Was ist WEBservices-HTTPS via TCP auf Port 1?

[plumpsack]

10.72.0092SU2 / 15.02.2023
Running firmware version is 10.72.0092SU2 / 15.02.2023 vs. 10.72.0015Rel / 08.12.2022

Was ist das und warum ist das nicht dokumentiert?

Code: Alles auswählen

Status 	Active 	Service 		Port 	Protocol 	Accessible from LAN	WAN	VPN	WLAN
Yes	WEBservices-HTTPS 	1 	TCP		accessible	inaccessible	inaccessible	accessible

vs. 10.72.0015Rel / 08.12.2022

Code: Alles auswählen

Status 	Active 	Service 		Port 	Protocol 	Accessible from LAN	WAN	VPN	WLAN
Yes	WEBservices-HTTPS 	443 	TCP	accessible	inaccessible	inaccessible	accessible

[tstimper]

Was ist das und warum ist das nicht dokumentiert?

Because of Groundhog Day ... https://de.wikipedia.org/wiki/Und_t%C3% ... Murmeltier

Dort löst sich die Zeitschleife des Steckenbleibens in alten Denken und Verhalten erst, als der Protagonist sein Verhalten ändert und er dann
die Achtung und Liebe er Angebeteten erfährt.

Liebe LANCOM, bitte nehmt es uns nicht übel, wenn wir immer wieder nach sauberen Dokumentationen fragen.
Es ist einfach so wichtig, es spart uns allen so viel Zeit, es verberssert die Produkte und erhöht unser aller Zufriedenheit.

10.72.0092SU2 / 15.02.2023
Running firmware version is 10.72.0092SU2 / 15.02.2023 vs. 10.72.0015Rel / 08.12.2022

Code: Alles auswählen

Status 	Active 	Service 		Port 	Protocol 	Accessible from LAN	WAN	VPN	WLAN
Yes	WEBservices-HTTPS 	1 	TCP		accessible	inaccessible	inaccessible	accessible

vs. 10.72.0015Rel / 08.12.2022

Code: Alles auswählen

Status 	Active 	Service 		Port 	Protocol 	Accessible from LAN	WAN	VPN	WLAN
Yes	WEBservices-HTTPS 	443 	TCP	accessible	inaccessible	inaccessible	accessible

Das konkret sieht mir sehr nach einem BUG aus.


Viele Grüße

ts

[backslash]

Hi tstimper,

ich hab's als Bug eingetragen...

Gruß
Backslash

[tstimper]

Hi tstimper,

ich hab's als Bug eingetragen...

Gruß
Backslash

Hi Backslash,

vielen Dank

Viele Grüße

ts

[Jirka]

Ich nehme an, dass dieser (neue) Bug die Folge eines Versuchs ist, den hier besprochenen Bug zu beseitigen.
Anders kann ich mir das nicht erklären.
Bitte dazuschreiben, dass es Webservices heißen muss und nicht WEBservices, da es eben nichts mit WEBconfig zu tun hat.

Ergänzung für alle, die nicht wissen, wo wir uns hier befinden (die Angabe fehlte im Eingangsposting): WEBconfig -> Systeminformation -> Dienste

An der Stelle würde ich wirklich gerne noch mal einhaken und fragen, was denn nun ist:
Besagte Firmware: 10.72.0092-SU2
Webserverdienste sind in der Konfiguration auf Automatisch gestellt (Default), das Gerät verfügt nicht über eine WLC-Option.
Und unter Systeminformation -> Dienste steht jetzt: Kritisch, Aktiv ja, Dienst WEBservices HTTP (es müsste Webservices heißen), Port 80, Protokoll TCP, Erreichbar vom WAN ja mit rotem Ausrufezeichen. Warum?

