WakeOnLan - Portnummer mit wenig Müll gesucht

Dominik S. schrieb:
> Sicher, dass der Rechner nur aufs MagicPacket reagiert?

Ganz sicher: Ich hatte einen zweiten Rechner angeschlossen und per 
eigenes Programm Tests gemacht. Für das Aufwachen darf nicht ein 
einziges Bit falsch sein. Außerdem muss das Paket an die Broadcast-Adr. 
gesendet werden.

Dominik S. schrieb:
> WakeOnWan schrieb:
>> Zufall, Angriffe
>
> Beides doch irgendwie recht unwahrscheinlich...
> Jemand schickt über das Internet an deine IP ganz zufällig ein WoL-Paket
> welches dann ganz zufällig auch noch genau die MAC deines Rechners
> enthält?
>
> Ich denke dein Verursacher sitzt irgendwo im lokalen Netz...

Es gibt keinen zweiten Rechner im Netz (auch kein WLAN). Beim Rechner 
ist auch keine "Alarm-Funktion" (Bios-Wecker) aktiviert. Das Aufwachen 
geschieht lange Zeit nach Zuweisung einer öffenlichen IP -> Irrläufer 
könnten es eigentlich nicht sein. Angriffe?

Micha S. schrieb:
> Kannst du deine Netzwerkkarte in dem Rechner nicht so konfigurieren,
> dass sie nicht bei jeder x-beliebigen Aktivität den Rechner aufweckt,
> sondern auf ein spezielles Paket (MagicPacket) wartet und erst dann
> aktiv wird?
> Grüße,
>
> Micha

Das ist bereits sichergestellt und geprüft.

Das eigentliche "Problem" ist natürlich die Fritzbox. Ich kann daran 
nichts ändern. Bin natürlich AVM trotzdem dankbar für diese Funktion.

Jan H. schrieb:
> Irgendwas fünfstelliges.

Ich dachte die wären wegen den dynamischen Ports nicht verwendbar. Bei 
der Fritzbox habe ich soeben 46591 (ne Primzahl :) ) eingestellt. Wurde 
nicht abgewiesen; werde ich testen. Das dauert leider immer viele Tage 
bevor man eine Aussage machen kann.

WakeOnWan schrieb:
> Details:
> Über das Internet greife ich auf einen freigegebenen Port meines
> Rechners zu. Bei der Fritzbox habe die WakeOnLan-Funktion für diesen
> Rechner aktiviert. Ich habe geprüft, ob der Rechner wirklich nur beim
> "magischen Paket" an den lokalen Broadcast aufwacht. Außerdem ist das
> WLAN deaktiviert und es befindet sich kein zweiter Rechner im Netz.

Mittlerweile ist der übliche Weg den Zugang über ein VPN zu 
konfigurieren. https://avm.de/service/vpn/uebersicht/ Im VPN sendest du 
(oder die FritzBox) bei Bedarf das Magic Packet. Da andere (hoffentlich) 
nicht in das VPN kommen, können sie kein Magic Packet an den Rechner 
senden.

Bei einem Massenprodukt wie der Fritzbox würde ich ungern VPN nur für 
ein WakeOnLan aktivieren. Andererseits müsste man damit das ungewollte 
Aufwecken 100%ig verhindern können. Ich werde erstmal Testen, ob es 
überhaupt funktioniert und wie aufwendig die Änderungen beim Client 
sind.
Danke auch für diesen Tipp!

Micha S. schrieb:
> Mehr kann die FB da nicht wirklich tun.

Naja, man kann die Fehlerquote reduzieren. Port 443 wäre sicherlich 
ungeeigneter als Port 9451.

Marten Morten schrieb:
> Mittlerweile ist der übliche Weg den Zugang über ein VPN zu
> konfigurieren.

Leider scheint das extrem aufwendig zu sein nur um ein einziges 
UDP-Broadcast-Paket ins lokale Netz zu schicken. Mal sehen...

