Moin,
Wir haben gerade das große Vergnügen ein LTE Router vom Typ Welotec TK
800 http://www.actesolutions.se/media/5441/tk800-datasheet-en.pdf mit
einer Vodafone M2M (= Maschine zu Maschine) SIM Karte in Betrieb zu
nehmen.
Leider ist der Support sowohl bei Welotec (15min = 30€) als auch bei
Vodafone (Hotline: Wir sind die Hotline und haben keine Ahnung, wir
schreiben aber dem Support eine Email) wenig hilfreich.
Der Router bekommt von Vodafone immerhin eine öffentliche IP (80.x.x.x)
und es ist möglich mit einem an den Router angeschlossenen PC ins
Internet zu kommen und auch auf das Web-Interface des Routers
zuzugreifen.
Allerdings lässt sich diese öffentliche IP anpingen, es ist aber kein
Zugriff auf den Router möglich, weder HTTP noch SSH. Ein Portscan ergab
nur einen offenen Port 7, also echo. Die Firewall des Routers sollte
eigentlich alle Ports erlauben ("permit").
Eine nach Handbuch des Routers eingerichtete Portweiterleitung auf ein
anderes Gerät funktioniert (natürlich) auch nicht.
Nun also meine Frage (da von Vodafone keine Antwort zu bekommen war):
Weiss jemand, ob Vodafone einfach sämtliche Ports blockt? Kann man das
irgendwo konfigurieren? Oder wo könnte noch der Fehler liegen?
Mir ist nicht ganz klar was eine öffentliche IP bringt, wenn dann doch
wieder ein VPN eingerichtet werden muss, um einen Fernzugriff zu
ermöglichen. Also gehe ich bisher davon aus, dass wir da irgendwo etwas
übersehen haben.
Vielen Dank!
Horst schrieb:> Allerdings lässt sich diese öffentliche IP anpingen, es ist aber kein> Zugriff auf den Router möglich, weder HTTP noch SSH. Ein Portscan ergab> nur einen offenen Port 7, also echo. Die Firewall des Routers sollte> eigentlich alle Ports erlauben ("permit").
Admin Access für Remote freigeschaltet?
Martin schrieb:> ist das wirklich eine individuelle öffentliche IP?
Zumindest liegt sie im öffentlichen Adressraum und ist per ping
erreichbar.
A. K. schrieb:> Admin Access für Remote freigeschaltet?
Wüsste nicht, dass es diese Option gibt. Werde morgen nochmal nachsehen.
Wäre natürlich eine sinnvolle Option.
Aber NAT hat wie gesagt auch nicht funktioniert.
Horst schrieb:> Wüsste nicht, dass es diese Option gibt. Werde morgen nochmal nachsehen.
Hatte kurz nach Handbuch gesucht und fand eins vom TK700. Da gibt es das
unabhängig von der Firewall, pro Service wählbar. Den Trick gibts auch
bei Bintec.
Edit: Hab ein PDF vom TK800 gefunden. Mangels Screenshots nicht exakt
einschätzbar, könnte aber ähnlich sein.
Horst schrieb:> Aber NAT hat wie gesagt auch nicht funktioniert.
Nicht gleich aufgeben. Die Kämpfe gegen Bintec habe ich zwar jedesmal
gewonnen, aber auch nicht immer sofort. ;-)
Woher weißt du, dass der router eine öffentlich ip hat ?
Normalerweise sind alle Teilnehmer hinter einem CG-NAT .. Zugriffe von
außen sind so nicht möglich.
TestX schrieb:> Woher weißt du, dass der router eine öffentlich ip hat ?
Weil das der Sinn von M2M SIMs ist. Zudem ist seine pingbare 80.x.x.x
Adresse keine der für CG-NAT typischen RFC-Adressen (10/8, 172.16/12,
192.168/16).
A. K. schrieb:>> Woher weißt du, dass der router eine öffentlich ip hat ?
Weil der IP Bereich 80.x.x.x im öffentlichen Bereich liegt.
