Port forwarding problemen bij SNLR isp

[salade18]

Beste Tweakers,

Ik heb sinds een aantal weken een 2500mbit verbinding van SNLR, over de snelheid hoor je mij niet klagen! Maar een port forwarden wil maar niet lukken, net nadat mijn abbonement ingegaan is kwam ik er achter dat ik achter en cqnat zat. Ik dus in de veronderstelling fixed ipv4 adresje (2,50euro extra per maand) en alles zal wel na behoren werken. Maar nee dus, tot op heden krijg ik bijna geen poorten geforward.

Wat ik dus zo raar vind is dat poort 8096 bijvoorbeeld wel geopend krijg en dit met een port checker kan bevestigen. Maar als ik dan op mijn beurt 8097 open op exact dezelfde wijze het niet lukt wat ik ook probeer.

Ik heb dus voor mijn server (windows 11 machine)
In de router een fixed ip adres ingesteld.

Mijn router die ik van SNLR ontvangen is een ont+router in een, namelijk een: Huawei en8245x6s-8n

Verder zit er tussen de router en de server een 5 port 10gbit switch unmanaged

De server beschikt over een 10gbit intel x540 nic

Ik heb ook geprobeerd om te testen poorten te openen naar een ander apparaat op het netwerk. Namelijk een vers geinstalleerde laptop met windows 10 en via wifi verbonden met de router. Hierbij gebeurd precies hetzelfde.

Ik heb dus al veel contact gehad afgelopen dagen met de klantenservice maar tot op heden kunnen zij mij ook niet echt verder helpen en zeggen ze dat ik alle forwarding correct in de router heb ingesteld en in mijn configuratie moet kijken in mijn server...

Ik heb nog nooit een issue gehad met een poortje openen maar sinds ik bij SNLR zit wil het maar niet lukken tot grote frustratie.

Iemand hier ervaring mee? Iemand die mij wijzer kan maken wat hier fout gaat?

Alvast heel erg bedankt voor de moeite
Groetjes Jimmy

[jeroen3]

Wat luistert er op 8097?

[salade18]

De Jellyfin server zit op 8096. 8097 luistert niets op was gewoon om te proberen, maar doel je er op als er niets luistert werkt het niet? Maar op bijvoorbeeld poort 2702 luistert de dayz server maar als ik deze door de port checker haal ook geen succes. De dayz server is ook niet te vinden extern.

[ Voor 88% gewijzigd door salade18 op 26-03-2025 13:18 ]

[Juup]

Dus dit probeer je te doen in de webinterface van de Huawei en8245x6s-8n?
Wat laat deze interface zien qua portmapping?

Staat UPnP uit?

[salade18]

Jaa klopt, ik ga dus naar de web interface van de router dmv de gateway in te vullen. UPnP staat inderdaad uit.

[ Voor 62% gewijzigd door salade18 op 26-03-2025 14:32 ]

[salade18]

Betere foto heb ik momenteel niet, vanavond kan ik altijd nog meerdere foto's toevoegen.

[salade18]

.

[ Voor 99% gewijzigd door salade18 op 26-03-2025 14:32 ]

[Juup]

Is er een firewall actief in de Huawei?

[salade18]

Ik heb de complete router doorzocht maar weet wat de firewall betreft niet precies waar ik naar moet zoeken. Dus weet het niet. Wel staat er bij mijn wan verbinding nat actief, kan dat nergens op wijzen. Ik zal vanavond de router nog eens doorzoeken.

[salade18]

jeroen3 schreef op woensdag 26 maart 2025 @ 12:16:
Wat luistert er op 8097?

Ik heb me vergist in deze, op 8097 luistert niets. 8096 luistert de jellyfin server op.

[DataGhost]

Allereerst zou ik Jellyfin zeer zeker niet publiek openzetten. Daar zijn veel betere manieren voor en liefst kan je die alleen bereiken via een VPN naar jouw server. Eigenlijk zou ik met jouw kennisniveau helemaal geen services openzetten naar het internet toe, dat gaat gegarandeerd een keer gezeik opleveren met je ISP of zelfs Brein/politie enzo.

Als je een poort open zet zal deze er gesloten uitzien zolang er geen service achter die poort draait. De port checker die je gebruikt kan alleen op TCP kijken of er wat gebeurt. DayZ luistert voor zover ik snel kan vinden alleen op UDP, dus dat gaat zo'n checker niet vinden. Firewalls kunnen draaien op je router, op tussenliggende apparaten en op je machine zelf, en kunnen er ook voor zorgen dat een poort dicht lijkt. Ook je ISP kan ze blokkeren maar dat gebeurt in de praktijk alleen maar met poorten 445, 25 en een klein handjevol andere waar je toch geen gebruik van maakt.

[salade18]

Bedankt voor je reactie! En bedankt voor je bezorgdheid wat betreft poorten openen naar buiten. Ik ben me er inderdaad van bewust wat dat betekend en al aan het bekijken wat daar betere oplossingen in zijn! wat de jellyfin betreft is het natuurlijk ook wat er opstaat voor media als we het over brein/politie gaan hebben.