Falls der aktuelle Port 46591 auch zu "schlecht" ist tendiere ich im 
Moment zu folgendem Pfusch: Ich deaktiviere die WakeOnLan-Funktion der 
Fritzbox und schließe stattdessen ein ESP8266 an USB (wegen Dauerplus) 
des Rechners an. Bei einem bestimmten Paket aus dem WAN sendet er das 
"Magische Paket" an den Rechner. Aufwendig aber sicher.

Micha S. schrieb:
> WOL über WAN geht nicht, wenn alle Router sich RFC-konform verhalten.
> Dann werden Broadcasts, welcher Art auch immer, nicht weitergeleitet.

WOL geht ohne Bridge oder L2-Tunnel nie, das ist auf Layer 2, nacktes 
Ethernet. Daher der Trick mit dem Ansprechen eines Ports, woraufhin 
seine Fritzbox per WOL weckt.

Der Rest ist auch nicht ganz korrekt: Alle Router bis auf den letzten 
routen Pakete an Broadcast-Adressen, weil sie nicht riechen koennen, was 
eine Broadcast-Adresse ist und was nicht. Erst der letzte, der das 
dazugehörige Ethernet-Segment bedient, entscheidet je nach Konfiguration 
(Cisco: ip directed-broadcast).

WakeOnWan schrieb:

> Ich habe geprüft, ob der Rechner wirklich nur beim
> "magischen Paket" an den lokalen Broadcast aufwacht.

Hmm...

Du solltest vielleicht auch mal prüfen, was passiert, wenn du das 
korrekt konstruierte magic packet als Payload in ein ganz normales 
UDP-Paket packst. Mit ein wenig Glück wacht der Rechner trotzdem auf. 
Klappt leider längst nicht bei jeder NIC, bei etlichen aber schon.
Sprich: die Hardware der NIC interessiert sich in diesem Fall nicht 
dafür, dass das WoL-Paket auch das ganze Paket darstellt, sondern nur 
dafür, dass irgendwo im eingehenden Datenstrom ein Datenblock ist, der 
wie ein korrektes WoL-Paket aussieht. Das ist dann zwar kein 
standardgerechtes Verhalten, aber ein für den konkreten Fall sehr 
nützliches...

Wenn das so ist, wird's einfacher. Dann kannst du nämlich die armselige 
WoL-Funktionalität der Fritzbox abschalten und durch einen simplen 
Port-Forward ersetzen. "Illegale" eingehende Pakete erreichen zwar den 
Rechner, bewirken aber trotzdem kein Wakeup, denn deren Payload wird 
halt nicht das für deine NIC passende WoL-Paket sein.

Max M. schrieb:
> Ist denn VPN keine Option?

Ich greife per eigenes Fernwartungsprogramm auf den Rechner zu. VNC und 
ähnliches ist zu langsam. RDP ist zwar schnell und einfach, aber 
irgenwie zu "offen". VPN hat einen riesigen Overhead. Das eigene 
Programm ist für meine Zwecke ideal.
Die WOL-Funktion ist schön. Zuvor habe ich den Rechner oft für alle 
Fälle eingeschaltet gelassen und habe dann doch nicht darauf 
zugegriffen. Jetzt ist der Rechner immer erreichbar und ich spare sogar 
noch ein paar Cents beim Strom.

Dirk B. schrieb:
> Bei welchem Provider bist du denn?

1und1 (zwangsassimiliert)

c-hater schrieb:
> Du solltest vielleicht auch mal prüfen, was passiert, wenn du das
> korrekt konstruierte magic packet als Payload in ein ganz normales
> UDP-Paket packst. Mit ein wenig Glück wacht der Rechner trotzdem auf.