[tstimper]

Ich nehme an, dass dieser (neue) Bug die Folge eines Versuchs ist, den hier besprochenen Bug zu beseitigen.
Anders kann ich mir das nicht erklären.
Bitte dazuschreiben, dass es Webservices heißen muss und nicht WEBservices, da es eben nichts mit WEBconfig zu tun hat.

Ergänzung für alle, die nicht wissen, wo wir uns hier befinden (die Angabe fehlte im Eingangsposting): WEBconfig -> Systeminformation -> Dienste

An der Stelle würde ich wirklich gerne noch mal einhaken und fragen, was denn nun ist:
Besagte Firmware: 10.72.0092-SU2
Webserverdienste sind in der Konfiguration auf Automatisch gestellt (Default), das Gerät verfügt nicht über eine WLC-Option.
Und unter Systeminformation -> Dienste steht jetzt: Kritisch, Aktiv ja, Dienst WEBservices HTTP (es müsste Webservices heißen), Port 80, Protokoll TCP, Erreichbar vom WAN ja mit rotem Ausrufezeichen. Warum?

Ach Du Sch...., siehe

WEBservices.png

Was sollen wir damit nun machen?

Wie wird WEBservices-HTTP und WEBservices-HTTPS deaktiviert?

Und heist das nun, das LCOS 10.72.0092-SU2 aus dem WAN auf dem Port 1 HTTP Unverschlüsselt erreichbar ist?

Ein Loch gestopft (OpenSSL) und ein neues aufgerissen.

Es ist einfach nicht zu fassen...

Viele Grüße

ts

[tstimper]

Ich nehme an, dass dieser (neue) Bug die Folge eines Versuchs ist, den hier besprochenen Bug zu beseitigen.
Anders kann ich mir das nicht erklären.
Bitte dazuschreiben, dass es Webservices heißen muss und nicht WEBservices, da es eben nichts mit WEBconfig zu tun hat.

Ergänzung für alle, die nicht wissen, wo wir uns hier befinden (die Angabe fehlte im Eingangsposting): WEBconfig -> Systeminformation -> Dienste

An der Stelle würde ich wirklich gerne noch mal einhaken und fragen, was denn nun ist:
Besagte Firmware: 10.72.0092-SU2
Webserverdienste sind in der Konfiguration auf Automatisch gestellt (Default), das Gerät verfügt nicht über eine WLC-Option.
Und unter Systeminformation -> Dienste steht jetzt: Kritisch, Aktiv ja, Dienst WEBservices HTTP (es müsste Webservices heißen), Port 80, Protokoll TCP, Erreichbar vom WAN ja mit rotem Ausrufezeichen. Warum?

Ach Du Sch...., siehe WEBservices.png

Was sollen wir damit nun machen?

Wie wird WEBservices-HTTP und WEBservices-HTTPS deaktiviert?

Und heist das nun, das LCOS 10.72.0092-SU2 aus dem WAN auf dem Port 1 HTTP Unverschlüsselt erreichbar ist?

Ein Loch gestopft (OpenSSL) und ein neues aufgerissen.

Es ist einfach nicht zu fassen...

Viele Grüße

ts

Nachtrag: die 10.72.0092-SU2 bricht damit auch den WLC, den HTTP Public Spot und alles, was die CA nutzt.
WEBservices-HTTP wird genutzt, wenn ein AP sich mit dem WLC verbindet und die Zertifikate von der CA lädt.
Und der HTTP Port 80 ist nun Port 1 ....

Der Daily Build von heute Nacht soll das fixen.
Ich berichte, sobald mir der Support den morgen gibt.

Bis dahin gilt: 10.72.0092-SU2 nur einsetzen, wenn WLC, CA und Public Spot nicht genutzt werden.
Und zusätzlich (in lanconfig) unter Configuration > Admin > Access Settings > HTTP access > Für alle Interfaces zumindest für WAN auf disabled setzen.

Viele Grüße

ts

[Dr.Einstein]

Ich komme da aktuell leider nicht mehr mit. Dein Screenshot sagt doch HTTPs Port 1, HTTP Port 80. Aber WAN-mäßig ist es andersrum?

