Frage wegen angezeigter IP bei Fritz.box 7360

[drakrochma]

Hallo,

bin bei inexio (kleiner lokaler Anbieter, haputsächlich Geschäftskunden) und habe folgendes "Problem":
Bei einigen spielen wird mein Server n icht vom Internet ausgefunden, nur bei LAN-spielen.

Laut Router ist meine IP eine andere als laut wieistmeineip.de
Fritz.box:
Internet, IPv4

verbunden seit 12.12.2014, 11:23 Uhr, inexio / QUiX, IP-Adresse: 100.64.21...

Laut wieistmeineip.de:

Ihre IP-Adresse lautet:
188.210.5...

Das passt doch nicht so ganz zusammen, oder?
Wie kann ich meine wirkliche IP raus finden?
Bis vor ~3 wochen wurde mir bei beidem die gleiche IP angezeigt, jetzt aber 2 unterschiedliche.
Hab es auch mehrmals mit Routerreset versucht um ne neue IP zu bekommen.
Dann ändern sich beide, aber gleich werden sie einfach nicht.

Die unterschiedlichen IPs würdenmich eher begrenzt stören, was mich eher stört ist die Tatsache, dass ich hier keinen Server mehr zum laufen bekomme, den man auch von extern findet...
Laut utrace liegt meine IP laut wieistmeineip in Rumänien und meine ip der Fritzbox gibt es nicht...
Mein Provider sitzt an der Grenze zu Belgien...

FritzOS ist 6.20

Jemand ne Idee?

 

[UsAs]

Deine echte IP siehst du auch in der Fritzbox selbst, auf der Oberfläche.

 

[fdsonne]

Also wenn die IP, die dir die FB anzeigt unterschiedlich mit der ist, die dir bspw. wtfismyip.com anzeigt, dann schaut das so aus, als wäre zwischen der Seite von wtfismyip.com und einer Fritzbox irgend ein Gateway, was NAT betreibt.
Je nach Provider und dessen Größe ist das nichts primär ungewöhnliches. Es könnte aber auch schlicht und ergreifend ein Carrier Problem sein... Also gar nix mit deinem Provider zu tun haben, sondern irgendwo eine Ebene weiter vorn im INet.


Ich würde in erster Linie bei deinem Provider nachfragen, ob sich an diesem Konstrukt was ändern lässt. Denn es schaut für mich so aus, als würde dein Provider einfach irgendwelche IP Ranges "intern" nutzen und die Kundenanschlüsse dann über ein zentrales Gateway schicken. Könnte aber bspw. auch mit irgendwelchen Security Funktionen ala private Proxy oder ähnliches zusammen hängen. Keine Ahnung, ob dein Provider sowas anbietet...

Ansonsten, probier mal den Aufruf von wtfismyip.com mit unterschiedlichen Browsern... Nicht das da irgendwo ein Proxy oder was hinterlegt ist oder irgendein AddOn oder ähnliches dafür verantwortlich ist!
Auch könntest du mal einen Traceroute (cmd Fenster, "tracert -d www.hardwareluxx.de") hier posten... Da werden dir die Hops angezeigt, wo du lang läufst.

Und die IP, die dir die FB anzeigt, ist definitiv nicht verfügbar von public aus?
Kannst du von einem anderen Gerät mit INet (über einen anderen Anschluss!) ebenso mal ein Traceroute auf die IP der FB posten?

 

[drakrochma]

ok, um es mal für mich als Vollblutleien umzutexten:
Die Fritzbox zeigt mit ne vom Provider zugeteilte IP an und denk, das wäre meine Adresse im Netz, tatsächlich isses aber nur ne art Proxi über den alles läuft.
Von außerhalb sehe ich nur die IP mit der der Proxi im Netz ist.
Meine Daten gehen über den Proxi ins Netz.
Wenn ich aber hosten will gehen die Daten entweder an den Proxi und der leitet nicht weiter oder sie gehen an ne IP, die es im internet nicht gibt sondern nur im subnetz von meinem Provider?

Stimmt das so ungefähr?


IP-Adresse hab ich über firefox und I-explorer am Rechner und über dolphin-browser und standardbrowser am Tablet kontrolliert, stimmen alle überein.
Nur meine Fritzbox zeigt mir ne andere IP.