Ich habe vorhin einige Tests gemacht. Leider (noch) ohne Erfolg. Dabei 
ist mir aber etwas Merkwürdiges aufgefallen. Ich habe die WOL-Funktion 
bei der Fritzbox deaktiviert und habe nochmals UDP-Pakete vom zweiten 
Rechner (Windows-WLAN-LAN) innerhalb des LAN verschickt. Der erste 
Rechner wacht wie bereits zuvor gechrieben nur dann auf, wenn ein magic 
packet als Broadcast verschickt wird. Ein Paket an den Rechner selber 
ist wirkungslos. Jetzt kommt das Merkwürdige: Sende ich ein UDP-Paket 
per WAN (Raspberry-Internet-Fritzbox-Portweiterleitung-LAN) an den 
ersten Rechner, dann wacht er auf! Das geschieht sogar unabhängig vom 
Payload. Anscheinend reagiert meine Netzwerkkarte auf alle UDP-Pakete 
die direkt (!=Broadcast) an den Rechner geschickt werden. Warum das 
nicht auch vom "zweiten Rechner" klappte ist mir schleierhaft.
Leider gibt es bei den Netzwerkkarteneinstellungen nur den 
"WOL"-Parameter. Evtl. gibt es einen neueren Treiber wo sich das 
Aufwachen nur bei einem "magic packet direkt an die Karte" einschränken 
lässt.

Naja, für heute reichen mir die Tests erstmal.

Max M. schrieb:
> VPN != VNC
> ...

Was unterstellst Du mir? Ich möchte nicht einen Rechner in ein Netzwerk 
einbinden (also VPN). Ich bräuchte VPN nur um einen UDP-Broadcast vom 
WAN ins LAN zu bringen (also fast ein Mißbrauch). Anschließend würde ich 
die VPN-Verbindung kappen. Dafür wäre der Overhead extrem.

Noch deutlicher: Rechner und fernes Netz sollen getrennt bleiben! Der 
Rechner soll keinen Zugriff auf das Netz haben. Nur das 
Fernwarungsprogramm. Alles sogar wegen der Sicherheit!

WakeOnWan schrieb:
> Noch deutlicher: Rechner und fernes Netz sollen getrennt bleiben! Der
> Rechner soll keinen Zugriff auf das Netz haben. Nur das
> Fernwarungsprogramm. Alles sogar wegen der Sicherheit!

Das widerspricht sich doch selbst. Das "Fernwartungsprogramm" läuft ja 
auf dem Rechner. Somit ist der Rechner nicht vom "fernen Netz" getrennt!

Das mit dem VPN hast du auch nicht verstanden. Das VPN wird zwischen 
Fritzbox und "entfernten" Client aufgebaut, nicht zwischen Rechner und 
Client (geht ja auch nicht, der schläft). Das "Argument" mit dem 
Overhead ist an den Haaren herbeigezogen, oder bezahlst du dein Internet 
in der Einheit kB? Die Software ist auf der Fritzbox schon vorhanden und 
beim Client wahrscheinlich auch.

Rene K. schrieb:
> WakeOnWan schrieb:
>> Der
>> Rechner soll keinen Zugriff auf das Netz haben. Nur das
>> Fernwarungsprogramm.
>
> Und dann noch per WoL starten lassen, beißt sich alles irgendwie. Oder
> ich bin bei deiner kuriosen Beschreibungen deines Netzwerks noch immer
> nicht durchgstiegen.

Ich möchte "mich" (Augen, Finger) und nicht gleich den ganzen Rechner 
von dem ich die Fernwartung mache verbinden. Da der fernzuwartende 
Rechner nicht immer laufen soll (wegen Strom) möchte ich ihn per 
WOL-Funktion des Rechners einschalten. Ich verwende zwar den Begriff 
"Fernwartung", es geht aber einfach nur um eine Zugriffsmöglichkeit. Ich 
brauche bzw. will keinen Zugriff auf das Netz sondern auf den Rechner 
mit seiner Oberfläche und seinen Dateien.

Rene K. schrieb:
> Eigentlich gibt es da nur eine Möglichkeit diese komische WoL Funktion
> in der Fritzbox abstellen. Den betreffenden Rechner eine feste IP geben.
> Diesen dann mit dem MagicPaket anpingen.

