Mennekes Amtron Xtra / Zugriff auf Service Interface aus der Ferne

Migo · 4. Februar 2022, 09:16

an Alle: Nicht vergessen, es wird ja html-Code einwandfrei ausgeliefert, bricht nur nach wenigen Zeilen und wenigen kBytes ab, übrigens deutlich mehr als 1500 bytes. Daher ist die MTU zwar eine interessante Spur aber doch auch nicht so richtig passend.

@Adi: Mein "Livebildschirm" ist ein Techniklaie vor Ort, der mir erzählt was er auf seinem Bildschirm sieht. Das hört sich nach einem sich laaaaangsam aufbauenden Serviceinterface an.

@Maverick78: Netzwerkanalyse müsste ich Leuten überlassen, die sich mit dem Zeichensalat der da ankommt auskennen und die dann auch Möglichkeiten haben die Settings zu verändern. Ich kenne mich definitiv zu wenig damit aus.

@christech: Klingt interessant. Wo finde ich diesen TTL-Wert und wie kann ich ihn ändern ?

acurus · 4. Februar 2022, 09:19

Wenn du bei einer VPN Verbindung mit einer TTL über 5 nicht klar kommst solltest du deine Netzwerkstruktur überdenken, die ist etwas dann etwas oversized.

(TTL hat entgegen dem Namen nichts mit Zeit zu tun, sondern jeder Router/Hop auf der Strecke verringert die TTL um eins, und wenn ein Paket eine TTL von 0 erreicht wird das Paket verworfen)

Bei nem VPN zu einer Fritzbox sollte da also eher nur ein Hop auf der Strecke sein, da kann man ja nen Traceroute machen.

Und deutlich mehr als 1500 Bytes HTML muss auch nix heissen, HTTP kann ja auch komprimierte Übertragung - und Text lässt sich ja in der Regel gut komprimieren

christech · 4. Februar 2022, 09:19

Der TTL wird bei ping und trcroute mitgeliefert. Hat absolut gesehen keine Aussagekraft, aber relativ zum remote-Router schon. Ist erstmal ein Indiz, nicht mehr. Interessant ist daher, ob die Amtron dasselbe Muster zeigt im Verhältnis zu anderen funktionierenden Netzwerkgeräten. Bei meinem Beispiel sind alle Geräte direkt am Remote-Router an dessen Switch angehängt. Und die TTL-Werte sind reproduzierbar konstant. Liegt aber bei mir daran, dass ich Router-zu-Router und nicht VPN-Einwahl habe.

acurus · 4. Februar 2022, 09:23

Und ich schwanke gerade zwischen "ich korrigiere das gefährliche Netzwerk-Halbwissen" und "ohne Pakete anschauen kann man nix weiter eingrenzen, ich halt mich raus"

christech · 4. Februar 2022, 09:32

@acurus mir kam auch schon Messen in den Sinn...nur eben mit Bordmitteln geht man meistens nach Indizien vor und sucht dann konkret. Lass uns also an Deinem Wissen teilhaben, wo Du suchen würdest. Die meisten Heimnetze wie bei @Migo sind doch nur ein einfacher Stern zum Router ohne weiteres Routing/nachgeschaltete Router. Da kann man herzlich wenig strukturell ändern wie in einem komplexen DC-LAN....

acurus · 4. Februar 2022, 09:46

Das Problem ist, wie ich und Mav schon länger sagen: nachdem die offensichtlichen Punkte geklärt und quasi ausgeschlossen sind bleibt nur noch sich den Netzwerk-Datenverkehr im Detail anzuschauen, Paket für Paket. Welches Gerät sieht welche Pakete an welcher Stelle.

Die Fritzbox hat dafür eingebaute Funktionen, hatte ich oben verlinkt.
Auf dem PC kann man z.B. Wireshark nehmen um das ganze mitzuschneiden

Wireshark braucht man dann auch zur weiteren Analyse, aber das ist dann nicht mehr in wenigen Sätzen erklärt, und auch remote-Support ist da schwierig bis unmöglich, im besten Fall sehr aufwendig wenn man nicht selbst testen kann sondern nur mit remote hands.

In den Packettraces würde ich dann beispielsweise schauen wie es mit dem DF-Bit im Header ausschaut, ob die Pakete wie erwartet durchlaufen, ob es irgendwo RST Packets gibt, was Wireshark im Analysemodus zu dem TCP-Flows sagt... Da kommt dann jahrelange Erfahrung zum tragen.

