drylin
Goto Top

Zugriff auf IP Kamera von außen über Router und VPN Tunnel

Hallo Zusammen,

folgendes Problem beschäftigt mich seit Tagen und bisher konnte von AVM etc. keiner die Herausforderung lösen.
Darum wende ich mich jetzt an Euch mit der Hoffnung, doch noch eine Lösung zu finden.

Die Herausforderung bzw. für Euch Profis vielleicht ein Kinderspiel:

- Meine FritzBOX 7490 dient als Hautrouter und ist über VDSL mit dem Internet verbunden und von außen erreichbar.
- Eine FritzBOX 7272 dient als autarker Zweitrouter und ist über einem UMTS Stick (keine öffentliche IPv4) mit dem Internet verbunden. Auf diesen kann derzeit über VPN (Router zu Router) zugegriffen werden (soviel ich weiß ist dies auch nicht anders möglich).
Der Zugriff auf die am 7272 angeschlossene IP Kamera ist aus dem Hautnetzwerk der 7490 problemlos möglich.
Jetzt aber soll zusätzlich aus dem Netz von außen auf die Kamera zugegriffen werden können, d.h. ich versuche seit Tagen die IP Adresse der Kamera über den 7490 nach außen "durchzurouten" . Am einfachsten wäre es, wenn ich am 7490 eine MYFritz Freigabe über die über VPN erreichbare IP Kamera machen könnte.

Leider probiere ich hier seit Tagen vergeblich rum.

Falls hierfür jemand eine Lösung hätte, ich wär für jeden Tipp sehr dankbar.


Danke im Voraus!

Content-Key: 284704

Url: https://administrator.de/contentid/284704

Printed on: April 25, 2024 at 23:04 o'clock

Member: beidermachtvongreyscull
beidermachtvongreyscull Oct 06, 2015 at 06:39:11 (UTC)
Goto Top
Deiner Beschreibung zufolge, sind die Router also nicht hintereinander (seriell) sondern nebeneinander (parallel) im Netzwerk geschaltet.
Ist das richtig?

Beide Router bedienen das gleiche LAN?

Die Kamera ist in diesem LAN?

Wie erfolgt die IP-Adressierung? Per DHCP? Wer ist dann der Default Gateway?
Member: Pjordorf
Pjordorf Oct 06, 2015 at 07:55:53 (UTC)
Goto Top
Hallo,

Zitat von @drylin:
- Meine FritzBOX 7490
Male dein wirres Konstrukt mal auf und schreib bei wo welches Netz und welche IP und wo die IP Cam ist.

Jetzt aber soll zusätzlich aus dem Netz von außen auf die Kamera zugegriffen
Portforwarding wäre hier das Stichwort, aber bei dein Konstrukt an Fritzboxen bin ich nicht sicher das .....

Gruß,
Peter
Member: drylin
drylin Oct 06, 2015 at 10:44:54 (UTC)
Goto Top
Hallo, danke erstmal.

Die beiden Router laufen vollständig unabhängig, jeder Router hat sein eigenes Netzwerk. Die beiden Netzwerke sind aber über VPN miteinander verbunden.
Der Router 7272 bedient ausschließlich die IP Kamera, der Router 7490 (60 km entfernt) ist eine klassischer Router im Heimnetzwerk und DSL Zugang.
Die Adressierung läuft über DHCP. Zu dem Default Gateway kann ich nichts sagen.
Member: Pjordorf
Pjordorf Oct 06, 2015 updated at 11:08:26 (UTC)
Goto Top
Hallo,

Zitat von @drylin:
Die beiden Router laufen vollständig unabhängig, jeder Router hat sein eigenes Netzwerk. Die beiden Netzwerke sind aber über VPN miteinander verbunden.
OK, jetzt ist es verständlich.

Der Router 7272 bedient ausschließlich die IP Kamera
Dyndns und Co. und Portforwarding. Fertisch. Von extern dann über die Dyndns und den Port (z.B. 8084) und du hast Zugriff. Intern ändert sich gar nichts.
Ob allerdings dein UMTS das zulässt....