(cmd Fenster, "tracert -d www.hardwareluxx.de")

hab ich gemacht.
1. IP: interne IP des Rechners.
2. IP IP des Providers (laut utrace inexio...)
3. IP: 100.128.0.1 (sieht für mich eher nach ner internen IP aus, und alle an der Fritzbox angezeiten IPs fangen auch mit 100.XXX an)
4. IP IP des Providers (laut utrace inexio...)
5. IP IP des Providers (laut utrace inexio...)
6. IP DE-CIX frankfurt


zum tracern von nem anderen Rechner: gibts sowas auch für android?

 

[fdsonne]

100.128.0.1 ist die erste nutzbare IP aus dem halben Class-B Netz 100.128.0.0 und gehört nach whois Abfrage zu T-Mobile USA. Ist also public...
Aber scheint nicht im Netz geroutet zu sein, wenn ich das richtig sehe...

Im übrigen, keine falsche Scheu vor den Tracerouts und dem hier Posten der Daten. Wenn du ein Traceroute von dir aus machst, dann siehst du darauf nichts, was dich in irgendeiner Weise wirklich angreifbar macht. Du siehst jeweils immer die Router IP des jeweiligen next hops.
Interessant dabei ist eben zu vergleichen, was dir bspw. dein Handy (für Smartphones gibts ebenso Traceroute Tools/Apps) anzeigt, wenn du bspw. über die UMTS/LTE Verbindung versuchst die IP deiner FB anzuwählen... Rein formal müsste sich das in irgendeiner Weise in etwa mit dem decken, was du siehst, wenn du ein Traceroute von deinem PC aus richtig Internet machst -> oder auf die public IP, die dir dein Handy anzeigt, wenn du wtfismyip.com aufrufst.

Ansonsten ja in etwa hast du das richtig verstanden... Wenn das so sein sollte, dass der Provider "intern", also in seinem eigenen Providernetz mit nicht öffentlich gerouteten public IPs agiert, dann wirst du da von außen nicht ohne weiteres Zugreifen können. Ansonsten, ein Proxy selbst muss es nicht zwingend sein, kann es aber Für den Provider hat das den essentiellen Vorteil, dass er mehr Kunden bedienen kann, auch wenn er nicht genügend public IPv4 Adressen besitzt. Denn die internen IPs kann er erbarmungslos doppelt und x-fach vergeben, muss halt nur sicherstellen, dass diese doppelten sich gegenseitig nicht sehen.
Aber da kann dir dein Provider womöglich am ehesten Auskunft erteilen.
Fakt ist aber, die FB sieht im Grunde nicht deine public IP, sondern sie sieht die IP, die sie vom Provider zugewiesen bekommt. Ob diese IP allerdings von public erreichbar ist oder nicht, steht auf einem völlig anderen Blatt. Ebenso wie sich die routingwege im Providernetz aufbauen...
Bei UMTS Verbindungen ist das bspw. gang und gäbe, dass man keine direkten public IPs am "Handy" hat, sondern dort erstmal tonnenweise Netze zwischengeschalten sind bis es mal irgendwann public geht
Bei einigen Providern im Arabischen und Asiatischen Raum kenne ich dieses Konstrukt ebenso... Unterm Strich wohl auch ein Tribut an die immer knapper werdenen IPv4 Adressen Wenn alle dann halt alle... Und wenn mehr Geräte als IPs versorgt werden wollen, müssen Alternativen geschaffen werden. -> eine davon könnte sowas sein, was du gerade siehst.

 

[drakrochma]

so sieht das aus.

Gibts denn ne Möglichkeit das irgendwie zu umgehen um beim Server hosten keine Probleme mehr zu haben oder kann da nur der Provider was dran drehen?

traceroute auf dem tablet hab ich eben mit der IP der fritz.box übers windows-phone versucht.
die erste gefundene IP ist das handy, danach gibts nur noch Sterne...
mit der IP von wtfismyip übers windows-phone nochmal versucht und was anderes gefunden.
die erste gefundene IP ist das handy, danach gibts nur noch Sterne bis incl 15.
Dann IPs bis incl 20, die wohl alle zu level3.net gehören und danach wieder nur sterne...

 

[fdsonne]

Da haben wir wohl schon das Problem

Du hattest oben einen Schreibfehler... Nicht 100.128.0.1 (T-Mobile USA, was mich auch irgendwie stark gewundert hat) sondern 100.127.0.1...