Die WOL-Funktion der Fritzbox habe ich inzwischen abgeschaltet. Außerdem 
hat der Rechner schon immer eine feste IP. Der Rechner wacht beim magic 
packet an den Broadcast auf (konform). Der Rechner wacht bei beliebigen 
UDP-Payload an den Rechner auch auf (anscheinend nicht konform). Werde 
mal nach neueren Teeibern oder anderer Karte sehen.

Karl schrieb:
> Das widerspricht sich doch selbst. Das "Fernwartungsprogramm" läuft ja
> auf dem Rechner. Somit ist der Rechner nicht vom "fernen Netz" getrennt!

Der Fernwartungsclient und der Fernwartungsserver sind ausschließlich 
über einen weitergeleiteten Port miteinander verbunden. Alles andere ist 
und soll getrennt bleiben. Der Datenstrom ist selbstverständlich 
verschlüsselt. Dazu braucht man kein VPN - im Gegenteil. Man unterhält 
doch kein Auto nur um damit jeden Morgen Brötchen zu holen.
Es wäre schön wenn der Rechner etwas weniger unnötig läuft. Um mehr geht 
es mir hier nicht.

Eigentlich müsste es für meine Karte einen neueren Teiber geben, bei dem 
ich den Rechner per magic packets an den RechnerIP aufwecken kann. Zur 
Zeit geht das nur bei magic packets an die BroadcastIP (gehen nicht 
durch Fritzbox->doof), durch beliebige UDP-Pakete an die RechnerIP 
(reagiert auf UDP-Portscanner usw.->doof) oder Fritzbox-WakeOnLan 
(reagiert auf TCP-Portscanner->total doof).

Frank E. schrieb:
> ein
> schlafender Rechner reagiert nicht auf ARPs - so dass der Sendende
> seinen (längst geleerten) ARP-Cache nicht über die IP-Adresse
> auffrischen kann ...

Jein, Netzwerkkarten mit ARP-Offloading antworten wohl teilweise auch 
noch im Sleep-Mode auf Requests.

Das könnte hier auch der Grund für das Aufwachen bei beliebigem Traffic 
sein. In dem Fall kann es helfen, in den Treibereinstellungen das 
ARP-Offloading zu deaktivieren.

Es war zwar unsinnig (wenige Stromcents), aber ich habe noch einige 
Tests gemacht.

1. Ein aktueller Treiber hat nichts geändert.

2. "Rechner per UDP vom WAN an RechnerIP aufwecken"
Das klappt leider doch nicht richtig: Wenn der Rechner heruntergefahren 
wird und über das WAN mit richtigem MagicPacket beschickt wird, wacht er 
auf. Wenn aber zuvor einmalig ein falsches Paket geschickt wird, ist ein 
Aufwachen nie mehr möglich. (per Broadcast natürlich schon)
Ich habe mir das als Laie so erklärt, dass die Fritzbox die IP kennt und 
das Paket ins LAN lässt. Dabei bemerkt die Fritzbox, dass der Rechner 
nicht mehr im Netz ist und verwirft die IP-Zuordnung. Weitere Pakete an 
die IP kommen mehr an. Man hat also genau einen Versuch, um ein Paket an 
die RechnerIP zu senden. -> unbrauchbar
Inzwischen hat Frank E. die saubere Erklärung geliefert.

3. MagicPacket "irgendwo im eingehenden Datenstrom"
Ich habe ein Payload an den Broadcast verschickt, der mit Zufallswerten 
beginnt, dann ein MagicPaket enthält und dann mit Zufallswerten endet. 
Der Rechner wacht auf. Ist interessant, hilft aber nicht weiter.

4. ganz speziellen Payload an RechnerIP (Tipp von c-hater 15.02.2019 
17:48)
Ich habe versucht ein Payload zu senden, der sich aus IP-Header, 
UDP-Header und MagicPacket zusammensetzt. Hat leider nicht funktioniert. 
Nach Frank E. Erklärung dürfte das auch nicht funktionieren.

