UGREEN NAS: Portfreigabe an der FRITZ!Box einrichten

Ihre UGREEN NAS steht hinter der FRITZ!Box und ist aus dem Internet nicht erreichbar. Das ist gut so, denn die FRITZ!Box blockt jede Verbindung von außen, die nicht zu einer Anfrage aus Ihrem Netz gehört. Soll ein einzelner Dienst trotzdem von unterwegs erreichbar sein, etwa ein VPN auf der NAS, braucht er eine Portfreigabe. Diese Anleitung zeigt am Beispiel einer FRITZ!Box 7590 mit FRITZ!OS 8.02, wie Sie genau einen Port für die NAS öffnen, was die übrigen Schalter auf der Seite bedeuten und wie Sie die Freigabe wieder entfernen.

Voraussetzungen

• Eine FRITZ!Box mit FRITZ!OS 8 und Zugang zur Oberfläche, meist über http://fritz.box
• Die NAS mit fester IP-Adresse im Heimnetz, siehe Teil 9
• SSH-Zugang zur NAS, siehe Teil 52
• Ein Dienst auf der NAS, der von außen erreichbar sein soll, und dessen Port und Protokoll
• Ein Internetanschluss mit eigener öffentlicher IPv4-Adresse, wenn der Dienst über IPv4 erreichbar sein soll, mehr dazu bei den typischen Fehlern
• Etwa 15 Minuten

Schritt 1: Klären, was freigegeben werden muss

Jede Portfreigabe öffnet ein Loch in den Schutz der FRITZ!Box. Wer den Port im Internet findet, spricht direkt mit dem Dienst auf Ihrer NAS. Geben Sie deshalb nie die Oberfläche von UGOS frei, also nicht die Ports 9999 und 9443, und auch nicht SMB, SSH oder die Verwaltung des Nginx Proxy Manager auf Port 81. Für den Zugriff von unterwegs ist ein VPN der bessere Weg. Dann ist nur ein einziger Port offen, und alles andere läuft verschlüsselt durch den Tunnel. Dieses Beispiel gibt den Port für WireGuard frei, wie ihn Teil 48 auf der NAS einrichtet:

• Protokoll: UDP
• Port: 51820
• Ziel: die NAS, hier mit der Adresse 192.168.178.20

Prüfen Sie auf der NAS, ob der Container den Port wirklich nach außen gibt. Der Befehl über SSH, siehe Teil 52, zeigt die Portzuordnung aller laufenden Container:

sudo docker ps --format '{{.Names}}  {{.Ports}}' | grep 51820

Verifizieren: Die Ausgabe enthält 0.0.0.0:51820->51820/udp. Ohne Ausgabe läuft der Dienst nicht, und eine Freigabe brächte nichts.

Schritt 2: Die Seite Portfreigaben öffnen

Melden Sie sich an der FRITZ!Box an und öffnen Sie im Menü links Internet, Freigaben, Reiter Portfreigaben. Die Liste zeigt jedes Gerät, für das es schon Freigaben gibt. Das Bild zeigt den Stand nach dieser Anleitung:

Steht die NAS schon in der Liste, öffnen Sie sie mit dem Stift. Sonst klicken Sie auf Gerät für Freigaben hinzufügen und wählen die NAS aus. Die FRITZ!Box kennt sie unter dem Namen, den sie im Heimnetz meldet.

Verifizieren: Die NAS steht mit ihrer festen IPv4-Adresse aus Teil 9 in der Liste oder in der Auswahl beim Hinzufügen.

Schritt 3: Die Geräteseite verstehen

Die Seite des Geräts enthält oben die Adressen und darunter Schalter, die viel weiter gehen als eine einzelne Freigabe:

• IPv4-Adresse: Hierhin leitet die FRITZ!Box die Freigaben über IPv4. Ändert sich die Adresse der NAS, zeigt die Freigabe ins Leere. Deshalb braucht die NAS eine feste Adresse.
• IPv6 Interface-ID: der hintere Teil der IPv6-Adresse der NAS. Die FRITZ!Box setzt ihn für Freigaben über IPv6 mit dem vorderen Teil Ihres Anschlusses zusammen. Lassen Sie den Wert so, wie ihn die FRITZ!Box eingetragen hat.
• Selbstständige Portfreigaben für dieses Gerät erlauben: Damit darf die NAS selbst Ports in der FRITZ!Box öffnen, ohne dass Sie jede einzelne Freigabe anlegen. Wie viele davon gerade aktiv sind, zeigt die Liste in der Spalte Selbstständige Portfreigabe. UGOS bietet dafür in den DDNS-Einstellungen die automatische Router-Portzuordnung an, siehe Teil 45. Lassen Sie den Haken aus, dann bleibt jede Freigabe Ihre bewusste Entscheidung.
• Exposed Host: leitet alle Ports an die NAS weiter, die keine andere Freigabe haben. Die NAS stünde damit praktisch ungeschützt im Internet. Lassen Sie den Haken immer aus.

