Funktioniert NAT Loopback mal wieder nicht?

rene.borer

Hallo zusammen

Zuerst einmal: ich wünsche allen Foren-Besuchern "es guets Nöis" 🙂

Mein Problem:

Ich möchte gerne wieder meine Website auf einem kleinen Server bei mir im internen Netz nutzen. Von aussen bzw. WAN funktioniert der Zugriff problemlos. Im internen Netz jedoch nicht.

Habe bei mir:

-IB3

-Firmware 13.01.40

-Standard Nameserver in der IB-Kein Booster

Funktioniert das bei euch? Könnte das eventuell einen Zusammenhang haben mit dem neuen Pseudo-Zertifikat, welches Swisscom bei den IB's eingeführt hat?

LG & Danke euchRené

krypton

Hast du mal versucht ob es funktioniert, wenn der Server nicht auf den Standardports 80/443 lauscht?

rene.borer

hallo @krypton

danke für deinen tip. aber jetzt funktioniert es plötzlich ohne dass ich etwas geändert habe 👍.

lg rené

edit: oder auch nicht. geht schon wieder nicht mehr.

Alessiolc

Hallo Rene

Ich bin sehr froh, dass ich auf diesen Beitrag gestossen bin. Ich habe nämlich genau das gleiche Problem mit der Internet Box 4 auf der Firmware-Version: 13.20.26/13.20.18/01923. Das Problem habe ich genau seitdem Swisscom dieses Pseudo Zertifikat ausgerollt hat. Witzigerweise hat es auch bei mir zwischendurch für 1-2 Tage perfekt funktioniert, aber nur via LAN Kabel. Wieso auch immer.

Nun funktioniert es bei mir aber auch nicht mehr. Habe schon alles mögliche versucht und bin am Ende angelangt.

Wenn ich auf den Webserver zugreifen will, leitet er mich soweit ich nachgeforscht habe auf den Webserver weiter, gibt jedoch dieses internetbox.swisscom.ch Zertifikat mit. Dies führt natürlich zu einem Fehler, da mein Server Heimnetzwerk natürlich eine andere Domäne hat.

Ich vermute den Fehler bei der Firmware der Internet Box, da es bei uns beiden für eine kurze Zeit ja sogar funktioniert hat.

Von einem anderen Netzwerk oder Mobilfunknetz funktioniert alles perfekt.

Ich hoffe sehr @MichelB kann uns helfen.

hed

@Alessiolc @rene.borer

Evtl. hilft dieser Link weiter:

https://www.tuxone.ch/2013/12/dns-im-lokalen-netzwerk.html

PowerMac

@Alessiolc schrieb:
[...] Wenn ich auf den Webserver zugreifen will, leitet er mich soweit ich nachgeforscht habe auf den Webserver weiter, gibt jedoch dieses internetbox.swisscom.ch Zertifikat mit. Dies führt natürlich zu einem Fehler, da mein Server Heimnetzwerk natürlich eine andere Domäne hat.
[...] Von einem anderen Netzwerk oder Mobilfunknetz funktioniert alles perfekt.

Ist mir jetzt nicht klar was du damit meinst, dass der Webserver dich auf den Webserver weiterleitet. Damit wir vom gleichen reden: Ich nehme an du hast einen internen Webserver mit installiertem Zertifikat für einen bestimmten Hostnamen. Dieser Hostname zeigt auf die externe IP deiner Internetbox, und auf dieser hast du ein Forwarding von Port 443 auf Port 443 der IP deines internen Webservers eingerichtet. Wenn du von ausserhalb deines Netzwerks per Hostname auf den Webserver (z.B. https://meinesite.internet-box.ch/) zugreifst, funktioniert alles wie gewünscht. Wenn du dasselbe aber aus dem internen Netz tust, wird dir die Loginseite der Internetbox angezeigt, wobei auch das auf internetbox.swisscom.ch ausgestellte Zertifikat mitgeliefert wird. Korrekt?

Alessiolc

Hallo @PowerMac

Vielen Dank für deine Antwort

Deine Schlussfolgerung ist fast korrekt. Wenn ich beispielsweise "fiktiveseite.ch" öffne, welche über DynDNS mit der IP der Box verknüpft ist, per extern zugreife ist alles tiptop.

Bin ich aber im internen Netz bekomme ich einen "NET::ERR_CERT_COMMON_NAME_INVALID" Fehler, da ich ja "fiktiveseite.ch" aufgerufen habe, jetzt aber das Zertifikat von "internetbox.swisscom.ch" zugestellt bekomme. Ignoriere ich diesen Fehler und lasse die Verbindung auf dem Client zu bekomme ich die Fehlermeldung, dass der Server die Verbindung unerwartet beendet hat.

Ob er mich jetzt mit dem Internetportal der Box verbinden versucht und abbricht, da der Domainname nicht stimmt oder ob mein Apache Server die Verbindung kappt, beziehungsweise geht die mit falschem Zertifikat ja eh nicht, kann ich eigentlich gar nicht sagen. Ich muss mal in die Logs von Apache schauen ob ich hierzu was finde. Wie gesagt glaube ich aber immer noch an einen Firmwarefehler, da ja NAT Loopback mit der IB4 meines Wissens funktionieren müsste.

LG Alessiolc

PowerMac

Wenn dir das Cert von internetbox.swisscom.ch angezeigt wird, bist du mit an Sicherheit grenzender Wahrscheinlichkeit mit dem Webserver der IB verbunden und dein eigener Webserver ist völlig unbeteiligt. Kannst ja noch in den Apache-Logs schauen um 100% sicher zu sein. Seltsam ist auf jeden Fall, dass der Server die Verbindung unerwartet beendet und nicht der Client. Anyway, wenn ich heute Abend dazu komme, werde ich das Szenario bei mir zuhause nachbauen.

