UDP Port lässt sich nicht öffnen

anon1337

Guten Morgen,

Ich möchte auf meinem PC einen UDP Port öffnen, um Daten von einer externen Hardware zu empfangen.

Dazu habe ich folgendes gemacht:

- Bei der Internet Box 3 eine Portweiterleitung (Port Nummer 5600) auf die IP meines Laptops gemacht.

- Der Router schlug automatisch vor, die IP vom PC statisch zu ändern, das habe ich bestätigt. Die IP ist statisch.

- Beim Windows Defender habe ich eine neue eingehende Regel für diesen Port erstellt.

Um zu schauen, ob der Port von aussen sichtbar ist, habe ich mit einem online Tool http://www.dnstools.ch/port-scanner.html einen Scan auf meine externe IP gemacht. Der Port wird nicht angezeigt, ich bin aber nicht sicher, ob dieser Scan auch UDP Port anzeigt.

Der Swisscom Support meinte, dass sie mir bei diesem Problem nicht helfen können.

r00t

Hi @anon1337

Der von dir angegebene "Scanner" ist ungeeignet, da er nur vordefinierte Ports scannt. Du könntest dies von extern z.B. mit NMAP via Handyhotspot testen:

nmap -sU <host> -p5600

Falls du nicht sicher bist, ob der Traffic bereits ankommt, kannst du mittels Wireshark schauen, ob da Pakete ankommen.

Ich persönlich habe ebenfalls ein UDP Port-forwarding eingerichtet, das funktioniert einwandfrei - ich würde für solche Sachen (Daten von ominöser Hardware) aber ganz klar ein VPN vorziehen, da die Softwarequalität bei IoT-Geräten/Haussteuerungen etc. meistens stark unter Preisdruck leidet.

r00t

user109

@anon1337 ich würde auch ein Portmapping vorschlagen.

Weil der Port für Trojaner missbraucht.

https://www.speedguide.net/port.php?port=5600

anon1337

user109

Danke für den Hinweis.

Soll ich also eine andere Portnummer verwenden? Oder einen vom Ziel-Port unterschiedlichen Eingangs-Port verwenden?

Aktuell sieht das bei mir so aus:

anon1337

Hi @r00t

Herzlichen Dank für Deine umgehende Antwort.

Ich hab wie von Dir vorgeschlagen mit nmap einen Scan auf dem Port gemacht

nmap -sU -p 5600 xx.xxx.xx.xx

(Als IP hab ich meine externe IPv4 genommen, welche hier ersichtlich ist https://www.whatismyip.com/ )

Den Rechner, welcher den Scan durchführt habe ich via Smartphone-Hotspot verbunden und folgendes Resultat erhalten:

PORT STATE SERVICE

5600/udp open|filtered esmmanager

Scheint zu funktionieren? 🙂

Edit: Ich hab jetzt testweise mal die Portweiterleitung im Router auf einen anderen Port geändert und den Scan noch einmal gemacht. Das Scan-Ergebnis bleibt dasselbe.

Ich kann im Scan eigentlich irgendeine random Portnummer eingeben und der output ist immer ähnlich:

PORT STATE SERVICE

5600/udp open|filtered (der Service ändert).

Heisst das diese Ports sind alle offen?

In Wireshark sehe ich jedoch nichts auf dem Port. Eventuell sehe ich mehr, wenn ich den Port mit einem Pythonskript "belausche"?

Zu Deinem Hinweis wegen VPN:

Den UDP Port benötige ich für eine Hardware, welche UDP Daten via NB-IOT (LTE) an eine einstellbare IP/Port sendet. Ich möchte eigentlich nur prüfen, ob die Daten auch wirklich gesendet werden.

Liebe Grüsse

r00t

Hi @anon1337

Wenn du dem Rat von @user109 folgen möchtest, musst du den Zielport so lassen und den Eingangsport ändern.

Die bedingt allerdings, dass du auf dem sendenden Gerät (Magst du uns verraten, worum es sich handelt?) den Zielport anpassen musst.

r00t

anon1337

Was ist der Unterschied zwischen Eingangs- und Zielport?

Ja klar es handelt sich um dieses Board hier:

https://www.nordicsemi.com/Products/Development-hardware/nrf9160-dk

Ich kann beim Board in der Firmware einen beliebigen Port angeben. Das ist kein Problem.

r00t

Hi anon1337

Der Eingangsport ist der Port, auf welchem die Internetbox die aus dem Internet eingehenden Pakete akzeptiert.

Der Zielport ist der Port, wohin die Internetbox die Pakete anschliessend weitergeleitet.

zielport.drawio.png

Einfach daran denken, dass anschliessend das ganze Internet auf den Port zugreifen kann 😉

r00t

anon1337

Danke für die Erklärung.

