Netzwerkproblem mit Speedport W701V (von Telekom) DSL-Modem-Router

Herzlich Willkommen bei uns, Pinarek!

Zuerstmal: Es ist sehr leichtsinnig, auf einem Windows-Rechner einfach Laufwerke über das Internet freizugeben. Nicht nur Du, sondern jeder Fremde im Internet kann sich auf diese Weise Zutritt zur Festplatte Deines Freundes verschaffen. Es gibt Menschen, die nichts besseres zu tun haben als systematisch nach solchen Freigaben im Netz zu suchen. Den Daten auf diesen Laufwerken würde ich nicht mehr trauen. Aber das ist letztlich eine andere Frage und eure Entscheidung.

Du kannst bei der Lösung Deines Problems aber gleich Nägel mit Köpfen machen, und das Sicherheitsloch mit stopfen. Dazu bieten sich zwei Verfahren an, die grundsätzlich beide sicher sind und auch beide durch die NAT hindurch funktionieren:

1.) ein VPN (Virtuelles privates Netzwerk) aufsetzen, mit dem Du euer privates LAN quer durch das Internet hindurch tunnelst. Eine gut und nach eigener Erfahrung zuverlässig funktionierende kostenfreie und quelloffene Software dafür wäre z.B. OpenVPN. Einer von euch (am besten Dein Freund) installiert sich die Servervariante, der andere den Client. Die Übertragung aller Daten quer durch's Internet erfolgt hoch verschlüsselt. Zugleich kannst Du auf die Freigaben Deines Freundes wieder wie gewohnt zugreifen.
Der Trick darbei ist simpel: OpenVPN richtet eine virtuelle Netzwerkkarte ein, für die Dateifreigabe zugelassen wird. Für die reale Netzwerkkarte, die am Internet hängt, wird die Datei- und Druckerfreigabe hingegen vollständig deaktiviert. Die VPN-Software verschlüsselt den Datenverkehr und leitet ihn als normale TCP-IP Pakete über die echte Netzwerkkarte und den Router ins Internet.

Zugegeben, es erfordert einen einmaligen Arbeitsaufwand, das VPN zu Beginn erstmal richtig einzurichten, und es ist auch icht ganz einfach. Später, wenn es einmal läuft, verbindest Du Dich wie bisher gewohnt mit einem Mausklick.

Falls Du Dich für diese Variante entscheidest, können wir versuchen, Deine Fragen bei der Einrichtung zu beantworten und die auftretenden Probleme zu lösen. Hier schonmal der Link zum Software-Download: OpenVPN Download

2.) Die andere Möglichkeit wäre ein FTP-Server, den Dein Freund aufsetzt. Auch damit kommst Du problemlos durch jede NAT hindurch, sofern die Serversoftware dies unterstützt. Lies Dir dazu am besten einfach einmal unser Tutorial zum Thema FTP-Server durch, da erfährst Du, welche Vor- und Nachteile diese Variante bietet:

Der FTP-Server
Der FTP-Client

Mit einer anständigen Verschlüsselung, wie in unserem Beispiel gezeigt, ist diese FTP-Lösung genauso sicher wie der VPN-Tunnel, jedoch vielleicht nicht ganz so komfortabel. Der Windows-Explorer von Microsoft, der zwar auch auf FTP-Konten zugreifen könnte, beherrscht leider noch immer keine Verschlüsselung, weder bei der Paßwort- noch bei der Datenübertragung. Daher kannst Du diese FTP-Konten nicht einfach im Arbeitsplatz öffnen, sondern nur über die separate Client-Software.
Immerhin ist die FTP-Lösung etwas einfacher bei der Ersteinrichtung.

Wenn ihr euch das ewige Gefummel mit der dynamischen IP ersparen wollt, empfiehlt sich ein (kostenlos erhältlicher) No-IP Dienst, wie er im FTP-Tutorial beschrieben ist. Der funktioniert genau so auch mit OpenVPN.

Unter'm Strich: Ich empfehle Dir unbedingt, eine der beiden Varianten zu installieren und die Dateifreigabe auf der Netzwerkkarte die am Internet hängt sofort zu deaktivieren, und zwar ganz egal, was für Dateien ihr austauscht: Jeder Depp kann euch sonst einen Virus oder Trojaner unterjubeln.

Grüße
Funkenzupfer.

P.S.: Auch wenn die Programme in unseren Beispielen noch unter Win2000 und XP gezeigt werden - mittlerweile funktionieren sowohl OpenVPN als auch Serv-U und SmartFTP unter Microsofts Vista.