Unterm Strich wäre es, gerade mit eingeschränkten Möglichkeiten vor Ort, am pragmatischsten zu sagen: Haken dran, dann ist das Support-Portal nicht von extern erreichbar, sondern wir gehen über einen lokalen Rechner via RDP, VNC, Teamviewer, whatever. Alternativ nen kleinen Raspi als "Sprungserver" platzieren.

Oder, ganz wilde Idee, bevor wir hier weiter Ratespielchen machen: was sagt eigenlich Mennekes dazu, mal den Support gefragt?

christech · 4. Februar 2022, 10:04

Und die nächste Frage ist doch auch, ob man an dem Problem letztlich überhaupt was ändern kann. Beim Gigaset löst man das Problem damit (immerhin hatten sie bei der Entwicklung dran gedacht!), dass man in den Security Settings den Zugriff aus anderen Netzen als dem lokalen Netz zulassen kann. Ob die Mennekes auch so eine Einstellung hat? Denn es könnte daran liegen. Was dagegen spricht, ist natürlich, dass eine halbe Webseite übertragen wird, eine Übermittlung an fremde Netze würde ja normalerweise entweder vollständig erlaubt oder vollständig unterbunden.

Edit: Hier mal die Einstellung beim Gigaset, es kann natürlich sein, dass es das bei der Mennekes nicht gibt und sie fix nur Zugriffe lokal aus dem LAN zulässt, Ausnahme für die App zur Bedienung:

acurus · 4. Februar 2022, 10:17

Bei so einer Option würde ich erwarten das entweder gar nichts übers Netz geht oder zumindest ne klare Meldung kommt "nicht aus entfernten Netzen, gehen sie weiter, es gibt nichts zu sehen"

Aber genau deswegen sollte man sich überlegen ob es den Aufwand wert ist, sprich wie oft wird die Option genutzt, reicht eventuell Teamviewer o.ä. auf einem PC vor Ort nicht auch aus.

christech · 4. Februar 2022, 10:54

Die Tendenz geht doch in die andere Richtung, nämlich, dass alle Geräte mit einem Herstellerserver sprechen und man sich via App oder Webseite an diesen anloggt, um das Remote-Gerät zu konfigurieren. Ich bin da ja kein Freund von (warum sollte ein Hersteller ständig in meine Kiste/Einstellungen reingucken), zumindest wenn man da keinen Haken setzen kann, dass das zu unterbleiben hat. Andererseits hat das natürlich auch Vorteile für den normalen Endkunden. Reden die Mennekes Boxen mit so einem zentralen Server bei Mennekes?

acurus · 4. Februar 2022, 10:58

Das war mit eine meiner ersten Fragen hier im Thread, unser Philips Luftfreiniger macht das z.B. stillschweigend so, ich hab erstmal große Augen gemacht als dessen App auch von extern ohne aktives VPN funktionierte

Die Antwort war "nein".

Migo · 4. Februar 2022, 12:43

@Alle: Über mangelndes Engagement kann man sich hier nicht beklagen, an alle vielen herzlichen Dank !

@Alle: Ein Herstellerzugriff ist mir nicht bekannt und auch nirgends dokumentiert, was natürlich nicht ausschließt dass es einen solchen geben könnte. Die Mennekes Hotline ist nur per Mail erreichbar und antwortet mit einem timelag von einigen Werktagen mit trainierten Standardfragen und -antworten: Welches Betriebssystem verwenden Sie ? Was sehen Sie wenn Sie per WLAN auf die AMTRON gehen. Trennen Sie die Amtron doch mal vom Stromnetz (schon veranlasst, jedoch ohne Änderung) Usw. usf. Ist in diesem Stadium alles nicht so wirklich hilfreich.

@christech und Alle:
hier die TTLs die der ping zurückgibt bei Verbindung über VPN:
die ferne FritzBox selbst: TTL=64
die Tecalor WP: TTL=63
das Energymeter: TTL=63
der Sunnyhome-Manager: TTL=63
die AMTRON: TTL=127 Zeit=18ms

Alles übrigens störungsfrei erreichbar außer die AMTRON.

acurus · 4. Februar 2022, 12:54

Und was ist mit den noch offenen Vorschlägen wie "einfach nicht weiter verfolgen sondern Teamviewer nehmen"? Bei einer Netzwerkanalsyse kann der Zeitaufwand zwischen 10 Minuten und vielen Stunden liegen, plus lange Einarbeitsungszeit und Recherche falls nicht jemand mit viel Knowhow direkt mit unterstützen kann, ohne Garantie das am Ende mehr rauskommt als "ok wird nicht funktionieren weil der Hersteller nicht mitspielt".

