeben bei "Suche" dann nach "Personen oder Computer suchen", "Coputer suchen" fertig.
Der PC wurde nach ca. 20 sekunden gefunden, da war ein Ordner freigegeben und das wars dann schon.

Wir haben kein Interesse an einer Remotedesktopverbindung (was auch ginge) oder sonst was, geschweige denn noch einen FTP-server auf Port 21 laufen zu lassen, oder sonst welchen Quatsch.

NUR ! das und nichts anderes wollen wir jetzt wieder machen, nur eben das es mit dem Sauding von Speedport auf nur meiner Seite! ja die Probleme gibt. Mein Bekannter hat noch ein altes DSL-Modem ist glaube ein Speedport 200 dran (Ohne Router-Option, brauch er nicht, er hat nur 1 PC laufen). Der hat also nichts verändert an seiner Konfig und sein Bruder hat die gleiche einfache Konfig (also nur DSL-Modem OHNE Router) und die tauschen auch fleissig Daten von einem PC zum anderen PC von Berlin nach München.

Klar ist das Sicherheitsrisiko temporär vorhanden, währen die Ordner ohne Firewallschutz freigegeben sind, aber die Leute arbeiten nicht bei der CIA oder beim MAD usw. und machen KEIN ! Onlinebanking usw.

Trotzdem Danke für Deine guten Infos dazu.

Gruß Pinarek

[Funkenzupfer]

Hallo Pinarek,

OK, wenn das immer nur für wenige Sekunden freigegeben wird, ist das Risiko überschaubar . Auch das schnellste Scriptkid braucht seine Zeit, um ausgerechnet euch erstmal zu finden , nur ein Zufall könnte ihm das ermöglichen und die Wahrscheinlichkeit daß das eintritt, dürfte in etwa genauso hoch sein, wie die einer Sicherheitslücke in den abgesicherten Serverapplikationen.

Btw, VPN hat nichts zu tun mit einem Remote-Desktop, sondern ist letztlich genau das was Du suchst: eine Möglichkeit, durch eine NAT hindurch auf freigegebene Verzeichnisse eines anderen PCs zuzugreifen, wie gewohnt. Deshalb mein Tip: Wenn ihr auf zusätzliche Sicherheit pfeift, laßt halt ein (Open)VPN ohne Verschlüsselung laufen, einfach um durch die NAT Deines Routers zu kommen. Denn wenn sich die NAT im Router tatsächlich nicht abschalten läßt, sehe ich mit Windows-Bordmitteln keinen Weg, da mit der Dateifreigabe hindurchzukommen. Das ist in den Microsoftprogrammen (Windows-Explorer) einfach so nicht vorgesehen. Da mußt Du auf irgend eine Weise tunneln. Und natürlich muß einer von euch beiden dazu in seinem Router ein entsprechendes Portforwarding einrichten, damit ein Verbindungsaufbau von außen her möglich ist.

Grüße
Funkenzupfer.

[Pinarek]

Hallo funkenzupfer

Nur ich habe den dämlichen Router (also DSL-Modem UND Router) W701V und mein Bekannter hat nur ein einfaches Modem , ist glaube noch das alte Speedport 200.

Ja nun zum Portforwarding, das ist ja der springende Punkt, welchen Port benutzt denn eine WAN Verbindung über TCP/IP
mit Netbios über TCP/IP ??? und welche Ports werden benutzt ?? Dies wusste ja nicht mal der Telekomiker bei der techn. Hotline.

Dein Tip mit Virtual private Network (VPN) ist zu kompliziert, gerade für meinen Bekannten, der da garnicht durchblickt. Ein Laufwerk bzw. einen Ordner mit lese und schreibrechten frei zugeben, das habe ich Ihm beigebarcht.

Na ich werde mir wohl wieder ein anderes DSL-Modem ohne Router und dann selber einen normalen Router wo sich NAT deaktivieren lässt, besorgen. So hatte ichs ja vorher mit dem W700V auch und da gings.