Ansonsten in deiner 7490 sich per DynDns und Co. einwählen und dort dein Portforwarding zur IP der IP Cam machen. Natürlich geht es nur wenn deine 7490 das Netz der IP Cam kennt (Sagst ja Intern klappt alles) und du musst dafür sorge tragen das die IP Cam auch den Weg zurück kennt. (Routing) Evtl. Statische Routen setzen....

Gruß,
Peter
Member: aqui
aqui Oct 06, 2015 at 14:43:40 (UTC)
Goto Top
autarker Zweitrouter und ist über einem UMTS Stick (keine öffentliche IPv4) mit dem Internet verbunden.
Das heisst dann was ?? Vermutlich ein Billig Nur Surf Account bei dem Der Provider intern private RFC 1918 IP netze nutzt mit einem zentralen NAT, richtig ??
Kannst du an der WAN/UMTS IP erkennen ! Siehe dazu auch diesen Thread:
VPN über webn walk Stick IV nicht mehr möglich
soviel ich weiß ist dies auch nicht anders möglich
Da weisst du leider nicht viel... face-sad Ist natürlich Unsinn, denn der supportet auch Client to Router und auch beides parallel !
über den 7490 nach außen "durchzurouten" .
Das ist natürlich Quatsch, denn mit Routing hat das nichts zu tun. Das ist simples Port Forwarding.

Nur man fragt sich natürlich was der ganze Unsinn soll ?? Auf der einen Seite machst du alles richtig und greifst per VPN zu, was den Vorteil hast das die Daten des internen Netzes verschlüsselt und vor fremden Augen sicher sind.
Dann wiederum machst du dummes Port Forwarding und exponierst diese Kameradaten offen im Internet so das die ganze Welt zusehen kann und du zusätzlich auch noch ein Loch in deine Router Firewall bohrst was eine Gefahr für deine loaklen Netze darstellt.
Warum also diesen Rückschritt in die Steinzeit ?!
Mit VPN bist du doch bestens bedient und kannst das elegant lösen. Auch wenn nicht warum koppelst du nicht beide Router in einem Netz oder mit einem 30 Euro Koppelrouter ??
Damit kannst du nicht nur alles lösen sondern hast auch noch eine Provider Redundanz !
Member: drylin
drylin Oct 06, 2015 at 21:21:46 (UTC)
Goto Top
Hallo ,
danke für die Tipps Peter, leider hab ich`s noch nicht hinbekommen wie "aqui" schon schreibt bin in der Netzwerktechnik eher noch ein Laie.

Die Dyn DNS habe ich soviel ich weiß über das MYFritz Konto also eine "https://xxxxx.myfritz.net" Adresse.
Über die ist der Router 7490 von außen erreichbar. Die 7490 kennt die IP Kamera leider noch?!? nicht.
"Die Portfreigabe kann nicht erstellt oder aktiviert werden, da das Ziel nicht im Heimnetz liegt." so die 7490.

WARUM? im Heimnetzwerk ist die Kamera über die IP problemlos aufrufbar.
Welche Einstellungen müssen ggf. auf der 7272 vorgenommen werden, damit die 7490 die Kamera erkennt?


Bzgl. UMTS: "Internet über Mobilfunk, UMTS, IP-Adresse: 109.43.xxx.xxx"

Bzgl. Koppelrouter: wäre mit diesem die Kamera von außen erreichbar?


Zum Schluss noch zum Hintergrund, warum ich den "Quatsch" so aufbaue:
Es handelt sich bei dem autarken Router um einen Router auf einer Baustelle, der in erster Linie dazu dient die IP Kamera mit PoE zu betreiben. Die Kamera speichert Zeitrafferbilder auf eine an dem Router angeschlossenen Festplatte. soweit so gut. Zudem soll via UMTS auf das Live Bild zugegriffen werden. Sicherheit ist hier eher zweitranig, wer sich hier einhacken möchte, darf gerne zusehen face-smile Die Sicherheit am Hauptrouter ist natürlich eine andere Sache.