A. K. schrieb:> Hatte kurz nach Handbuch gesucht und fand eins vom TK700. Da gibt es das> unabhängig von der Firewall, pro Service wählbar. Den Trick gibts auch> bei Bintec.>> Edit: Hab ein PDF vom TK800 gefunden. Mangels Screenshots nicht exakt> einschätzbar, könnte aber ähnlich sein.
Danke für die Mühe! Im Handbauch habe ich dazu nichts gefunden, es wird
allerdinsg auch mit keinem Wort eine Konfiguration via Internet erwähnt.
Aus dem eigenen Netz geht es allerdings.
Aus Sicherheitsgründen nicht möglich, oder doch noch irgendwo gesperrt?
(º°)·´¯`·.¸¸.·´¯`·.¸¸.·´¯`·.¸¸.·´¯`·.¸¸.·´¯`·.¸¸.· schrieb im Beitrag
#4909757:
>> Ein Portscan ergab nur einen offenen Port 7, also echo.>> Kommt denn auch ein Echo?
Weiss nicht, nicht getestet. Geht auch erst morgen wieder.
Wiki sagt dazu:
On various routers, this TCP or UDP port 7 for the Echo Protocol for
relaying ICMP datagrams (or port 9 for the Discard Protocol) is also
configured by default as a proxy to relay Wake-on-LAN (WOL) magic
packets from the Internet to hosts on the local network in order to wake
them up remotely (these hosts must also have their network adapter
configured to accept WOL datagrams and the router must have this proxy
setting enabled, and possibly also a configuration of forwarding rules
in its embedded firewall to open these ports on the Internet side.
Horst schrieb:> Danke für die Mühe! Im Handbauch habe ich dazu nichts gefunden, es wird> allerdinsg auch mit keinem Wort eine Konfiguration via Internet erwähnt.> Aus dem eigenen Netz geht es allerdings.
Der Satz zwar kein Verb, aber in diesem Dunstkreis könnte es sein:
1
Management Services
2
Unter Administration / Admin Access / Management Services kann der Zugriff auf das Webinterface mit HTTP und HTTPS sowie auf das Command
3
Line Interface (CLI) via Telnet und SSH.
4
HTTP
5
HTTP ist die Abkürzung für Hypertext Transfer Protocol und wird genutzt um Webseiteninformationen über ein Netzwerk oder das Internet zu
6
übertragen.
7
HTTPS
8
HTTPS ist die Abkürzung für Hypertext Tranfer Protocol Secure und nutzt SSL (Security Socket Layer) für die gesicherte Übertragung von HTTP.
9
TELNET
10
TELNET wird genutzt um auf das Command Line Interface (CLI) des Routers zuzugreifen.
11
SSH
12
SSH ist die Abkürzung für Secure Shell und ist ein zu Telnet vergleichbarer verschlüsselter Dienst.
A. K. schrieb:> Der Satz zwar kein Verb,
Ach komm, Grammatik wird völlig überbewertet ;)
> Management Services> Unter Administration Admin Access Management Services kann der> Zugriff auf das Webinterface mit HTTP und HTTPS sowie auf das Command> Line Interface (CLI) via Telnet und SSH.
Das klingt für mich wie die Konfiguration des Routers übers Internet.
Möchte der TO wirklich aus dem Internet auf die Oberfläche des Routers?
Für mich klingt das eher so als ob er eigentlich per Portforwarding auf
ein anderes Gerät hinter dem Router möchte um das dann fernwarten zu
können.
Ich denke es gibt hier 2 mögliche Ursachen:
1. Vodafone hat bei sich am Gateway eine Firewall, die alle aus dem
Internet auf die IP eingehenden Verbindungsversuche blockt. In diesem
Fall kann nur Vodafone das Problem lösen. Vielleicht geht das über eine
Option im Vertrag, vielleicht über eines der vielen Kundenportale bei
denen.
2. Vodafone gibt die eingehenden Pakete brav an den Router weiter. Der
Router blockt aber den Zugriff. Das könnte man mit einer Einstellung auf
dem Router selbst lösen.
Ich würde zur Unterscheidung der beiden Probleme die SIM in ein
Mobilfunkmodem (nicht Router) einlegen. Damit dann eine Einwahl starten
und schauen ob die Pakete ankommen oder nicht.