Maar wat de dayz server betreft luistert deze inderdaad alleen op UDP (ook te zien op de screenshot). Ik zal hier vanavond nog eens even induiken

[salade18]

De isp bevestigd inderdaad dat er geen restricties zijn

[salade18]

DataGhost schreef op woensdag 26 maart 2025 @ 13:32:
Allereerst zou ik Jellyfin zeer zeker niet publiek openzetten. Daar zijn veel betere manieren voor en liefst kan je die alleen bereiken via een VPN naar jouw server. Eigenlijk zou ik met jouw kennisniveau helemaal geen services openzetten naar het internet toe, dat gaat gegarandeerd een keer gezeik opleveren met je ISP of zelfs Brein/politie enzo.

Als je een poort open zet zal deze er gesloten uitzien zolang er geen service achter die poort draait. De port checker die je gebruikt kan alleen op TCP kijken of er wat gebeurt. DayZ luistert voor zover ik snel kan vinden alleen op UDP, dus dat gaat zo'n checker niet vinden. Firewalls kunnen draaien op je router, op tussenliggende apparaten en op je machine zelf, en kunnen er ook voor zorgen dat een poort dicht lijkt. Ook je ISP kan ze blokkeren maar dat gebeurt in de praktijk alleen maar met poorten 445, 25 en een klein handjevol andere waar je toch geen gebruik van maakt.

Maar als we het dan toch over jellyfin hebben, ik heb me een beetje ingelezen in http en https. En wilde dus jellfyfin forceren https te laten gebruiken dmv van een certbot op de machine waar jellyfin op draait, wat is jou mening hier over of toch gewoon vpn?

[salade18]

Kijk dan lijkt mij https gebruiksvriendelijker,


Setting up https would be sufficient to prevent anyone from seeing the traffic other than the intended recipient. Same with a VPN, but that would require that all clients support having a VPN installed.

[DataGhost]

Je wilt een dergelijke service niet publiek naar het internet open hebben staan, of het nou via https is of niet. Daar is die service niet veilig genoeg voor, Jellyfin is primair bedoeld voor gebruik op je interne netwerk en zou ik helemaal niet vertrouwen aan het grote boze internet. Daarom zei ik ook dat je met jouw kennisniveau eigenlijk helemaal geen poorten moet willen forwarden.

Een machine die je aan het internet hangt wordt elke dag meermaals bestookt met portscans en andere aanvallen om te kijken of er toevallig kwetsbare services draaien, en dat gaat allemaal volautomatisch. Normaal komt dit allemaal op je router/firewall aan en wordt het daar effectief "geblokkeerd", maar als je poorten open zet en er services achter hangt niet meer. Als er dan een kwetsbaarheid in zit en/of je houdt de updates van al je services en je OS niet goed bij, kan je indringers in je service, server en ook je interne netwerk krijgen, en dat gaat waarschijnlijk net zo volautomatisch als de scans die plaatsvinden. Met een VPN moet je verplicht eerst kunnen verbinden naar jouw VPN voordat je bij de service kan. Dat is dus een extra beveiligingslaag tegen dit soort gedoe.

HTTPS heeft verder helemaal niks te maken met of een service kwetsbaar is, het enige wat dat doet is de verbinding tussen twee machines versleutelen zodat anderen niet kunnen zien wat er over de lijn gaat en niemand ertussen kan gaan zitten die doet alsof 'ie jouw service is. Maar ook al kan ik dat dataverkeer niet zien, ik kan nog steeds heel makkelijk zelf verbinding maken met jouw service en daar al m'n exploits op loslaten. In dat opzicht is er dus geen enkel verschil tussen HTTP en HTTPS in deze context.

[DataGhost]

salade18 schreef op woensdag 26 maart 2025 @ 14:01:
Kijk dan lijkt mij https gebruiksvriendelijker,

Dat is het voor een aanvaller zeker ja.

HTTP is zoals door een slechte/criminele buurt lopen met je portemonnee en smartphone in je handen. HTTPS is zoals door een slechte/criminele buurt lopen met je portemonnee en smartphone in je broekzakken. In beide gevallen kan je heel makkelijk beroofd worden door iemand met of zonder mes. Een VPN verplichten is zoals door diezelfde buurt rijden met een gepantserde auto met de deuren op slot, waarbij je alleen bekenden laat instappen. Je kan in theorie nog steeds beroofd worden maar met een mesje kom je niet ver.

[ Voor 57% gewijzigd door DataGhost op 26-03-2025 14:22 ]

[salade18]

Heel erg bedankt voor de uitgebreide en simele uitleg! Ik ga er werk van maken dit snel op een andere manier op te zetten. Ik zal de laatste zeg 10 jaar wel heel veel geluk hebben gehad met de verschillende poorten wat altijd open hebben gestaan, al heb ik er bewust wel altijd vermeden, bijvoorbeeld 3389 voor rdp. Maargoed nogmaals bedankt!