FB 6490 Port 445 out/in freigeben

Anonym84090 · ‎07.10.2019

Hallo liebe Community,

ich habe folgende Anforderung:

Ich habe auf einem MS Azure Storage Account einen FileShare eingerichtet, welchen ich gerne via SMB als Netzlaufwerk an meinem PC im Heimnetz verbinden möchte. Dies geht nach Sichtung der MS Documents ausschließlich via Port 445

Es gäbe zwar die Möglichkeit mit dem Azure Storage Explorer, bzw AzCopy zu arbeiten, dies sind jedoch im Kontext wenig zufriedenstellende Alternativen, zumal wer Azure Storage Explorer kennt, weiß um dessen Limitierungen

Nach heute längerem und sehr freundlichen und professionellen Kontakt mit der UM Business Hotline kam heraus, dass der Port bei der AVM FB 6490 von AVM selbst geblockt wird - aus Sicherheitsgründen (SMB über's Internet ist buhu usw...).

Ich habe schon probiert explizit über die FB Einstellungen > Internet > Filter > Listen das SMB Protokoll hinzuzufügen, als auch in der Whitelist die URL in sämtlichen Kombinationen hinterlegt, jedoch ohne Erfolg.

Weiter natürlich auch die standardmäßigen Portfreigaben für das entsprechende Gerät hinterlegt.

Interessanterweise haben die AVM Geräte für das DSL-Netz diese "Sperrkonfiguration" noch nicht und bei diesen kann man Azure FileShares noch ohne Probleme einbinden.

Hat hier aus der Community jemand diese Anforderung vlt selbst vor kurzem umgesetzt und weiß eine Idee?

Funktioniert die Variante mit NetBIOS via Config abschalten und dann die Freigabe aktivieren noch, oder wurde das in einem der letzten Updates "gefixed"?

Extra für FileShares ein P2S-VPN hochzuziehen scheint mir ein Aufwand zu sein, den ich gern vermeiden möchte, zumal ich mir nicht sicher bin ob die FB IPSEC kann und ich dazu zusätzlich in Azure eine VM hosten müsste, welche die FileShares eingebunden hat.

Vielen Dank vorab und viele Grüße erstmal

Marco

Scoopi · ‎08.10.2019

Ich habe zwar keine Antwort auf deine eigentliche Frage jedoch eine sehr gute alternative.

Dateiserver in Azure per WebDAV via PowerShell bereitstellen Mein amerikanischer Kollege Brian Lewis hat in einem schon älteren Blog-Post beschrieben, wie man ei...

Ich rate davon ab, SMB öffentlich erreichbar zu machen (Verschlüsselung).

Facebook: "Ich kenne jeden!"
Wikipedia: "Ich weiß alles!"
Google: "Ich finde alles!"
Internet: "Ohne mich geht gar nichts!"
Strom: "ACH WIRKLICH?"

Anonym84090 · ‎08.10.2019

Ich werde mir das mal anschauen vielen Dank für den Input.

Anonym87791 · ‎28.11.2019

Wie sieht das denn mit geblocktem Port 445 aus, wenn man keine FB hat, sondern nur ein Cisco-Modem (EPC3212)? Die UM Hotline beharrt steif und fest darauf, dass UM keine Ports blockt.

Ist aber nachweislich so. Ich habe zwei WAN-Anschlüsse an unserer Hardware-Firewall, einer von der DTAG, der andere UM Office Internet. Stelle ich das Routing auf die DTAG-Leitung um, klappt der Zugriff sofort. Nur nicht beim Routing über die Leitung von UM :flushed:

Die Hotline ist nicht in der Lage, mein Problem zu lösen und der Second-Level-Support meldet sich nicht... ganz schlechte Servicequalität ...

Torsten · ‎28.11.2019

Wie soll denn Bitteschön bei einem Modem irgendwas gesperrt werden? Das geschieht immer im Router!

Anonym87791 · ‎28.11.2019

Hallo Torsten,

das weiss ich schon auch, und die Leute von UM sagten, sie müssten sich deswegen an das NOC wenden - da wurden einst wohl Portbereiche generell gesperrt, und möglicherweise gibt es da noch 'Altlasten'. Aber Feedback gab es leider keines.

Ich habe über beide Leitungen wunschgemäss ein tracert laufen lassen und diese Infos übermittelt. Ziel ist jedesmal der entsprechende Hostname xxxxx.file.core.windows.net (MS Azure). Es sind nicht so viele Hops, die in Frage kommen...

Über die Powershell kann ich mit Test-NetConnection <host> -p 445 einfach prüfen, ob die Verbindung aufgebaut wird. Bei DTAG geht das sofort, bei UM erscheint nach Timeout 'failed'.

Was könnte sonst noch das Problem sein, wenn nicht eine Portsperre irgendwo auf dem Weg zu MS Azure?

Scoopi · ‎29.11.2019

hksmko:

Hallo Torsten,
das weiss ich schon auch, und die Leute von UM sagten, sie müssten sich deswegen an das NOC wenden - da wurden einst wohl Portbereiche generell gesperrt, und möglicherweise gibt es da noch 'Altlasten'. Aber Feedback gab es leider keines.
Ich habe über beide Leitungen wunschgemäss ein tracert laufen lassen und diese Infos übermittelt. Ziel ist jedesmal der entsprechende Hostname xxxxx.file.core.windows.net (MS Azure). Es sind nicht so viele Hops, die in Frage kommen...
Über die Powershell kann ich mit Test-NetConnection <host> -p 445 einfach prüfen, ob die Verbindung aufgebaut wird. Bei DTAG geht das sofort, bei UM erscheint nach Timeout 'failed'.
Was könnte sonst noch das Problem sein, wenn nicht eine Portsperre irgendwo auf dem Weg zu MS Azure?

Vermutlich hast du einen DS-LITE Anschluss?

Facebook: "Ich kenne jeden!"
Wikipedia: "Ich weiß alles!"
Google: "Ich finde alles!"
Internet: "Ohne mich geht gar nichts!"
Strom: "ACH WIRKLICH?"

Anonym87791 · ‎29.11.2019

Das ist ein Anschluss mit 6 IPv4-Adressen, zuweisbar per MAC-Adresse. Noch aus KabelBW-Zeiten...

Anonym87791 · ‎02.12.2019

Also wenn ich das richtig verstanden habe, teilt sich so ein DS-Lite-Anschluss eine IPv4-Adresse mit mehreren anderen Anschlussinhabern. Bei mir ist es genau anders herum. Ich kann bis zu 5 IPv4-Adressen selbst konfigurieren, indem ich die MAC-Adresse des jeweiligen Endgerätes hinterlege.

Das bedeutet aber für mich, es gibt da draussen ein Gerät (Router, Firewall etc.), welches mir das Subnetz zur Verfügung stellt und anhand der MAC-Adresse routet. Und genau da kann durchaus auch an den Ports gedreht bzw. Ports gesperrt / Traffic nicht weitergeleitet werden.

Wer ist bei Unitymedia für diese Technik zuständig? Wohin wende ich mich damit korrekterweise?