Störung ABUS Secvest durch Telekom Entertain TV 2.0

[M-A-S]

Hallo zusammen,

eines direkt vorweg, ich bin kein Errichter, lediglich ein technisch versierter Endnutzer einer ABUS Secvest Funkalarmanlage.

Seid etwas über einem Jahr haben wir eine ABUS Secvest Funkalarmanlage im Einsatz. Diese wurde von einem professionellen Errichter geplant und verbaut und lief bisher soweit problemlos.

Die Bedienung der Anlage nehmen wir überwiegend über die APP vor.

Vor ca. 6 Wochen funktionierte die APP von jetzt auf gleich dann auf einmal nicht mehr. D.h. die App synchronisierte sich nicht mehr mit der Zentrale und lies eine Bedienung selbiger auch nicht mehr zu.

Darüberhinaus war die Secvest Zentrale (Art.-Nr. FUAA50000) auch im heimischen Netzwerk nicht "ansprechbar". Ansonsten funktionierte die Anlage aber weiterhin einwandfrei, sprich über die Bedienteile etc..

Erst ein Neustart der Zentrale behob dieses Problem temporär.

Insofern hatten der Errichter und ich schnell die Vermutung, dass es sich im ein netzwerk-seitiges Problem handeln müsste.

Auch ein Software-Update der Zentrale brachte hier keine Linderung.

Seitens ABUS haben wir dann den Hinweis erhalten, dass sich die Zentrale gegen das Netzwerk "abschottet", wenn 25 Mal probiert wurde diese entsprechend im Netzwerk "anzupingen".

Dies war dann der entscheidende Hinweis für mich um auf die Suche zu gehen, was sich vor 6 Wochen bei uns im heimischen Netzwerk verändert hat. Und siehe da, hier bin ich fündig geworden.

Denn genau zu diese Zeit haben wir unseren TV-Anschluss auf das Entertain TV 2.0 (IP-TV) der Telekom umgestellt und seitdem 2 Mediareceiver (400 und 200) im Einsatz.

Seid ich diese dann entsprechend ausgeschaltet hatte und einen Neustart der Secvest Zentrale durchgeführt hatte funktioniert die APP wieder einwandfrei und die Zentrale ist auch im heimischen Netzwerk jederzeit "erreichbar".

Sobald man auch nur einen der beiden Mediareceiver der Telekom in den Stand-by Modus schaltet, dauert es keine 15 Minuten bis sich Secvest-Zentrale wieder "zu" macht.

D.h. die Netzwerktätigkeiten (welche auch immer) der Telekom Mediareceiver stören die ABUS Secvest Zentrale.

Hierbei ist es auch unerheblich, ob die Anlage Ihre IP innerhalb oder außerhalb des DHCP-Bereiches hat. Beides haben wir schon ausprobiert.

Für unseren Errichter ist diese Thematik völlig neu und momentan weiß er auch noch nicht so recht, wie er dieses Problem lösen kann.

Da die ABUS Secvest ja durchaus verbreitet im Einsatz ist und auch das Telekom Entertain TV sich immer größerer Beliebheit erfreut, habe ich die Hoffnung, dass jemand hier im Forum diese Problematik auch schon einmal hatte und es bereits eine entsprechende Lösung hierzu gibt?

Herzliche Grüße

[smith007]

Bezüglich Secvest habe ich jetzt kein Ahnung da ich keine habe.
Von daher kann ich leider keine hilfreichen Tipps geben, was die Secvest an sich betrifft.


Was mich aber jetzt etwas wundert ist die Eigenschaft,
das die Secvest dicht macht, wenn sie 15-mal angepingt wird.
Meinten die wirklich Ping?

Ein Ping ist netzwerktechnisch vom Grundsatz jetzt erstmal nichts Außergewöhnliches.
Es dient vornehmlich zur Laufzeitanalyse und ob das Endgerät erreichbar ist.

Jetzt gibt es natürlich auch hier Angriffsmöglichkeiten wie DDoS.
Das heißt, das Endgerät wird mit Anfragen jeglicher Art überflutet.
Hier gibt es halt Sicherheitsmechanismen die das blockieren.
Das bedeutet wenn ein DDOS Angriff erkannt wird, das das Gerät sich dann aus Sicherheitsgründen
erstmal abschottet.