Komisch ist nur das das so viele Leute nicht verstehen wollen, das es nur an dem W701V mit dem NAT liegt. Da wird mir empfohlen, irgend welche Patche zu laden, die nur für LAN sind, wie z.B. den Topologiepatch für XP, das Vista die Rechner im Netzwerk besser erkennt usw.

So richtig Ahnung von der Materie, worum es bei mir geht, hat wohl keiner hier.

Naja werde mal sehen nach anderem DSL-Modem und gut ists.

Trotzdem Danke für Hilfetipps.

[Funkenzupfer]

Wenn es wirklich nur darum geht, für die NetBios-Ports ein Forwarding im Router einzurichten, dann versuche es mal mit den UDP(!)-Ports 137, 138 sowie TCP 139 und TCP+UDP 445.

137 UDP ist der NetBios Nameservice,
138 UDP ist der NetBios Datagram Service
139 TCP ist der NetBios Session Service.
445 TCP, UDP ist für den ServerMessageBlock.

Ich hoffe, das waren aus dem Stehgreif jetzt alle, die daran beteiligt sind, es sollte auch für die WINS-Namensauflösung genügen. Probiere halt mal aus, für diese Ports ein Forwarding im Router einzurichten. Ob das schon ausreicht, kann ich Dir schlußendlich nicht sagen, denn normalerweise stellt sich wegen der damit verbundenen Sicherheitsproblematik diese Frage gar nicht. Ich kann schon verstehen, daß die Techniker da alle abwinken

Alternativ kannst Du mal im Handbuch nachschauen, ob sich Dein W701V nicht als "dummes" DSL-Modem betreiben läßt, sodaß der Rechner selbst die PPPoE-Funktionalität bereitstellen muß. (Also nicht nur NAT abschalten, sondern gleich alle Router-Funktionen)
Viele Router/Modem-Kombinationen lassen sich entsprechend umkonfigurieren. Das würde Dein Problem auch lösen. Aber ich glaube, Du brauchst dazu wirklich ein anderes Modem, wenn ich das hier so lese: Speedport 700V vs 701V

Viel Erfolg
Grüße
Funkenzupfer.


P.S.:

Dies wusste ja nicht mal der Telekomiker bei der techn. Hotline.

Wenn ich so etwas ähnliches nicht schon selbst mit denen erlebt hätte würde ich jetzt schreiben: Kaum zu glauben...

[Pinarek]

Hallo Funkenzupfer

Danke für deine sehr wertvollen Tipps, man sieht gleich das DU echt Ahnung hast von der Materie.
Zwar führten die Einstellungen im Speedport nicht zum Erfolg, aber ein Versuch wars ja mal Wert.
Wie kann man den ALLE Router-Funktionen ausschalten beim Speedport ? Nur den NAT zu deaktivieren bringts ja nicht, weil der ja trotzdem im Hintergrund weiter aktiv sein soll, so sagt es auch der Telekomiker von der Hotline.

Alternativ kannst Du mal im Handbuch nachschauen, ob sich Dein W701V nicht als "dummes" DSL-Modem betreiben läßt, sodaß der Rechner selbst die PPPoE-Funktionalität bereitstellen muß. (Also nicht nur NAT abschalten, sondern gleich alle Router-Funktionen)

Das habe ich schon gemacht, wenn ich den NAT deaktiviere, kommt ja der Hinweis das der Speedport (angeblich) jetzt nur noch als DSL-Modem agiert. Habe dann auch erfolgreich eine PPPoE Verbindung in XP UND Vista angelegt mich eingewählt, ging auch alles, aber trotzdem konnte ich den PC von meinem Freund nicht finden.
Ich galube das nicht, wenn die Meldung kommt, das der Speedport jetzt NUR als DSL-Modem arbeitet.

Ich habe doch noch zum Faxen eine Modemkarte in meinem PC (wo XP und Vista drauf ist) und habe mich mal mit dem Modem in T-Online eingewählt. Siehe da, da gehts (trotz aktiviertem Firewall in XP UND Vista) auch, den PC meines Freundes erfolgreich zu connecten und Daten zu übertragen, eben nur im Schneckentempo.