Weiter unten folgen die Einstellungen für IPv6:

Auch diese drei Haken bleiben aus. Eine einzelne Freigabe über IPv6 richten Sie wie jede andere im nächsten Schritt ein.

Verifizieren: Auf der Geräteseite sind die Haken für selbstständige Portfreigaben und alle Haken für Exposed Host leer.

Schritt 4: Die Freigabe anlegen

Klicken Sie unten auf der Geräteseite auf Neue Freigabe. Der Dialog bietet zwei Arten an. Die MyFRITZ!-Freigabe ist für Webdienste über eine MyFRITZ!-Adresse gedacht. Für alles andere wählen Sie Portfreigabe:

• Anwendung: Die Liste kennt Vorlagen für FTP-Server, HTTP-Server, HTTPS-Server und MS Remotedesktop. Für alle anderen Dienste wählen Sie Andere Anwendung. Erst dann erscheint das Feld Bezeichnung.
• Bezeichnung: ein Name, an dem Sie die Freigabe später wiedererkennen, hier WireGuard.
• Protokoll: TCP, UDP, ESP oder GRE. WireGuard nutzt UDP. Webdienste nutzen TCP.
• Port an Gerät bis Port: der Port auf der NAS. Für einen einzelnen Port steht in beiden Feldern dieselbe Zahl.
• Port extern gewünscht: der Port, den Geräte im Internet ansprechen. Er darf vom Port an der NAS abweichen. Das Feld gilt nur für IPv4.
• Internetzugriff: über IPv4 und IPv6, nur IPv4 oder nur IPv6. Geben Sie nur frei, was der Dienst auch nutzt. Die WireGuard-Einrichtung aus Teil 48 arbeitet nur mit IPv4, deshalb steht hier Internetzugriff über IPv4.

Der Haken Freigabe aktivieren ist schon gesetzt. Klicken Sie auf OK. Die FRITZ!Box kehrt zur Geräteseite zurück, die Freigabe ist aber erst gespeichert, wenn Sie dort auf Übernehmen klicken. Anders als bei manchen Sicherheitseinstellungen verlangte die FRITZ!Box dafür bei uns keine zusätzliche Bestätigung per Taste oder Telefon.

Verifizieren: Zurück in der Liste unter Portfreigaben steht bei der NAS die Freigabe WireGuard mit grünem Punkt und dem Port 51820 in der Spalte für IPv4.

Schritt 5: Von außen testen

Testen Sie eine Portfreigabe nie aus dem eigenen Heimnetz, denn dort laufen die Verbindungen nicht über den Weg von außen. Schalten Sie am Handy das WLAN aus und nutzen Sie nur mobile Daten. Für WireGuard verbinden Sie dann den Tunnel wie in Teil 48 beschrieben. Kommt eine Verbindung zustande, sehen Sie das auf der NAS:

sudo docker exec wg-easy wg show | grep -E "endpoint|handshake"

  endpoint: 203.0.113.45:12522
  latest handshake: 6 seconds ago

Die Adresse hinter endpoint ist die des Handys im Mobilfunknetz, also eine Verbindung von außen. Bei uns lud das Handy danach über den Tunnel auch die Anmeldeseite von UGOS mit der Adresse aus dem Heimnetz. Müssen Webdienste wirklich öffentlich erreichbar sein, geben Sie sie nicht einzeln frei, sondern über einen Reverse Proxy mit HTTPS wie in Teil 47.

Welche öffentliche IPv4-Adresse Ihr Anschluss hat, fragen Sie am besten direkt auf der NAS ab:

curl -4 -s https://api.ipify.org; echo

Fragen Sie nicht am eigenen Rechner nach, wenn dort ein VPN läuft. Bei uns zeigte der Rechner eine andere Adresse als die NAS, weil er über einen VPN-Anbieter ins Internet ging. Da sich die Adresse bei einer Neueinwahl ändern kann, nutzen Sie besser einen DDNS-Namen, der immer auf die aktuelle Adresse zeigt, siehe Teil 45.

Verifizieren: Mit mobilen Daten kommt die Verbindung zustande: Bei endpoint steht eine Adresse aus dem Mobilfunknetz, und latest handshake liegt nur Sekunden zurück.