Der Bereich 100.64.0.0/10 ist das Problem Also die dritte Stelle bei dir im Traceroute -> die fällt da rein. Das ist ein mittlerweile als privater Netzbereich ausgegebenes Netz. Wohl für ISPs um wie oben schon angedeutet den IPv4 Adressmangel zu umgehen bzw. als Übergangslösung.
Wird benutzt für die Kommunikation zwischen Carrier und ISPs bei Verwendung von Carrier-grade NAT. Ist übrigens spezifiziert in RFC 6598

Also nein, keine Chance da von außen draufzuzugreifen...
Was aber potentiell gehen könnte, wenn du doch mal beim Provider nachfragst Denn eventuell haben die das auch eingeführt um die Masse der Leute damit abzufedern... Heist aber nicht zwangsweise automatisch, dass man dich nicht wieder irgendwie umheben könnte.

Das passt auch irgendwie zu deiner Aussage oben, dass das vor einer Weile mal noch gleich war (also FB und die Anzeige der Websites) -> da hat der Provider einfach vor nicht allzu langer Zeit umgestellt...

EDIT: ich seh gerade, steht sogar schon bei dir im Startpost Hätte ich auch eher drauf kommen können...
"IP-Adresse: 100.64.21..."

 

[NTB]

Aber wieso wird denn die 100er nicht als erster Hop nach der Fritze angezeigt? Bzw glaubt die Fritze, ihre IP sei die 100er und nicht die 77...?

 

[drakrochma]

Dann mal vielen Dank für deine Hilfe und sorry wegen dem Tippfehler, da haben die Wurstfinger mal wieder etwas Knoten gehabt...

Ich werd morgen mal bei denen anrufen.
Bisher waren die eigentlich immer recht freundlich und zugänglich.

Außerdem hat meine Fritzbox seit dem letzten Update statt der bisherigen 33mbit dann jetzt 48,7mbit, was bei nem 50mbit-Vertrag nicht schlecht ist.
Vielleicht wechsel ich ja auf 100, dann hätte ich gleich die 10mbit upstream, hmm, dürfte für den Server nicht schaden.
darf nur die Cheffin nicht erfahren

 

[fdsonne]

Aber wieso wird denn die 100er nicht als erster Hop nach der Fritze angezeigt? Bzw glaubt die Fritze, ihre IP sei die 100er und nicht die 77...?

Das weis ich allerdings nicht... Aber möglicherweise hat die FB ja sogar mehrere IPs zugewiesen, zeigt aber nur eine an?
Ich meine mich dran zu erinnern, dass das bei der Telekom mit Entertain ähnlich läuft... Nur das dort der reguläre Traffic über die reguläre (und angezeigte) IP geht, wärend das Entertainzeugs über den anderen Kanal läuft?

Aber auch hier kann wohl der Provider am Besten Auskunft geben...

PS: was auch sein kann, das die Anzeige im Traceroute nicht stimmt... Also der zweite Hop sozusagen. Möglicherweise ist das auch "nur" eine 100.xx Adresse und das Gerät meldet sich einfach nur mit einer 77er Adresse im Traceroute? Wäre zumindest eine Option.

 

[drakrochma]

Bin mal gespannt was ich da morgen erzählt bekomme und versuche das ganze hier halbwegs so wiederzugeben.

Finde das Thema allgemein recht interessant und finde es echt schade, dass das früher an der Schule nie Thema war.
Und beim Chemiemeister is leider recht wenig Berührungsfläche mit IT...
Wird zeit zum umschulen


€:
wo ich grade so erfolgreich beim dumme Fragen stellen bin: wenn ich mich nicht irre konnte ich mir auch ne fest IP zuweisen lassen beim Vertragsabschluss, hat aber einmalig 90€ und dann monatilich 5€ gekostet oder was in der Art.
Deswegen hab ich mir das erspart.
Wäre das noch ein Ausweg und was hat das für Nachteile?
Denke da an den "Sicherheitsvorteil" einer dauernd wechselnden Adresse...

 

[Seratio]

Hi,

um das hier noch ein bischen weiter zu erklären, nehm ich mal als Beispiel die ersten 3 Hops aus deinem Traceroute. Wobei dein Router die IP 100.64.21.123 (Beispiel) erhalten hat.
1 192.168.178.1
2 77.244.96.15
3 100.127.0.1


Im Normalfall, wovon man in der Regel ausgehen sollte, liegt der nächste Hop immer im selben Subnetz, wie die IP der Frustbox. Du hast dann eine ganz normale Default Route auf das Gateway. z.B. 100.64.21.1. Sprich so wie es dein Rechner im 192.168.178.0/24 Netz macht.