Ich will damit nur sagen, das es NICHT an den Einstellungen des Firewall von XP oder Vista liegt. Es liegt definitiv am LAN in Verbindung mit dem Speedport W701V.

Ok Funkenzupfer, falls dir noch was einfällt, was ich noch einstellen kann im Speedport, lass es mich bitte wissen. Ansonsten legen wir den Fall zu den Akten und ich werde mir ein "normales" einfaches Zweit-NUR-DSL-Modem besorgen.

Danke nochmals für deine Mühe mir zu helfen das Problem eventuell lösen zu können.

Gruß Pinarek

[Funkenzupfer]

Hallo Pinarek,

Habe dann auch erfolgreich eine PPPoE Verbindung in XP UND Vista angelegt mich eingewählt, ging auch alles, aber trotzdem konnte ich den PC von meinem Freund nicht finden.

Hervorragend. Du bist damit auf dem richtigen Weg, auch wenn ich Dir bei Deinem Vorhaben wegen der Sicherheitsrisiken nicht oft genug in den Ohren liegen kann Grade diese Ports sind die gefährlichsten, wenn sie offenstehen oder Du Dich mit Deinem PC direkt ans Internet hängst.

Ich galube das nicht, wenn die Meldung kommt, das der Speedport jetzt NUR als DSL-Modem arbeitet.

Doch, tut es. Sobald Du unter Windows über die PPPoE-Verbindung ins Netz gehst, kann Dir die Speedport 701V nicht mehr hineinpfuschen. Vielmehr vermute ich, daß Windows standardmäßig für PPPoE-Verbindungen den "Client für Microsoft-Netzwerke" nicht aktiviert.

Eigenschaften von PPPoE-Verbindung

Schau Dir bitte einmal als Administrator die Eigenschaften dieser PPPoE-Verbindung an, da müßtest Du es einrichten bzw. nachinstallieren können. Da ich schon lange kein PPPoE mehr und auch kein XP oder Vista nutze, kann ich Dir leider keine Schritt-für-Schritt Anleitung posten. Vielleicht macht's ja ein anderer hier

Notfalls schieße uns halt mal einen Screenshot mit den vorhandenen Einstellungen die Du findest.

Wenn es an diesen Bindungen liegt, nützt Dir ein anderes DSL-Modem auch nichts.

Evtl. kannst Du es mit einer externen PPPoE-Software versuchen, es gibt außer der von Windows mitgebrachten Standardversion noch verschiedene von anderen Herstellern, die mehr können. (Ich denke da z.B. an cfos Treiber)

Daß Dir die Windows-Firewall auch einen Strich durch die Rechnung machen kann, hast Du ja schon selbst erkannt; die muß das alles natürlich zulassen.

Grüße
Funkenzupfer.


P.S.: Nochwas: Es könnte auch sein, daß Dein Provider die entsprechenden Ports mittlerweile im Übereifer auch hinter der DSL-Anbindung geblockt hat, oder Dich neuerdings unbemerkt über einen Zwangsproxy leitet. Beides würde den von Dir beabsichtigten Verbindungsaufbau über das Microsoft-Netzwerk unmöglich machen. In diesen Fällen kommst Du um's Tunneln wirklich nicht herum.

[Pinarek]

Hallo Funkenzupfer

Ja das wird ja immer lustiger, habe deine Infos auch bei heise.de über die eventuelle Schliessung einiger solcher Ports gelesen.
Ich gehe über T-Online DSL (habe Call und Surf Comfort Plus mit 16 MBit/s) ins Internet.
Ich habe auch noch einen AOL-Account, wie ist es eigentlich da, ich habe in dem Speedport auch ngesehen das man "Anderen Provider" eintagen kann, was müsste ich da für AOL eintragen ? Also ich müsste dann wohl über PPPoE zu AOL gehen, da ich ja keinen direkten Draht zu AOL habe, oder wie geht das. Habe auschlieslich nur T-Online DSL über Telekom-Telefonleitung, also keine Drahtverbindung direkt zu AOL.