Für Verbesserungsvorschläge bzgl. des Aufbaus bzw. Realisierung bin ich jederzeit offen, die Hardware war allerdings schon vorhanden und ich wollte mit den bestehenden Mitteln das Ganze realisieren.
Member: Pjordorf
Pjordorf Oct 07, 2015 at 19:20:35 (UTC)
Goto Top
Hallo,

Zitat von @drylin:
leider hab ich`s noch nicht hinbekommen
Uns auch ein Bild zu liefern face-smile
Sieht dein geplantes vorhaben so aus?

36dbe2e161f2b83e8b1ef95e7298d982

Gruß,
Peter
Member: drylin
drylin Oct 08, 2015 at 05:19:03 (UTC)
Goto Top
Hallo Zusammen,
Hallo Peter,

ja genau so.
Danke für die professionelle, schematische Darstellung.

Gruß
Christoph
Member: aqui
aqui Oct 08, 2015 updated at 08:40:25 (UTC)
Goto Top
Zudem soll via UMTS auf das Live Bild zugegriffen werden. Sicherheit ist hier eher zweitranig, wer sich hier einhacken möchte, darf gerne zusehen
Dann ist das ganze doch ein Kinderspiel !!
  • gehe ins Setup des Routers
  • richte ein Port Forwarding ein wo du incoming den TCP Kameraport auf die lokale IP Adresse der Kamera forwardest. Z.B. Wenn auf die Kamera mit HTTP (Browser) zugegriffen wird Incoming TCP 80 weiterleiten auf <Kamera_IP> TCP 80
  • Dann öffnest du deinen Firefox oder Chrome Browser und tippst ein http://<IP_Adresse_am_Router_UMTS_Port> und et voila...schon siehst du das (ungeschützte) Kamera Live Bild. Eine popelige Standard Konfig die millionenfach so im Einsatz ist !
  • Fertig ist der Lack und in 5 Minuten erledigt !
Warum machst du um so eine Kleinigkeit einen solchen Zinnober, das richtet jeder Erstklässler wie gesagt in 5 Minuten ein.

Dinge die du beachten solltest:
  • Die UMTS Port IP Adresse ist dynamisch und kann wechseln. Außerdem ist es nicht einfach diese dann von remote herauszubekommen
  • Hier macht es Sinn einen DynDNS Dienst wie noip.com oder ggf. vom Router Hersteller zu verwenden.
  • Der meldet deine dynmaische IP immer auf einen festen Hostnamen wie meinebaukamera.noip.com
  • Das hat den unschätzbaren Vorteil das du nie die nackte IP wissen musst auch wenn diese sich mal ändert sondern einfach immer http://meinebaukamera.noip.com in den Browser eingibst und immer auf der richtigen Router IP landest !
  • Die zweite Falle lauert an der Kamera IP: Solltest du die mit DHCP vom Router dynamisch vergeben kann die sich auch mal ändern !
  • Da du aber eine feste und statische Zuweisung mit Port Forwarding im Router für den externen Zugriff auf eine interne (Kamera) IP hast, kann die dann ins Nirwana laufen wenn die lokale IP mit einmal ne ganz andere ist. Dann iss nix mehr mit den Randalierern die dir den Bauwagen anzünden...
  • Sinnvoll ist hier IMMER der Kamera eine feste statische IP zu geben oder im Router auf Basis der Geräte Mac Adresse der Kamera immer eine feste IP an diese per DHCP zu verteilen damit die Kamera IP stabil bleibt und somit das Port Forwarding die Daten von außen immer weiterleiten kann.

TCP 80 oben ist nur ein Beispiel. Wenn die Kamera anders mit dem Rechner kommuniziert per RTP Streaming usw. musst du die TCP oder UDP Ports im Port Forwarding des Routers entsprechend anpassen. Im Zweifel hilft hier immer ein Wireshark Sniffer.
Wenn du diese kleinen Tips umsetzt kommt dieser simple Klassiker wie gesagt in popeligen 5 Minuten zum Fliegen.
Member: drylin
drylin Oct 08, 2015 at 08:52:02 (UTC)
Goto Top
Danke!

Das das ganze ein Kinderspiel ist, dachte ich anfangs auch aber jetzt will`s einfach nicht funktionieren.