Fazit:
WOL geht bei mir nur dann zuverlässig, wenn ein MagicPacket an den 
Broadcast geschickt wird. Bei der Fritzbox 7412 sind anscheinend keine 
Tricks möglich. Nach langer Odyssee bin ich wieder am Anfang: Die 
WOL-Funktion der Fritzbox aktivieren und einen Port wählen der selten 
von Portscannern angesprochen wird. VPN war hier leider für mich 
unpassend: Wenn sonst ein Schlüsselloch reicht, dann baue ich wegen ein 
paar Cent kein Scheunentor in die Firewall ein.

Hmmm schrieb:
> Das könnte hier auch der Grund für das Aufwachen bei beliebigem Traffic
> sein.

Ich konnte das heute nicht mehr reproduzieren. Es war aber ganz sicher 
kein Phantom.

WakeOnWan schrieb:

> 4. ganz speziellen Payload an RechnerIP (Tipp von c-hater 15.02.2019
> 17:48)
> Ich habe versucht ein Payload zu senden, der sich aus IP-Header,
> UDP-Header und MagicPacket zusammensetzt. Hat leider nicht funktioniert.
> Nach Frank E. Erklärung dürfte das auch nicht funktionieren.

Frank E. hatte völlig Recht mit seiner Erklärung, allerdings nicht mit 
seinen Schlussfolgerungen. Die Lösung für dieses Problem ist recht 
einfach: der Sender im LAN (im konkreten Fall halt am Ende die Fritzbox) 
braucht einen statischen ARP-Eintrag für die Adresse, an die das 
UDP-Paket gesendet werden soll. Genau wie statische DNS-Einträge gibt es 
auch statische ARP-Einträge.

Nur nützt das nix, wenn der Endempfänger generell schon nicht aufwacht, 
wenn so ein "eingepacktes" WoL-Paket kommt. Der vorgeschlagene Test war 
also nur die erste Stufe. Erst wenn die positiv ausgeht, lohnt es, sich 
über die weiteren Sachen einen Kopp zu machen. Da ich schon wusste, das 
das bei vielen NICs generell nicht funktioniert, hatte ich das 
ARP-Problem erst garnicht erwähnt.

Abgesehen von Euren Experimenten würde ich mal eine andere Netzwerkkarte 
eines anderen Herstellers testen. Dann ist andere MAC und anderer 
Treiber vorhanden (WENN diese Karte WOL kann).

Nach meinem Verständnis habe ich bei meinem "System" (Fritzbox7412, ein 
ausgeschalteter(!) LAN-Rechner und kein WLAN-Rechner) keine Möglichkeit 
irgendein Paket zuverlässig (auch nach Stunden) vom WAN ins LAN zu 
bringen. -> Eine andere/weitere Netzwerkkarte/Treiber dürfte dann nichts 
bringen.

... könnte doch was ändern:

Hmmm schrieb:
> Jein, Netzwerkkarten mit ARP-Offloading antworten wohl teilweise auch
> noch im Sleep-Mode auf Requests.

WakeOnWan schrieb:

> Nach meinem Verständnis habe ich bei meinem "System" (Fritzbox7412, ein
> ausgeschalteter(!) LAN-Rechner und kein WLAN-Rechner) keine Möglichkeit
> irgendein Paket zuverlässig (auch nach Stunden) vom WAN ins LAN zu
> bringen.

Eben doch. Statische ARP-Einträge machen das z.B. möglich. Aber auch 
ARP-offloading. Beides bewirkt letztlich exakt dasselbe: der Sender kann 
aus der IP-Adresse die Ziel-MAC ermitteln, auch wenn das Ziel 
ausgeschaltet und deshalb dessen normaler IP-Stack nicht antwortfähig 
ist.

c-hater schrieb:
> Statische ARP-Einträge machen das z.B. möglich.

Das betrifft doch den Router (oder?). Bei der Fritzbox 7412 lässt sich 
das leider nicht einstellen.

c-hater schrieb:
> ...ARP-offloading...

Danke, hab ich inzwischen begriffen.