Schritt 6: Eine Freigabe wieder entfernen

Brauchen Sie den Zugang nicht mehr, schließen Sie den Port wieder. Öffnen Sie die NAS mit dem Stift, klicken Sie in der Tabelle Freigaben in der Zeile der Freigabe auf den Papierkorb und anschließend auf Übernehmen. Ohne Übernehmen bleibt die Freigabe bestehen. Wollen Sie einen Zugang nur vorübergehend sperren, entfernen Sie in der Freigabe den Haken Freigabe aktivieren und klicken auf Übernehmen.

Verifizieren: Unter Portfreigaben steht die Freigabe nicht mehr bei der NAS, und beim Test mit mobilen Daten aus Schritt 5 wird latest handshake nicht mehr aktualisiert.

Typische Fehler

• Von außen kommt nichts an, obwohl die Freigabe grün ist: Viele Anschlüsse über Kabel oder Glasfaser haben keine eigene öffentliche IPv4-Adresse mehr, sondern teilen sich eine mit anderen Kunden, etwa bei DS-Lite. Eine Freigabe über IPv4 wirkt dann nicht. Fragen Sie Ihren Anbieter nach einer öffentlichen IPv4-Adresse oder nutzen Sie die Freigabe über IPv6. Das setzt voraus, dass der Dienst auf der NAS auch über IPv6 erreichbar ist und Ihr DDNS-Name auf die IPv6-Adresse zeigt. Die WireGuard-Einrichtung aus Teil 48 ist bewusst nur für IPv4 eingerichtet.
• Freigabe nicht gespeichert: Nach OK im Dialog fehlt noch Übernehmen auf der Geräteseite. Ohne diesen Klick gilt die Freigabe nicht.
• Test im eigenen WLAN: Schalten Sie für den Test das WLAN am Handy aus, siehe Schritt 5.
• Die Freigabe zeigt ins Leere: Die NAS hat eine neue Adresse bekommen. Geben Sie ihr eine feste Adresse, siehe Teil 9.
• Der Dienst lauscht nicht: Ohne Ausgabe beim Befehl aus Schritt 1 nimmt auf der NAS niemand die Verbindung an. Prüfen Sie den Container und seinen Port.
• Falsches Protokoll: Eine Freigabe für TCP hilft einem Dienst über UDP nicht. WireGuard braucht UDP.
• Die Oberfläche der FRITZ!Box meldet Sie ab: Laden Sie die Seite nicht mit F5 neu. Bei uns beendete das Neuladen die Anmeldung, und nicht übernommene Änderungen waren weg.

Häufige Fragen

Was ist der Unterschied zwischen Portfreigabe und MyFRITZ!-Freigabe?

Die MyFRITZ!-Freigabe ist für Webdienste gedacht. Der Dialog fragt dafür nach Anwendung, einem optionalen Verzeichnis und zeigt eine MyFRITZ!-Adresse an. Die Portfreigabe ist allgemeiner und gibt einen beliebigen Port mit dem gewählten Protokoll frei. Für ein VPN auf der NAS ist sie die richtige Wahl.

Kann die FRITZ!Box das VPN auch selbst übernehmen?

Ja. Unter Internet, Freigaben gibt es den Reiter VPN (WireGuard), über den die FRITZ!Box selbst WireGuard-Verbindungen annimmt. Dann brauchen Sie keine Portfreigabe zur NAS. Ein VPN auf der NAS lohnt sich, wenn Sie Zugänge dort zentral verwalten oder die FRITZ!Box nicht anfassen möchten.

Ist eine Freigabe über IPv6 sicherer?

Nein, sie öffnet den Port genauso, nur für die IPv6-Adresse der NAS. Sie ist nützlich, wenn Ihr Anschluss keine eigene IPv4-Adresse hat. Das Gerät, von dem aus Sie zugreifen, braucht dann ebenfalls IPv6.

Soll ich einen anderen Port als den Standardport nehmen?

Das Feld Port extern gewünscht erlaubt es, etwa 51999 außen und 51820 auf der NAS. Das hält einige automatische Suchen fern, ersetzt aber keine Absicherung. Der Dienst hinter der Freigabe muss für sich sicher sein.

Fazit

Eine Portfreigabe in der FRITZ!Box ist schnell angelegt: Gerät öffnen, Neue Freigabe, Protokoll und Port, Übernehmen. Wichtiger ist, was Sie freigeben. Mit einem VPN auf der NAS reicht ein einziger Port über UDP, und die Oberfläche von UGOS, die Ordnerfreigaben und alle anderen Dienste bleiben im Heimnetz. Exposed Host und selbstständige Portfreigaben bleiben aus, und Freigaben, die Sie nicht mehr brauchen, löschen Sie wieder.

Weiterführende Anleitungen und Quellen

• Teil 9: Feste IP und Hostname
• Teil 45: DDNS für die eigene Domain
• Teil 47: Nginx Proxy Manager
• Teil 52: SSH einrichten