Das Port Forwarding wird am Hauptrouter (7490) nicht angenommen.
"Es ist ein Fehler aufgetreten.
Fehlerbeschreibung: Die Portfreigabe kann nicht erstellt oder aktiviert werden, da das Ziel nicht im Heimnetz liegt.
Bitte geben Sie Ihre Daten noch einmal ein. Sollte der Fehler erneut auftreten, wenden Sie sich bitte an den AVM-Support."
Das komische an dem Ganzen, die Kamera ist mit der IP vom ganzen Heimnetzwerk ohne Probleme aufrufbar.

Wo hab ich noch einen Fehler in dem Ganzen Aufbau?
Member: Pjordorf
Pjordorf Oct 08, 2015 at 15:24:03 (UTC)
Goto Top
Hallo,

Zitat von @drylin:
ja genau so.
Dann schreib doch mal die IPs zu deinen Ports und die Netze.

Gruß,
Peter
Member: Pjordorf
Pjordorf Oct 08, 2015 at 15:29:17 (UTC)
Goto Top
Hallo,

Zitat von @drylin:
Das das ganze ein Kinderspiel ist
wenn

Das Port Forwarding wird am Hauptrouter (7490) nicht angenommen.
Ist das ein zwingendes muss weil eben per UMTS ein Port Forwarding nicht geht oder was?

Fehlerbeschreibung: Die Portfreigabe kann nicht erstellt oder aktiviert werden, da das Ziel nicht im Heimnetz liegt.
Irgendwie schon klar, aber ohne das wir wissen wie du deine IPs und Netze benummert hast ....

Welche IP gibst du denn an? Was ist dein VPN Transfer Netz? Welche IPs haben die Frittenschmieden? Was hat die IP WebCam?

Das komische an dem Ganzen, die Kamera ist mit der IP vom ganzen Heimnetzwerk ohne Probleme aufrufbar.
Ja, weil das über dein VPN netz ja auch intern erreichbar ist.

Wo hab ich noch einen Fehler in dem Ganzen Aufbau?
Kann eine Fritzbox überhaupt einen Port von Außen über sein eigenes VPN an den anderen Standort bringen und dort an eine Interne IP binden?

Gruß,
Peter
Member: drylin
drylin Oct 09, 2015 at 07:00:52 (UTC)
Goto Top
Hallo Zusammen,

der externe Zugriff erfolgt über: https:/xxxxxxx.myfritz.net:43344/

Das Netz der 7490: 192.168.10.0
Die IP der 7490: 192.168.10.1

Das Netz der 7272: 192.168.20.0
Die IP der 7272: 192.168.20.1
Die IP der Cam: 192.168.20.23


VPN:
wurde nach der Anleitung von AVM eingerichtet:
http://avm.de/nc/service/fritzbox/fritzbox-7490/wissensdatenbank/public ...

7272 Adresse im Internet = IP der UMTS Verbindung (UMTS, IP-Adresse: 109.43.xxx.xxx)


Konfiguration Portfreigabe an der 7490:
kann aber nicht aktiviert werden!!!!!<<<<
Bezeichnung: HTTP-Server
Protokoll: TCP 80
Port: 80
an Computer: PC-192-168-20-23
an Port: 80


Braucht Ihr noch mehr Infos?

Danke!
Member: aqui
aqui Oct 09, 2015 at 07:29:02 (UTC)
Goto Top
Wenn du per VPN Zugreifst, dann ist das Port Forwarding doch Schwachsinn ! Sorry...
Der tiefe Sinn von einem VPN ist doch geade das der remote Client sich dann exakt genau so verhält wie im lokalen LAN.
Wenn du also eine funktionierende VPN Verbindung zur Fritzbox hast und die Kamera IP pingen kannst via VPN, dann kannst du die Connection auf die Kamera genau so öffnen wie im lokalen Netz.
Klimmzüge wie den Zugriff über simples Port Forwarding musst du dann nicht machen.

Es geht nur entweder oder... VPN oder Port Forwarding. Entscheide dich was du machen willst. !
Das die Portfreigabe auf TCP 80 nicht aktiviert werden kann ist klar, denn da sitzt ja logischerweise das WebGUI der Fritzbox drauf auf dem Port.
Das musst du zuerst im Setup logischerweise deaktivieren damit das port Forwarding klappt.
Ansonsten denkt doch die Fritzbox das sie gemeint ist wenn da TCP 80 Frames reinkommen ! Klar...
Member: drylin
drylin Oct 09, 2015 at 07:57:52 (UTC)
Goto Top
OK vielen Dank für die schnelle Antwort und Tipps.
Langsam kommt etwas Licht ins Dunkle.
Ich würde auf jeden Fall die VPN bevorzugen.