Bei meinem LTE Board muss ich demnach den Zielport einstellen, damit es beim PC landet?

Wie kann die vom Internet aus gesendete UDP Nachricht beim Zielport landen, wenn von aussen "nur" der Eingangsport gegeben ist, welcher ja eine andere Nummer hat?

Welche Werte für den Eingangs- und Zielport schlagt ihr denn vor? Gibt es einen Eingangsport, welcher defaultmässig offen und zugänglich ist?

Auf Grund der Ergebnisse vom nmap scan habe ich leider immer noch das Gefühl, dass kein Port von aussen wirklich zugänglich ist. Im Manual steht:

Open means that an application on the target machine is listening for connections/packets on that port. Filtered means that a firewall, filter, or other network obstacle is blocking the port so that Nmap cannot tell whether it is open or closed.

Bei meinen Scanresultaten steht ja immer open|filtered.

r00t

Hi @anon1337

Bei meinem LTE Board muss ich demnach den Zielport einstellen, damit es beim PC landet?

Nein, du musst den Eingangsport auf deinem Gerät als Zielport für die Verbindung definieren.

Welche Werte für den Eingangs- und Zielport schlagt ihr denn vor? Gibt es einen Eingangsport, welcher defaultmässig offen und zugänglich ist?

Gibt es für das Protokoll, welches du nutzt, einen Standardport? Oder hast du ein eigenes, welches du über UDP schickst?

Grundsätzlich wird ein Port geöffnet, sobald du die Portweiterleitung einrichtest. Im Normalfall werden keine Ports vom ISP blockiert, ausser evtl. SMTP, um Spam vorzubeugen.

Auf Grund der Ergebnisse vom nmap scan habe ich leider immer noch das Gefühl, dass kein Port von aussen wirklich zugänglich ist.

UDP ist schwierig zu scannen, da im Gegensatz zu TCP keinerlei Handshake oder ähnliches durchgeführt wird. Falls deine Applikation/Skript keine Antwort liefert, weiss nmap nicht, was damit anzufangen. Du kannst ja mal z.B. mit Packetsender Testpakete verschicken und gucken ob die ankommen. (Ich würde das von extern versuchen um das Hairpin-NAT auszuschliessen)

Was gibst du eigentlich auf der HW als Zieladresse ein? Falls du einen Internetbooster nutzt musst du unbedingt die Adresse, welche auf dem Internetbox-GUI angezeigt wird verwenden. Falls dort CG-NAT steht, musst du das deaktivieren lassen.

r00t

anon1337

Es gibt meines Wissens keinen default-Port für die Anwendung.

Es werden ja "nur" dummydaten gesendet, um zu zeigen, dass man über NB-IOT Daten "in die Cloud" schicken kann.

Noch eine Frage zum Verständnis meinerseits:

Inwiefern sorgt ein Portmapping für eine höhere Sicherheit?

Wie @user109 gesagt hat, wird Port 5600 für Trojaner missbraucht. Warum dieser und nicht einfach alle? Ich mein... ich kann doch für jeden Port versuchen einen Trojaner einzuschleusen?

Ich hab gute Neuigkeiten: Es funktioniert jetzt.

Ich weiss zwar nicht genau, warum aber es funktioniert 😄

Ich habe meine LTE Hardware noch einmal geflasht und im Wireshark den Filter für den aktuell eingestellten UDP Port gewählt und siehe da: Jedes Mal, wenn meine LTE Hardware sagt, sie habe eine Message geschickt, erscheint diese im Wireshark Terminal.

Das einzige, was ich zwischendurch noch gemacht habe ist mit Python einen Socket auf dem entsprechenden Port zu öffnen in der Hoffnung etwas zu sehen. Vielleicht liegt es daran? (Es funktioniert jetzt aber auch wenn Python nicht läuft).

Danke für eure Zeit und Geduld ❤️

r00t

Hi @anon1337

Noch eine Frage zum Verständnis meinerseits:

Inwiefern sorgt ein Portmapping für eine höhere Sicherheit?

Einige Script-Kiddies werden dann wohl den Dienst nicht finden, da sie nur Standardports scannen - aber wirklich erhöhen tut das die Sicherheit nicht. Ein unsicheres System bleibt trotzdem unsicher 😉. (repeat after me: NAT ist keine Firewall!)

Ich gehe davon aus, dass @user109 dies nur erwähnt hat, da gewisse Antivirentools & co. bei diesem Port hellhörig werden könnten.

Ich habe meine LTE Hardware noch einmal geflasht

Das klingt nach der Lösung! 😁

r00t