Hallo Pinarek,

OK, wenn das immer nur für wenige Sekunden freigegeben wird, ist das Risiko überschaubar . Auch das schnellste Scriptkid braucht seine Zeit, um ausgerechnet euch erstmal zu finden :D, nur ein Zufall könnte ihm das ermöglichen und die Wahrscheinlichkeit daß das eintritt, dürfte in etwa genauso hoch sein, wie die einer Sicherheitslücke in den abgesicherten Serverapplikationen.

Btw, VPN hat nichts zu tun mit einem Remote-Desktop, sondern ist letztlich genau das was Du suchst: eine Möglichkeit, durch eine NAT hindurch auf freigegebene Verzeichnisse eines anderen PCs zuzugreifen, wie gewohnt. Deshalb mein Tip: Wenn ihr auf zusätzliche Sicherheit pfeift, laßt halt ein (Open)VPN ohne Verschlüsselung laufen, einfach um durch die NAT Deines Routers zu kommen. Denn wenn sich die NAT im Router tatsächlich nicht abschalten läßt, sehe ich mit Windows-Bordmitteln keinen Weg, da mit der Dateifreigabe hindurchzukommen. Das ist in den Microsoftprogrammen (Windows-Explorer) einfach so nicht vorgesehen. Da mußt Du auf irgend eine Weise tunneln. Und natürlich muß einer von euch beiden dazu in seinem Router ein entsprechendes Portforwarding einrichten, damit ein Verbindungsaufbau von außen her möglich ist.

Grüße
Funkenzupfer.

Wenn es wirklich nur darum geht, für die NetBios-Ports ein Forwarding im Router einzurichten, dann versuche es mal mit den UDP(!)-Ports 137, 138 sowie TCP 139 und TCP+UDP 445.

137 UDP ist der NetBios Nameservice,
138 UDP ist der NetBios Datagram Service
139 TCP ist der NetBios Session Service.
445 TCP, UDP ist für den ServerMessageBlock.

Ich hoffe, das waren aus dem Stehgreif jetzt alle, die daran beteiligt sind, es sollte auch für die WINS-Namensauflösung genügen. Probiere halt mal aus, für diese Ports ein Forwarding im Router einzurichten. Ob das schon ausreicht, kann ich Dir schlußendlich nicht sagen, denn normalerweise stellt sich wegen der damit verbundenen Sicherheitsproblematik diese Frage gar nicht. Ich kann schon verstehen, daß die Techniker da alle abwinken

Alternativ kannst Du mal im Handbuch nachschauen, ob sich Dein W701V nicht als "dummes" DSL-Modem betreiben läßt, sodaß der Rechner selbst die PPPoE-Funktionalität bereitstellen muß. (Also nicht nur NAT abschalten, sondern gleich alle Router-Funktionen)
Viele Router/Modem-Kombinationen lassen sich entsprechend umkonfigurieren. Das würde Dein Problem auch lösen. Aber ich glaube, Du brauchst dazu wirklich ein anderes Modem, wenn ich das hier so lese: Speedport 700V vs 701V

Viel Erfolg
Grüße
Funkenzupfer.

P.S.:

Zitat

Dies wusste ja nicht mal der Telekomiker bei der techn. Hotline.

Wenn ich so etwas ähnliches nicht schon selbst mit denen erlebt hätte würde ich jetzt schreiben: Kaum zu glauben...

Hallo Pinarek,

Zitat

Habe dann auch erfolgreich eine PPPoE Verbindung in XP UND Vista angelegt mich eingewählt, ging auch alles, aber trotzdem konnte ich den PC von meinem Freund nicht finden.

Hervorragend. Du bist damit auf dem richtigen Weg, auch wenn ich Dir bei Deinem Vorhaben wegen der Sicherheitsrisiken nicht oft genug in den Ohren liegen kann Grade diese Ports sind die gefährlichsten, wenn sie offenstehen oder Du Dich mit Deinem PC direkt ans Internet hängst.

Zitat

Ich galube das nicht, wenn die Meldung kommt, das der Speedport jetzt NUR als DSL-Modem arbeitet.

Doch, tut es. Sobald Du unter Windows über die PPPoE-Verbindung ins Netz gehst, kann Dir die Speedport 701V nicht mehr hineinpfuschen. Vielmehr vermute ich, daß Windows standardmäßig für PPPoE-Verbindungen den "Client für Microsoft-Netzwerke" nicht aktiviert.[INDENT]
Eigenschaften von PPPoE-Verbindung[/INDENT]Schau Dir bitte einmal als Administrator die Eigenschaften dieser PPPoE-Verbindung an, da müßtest Du es einrichten bzw. nachinstallieren können. Da ich schon lange kein PPPoE mehr und auch kein XP oder Vista nutze, kann ich Dir leider keine Schritt-für-Schritt Anleitung posten. Vielleicht macht's ja ein anderer hier

Notfalls schieße uns halt mal einen Screenshot mit den vorhandenen Einstellungen die Du findest.