Ich könnte mir unter Vorbehalt gut vorstellen das die Mediareceiver netzwerktechnisch einen Broadcast senden
um andere Mediareceiver im internen Netz zu finden. Hier wird dann sozusagen eine Anfrage an alle gestellt
und gewartet, wer hier antwortet. Auch das ist im Grundsatz ein normaler Vorgang.

Hier wird wohl die Secvest das missinterpretierten und es als DDoS wertet und zu machen.
Das ist auch Sicherheitsgründen auch korrekt so.
Man müsste jetzt den Netzwerkverkehr analysieren (WireShark) um zu sehen,
was die Mediareceiver da senden und in welchen Intervallen.
Hattest du Abus mittlerweile über deine Erkenntnisse informiert?

Was genau meinst du mit innerhalb und außerhalb des DHCP-Bereiches?
Das müsstest du noch mal genau erklären.

Vielleicht hilft es ja als Workaround die Mediareceiver in einen anderen Ip-Kreis zu legen,
so dass die Secvest dann in dem Kreis nicht mehr sichtbar ist.
Ist netzwerktechnisch jetzt keine so einfache Sache.
Sofern du da versiert drin, bist wäre das jetzt mal eine Option zum Testen.
Vielleicht kannst du auch Routerseitig die Secvest ausklammern und hier vom eigentlichen Netz trennen.

Weiterhin könntest du auch mal nachforschen ob man bei den Mediareceivern nicht noch eine Option abschalten kann,
die diese Pingversuche im Netz abschalten kann.
Ich sag mal ein paar Schlagworte wie Mediabroadcasting, autoamatische Suche von Geräten im Netzwerk oder ähnlichem.
Wäre jetzt der einfachste Ansatz.

Dokumentiere auf jedenfall jegliche Änderungen, so das du hinterher auch wieder weist was du ggf. zurückstellen musst.
Wenn man hinterher an zig Ecken gedreht hat und gar nichts mehr geht, hat man zumindest so noch den Überblick im Auge.

Wenn ich das richtig gelesen habe, ist die Secvest erst wieder erreichbar, wenn du sie neu gestartet hast.
Du musst dann also Die Secvest, wenn sie den Zugriff blockiert, immer neu starten um zu sehen ob deine Änderung gegriffen hat.


Gruß Christian

[funkistnichtalles]

Alle unsere Netzwerkgeräte werden Porttechnisch vom 554 auf 1554 umgestellt.
Warum? Weil sich seltsamerweise äußerst viele Videogeschichten, welche implementiert sind, auf Port 554 tummeln.
Genau hier ist nun der Ansatz, da der Standartport bei Entertain unteranderem Port 554 ist.
Hier lässt sich dein Szenario nachvollziehen und ableiten.
Stelle die Secvest auf einen anderen Port als 554 um und du hast Ruhe. Ebenfalls evtl. vorhandene IPcams mit umstellen, da diese meist den rtsp Stream auf 554 senden.

[smith007]

Das ist sehr interessant.

Allerdings ist technisch gesehen der Port an das Endgerät gebunden(Listener) das sollte doch eigentlich kein Problem darstellen,
da es soweit ich das weiß eine Punkt zu Punkt Verbindung ist. Es muss also erst eine Verbindung mit dem Endgerät aufgenommen werden.

Ich habe hier bei mir auch einige Streamings-Srver (WdTVLive mit Custom FW) die natürlich auf den selben Ports lauschen aber sich nur dann angesprochen fühlen,
wenn ich sie auch direkt anspreche. Bedeutet Streaming on Demand.

Wie auch immer. Wenn das wirklich die Ursache war sollte Abus hier aber dennoch ein Auge drauf werfen,
korrekt ist das verhalten dann so nicht. Aber hier wird es dann zu kompliziert. Da braucht man dann mehr hintergrundwissen
was die Secvest so macht und was die Mediareceiver an sich so ins Netzwerk pusten.