Die TTL Angaben sind, wie schon mehrfach jetzt erklärt, völlig belanglos.

Migo · 4. Februar 2022, 13:07

@acurus: TTL war der Wunsch von christech, ich habe nur geliefert

TeamViewer zur AMTRON ? Versteh ich nicht.

TeamViewer auf einen PC vor Ort ?
Oh jeh. Den Techniklaien dort erklären wie sie Teamviewer installieren ? Und dass die aktuelle TeamViewer-Version auf ihrem PC mit Win98 leider nicht läuft ? Also in der Zeit bin ich locker die 3 Stunden hingefahren. Und dann ? Dann stehe ich in einem kalten Technikraum. Und bekomme ich dann vor Ort das Problem so gelöst dass ich nicht bei der nächsten Änderung gleich wieder hinfahren darf weil VPN-Zugriff immer noch nicht funktioniert ?

christech · 4. Februar 2022, 14:03

@acurus hat schon recht, absolut gesehen sagt TTL nichts aus, aber das Muster ist das gleich wie beim Gigaset: die TTL Werte des "nicht reagierenden" Devices fallen erheblich raus. Daher @Migo wäre die Frage an Mennekes schon zu stellen, ob das Service Interface nur im lokalen LAN aufrufbar ist oder ob es jedenfalls nach deren Ansicht auch extern funktionieren muss.

acurus · 4. Februar 2022, 14:43

Die Frage ist berechtigt, aber nicht wegen TTL oder nicht.

Ob ein Paket mit einer TTL von 100, 50 oder 2 beim Empfänger ankommt ist komplett irrelevant.

Teamviewer installieren? Man läd es runter und klickt drauf. Idealerweise installiert man es wenn man vor Ort ist um immer eine Lösung zu haben. Damit kannst du dann immer supporten. Oder wie gesagt: einen Raspi hinstellen der diese Funktion übernimmt. UNd wenn das mit Windows 98 nicht nur ein dummer Witz war: sofort die Finger davon lassen. In welcher Beziehung stehst du denn zu den Techniklaien? Und wieso muss man überhaupt "ständig" an das Serviceportal, ich hätte jetzt in meinem jugendlichen Leichtsinn gesagt "dat issene Wallbox, die richteste einma in und dann is jut?"

Lange Rede kurzer Sinn: Wenn du aus der Verpflichtung da zu helfen nicht rauskommst, und die lokale Infrastruktur so eine Grütze ist, dann wirst du das wohl fixen müssen. Die 50-80 EUR wirst du wohl dann investieren müssen, mir persönlich wäre es der Gewinn an Lebenszeit wohl wert.

Migo · 4. Februar 2022, 15:04

@acurus / Daniel: Deine Fragen zu den Usern sind natürlich absolut berechtigt. Ich kann nur soviel sagen: Es hat immer alles einen Grund im Leben. Auf das Serviceportal möchte ich nur EIN MAL und die Energiemanament-Funktion der AMTRON aktivieren nachdem der Elektriker die Klamotten an die Wand genagelt hat und abgetaucht ist. Mehr möchte ich erst Mal nicht aber wie wir beide wissen kann immer wieder der Fall eintreten dass man da drauf muss.

Deinen Vorschlag mit dem Mitschnitt habe ich aufgegriffen. Unter support.lua kommt bei mir ein txt-File raus, das sich nicht ohne weiteres in Wireshark importieren lässt. Es ist trotzdem aufschlussreich, selbst für mich als Laien. Es gibt extrem viel Traffic, der so aussieht wie unten obwohl gegenwärtig angeblich niemand zu Hause ist:

<BROADCAST,MULTICAST,UP,10000>
inet6 fe80::2de:adff:febe:efca/64
15: lan <BROADCAST,MULTICAST,ALLMULTI,UP,10000>
inet 192.168.178.1/24 brd 192.168.178.255
inet 169.254.1.1/16 brd 169.254.255.255
inet6 2003:df:7707:9100:e228:6dff:feca:6739/64
inet6 fd00::e228:6dff:feca:6739/64
inet6 fe80::e228:6dff:feca:6739/64
16: guest <BROADCAST,MULTICAST,ALLMULTI,UP,10000>
inet 192.168.179.1/24 brd 192.168.179.255
inet6 2003:df:7707:9101:e228:6dff:feca:673a/64
inet6 fd00::1:e228:6dff:feca:673a/64
inet6 fe80::e228:6dff:feca:673a/64
18:

Kann ich annehmen dass dieser Multicast-Traffic evtl. für die Probleme sorgt ?

