5590 Fiber vergibt falsche Portfreigabe ???

[Sailor]

Moin.

Kurze Vorstellung eines "Neuen":

Habe eine FB 5590 (FRITZ!OS: 7.58) im Einsatz an einem Telekom GF-Anschluss.
Betreibe eine private Nextcloud-Installation (nginx, mariadb, nextcloud Hub, usw.) sowie einen Reverse Proxy standalone (docker, portainer, nginx), und einen docker/portainer server für Bitwarden, pihole und Wireguard server als Container. Verschiedene Netzwerkclients (iOS, Win, Android) sowohl am Kabel als auch per WLAN und eine Smart Home Installation auf Basis homematic IP und Ellesion.

Jetzt zum Problem: ich musste aus verschiedenen Gründen meine laufende Nextcloudinstallation deinstallieren und meinen Ubuntu-Server neu aufsetzen. Nach dem ersten Booten wollte ich für die weitere Installation und das installieren von Let'sEncrypt Zertifikaten die Ports 80 und 443 für den neuen Server freigeben. Habe dazu ie alten Portfreigaben vom Reverse Proxy entfernt. Wenn ich jetzt versuche, die beiden Ports (http und https) für den neuen Server freizugeben, dann werden nur die IPv6 Ports freigegeben. Die beiden v4 Ports erscheinen mit einem anderen Gerät (!!! andere IP-Adresse) - obwohl die Auswahl immer der neue Server ist. Setzte ich die Ports wieder auf den Reverse Proxy ist alles ok.

Und nein, ich habe nichts getrunken oder geraucht!

Hat jemand eine Idee, wo sowas herkommt? Eventuell ist der DNS-Service völlig durcheinander, ich habe allerdings keine Ahnung, wie ich den komplett neu aufsetzen bzw. restarten kann.

Danke für jeden Tipp.

-S

 

[blurrrr]

Die beiden v4 Ports erscheinen mit einem anderen Gerät (!!! andere IP-Adresse)

Hi,

nur mal so zum Verständnis... Sollte die Nextcloud nicht sowieso auch über den Reverse-Proxy laufen?

Die IPv4-Ports (80,443,etc.) sollten auf den Reverse-Proxy zeigen, pro IP jeder Port immer nur "1x". Zeigt die IPv4-Portweiterleitung also auf den Reverse-Proxy, kannst Du die Ports nicht "nochmal" auf die Nextcloud legen. Bei den IPv6-Adressen sieht es anders aus, da kannst Du Portfreigaben für jedes Endgerät einzeln konfigurieren. Nun macht es aber auch nicht sonderlich viel Sinn, wenn Du a) eine IPv4-Portweiterleitung auf den Reverse-Proxy machst, welcher wiederum auf die Nextcloud zeigt und b) eine Portfreigabe direkt auf die IPv6-Adresse der Nextcloud zeigen lässt. So wie ich das sehe, sollten sowohl IPv4, als auch IPv6 direkt auf den Reverse-Proxy zeigen, der wiederum die Kommunikation mit den Systemen dahinter übernimmt (inkl. Nextcloud).

Das sollte dann schlussendlich so aussehen:



Was Du allerdings versucht hast, ist folgendes:



Das würde mit IPv6 funktionieren, jedoch nicht mit IPv4, da die Fritzbox WAN-seitig halt nur "eine" öffentliche IPv4-Adresse hat, welche durch die Portweiterleitung dann auf "eine" interne IPv4-Adresse umgeschrieben wird.

Schlussendlich sollte es halt so aussehen, dass - bei Einsatz eines Reverse-Proxy - sowohl IPv4 (Portweiterleitung auf interne IP), als auch IPv6 (Portfreigabe auf interne öffentliche IP) auf den Reverse-Proxy zeigen sollten und dieser dann die Kommunikation mit den internen Systemen übernimmt.

Willst Du die Nextcloud "direkt" ansprechen und alle öffentlichen Ports direkt auf die Nextcloud setzen, dann kannst Du den Reverse-Proxy maximal noch mit IPv6 nutzen, womit auch die restlichen Systeme (abgesehen von der Nextcloud) nur noch via IPv6 erreichbar wären (über den Reverse-Proxy, oder auch direkt).

Also ich an Deiner Stelle würde einfach alles über den Reverse-Proxy laufen lassen und gut ist. Wenn Du noch ein Backup der alten Nextcloud-Konfiguration hast, wirst Du in der config.php vermutlich auch entsprechende Einträge dazu finden (vgl. Nextcloud - Reverse-Proxy).