Alessiolc

@PowerMac

So ich habe nun die Access Logs angeschaut und festgestellt, dass du Recht hast. Der Webserver ist tatsächlich bei diesem Fehler nicht beteiligt. Ich sehe keinen einzigen geloggten Access währenddem ich vom internen Netz zugreifen versuche.

Dass der Server und nicht der Client abbricht macht für mich soweit Sinn:

Ich möchte auf den Webserver, mir antwortet aber die IB4 mit dem eigenen Zertifikat beim SSL Handshake. Da will jetzt der Client aus Sicherheitsgründen abklemmen. (Cert Name Fehler) Wenn ich nun aber eine Verbindung zulasse würde die reine Kommunikation ja eigentlich funktionieren (Firewall ausgenommen), vermutlich klemmt aber nun eine Policy in der Web Server Config der IB4 ab, die erkennt, dass ich ja "fikitveseite.ch" und nicht "https://internetbox.swisscom.ch/" aufrufen wollte. Soweit ich das weiss, wird das üblicherweise so gemacht. Ich hoffe nicht, dass Swisscom bei der Firmware lediglich auf ihre selbst generierten DNS Domänen (xy.internet-box.ch) geprüft haben und am Schluss meine DYNDNS Domäne einen Bug triggert.

Noch etwas weiteres sehr seltsames:

Ich hatte vorher die Idee, evtl ist ein Bug im STP Protokoll vorhanden. Also habe ich STP deaktiviert und ausprobiert. Hat sich nichts geändert. Also STP wieder aktiviert und siehe da es hat für ca. 30 Sekunden alles funktioniert und seitdem wieder nie mehr. Egal wie oft ich es aktiviere und deaktiviere. Mir riecht es hier irgendwie ganz seltsam.

Alessiolc

Ich habe gerade zusätzlich etwas sehr interessantes entdeckt. Und zwar ist in der Router Firmware Version 13.01.24 von diesem Bugfix die Rede:

Netzinterne Requests auf öffentliche IPs funktionieren nicht mehr (Hairpinning / NAT Loopback).

Somit vermute ich noch eher einen Bug. Als hätten sie ihn nicht komplett behoben. Mir kommt das ganze sehr seltsam vor. Vor allem, da bei mir Hairpinning seit sicher 2 Jahren aktiv genutzt wird und immer perfekt funktioniert hat und nun seit diesem Pseudo Zertifikat plötzlich nicht mehr.

Lg Alessiolc

PowerMac

Ich habe dein Szenario soeben nachgebaut mit meiner Internetbox 3, aber bei mir funktioniert alles so wie es soll, dh. auch wenn ich aus dem internen Netz auf https://meineurl.irgendwas.ch/ zugreife erscheint die korrekte Website mit zugehörigem Zertifikat. Allerdings läuft bei mir eine andere Firmwareversion. @MichelB, gibt es ein bekanntes Problem mit NAT-Loopback in der Version 13.20.26?

Alessiolc

Guten Morgen @PowerMac

Vielen Lieben Dank fürs nachbauen. Das ist sehr hilfreich von dir!

Welche Firmware hast du den darauf? Hat deine Firmware bereits die "https" Funktion für das WebGUI?

Hast du auch DynDNS aktiviert auf eine ganz normale Domäne oder benutzt du die Dynamische Swisscomfunktion? Auch via Let's Encrypt verschlüsselt?

Hast du auch STP eingeschalten und DMZ abgeschalten und 80 und 443 manuell weitergeleitet?

Bin gespannt ob @MichelB etwas sagen kann. Evtl liegt es am Schluss auch daran, dass ich die IB4 habe, wobei @rene.borer auch eine IB3 hat..

LG Alessiolc

jonno

Sorry for replying in English.

Same issue on my side with IB3 (firmware13.20.26/13.20.18/01923).

Have a little homelab (linux) which hosts minecraft servers, websites and alike.

I managed my domains via no-ip.

IB3 is set to: STP on / DMZ off, port forwarding 80/443 to host server (static IP)

On server (booster off), I have nginx reverse proxy with SSL Let's Encrypt

NAT loopback has worked perfectly for a couple of years BUT in the past few months, it keeps failing with:

ERR_CERT_COMMON_NAME_INVALID.

Subject: internetbox.swisscom.ch

Issuer: SwissSign RSA TLS OV ICA 2021 - 1

Expires on: 10 Aug 2023

Current date: 25 Feb 2023

If I "reset to default" the IB3, loopback works for few hours then eventually stops.

I think it's firmware related and is really frustrating.

Am currently investigating if something like pi-hole to take over DHCP/DNS might help me.

jonno

https://community.swisscom.ch/t5/Router-Hardware/Port-Forwarding-vom-WLAN-funktioniert-nicht/td-p/674044/page/2

Replaced IB3 firmware with 13.90.42/13.00.36/01785 > https://www.mycloud.swisscom.ch/s/S00EBF964D600B88724D85192C29D6F52FB0F25B09D

NAT loopback seems to work for now

Alessiolc

Hi @jonno thanks for sharing your experience. I have installed the linked Firmware now and everything is working now! So we can say 100% a Firmware Problem. I really hope they fix this Issue in the next weeks.

I have already called the Swisscom Hotline about this bug the day before yesterday and they said they have forwarded it.

This can not be Swisscom Quality to get the clients to use an outdated Firmware with old security patches and no secured Web GUI just because they haven't tested the already known bug another time before rolling out, when implementing such a big change as a secured Admin Web GUI.

Really hope to hear from you soon. @MichelB

Thanks a lot

Alessiolc