Das kann auch nen älteres Mobilfunkmodem sein, muss kein UMTS oder
LTE-Teil sein. Die Einwahl, IP-Zuordnung etc. macht da zwischen den
Netzen keine Unterscheidung.
Wenn Du ein Android-Telefon mit Rootrechten hast könntest Du alternativ
auch das nehmen. Dann mit tcpdump schauen was auf dem ppp-Device so
ankommt.
A. K. schrieb:> Management Services> Unter Administration Admin Access Management Services kann der> Zugriff auf das Webinterface mit HTTP und HTTPS sowie auf das Command> Line Interface (CLI) via Telnet und SSH.
Dort lassen sich die einzelnen Optionen generell aktivieren/
deaktivieren, jedoch hat das nur Auswirkungen auf die Verfügbarkeit im
lokalen Netz des Routers.
Gerd E. schrieb:> Für mich klingt das eher so als ob er eigentlich per Portforwarding auf> ein anderes Gerät hinter dem Router möchte um das dann fernwarten zu> können.
Ja, der tiefere Sinn der ganzen Sache ist natürlich der Zugriff auf
einen Rechner hinter dem Router. Das funktioniert jedoch nicht (ohne
VPN). Daher wurde erstmal der Zugriff auf das Webinterface getestet.
Ausserdem wäre es nicht unpraktisch über das Internet auf das
Webinterface des Routers zugreifen zu können.
Gerd E. schrieb:> In diesem> Fall kann nur Vodafone das Problem lösen. Vielleicht geht das über eine> Option im Vertrag, vielleicht über eines der vielen Kundenportale bei> denen.
Es gibt keine Logindaten zu irgendeinem Kundenportal und die Hotline
konnte erstmal überhauptnicht helfen. Hoffen wir mal, dass der Support
sich noch meldet.
Gerd E. schrieb:> Ich würde zur Unterscheidung der beiden Probleme die SIM in ein> Mobilfunkmodem (nicht Router) einlegen. Damit dann eine Einwahl starten> und schauen ob die Pakete ankommen oder nicht.
Eine sehr gute Idee, das wird gleich morgen ausprbiert! Vielen Dank!
Martin schrieb:> Bei der Telekom muss ein spezieller APN benutzt werden um eine IP zu> bekommen die von aussen erreichabr ist.
Meinst du speziell für M2M?
Ich habe mal gehört, dass es bei der Telekom spezielle APNs für
"Festnetz-LTE-Modems" gibt, die man auch mit einer beliebigen
Telekom-SIM benutzen kann und dann eine öffentliche IP bekommt.
Mit einer Congstar-Karte (gehört zur Telekom) konnte ich mich zwar
einwandfrei zu diesen APNs verbinden, habe jedoch weiterhin eine private
IP bekommen... also alles wie immer.
Werde das aber für diese SIM nochmal checken.
Es ist nicht ungewöhnlich, dass man auf dem Device tatsächlich eine
öffentliche IP-Adresse zugewiesen bekommt, unter der dann auch die
ausgehenden Verbindungen laufen.
Eine Mobilfunkverbindung ohne NAT habe ich allerdings noch nie gesehen.
VF bietet für M2M IPSec-Lösungen an; damit wäre dann ein direkter
Zugriff auf das Device möglich. Alternativ ein eigenes VPN aufbauen.
Horst schrieb:> Allerdings lässt sich diese öffentliche IP anpingen, es ist aber kein> Zugriff auf den Router möglich, weder HTTP noch SSH. Ein Portscan ergab> nur einen offenen Port 7, also echo. Die Firewall des Routers sollte> eigentlich alle Ports erlauben ("permit").
Das ist mit 99% Warscheinlichkeit CG-NAT.
Wie schon vorgeschlagen:
VF bietet auch M2M-Lösungen mit einem IPSec Tunnel an (haben wir hier,
tut problemlos wenn es mal steht) - dann obliegt alles ab Layer 3 deiner
Macht.