Wenn es an diesen Bindungen liegt, nützt Dir ein anderes DSL-Modem auch nichts.

Evtl. kannst Du es mit einer externen PPPoE-Software versuchen, es gibt außer der von Windows mitgebrachten Standardversion noch verschiedene von anderen Herstellern, die mehr können. (Ich denke da z.B. an cfos Treiber)

Daß Dir die Windows-Firewall auch einen Strich durch die Rechnung machen kann, hast Du ja schon selbst erkannt; die muß das alles natürlich zulassen.

Grüße
Funkenzupfer.

P.S.: Nochwas: Es könnte auch sein, daß Dein Provider die entsprechenden Ports mittlerweile im Übereifer auch hinter der DSL-Anbindung geblockt hat, oder Dich neuerdings unbemerkt über einen Zwangsproxy leitet. Beides würde den von Dir beabsichtigten Verbindungsaufbau über das Microsoft-Netzwerk unmöglich machen. In diesen Fällen kommst Du um's Tunneln wirklich nicht herum.

Hi Pinarek,

noch sind wir nicht restlos am Ende mit unserem Latein Es gibt zwei Dinge, die Du als nächstes testen kannst:

Zum einen: Öffne auch noch die RPC-Ports, ich habe in einer Microsoft-Dokumentation einen Hinweis gefunden daß auf neueren Windows-Systemen die Datei- und Druckerfreigabe nur funktioniert, wenn RPC über das Netzwerk kommunizieren kann.

Öffne also zusätzlich zu den bereits genannten Ports zunächst einmal noch[INDENT]Port 135 TCP+UDP, der ist für den RPC Endpoint-Mapper.[/INDENT](Achtung, das ist genau der Port, über den sich der Blaster/Lovesan/MSBlast/Nachi/Welchia-Wurm verbreitet!)

Schau erstmal, ob die Dateifreigaben dann schon gefunden werden. RPC selbst weist dann eigentlich noch dynamisch einen oder mehrere weitere Ports aus dem Bereich 1024 bis 65535 zu. Da Du nicht vorhersehen kannst, welche das sein werden, wird es schwierig, die in Dein Portforwarding einzutragen, falls sie gebraucht werden. Windows unterstützt jedoch eine Methode, die RPC-Ports auf einen bestimmten Bereich zu beschränken, den Du in diesem Fall dann auch noch per Portforwarding in der NAT des Routers aufbohren müßtest. Details: Konfiguration der dynamischen RPC-Portzuweisung unter Windows

Zum anderen: Überzeuge Dich, daß die entsprechenden Ports (135-139 und 445) tatsächlich von außen erreichbar sind. Das kannst Du recht einfach mit dem Shields-Up-Test von Steve Gibson herausfinden.

Achte darauf, daß auf der Startseite wirklich Deine aktuelle IP-Adresse angezeigt wird. Klicke auf "Proceed", dann auf "File Sharing":[INDENT]
Port-Test für Dateifreigabe[/INDENT]und/oder trage die Ports in das Eingabefeld ein und klicke auf "User Specified..."[INDENT]
Benutzerdefinierter Port-Test[/INDENT]Wenn der Dir die Ports als "offen" zeigt, hast Du zumindest schonmal kein Problem mit Deinem Provider und dem Modem. Sieht es jedoch so aus wie bei mir, kann von außen nicht auf die Ports zugegriffen werden, sie werden (entweder vom Provider, vom Router, oder aber von der Windowsfirewall) geblockt.[INDENT]
Geblockte Ports erscheinen grün[/INDENT]So grün darf es bei Dir also nicht aussehen, wenn Du mit der Dateifreigabe unbedingt quer durchs Internet willst

Grüße
Funkenzupfer.

P.S.: Die Einwahl über ein analoges Modem läuft grundsätzlich über andere Einwahlknoten beim Provider. Daß es damit funktioniert, sagt erstmal nichts darüber aus, ob die fraglichen Ports auch bei der DSL-Anbindung offen stehen. AOL-DSL ist vermutlich keine Lösung, denn von denen ist schon bekannt, daß sie alle Kunden über einen Zwangsproxy schleusen.
..

Zitat

obwohl sie doch als NAT-Ports im Router frei gegeben sind.