Die Broadcast Multicast stammen häufig von IP-Adressen (192.168.179.x), die es im IP-Bereich der Fritz eigentlich gar nicht gibt, jedenfalls sehe ich sie nicht in der Konfig und ich habe sie auch damals nicht angelegt. Da fällt mir der Junior ein, der sich angeblich mit einer zweiten FritzBox den LAN 1 gekapert hat damit er "ab und zu mal mit dem Notebook ins Internet kann".

christech · 4. Februar 2022, 15:19

Dann schau doch mal, ob Du den Multicast-Verkehr abschalten kannst, also das IP-TV tech Zeugs ausser Betrieb nehmen = Stecker ziehen. Und als einziges Netzwerkgerät die Amtron dran. Und neuer Versuch...

Ich hab nur mal von Multicast-Problemen (bei Swisscom TV, ist aber schon ein paar Jahre her) gehört, die haben bis auf's dortige WLAN durchgeschlagen.

Maverick78 · 4. Februar 2022, 15:28

Wenn da eine FritzBox im Einsatz ist, könntest du auch einfach mal das Interface mitschneiden an dem die Amtron hängt und deine Anfrage per VPN machen. Das Capture File kannst du mir schicken. Dann kann ich mir das mal anschauen am Wochenende.
Zum Mitschneiden des Traffics musst du über eine versteckte Funktion der Fritzbox gehen ... -> fritz.box/html/capture.html

acurus · 4. Februar 2022, 16:31

Auch das hatte ich ja schon oben verlinkt, also die Möglichkeit des Capturens.

Das Textfile oben hat auch gar nichts mit Datenpaketen zu tun sondern ist nur der Ist-Zutand der Interface mit entsprechenden Settings. Sprich Ip Adresse, Broadcast-Adresse. Da jetzt was von Multicast Paketen reinzuinterpretieren zeugt jetzt nicht von Netzwerk-Kompetenz, mit Verlaub gesagt. Das Wireshark da nix mit anfangen kann wundert mich erstmal nicht.

Und auch Broadcasts sind jetzt nichts ungewöhnliches und Teil eines jeden IP basierten Netzes. Das 179er Netz ist übrigens einfach und schlicht und ergreifend das Gastnetz der Fritzbox.

Ganz ehrlich: gib das mit dem Remote-Zugriff direkt am besten auf, akzeptiere den einmaligen Schmerz dir eine vernünftige Lösung da hin zu setzen wenn du vermutest das du öfters auf die Serviceseite der Wallbox musst, und fertig.

Das ist weit weit effektiver als hier weiterhin alle Pferde scheu zu machen, und mehr Zeit zu versenken als es kosten würde es einmal richtig zu machen. Sorry für die etwas deutlichen Worte, aber ich habe in meinem Leben echt schon zu viel Pfusch in der Art gesehen. Ich mache meinen „Service“ für Freunde und Familie davon abhängig das die Infrastruktur im großen und ganzen passt, schließlich opfere ich meine Zeit. Das führt dazu das hingepfuschte Netzwerke, oder veraltete Betriebssysteme entsprechend rausfliegen oder ich nix dafür mache.

Eine vernünftige Lösung würde dich in normalen Zeiten 50 Euro kosten, jetzt in der Marktlage vielleicht 70, gebraucht noch günstiger. Das wäre es mir auf jeden Fall wert, wenn ich in der Zwangslage wäre da dauerhaft support leisten zu müssen.

Migo · 4. Februar 2022, 17:10

@acurus:
Dass Du es richtig und vernünftig machen würdest von einem der im Gegensatz zu mir Netzwerkkompetenz hat, anstatt hier weiterhin Pferde scheu zu machen, habe ich schon verstanden.

Ich muss aber leider mit der vorhandenen Kompetenz vorlieb nehmen und kümmere mich als Nächstes um die Ansätze von @christech und @Maverick78.
Hierfür vielen Dank !

Mennekes Amtron Xtra / Zugriff auf Service Interface aus der Ferne

Teilen

Tags