Öffentliche IPs im M2M-Umfeld sind super selten, zumal der IPv4-Space
voll ist. Höchstens IPv6 ist erbettelbar.
acab schrieb:> Öffentliche IPs im M2M-Umfeld sind super selten,
Ich hätte vermutet, dass "machine to machine" (M2M) mit CG-NAT ziemlich
unverträglich ist. Oder sind die mittlerweile so knapp an IPs, dass sie
damit ausschliesslich Verbindungen innerhalb eines bestimmten
Providernetzes meinen?
acab schrieb:> VF bietet auch M2M-Lösungen mit einem IPSec Tunnel an (haben wir hier,> tut problemlos wenn es mal steht) - dann obliegt alles ab Layer 3 deiner> Macht.
Wie funktioniert das genau, also nicht in Vodafone-Marketing-Sprech,
sondern wirklich?
Das Mobilfunkmodem wählt sich normal ein und bekommt eine IP aus dem
reservierten privaten Bereich (z.B. 10.xxx).
Dein Server an der Gegenstelle baut einen IPSec-Tunnel zu einem
speziellen Gateway im VF-Netz auf und kann darüber jetzt zu dieser
privaten IP des Mobilfunkzugangs routen?
Oder muss der IPSec-Tunnel direkt zwischen dem Mobilfunkgerät und Deinem
Server an der Gegenstelle aufgebaut werden?
Oder nochmal anders?
Hallo.
Das Modem bekommt eine VF interne IP. Du machst eine VPN zu VF und
kannst dann auf diese interne IP zugreifen. Das funktioniert über
interne VLANs.
Das Modem muss dazu nichts können.
Wenn das Modem selber VPN kann, kann es auch einen Tunnel zu einem
Server im Netz aufbauen und man kann erhebliche Kosten sparen.
Martin
Hallo Zusammen,
ich habe wohl ein ähnliches Problem mit der TK800 Serie.
Bisher hatten wir immer den TK711U im EInsatz, die Einstellungen, welche
wir benötigen habe ich in einem Screenshot angehängt, mit dieser
Einstellung funktioniert alles wunderbar.
Nun ist es aber so, dass die TK711U Serie ausläuft und wir deshalb auf
LTE Router TK875L-EXO umgestiegen sind.
Die Einstellungen, welche wir vorgenommen haben, habe ich in einem
zweiten Sccreenshot angehängt. (Einstellungen des 711U in einer Zeile)
Der Aufbau ist wie folgendermaßen:
Heizungsregler<->Patch Kabel<->Router<->Internet<->"Eigener Server"
Der "Eigene Server" hat eine feste IP Adresse. Die IP Adresse des
Routers ändert sich bei jedem Neustart (Telekom) IP 80.x.x.x
Der Heizungsregler sendet eine SIP Nummer, welche wir an unserem Server
auch Empfangen, die IP Adresse des Routers wird uns am Server ebenfalls
angezeigt.
Nur die Kommunikation findet irgendwie nicht statt.
Wenn ich anstelle des TK875 Routers einen TK711U mit den Seinstellungen
wie im Screenshot zu sehen, an das gleiche Patch Kabel und die
Datenkarte tausche, meldet sich der Heizungsregler sofort. Sollte meiner
Meinung nach ein Problem des Routers (Einstellung) sein.
Der Router hat die aktuellste Firmware die es zum downlaoden gibt drauf.
Uns wird ja wie oben schon beschrieben die IP Adresse des Routers an
unserem Server angezeigt. Wenn man einen TK711U verwendet, dann kann
man, wenn man diese IP Adresse im Browser eingibt von der ferne auf den
Router zugreifen. Beim TK875L-EXO funktioniert das nicht.
Für mich als Leihen sieht es so aus, als ob der Router zwar Daten
raussenden kann, diese aber nicht Empfangen kann bzw. bleibt in der
Firewall o.ä hängen.
Das Internet über den Router funktioniert wunderbar. (Perfekter LTE
Empfang, Websiten können Problemlos geöffnet werden)
Vielleicht hat ja jemand von euch eine Idee an was es liegn kann?
Viele Grüße