 

[Sailor]

Moin und Danke für die schnelle Antwort.

Ich habe mich wahrscheinlich falsch ausgedrückt: wenn ich die Portweiterleitung (80 und 443) auf den Reverse Proxy mache, ist Alles ok. Wenn ich jedoch direkt auf die Nextcloud gehe, weil mein Reverse Proxy ein Problem hat, dann erscheint die IPv6 Weiterleitung zum Nextcloud Server, die IPv4 Weiterleitung aber zu einem anderen Gerät im Netz. Und es werden natürlich für beide Weiterleitungen dieselben IP-Adressen (nämlich der Nextcloud ausgewählt.

Ich bin noch am Suchen - scheinbar ist der lokale DNS-Server (in der FB) ein wenig "durcheinander".

Ich bastle noch ...

 

[blurrrr]

Wenn ich jedoch direkt auf die Nextcloud gehe, weil mein Reverse Proxy ein Problem hat, dann erscheint die IPv6 Weiterleitung zum Nextcloud Server, die IPv4 Weiterleitung aber zu einem anderen Gerät im Netz.

Sorry, aber... auch wenn ich beruflich in dem Umfeld unterwegs bin - ich kann zwar die Wörter lesen die Du schreibst, aber vom "verstehen" bin ich grade meilenweit entfernt...

Ich gehe jetzt mal davon aus, dass das Konstrukt so ist, wie im 1 Bild oben: Router -> RP -> andere Systeme

Nun schreibst Du:

Wenn ich jedoch direkt auf die Nextcloud gehe

Die Nextcloud sollte doch einen FQDN (oder mehrere) in der Config stehen haben, auf welchen sie reagiert ("trusted_domains"). Dort ist dann a) der öffentliche FQDN, b) ein interner FQDN, c) die interne IP hinterlegt. Somit bestehen 3 Möglichkeiten auf die Nextcloud zuzugreifen. Wie genau greifst Du dann "direkt" auf die Nextcloud zu?

Oder reden wir völlig aneinander vorbei und die Aussage hat sich auf die Portfreigaben bezogen? Wie dem auch sei, Du schreibst:

dann erscheint die IPv6 Weiterleitung zum Nextcloud Server, die IPv4 Weiterleitung aber zu einem anderen Gerät im Netz

Was ist das "andere" Gerät in dieser Konstellation, wenn es nicht der RP ist und auch nicht die Nextcloud? Zufällig "selbstständige Portfreigaben" für dieses andere Gerät aktiv?

Da die Fritzbox - meiner Erfahrung nach - auch manchmal gern ein bisschen zickig ist bzgl. der Portfreigaben... Schmeiss vielleicht mal alles raus, starte die Box neu, leg nochmal alles neu an. Falls das dann nicht greift, nochmal alles raus, nochmal neustarten, nochmal neu anlegen. Das hat bei meinen "Problemfällen" bisher eigentlich immer funktioniert

 

[Sailor]

aber vom "verstehen" bin ich grade meilenweit entfernt...

Ich auch! Das "Umschalten" der Portfreigaben vom Reverse Proxy direkt zum Server war nur zum Testen einer SSL-Anfrage und den damit zusammenhängenden Zertifikaten gemacht. Im Normalbetrieb übernimmt dies ja der Proxy ...

die Aussage hat sich auf die Portfreigaben bezogen?

Jupp.

das "andere" Gerät in dieser Konstellation

... ist eine im WLAN hängende Sky-Box. Und neine, keine "selbstständige Portfreigabe".

Da die Fritzbox - meiner Erfahrung nach - auch manchmal gern ein bisschen zickig ist bzgl. der Portfreigaben... Schmeiss vielleicht mal alles raus, starte die Box neu, leg nochmal alles neu an.

Jupp, ist wohl das Einfachste. Ich habe auch mit meiner "alten" Fritz!Box Cable kleiner Differenzen gehabt. Und die Fibre Box ist scheinbar noch etwas "störrischer". Scheint auch von der WLAN-Performance nicht an die Kabelbox ranzukommen. Ist allerdings auch kein Wunder, die Kabelbox ist ja auch viel größer ... ()

 

[Spielebernd]

Hy. Ich würde auch mal den DHCP Bereich kurz ändern falls an z.B. von Start 192.168.178.20 auf 192.168.178.19. so wird die DNS und die Gültigkeit der IP-Adresse (kommt gerade nicht auf den richtigen Namen) usw. nochmal neu angestoßen.