Welotec | Unterstützung für Portfreigabe

[noche]

Guten Abend,

ich benötige Unterstützung für die Konfiguration einen Industrierouters, genaue Bezeichnung ist WELOTEC TK 100. Und zwar in der Portfreigabe für den Zugriff der Stadtwerke auf den Solarlog, der an dem Router per LAN angebunden ist:

Die Stadtwerke hat einen VPN Tunnel auf den Router (OPENVPN), das Zertifikat liegt direkt auf dem Router und der Tunnel steht.
Für die Fernabfrage des Solarlogs wird der TCP Port 502 (laut Stadtwerke) benötigt.

Wie mache ich den Port 502 frei, denn laut Stadtwerke ist dieser nicht offen?

Ich wäre für eine detailierte Erklärung sehr dankbar. Daß es Support über einen Ticket gibt ist mir bekannt, wir stehen aber sehr unter Zeitdruck und vielleicht bekomme ich hier schneller eine Antwort.

Ich kann gerne Fotos von der Konfig (Portmapping Eigenversuch) hier bei Bedarf nachreichen.

 

[Shihatsu]

KRITIS? Lass da bitte einen Spezialisten ran... Ich krieg echt nervöses Zucken bei sowas...

 

[Eye-Q]

KRITIS? Lass da bitte einen Spezialisten ran... Ich krieg echt nervöses Zucken bei sowas...

Sehe ich genauso, aber ein paar grundsätzliche Infos, die dann an den Support der Stadtwerke weitergeben kann, kann man hier schon herausfinden.

Die Stadtwerke hat einen VPN Tunnel auf den Router (OPENVPN), das Zertifikat liegt direkt auf dem Router und der Tunnel steht.

Dann wird eine Portfreigabe/-weiterleitung auf dem Router nichts nutzen, denn das gilt für einen direkten Zugriff aus dem Internet ohne VPN. Da der Tunnel laut dir schon aufgebaut ist, sollten die Stadtwerke dieselben Möglichkeiten haben als wenn die sich per LAN direkt an den Router hängen würden, das ist nämlich der Sinn eines VPN. Wenn Du jetzt eine Portfreigabe/-weiterleitung einrichtest, ohne irgendetwas einzuschränken, können auch Angreifer auf den Solarlog zugreifen.

Wenn Du die Möglichkeit hast, den Welotec-Router zu konfigurieren, solltest Du auch Zugriff auf den Solarlog (was auch immer das ist) haben, richtig? Ist das Gerät aus dem internen Netzwerk erreichbar? Über welchen Weg ist der Welotec-Router mit dem Internet verbunden? Der bietet ja die Möglichkeit der Internetverbindung über LTE oder über den als WAN konfigurierbaren zweiten Netzwerkport.

 

[amdfreund]

Ist die Firewall des Zielsystemen vielleicht noch nicht auf diese Freigabe eingestellt oder haben die SW die falsche ServerIP in deinem Netz? Gibt es einen Fehlercode beim Verbindungsversuch oder hast du es mal intern versucht dich mit dem System zu verbinden?

 

[noche]

Danke schonmal für die Antworten.
Ja ich kann mich direkt per LAN mit dem welotec Router verbinden, da habe ich Zugriff auf die Oberfläche und kann die Portfreigabe konfigurieren. Der wan/LAN Port des Routers ist als LAN konfiguriert. Der Router verbindet sich mit dem Internet über LTE.
Am solarlog zeigt mir der Advanced Port Scanner den Port 502 als offen, am Router selbst ist dieser jedoch nicht aufgeführt. In der Firewall habe ich die IP Adressen des Routers sowie des solarlogs eingetragen für den Port 502, was jedoch keine Auswirkung hat.

 

[Eye-Q]

Am solarlog zeigt mir der Advanced Port Scanner den Port 502 als offen

OK, d.h. der Solarlog hat offensichtlich schon mal eine IP-Adresse aus dem internen Subnetz des Routers, sonst könnte der Advanced IP Scanner nicht anzeigen, dass der Port offen ist, das ist schon mal ein Anfang.

Hat der Solarlog auch ein Webinterface, so dass dort evtl. eingestellt werden kann, welche IP-Adressen für den Zugriff auf den Port 502 zugelassen sind? Ich vermute, dass dort eingestellt sein könnte, dass nur IP-Adressen aus demselben Subnetz zugelassen sind (deswegen zeigt der Advanced IP Scanner auf deinen PC den Port als offen an), und da die Stadtwerke per VPN rein kommen, blockt der Solarlog das dementsprechend ab.

am Router selbst ist dieser jedoch nicht aufgeführt.

Wo erwartest Du denn die Anzeige dieses Ports auf dem Router? So ein Router kennt i.d.R. die offenen Ports von angeschlossenen Geräten nicht, insbesondere wenn es Nicht-Standard-Ports wie 502 sind. Es wäre auch sehr ungewöhnlich, wenn dieser kleine Industrierouter eine so mächtige Firewall hätte, dass dort noch extra eingestellt werden müsste, dass Geräte, die am anderen Ende des VPN-Tunnels sind, auf Geräte im internen Subnetz des Routers zugreifen dürfen.

In der Firewall habe ich die IP Adressen des Routers sowie des solarlogs eingetragen für den Port 502, was jedoch keine Auswirkung hat.

In welcher Firewall?

 

[Hexcode]

"Der Router verbindet sich mit dem Internet über LTE"
Und wer baut den VPN wohin auf? Der Router zu den Stadtwerken oder die Stadtwerke zum Router?
Sicher das der Router eine richtige Public IP hat die direkt erreichbar ist und nicht hinter Carrier NAT steckt?
Für mich klingt das so als würde die ganze VPN Geschichte bei den Stadtwerken irgendwie nicht funktionieren...

 

[noche]

"Der Router verbindet sich mit dem Internet über LTE"
Und wer baut den VPN wohin auf? Der Router zu den Stadtwerken oder die Stadtwerke zum Router?
Sicher das der Router eine richtige Public IP hat die direkt erreichbar ist und nicht hinter Carrier NAT steckt?
Für mich klingt das so als würde die ganze VPN Geschichte bei den Stadtwerken irgendwie nicht funktionieren...

Das war auch mein erster Gedanke, denn:
Den Tunnel hat die Stadtwerke erstellt und sie kommen ja von außen schon auf das vpn Netz.
Der Router bietet tatsächlich auch Firewall Funktionen, ich bin mir aber unsicher, wie sie letzten Endes umgesetzt werden. Die einzige Möglichkeit die Ports zu öffnen befinden sich in den Firewall Einstellungen des Routers. Der solarlog an sich bietet über die Weboberfläche eigentlich nur Statistiken an.

 

[noche]

Die Portfreigabe habe ich in den Firewall Einstellungen des Routers vorgenommen.

Werde wohl mit deren Support reden müssen. Danke für die Hilfe