Das ist wirklich seltsam. Aber auch bei mir lassen sich diese Ports am Router nicht durchreichen, obwohl bei einem Linux-Rechner dahinter kein wirkliches Risiko besteht.

Die Erklärung ist vielleicht: Auch Dein Router (der Speedport 701V) ist von AVM hergestellt. Zumindest in deren Fritzboxen (so eine hab ich hier) lassen sich die Ports 135-139 nicht einfach so vom Benutzer öffnen, ein Portforwarding auf diesen Ports wird schnöde ignoriert. Da müßte man es per Telnet-Session in den tiefen der Firmware-Konfiguration aufschießen...

Mach' deshalb den Shields-Up-Test nochmal, diesmal aber mit der anderen Variante, also mit der PPPoE-Verbindung ab Rechner, und Speedport als reines DSL-Modem ohne Routerfunktion. Spiele auch dabei mal kurz mit der Windowsfirewall.[INDENT]
Port 56521 im Router offen, nur durch die
Firewall des Rechners verschlossen[/INDENT]Wenn Du es mit den von Dir benötigten Ports dahin bringst, wäre das schon mal ein Erfolg...

Möglich, daß Deine Firewall die Tests für einen echten Angriff hält und die IPs von [noparse]grc.com[/noparse] erstmal für eine Weile komplett aussperrt...

Hallo Pinarek,

die besten Chancen für Dein Vorhaben sehe ich immer noch darin, die PPPoE-Verbindung direkt vom PC aufbauen zu lassen. Normalerweise mischt sich dann das DSL-Modem nicht mehr in die Portfreigaben ein, und außerdem erhält der PC selbst (und nicht der Router davor) die IP vom Provider zugewiesen, sodaß eine Störgröße wegfällt.
Wenn die Shields-Up-Seite mit diesem Setup nicht erreichbar ist (das gibt's doch eigentlich gar nicht!), probiere es einmal mit einer anderen Port-Scan-Seite, z.B. hier: Port-Scan . Ist kein großer Unterschied, zusätzlich kannst Du da sogar noch UDP-Ports testen. Ferner könnte es sein, daß Windows die Umkonfiguration der Internet-Anbindung erst nach einem Systemneustart richtig verdaut hat.

Wenn das auch nicht läuft, stimmt irgend etwas mit der Konfiguration der PPPoE-Anbindung in Deinem Windows nicht. Versuche es dann probeweise mal mit dem cFos-Treiber.[INDENT]Download: http://www.cfos.de/cfos-nt-2000-xp-vista-v720.exe
Weitere Infos dazu: cFos-Software GmbH[/INDENT]Mir scheint inzwischen, es ist bedeutend einfacher, ein komplettes VPN aufzusetzen, als mit einem T-Online Router diese Ports durch's Internet zu prügeln.:D

Nungut, mach einmal eine Dos-Box auf, wenn Du die PPPoE-Verbindung hergestellt (an den Haken bei Client für Windows-Netzwerke denken!) und die Ports in der Firewall freigegeben hast. Tippe da bitte ein[INDENT]netstat -an[/INDENT]und schau' Dir das Ergebnis an. Die benötigten Ports sollten in der ausgegebenen Liste durch Doppelpunkt getrennt hinter der vom Provider zugewiesenen Adresse zu finden und mit dem Status "Abhören" gekennzeichnet sein. Dann weißt Du wenigstens, daß Windows genau das macht, was Du möchtest.

Bohre außerdem mal hartnäckiger bei T-Online nach, ob die diese Ports nicht erst kürzlich gesperrt haben, es kursieren entsprechende Gerüchte. Laß' Dich notfalls direkt mit einem Techniker verbinden. Die werden doch wohl noch in der Lage sein, zu dieser (wahrscheinlichen) Fehlfunktion ihrer Anschlüsse eine eindeutige Aussage für ihre Kunden zu machen. Darauf hast Du einen Anspruch, denn wenn es zutrifft, brauchst Du keine Zeit mehr in weitere Tests zu investieren. Dann geht kein Weg mehr an einer externen Software vorbei, und es wird wohl auf ein VPN hinauslaufen, da sich für Deinen Freund damit grundsätzlich nichts ändert, wenn es erst einmal eingrichtet ist.

Grüße
Funkenzupfer.

P.S.: Machst Du das wirklich alles unter Vista? Könnte ja durchaus sein, daß Vista Dich da unbedingt vor irgendetwas "beschützen" will, und einfach nicht mitspielt, wenn Du das Windows-Netzwerk mit seinen Portfreigaben auf der Internet-Schnittstelle einzurichten versuchst...