Meine Tabelle sieht unter 10.72SU2 wie folgt aus:

Code: Alles auswählen

ja	WEBconfig-HTTP		6080	TCP		erreichbar (Warnung)	nicht erreichbar	nicht erreichbar
ja	WEBconfig-HTTPS		6443	TCP		erreichbar		erreichbar		erreichbar
ja	WEBservices-HTTP	6080	TCP		erreichbar		nicht erreichbar	nicht erreichbar
ja	WEBservices-HTTPS	1	TCP		erreichbar		erreichbar		erreichbar

HTTP ist auf 6080 gedreht, HTTPS auf 6443, HTTP von WAN deaktiviert, HTTPS von WAN erlaubt, kein WLC / AP / Public Spot. Wieso ist da jetzt laut Tabelle irgendwas mit Port 1 WEBservices-HTTPS.

Ist die Lancom QS aktuell im Urlaub?

[tstimper]

Ich komme da aktuell leider nicht mehr mit. Dein Screenshot sagt doch HTTPs Port 1, HTTP Port 80. Aber WAN-mäßig ist es andersrum?

Meine Tabelle sieht unter 10.72SU2 wie folgt aus:

Code: Alles auswählen

ja	WEBconfig-HTTP		6080	TCP		erreichbar (Warnung)	nicht erreichbar	nicht erreichbar
ja	WEBconfig-HTTPS		6443	TCP		erreichbar		erreichbar		erreichbar
ja	WEBservices-HTTP	6080	TCP		erreichbar		nicht erreichbar	nicht erreichbar
ja	WEBservices-HTTPS	1	TCP		erreichbar		erreichbar		erreichbar

HTTP ist auf 6080 gedreht, HTTPS auf 6443, HTTP von WAN deaktiviert, HTTPS von WAN erlaubt, kein WLC / AP / Public Spot. Wieso ist da jetzt laut Tabelle irgendwas mit Port 1 WEBservices-HTTPS.

Ist die Lancom QS aktuell im Urlaub?

welche QS?
Ein QS und Test im Build Prozess hätte bei den nachfolgenden automatischen Tests einen Fehler erzeugt und der Build wäre nicht erfolgreich gewesen.

Wenn man einen sauber definierten QS Prozess mit automatischen Tests hat, kann sowas garnicht durchrutschen.
Es sei denn, darauf wurde nicht getestet.

Viele Grüße

ts

[gzata]

Ach Du Sch...., siehe WEBservices.png

Was sollen wir damit nun machen?

Wie wird WEBservices-HTTP und WEBservices-HTTPS deaktiviert?

Und heist das nun, das LCOS 10.72.0092-SU2 aus dem WAN auf dem Port 1 HTTP Unverschlüsselt erreichbar ist?

ts

Bei mir sieht es so aus:
-....................................Lan............WAN...........VPN
nein WEBconfig-HTTP 80 TCP erreichbar nicht erreichbar erreichbar
ja WEBconfig-HTTPS 443 TCP erreichbar nicht erreichbar erreichbar
ja WEBservices-HTTP 80 TCP erreichbar nicht erreichbar erreichbar
ja WEBservices-HTTPS 1 TCP erreichbar nicht erreichbar erreichbar

also WAN seitig nicht erreichbar

1781VA, LCOS 10.72.0092-SU2 mit WLC Option, PS-Option

Grüße

.

[tstimper]

Ach Du Sch...., siehe WEBservices.png

Was sollen wir damit nun machen?

Wie wird WEBservices-HTTP und WEBservices-HTTPS deaktiviert?