Dies ist aber nicht zwangsläufig nötig. Ein Gateway kann durchaus in einem anderen Netz ausserhalb des verwendeten liegen. Technisch hat das keinen Nachteil für dich. Der Router setzt intern einfach eine Route zum Gateway, allerdings nicht via einer IP, wie es regulär eben wäre. Sondern via eines Interfaces.

Du hättest dann in deiner Routingtabelle z.B: folgendes stehen:
77.244.96.15/32 dev wan0
default via 77.244.96.15


Ich muss gestehen, dass was dein Provider da tut, ist leider gängige Praxis... Also sprich Carrier Grade NAT. Die Provider wollen halt einfach entsprechend IPs sparen.. Kostet ja heut zu Tage leider ein wenig Geld.

Was jedoch hier totaler Unsinn ist, aber leider funktioniert und scheinbar öfters gemacht wird, ist globale und private IPs im Traceroute zu mischen. Ich mein jetzt nicht, dass du die 100er IPs im Trace siehst, sondern ehr, dass du im Trace erst eine Private siehst, dann eine Globale, dann wieder eine Private??? und dann eben weiter mit Globalen...



Zum Thema statische IP oder nicht:

Wenn du Carrier Grade NAT hat, dann bist du was die Sicherheit angeht, eh gut bedient. Von aussen kannst du nicht angegriffen werden. Lediglich durch eigene Dummheit oder eben Viren in Installationspacketen.

Bei der statischen IP verhält es sich eigtl ähnlich. Dein Router NATet in diesem Fall für dich und deine Rechner sind aus dem Internet heraus NIE direkt erreichbar, ausser du richtest ein Portforwarding ein und machst dein Netz dadurch angreifbar. Des weiteren können entsprechende Bugs auf deinem Router ein Sicherheitsrisko darstellen, aber das geht ist auch bei dynamischen globalen IPs der Fall.

Für mich selbst hat eine fest IP nur einen Nachteil.. Bekommst du eine DOS Attacke ab, bist du Offline.. Neue IP anfordern kannst du ja dann leider nicht... Aber wenn wir ehrlich sind, sind DOS Attacken auf DSL Anschlüsse selten.


Gruß
Alex

 

[fdsonne]

Möglich dass es damit funktioniert
Ggf. will/wollte der Provider auch einfach zusätzlich einnahmen erzeugen? Wäre zumindest denkbar, vor allem dann, wenn das mehr kosten soll -> und auch ne Einrichtungspauschale, was ich persönlich schon fast für dreist halte...

Nachteile hast du nur bedingt. Ja die IP wechselt halt nicht im 24h Takt. Sprich wenn diese irgendwo im Netz bekannt ist, können dich potentielle Angreifer versuchen eben anzugreifen und hätten damit alle Zeit der Welt um eine Schwachstelle an deinem Router zu finden Das Problem an der Sache ist ja viel eher, dass du ja irgendwie von außen auf irgendwas zugreifen willst Und dafür benötigst du eben diese public IP. Ändert diese sich alle 24h oder bei disconnect, müsstest du dir jedesmal eine andere IP merken. Oder du nutzt DynDNS oder ähnliche Anbieter -> damit hast du dann aber wiederum die 1:1 Beziehung von IP und Namen. Also wenn jemand den Namen kennt (und das lässt sich rausfinden), ist es wie feste IP

Was dagegen machen wirst du so ohne weiteres nicht können... Bestenfalls bieten sich Verfahren ala Fail2Ban oder ähnliches an. Ich würde in Jedemfall aber dieses ominöse Fernremotezugriffszeugs von der FB ausschalten.
Ebenso ist es ggf. ratsam anstatt einem Portforwarding in ein internes Netz für die Einrichtung eines externen Zugriffs eine Art DMZ zu nutzen. Sprich ein vom eigentlichen internen Netz losgelöster Netzwerkbereich. Wenn es einem Angreifer gelingen sollte, den Dienst/das Protokoll oder was auch immer du da vorhast, von extern aus zugreifbar zu machen, zu knacken, dann kann er primär nur in der abgeschotetten DMZ "hantieren" und keine internen Geräte infizieren/infiltrieren... Mit der Fritzbox als Router geht das aber glaube ich nicht.