Ich probiere später das Ganze mal aus.

Wie gesagt IT und Netzwerk ist nicht wirklich meine Stärke... face-sad
Member: drylin
drylin Oct 09, 2015 at 20:06:04 (UTC)
Goto Top
Hallo Zusammen,

also derzeit sieht es folgendermaßen aus:
- Das Anpingen der CAM aus dem Heimnetz funktioniert problemlos.
- Der Zugriff auf die 7490 von aussen ist problemlos möglich
- Der Zugriff auf die CAM von aussen funktioniert leider immer noch nicht

Zugriff auf die 7490 über: https://igkiyxxxxxxxx.myfritz.net:43344/

Über eine MY Fritz Freigabe auf der 7490 sind alle direkt angeschlossenen IP Geräte erreichbar z.B. http://android-yyyyyyy.igkiyxxxxxxx.myfritz.net

Eine MY Fritz Freigabe an der 7490 für die über VPN verbundenen an der 7272 angeschlossenen IP Geräte (IP CAM) ist nicht möglich.

Eine direkte MY Fritz Freigabe an der 7272 ist nutzlos aufgrund der nicht öffentlichen IPv4 Adresse.


Hat jemand eine Idee wie ich das Ganze zum Laufen bringe?

DANKE!
Mitglied: 114757
114757 Oct 09, 2015 updated at 20:55:48 (UTC)
Goto Top
Hat jemand eine Idee wie ich das Ganze zum Laufen bringe?
Die cleane Lösung: nur VPN nutzen
Muss unbedingt direkter Zugriff ohne VPN sein:
  • Entweder die Fritte durch einen vernünftigen Router wie z.B nen preiswerten Mikrotik ersetzen, oder diesen hinter die Fritte setzen und wie im folgenden Punkt ein DSTNAT machen.
  • Einen sparsamen Raspi hinter die Fritte setzen und mit IPTables ein DSTNAT auf die IP der CAM machen. Bidirektionale IP- UND Port-Translation: Wie lauten die konkreten iptables-Befehle?
  • oder für Winblows-User reicht auch netsh Interface portproxy

Dann fluppt das ...

Die Fritten haben einfach zu wenig Spielraum in der Firewall-Config um das damit vernünftig lösen zu können. Sie sind halt nur Spielzeuge für den Durchschnitts-Konsumer, sobald man etwas mehr will sollte man zu Profi-Hardware greifen...

Gruß jodel32
Mitglied: 77757
77757 May 14, 2016 updated at 14:21:22 (UTC)
Goto Top
Zitat von @drylin:

"Es ist ein Fehler aufgetreten.
Fehlerbeschreibung: Die Portfreigabe kann nicht erstellt oder aktiviert werden, da das Ziel nicht im Heimnetz liegt.
Bitte geben Sie Ihre Daten noch einmal ein. Sollte der Fehler erneut auftreten, wenden Sie sich bitte an den AVM-Support."
Das komische an dem Ganzen, die Kamera ist mit der IP vom ganzen Heimnetzwerk ohne Probleme aufrufbar.

Wo hab ich noch einen Fehler in dem Ganzen Aufbau?

Du kannst keine Portfreigaben erstellen, die an einer anderen Adresse hängen!
Beispiel:
entfernter Router (UMTS) hat die 192.168.2.1 - Kamera hängt beispielsweise an 192.168.2.100 Port 80.
Dein Hauptrouter mit DSL hat die 192.168.1.1 - intern klappts logisch, is ja auch via VPN verbunden.

Du kannst aber im Hauptrouter keinen Port von 192.168.1.x freigeben - dann kommt genau diese Fehlermeldung in der Fritzbox.


EDIT:
Jetzt sehe ich erst, dass der Thread schon etwas älter ist. Wie hast du denn das Problem jetzt in den Griff gekriegt?