Und heist das nun, das LCOS 10.72.0092-SU2 aus dem WAN auf dem Port 1 HTTP Unverschlüsselt erreichbar ist?

ts

Bei mir sieht es so aus:
-....................................Lan............WAN...........VPN
nein WEBconfig-HTTP 80 TCP erreichbar nicht erreichbar erreichbar
ja WEBconfig-HTTPS 443 TCP erreichbar nicht erreichbar erreichbar
ja WEBservices-HTTP 80 TCP erreichbar nicht erreichbar erreichbar
ja WEBservices-HTTPS 1 TCP erreichbar nicht erreichbar erreichbar

also WAN seitig nicht erreichbar

1781VA, LCOS 10.72.0092-SU2 mit WLC Option, PS-Option

Grüße

.

Code: Alles auswählen

ja	WEBservices-HTTPS	1	TCP	erreichbar	        nicht erreichbar	erreichbar

DAS ist das Problem...

Interne Dienste wie Public Spot HTTPS Anmeldeseite laufen auf Port 1 statt auf 443

LANCOM muss die LCOS 10.72.0092-SU2 aktiv zurückrufen, die Kunden warnen und eine gefixte Version releasen.

Viele Grüße

ts

[rotwang]

Code: Alles auswählen

DAS ist das Problem...

Interne Dienste wie Public Spot HTTPS Anmeldeseite laufen auf Port 1 statt auf 443

Nein, tun sie nicht, das ist ein Anzeigefehler.

[tstimper]

Code: Alles auswählen

DAS ist das Problem...

Interne Dienste wie Public Spot HTTPS Anmeldeseite laufen auf Port 1 statt auf 443

Nein, tun sie nicht, das ist ein Anzeigefehler.

Hi rotwang,

echt? Das ist ein Anzeigefehler? Wie denn dass? Ist das etwa hardgecoded? Oder wird das aus einer statischen Tabelle ausgelesen?
Kannst Du das bitte genau erklären?
Also wie konkret funktioniert diese Anzeige im LCOS?
Wird da etwa garnicht der aktuell gültige Port Wert geprüft und angezeigt, auf dem der jeweilige Service läuft?

Das müssen wir jetzt wirklich genau wissen. Das können wir so nicht stehen lassen.
Wir müssen uns doch auf die Anzeigen verlassen können...

Vielen Dank und viele Grüße

ts

[Jirka]

Diese Tabelle wurde schon immer anhand der Konfiguration des Gerätes erstellt. Sonst könnte ja nicht der Dienst hinter dem Port angezeigt werden. Und Anzeigefehler gab es dort schon ab und an mal. So ja auch beim älteren verlinkten Bug, wo geöffnete Ports angezeigt werden, die gar nicht geöffnet sind.
Nur ist es natürlich nicht schön, wenn hier was als kritisch angezeigt wird, was gar nicht kritisch ist. Und wenn der Port falsch angezeigt wird, natürlich auch nicht.

[rotwang]

Wird da etwa garnicht der aktuell gültige Port Wert geprüft und angezeigt, auf dem der jeweilige Service läuft?

Nein, wird er nicht. Jedes Modul im LCOS, das einen irgendwie gearteten Listener implementiert, ist gehalten, die Informationen darüber an diese Seite in der WEBconfig eigenständig zu melden. Es wäre schön, wenn diese Seite einfach auf die im IP-Stack aktuell angemeldeten Listener zugreifen würde, so wie man das auf einem Linux mit einem 'netstat --listening' machen kann, so ist es aber nicht, das läuft unabhängig voneinander und wenn in den gemeldeten Daten ein Fehler drin ist, wie in diesem Fall, dann wird auf der Seite halt was anderes angezeigt als der Ist-Zustand ist.

Wenn Du wirklich 100% wissen willst, welche Ports geöffnet sind, musst Du halt ein nmap auf das Gerät machen. Diese Seite ist hübsch und bunt, und sie war seinerzeit gut genug für die Anforderungen des Kunden, der sie haben wollte, und der beschriebene Weg war halt der in der gegebenen Zeit realisierbare.