Dann würde ich mal probieren mich über AOL ins WAN einzuwählen und dann den selben versuch mit meinem Freund machen, um auf seinen PC zu kommen.

Die Optionen in dem fenster, welches die Netzwerkverbindung anbetrifft habe ich auch so wie du markiert hast. Habe sogar noch in den Eigenschaften von TCP/IP unter Wins das Protokoll TCP/IP über NetBios aktiviert. Ich habe nur Quality of Service rausgenommen.

Wenn natürlich diese Ports UDP-Ports 137, 138 sowie TCP 139 und TCP+UDP 445gespert wären, dann wäre ja alle Mühe umsonst.

Aber wie ist es zu erklären das ich mit dem einfachen 56K Modem zu meinem Freund auf den PC komme, ohne Probleme ? Da müssten doch dann die entsprechenden Ports auch gesperrt sein, falls sie überhaupt gesperrt sind.

Jaja Riesen Probleme wie ich das so sehe.

Gruß Pinarek

[Funkenzupfer]

Hi Pinarek,

noch sind wir nicht restlos am Ende mit unserem Latein Es gibt zwei Dinge, die Du als nächstes testen kannst:

Zum einen: Öffne auch noch die RPC-Ports, ich habe in einer Microsoft-Dokumentation einen Hinweis gefunden daß auf neueren Windows-Systemen die Datei- und Druckerfreigabe nur funktioniert, wenn RPC über das Netzwerk kommunizieren kann.

Öffne also zusätzlich zu den bereits genannten Ports zunächst einmal noch

Port 135 TCP+UDP, der ist für den RPC Endpoint-Mapper.

(Achtung, das ist genau der Port, über den sich der Blaster/Lovesan/MSBlast/Nachi/Welchia-Wurm verbreitet!)

Schau erstmal, ob die Dateifreigaben dann schon gefunden werden. RPC selbst weist dann eigentlich noch dynamisch einen oder mehrere weitere Ports aus dem Bereich 1024 bis 65535 zu. Da Du nicht vorhersehen kannst, welche das sein werden, wird es schwierig, die in Dein Portforwarding einzutragen, falls sie gebraucht werden. Windows unterstützt jedoch eine Methode, die RPC-Ports auf einen bestimmten Bereich zu beschränken, den Du in diesem Fall dann auch noch per Portforwarding in der NAT des Routers aufbohren müßtest. Details: Konfiguration der dynamischen RPC-Portzuweisung unter Windows


Zum anderen: Überzeuge Dich, daß die entsprechenden Ports (135-139 und 445) tatsächlich von außen erreichbar sind. Das kannst Du recht einfach mit dem Shields-Up-Test von Steve Gibson herausfinden.

Achte darauf, daß auf der Startseite wirklich Deine aktuelle IP-Adresse angezeigt wird. Klicke auf "Proceed", dann auf "File Sharing":

Port-Test für Dateifreigabe

und/oder trage die Ports in das Eingabefeld ein und klicke auf "User Specified..."

Benutzerdefinierter Port-Test

Wenn der Dir die Ports als "offen" zeigt, hast Du zumindest schonmal kein Problem mit Deinem Provider und dem Modem. Sieht es jedoch so aus wie bei mir, kann von außen nicht auf die Ports zugegriffen werden, sie werden (entweder vom Provider, vom Router, oder aber von der Windowsfirewall) geblockt.

Geblockte Ports erscheinen grün

So grün darf es bei Dir also nicht aussehen, wenn Du mit der Dateifreigabe unbedingt quer durchs Internet willst


Grüße
Funkenzupfer.

P.S.: Die Einwahl über ein analoges Modem läuft grundsätzlich über andere Einwahlknoten beim Provider. Daß es damit funktioniert, sagt erstmal nichts darüber aus, ob die fraglichen Ports auch bei der DSL-Anbindung offen stehen. AOL-DSL ist vermutlich keine Lösung, denn von denen ist schon bekannt, daß sie alle Kunden über einen Zwangsproxy schleusen.
..