Ich verwende bei mir Zuhause deswegen einen mittlerweile älteren Nortel Contivity als Hardwarerouter mit Firewall. Das Teil terminiert mir alle meine Netze intern (also das normale Netz, die DMZ, ein Spielenetz usw.) und spielt bei mir zentralen Router für diese Netze. PortForwardings von extern gibts nur in die DMZ.

 

[drakrochma]

Vielen Dank für die ganzen Infos.
Einen automatischen disconnect habe ich bisher auch nur ca alle 14 Tage.
Die Fernremotegeschichte hab ich schon abgeschaltet.

Telefonisch hab ich noch nichts erreicht (8-18 Uhr...) aber ne Anfragemail ist verschickt.
Werde euch auf dem laufenden halten.
Und übers umschulen nachdenken


€:
eben mal auf gut Glück bei der Störungsstelle angerufen und es macht sich etwas Ernüchterung breit...
"getract, gepingt ,wat wolln sie?!?

Na lassen wir uns mal überraschen...


€2: und es geht mies weiter...

...als schnell wachsender Internet-Provider müssen wir uns den sich permanent ändernden Rahmenbedingungen anpassen. So auch der endlichen Zahl von IPv4 Adressen. Die vorhandenen IPv4 Adressen sind vollständig aufgebraucht. Damit ist es für uns unausweichlich unser Netz vollständig auf IPv6 umzustellen.

Aktuell betreiben wir Endkundenanschlüsse im Dual-Stack-Betrieb mit NAT. Dabei wird jedem Anschluss eine private IPv4-Adresse und ein öffentlicher IPv6-Bereich zugewiesen.
Dadurch sind Sie per IPv4 nicht direkt aus dem Internet erreichbar. Verbindungen von Ihnen zum Internet sind weiterhin über unsere zentralen NAT Gateways möglich.
Mit dieser Methode ist es möglich, die wenigen verbliebenen IPv4-Adressen effizient zu nutzen. Per IPv6 ist Ihr Anschluss weiterhin aus dem Internet erreichbar.

Da der IPv4-Adressenmangel ein allgemeines Problem ist betrifft dieses Thema alle erfolgreich wachsenden Diensteanbieter. Wir bitten Sie daher die von Ihnen genutzten Dienste, wenn möglich direkt über IPv6 zu nutzen.

Bei weiteren Fragen stehen wir Ihnen gerne zur Verfügung.

Klingt sehr nach Musterbrief und allgemeinem Problem...

 

[fdsonne]

Dann würde ich einfach mal anfragen, was sie dir für Möglichkeiten anbieten, wenn du eine IPv4 Adresse benötigst. Also was für einen Tarif es gibt, der dies beinhaltet oder was für Zusatzoptionen buchbar sind, wo das möglich ist. Entweder sie können oder sie können nicht... Wenn nicht? Kannst du immernoch wechseln. Ggf. ist das sogar ein Sonderkündigungsgrund. Müsste man sich mal schlau drüber machen... Denn in den Verträgen wird wohl kaum beschrieben sein, dass dir der Anbieter derartige Sachen explizit verweigert. Zumal es ja, wie du selbst sagtest, schonmal funktioniert zu haben schien bzw. vor nicht allzulanger Zeit eben IP der FB und IP Anzeige der Websites noch identisch waren. Heist also, der Provider hat die eigentlich mal zugesicherten Leistungen für dich zum expliziten Nachteil geändert.

Klingt sehr nach Musterbrief und allgemeinem Problem...

Allgemeinem Problem ist relativ. Kann dir ja egal sein
Das dieser Umstand der Wirklichkeit betrifft, ist aber in der Tat so. Es gibt schlicht keine IPv4 Adressen mehr... Entweder man hat heute welche oder man muss sich was einfallen lassen, wenn die vorhandenen nicht mehr ausreichend sind.

 

[drakrochma]

Hab nochmal nachgefragt und klare Aussage: mit dem aktuellen Tarif gibt es keine fest IP4-Adresse.
bezahle aktuell 59€ für ne 50000er Leitung mit 5mbit upload
Alternativen gibt es nicht, da das ein Privatnetz ist und andere Anbeiter über das öffentliche Netz hier nur ~2,5mbit bringen...

Hab mal wild mit Kündigung gedroht und vorhin ein Angebot als Geschäftskunde bekommen.
50mbit down, 2.5mbit up, flat, bla, bla, aber feste IP
Kostet aber ~63€ im Monat...
Das muss iche rst nochmal mti der Regierung abklären...