Bin mal echt gespannt ob das klappt. ;-))

Gruß Christian

[M-A-S]

@smith007

Vielen Dank für die Antwort...

1) Abus habe ich über meinen Errichter entsprechend über den Stand der Dinge informieren lassen, bis dato hat dieser aber noch keine Rückmeldung.

2) mit innerhalb / außerhalb des DHCP-Bereiches meinte ich, dass ich der Sevcest zuerst eine feste IP innerhalb des DHCP-Server Bereiches, der vom Router eigentlich automatisch vergeben wird, geben habe. Dieses dann aber geändert habe, nun hat sie eine feste IP außerhalb dieses DHCP-Server IP-Bereiches.

3) einen zweiten IP-Kreis aufbauen ist in der Tat eine etwas aufwendigere "Übung", hier weiß ich noch nicht einmal wie ich dies 1005ig umsetzen muss / kann.

4) Bei den Media-Receivern gibt es leider keine Möglichkeiten, dass Broadcasting abzustellen. Der TV-Stream wird per multicast versendet.

Wenn ich die Technik von Entertain richtig verstehe, melden sich die Mediareceiver auf einem Multicast-Stream an, diese werden dann auf eine Multicast-Adresse geroutet. Die Router schicken diesen Multicast dann auf das Netzsegment, welches es angefordert hat.

Mit Multicast wird erreicht, dass nicht für jeden T-Home-Kunden ein eigener TV-Stream durch die Leitungen geschoben wird, sondern jedes "Programm" genau nur einmal und alle die es haben wollen, melden sich darauf an.

Insofern werden wir an dieser Front keine Lösung finden.

[accutwin]

Die Secvest wird ja aber im Normalfall über den Port 4433 erreicht und nicht über 554.

[M-A-S]

@funkistnichtalles
@accutwin

Richtig, die Secvest hat meines Wissens nach nichts mit dem Port 554 zu tun.

[accutwin]

Und auch wenn man den Port ändert würde es ja vermutlich nicht helfen, denn die beiden Geräte sind ja im gleichen Netzwerk.
Die Portweiterleitung ist ja blos dafür da um das Gerät von außen zu erreichen.
Man könnte die Anlage in einen zweit Router einbinden und in einem eigenen Netzwerk laufen lassen.

[smith007]

Ich habe mal eben die Errichter-Anleitung kurz durchsucht nach Port 554.
Die Secvest nutzt diesen Port schon und zwar als "RTSP Port Internal" für Kameras.

FINA sagte ja, das du diesen Port mal auf 1554 konfigurieren solltest.
Der Hintergund ist, das sich die Secvest dann nicht angesprochen fühlt,
sofern der Mediareceiver hier die Anlage mit Anfragen bombadieren sollte.

Ich hab da mal ein Bild angehangen, wo das zu finden sein sollte.
Steht auf S. 41 der Anleitung.
https://www.abus.com/var/ImagesPIM/d1100..._08_03.pdf
Bin mir jetzt aber nicht sicher ob das nur dann relevant ist, wenn man auch eine Kamera hat.
Wenn nicht müsste FINA mal sagen wo man das noch einstellen sollte.

Mit 4443 ist das Webportal gemeint und um das geht es ja nicht.

Gruß Christian

[funkistnichtalles]

Ich bin jetzt nicht der Abus Crack, aber war da nicht was mit Videoeinbindung via App und Alarmzentrale?
Somit sind wir wieder im Thema, da die Zentrale aus einer Zeit stammt, wo alles auf alles gehört hat. Auch musst du die Dummheiten der Programmierer gerade in Bezug auf Plug n Play im Auge behalten.

Das mit dem offensichtlichen Port ist die eine Sache, jedoch kann das System im Hintergrund ohne weiteres auch auf den 554 lauschen.
Es ist doch ein leichtes, die Zentrale dahingehend umzubiegen. Beim Rosa T wirst du nichts, aber auch gar nichts erreichen.
Hier würde ich ansetzen, ich kenne das Symptom von Videoendgeräten, die die ganze Woche funktionieren, nur wenn Samstag mittags bei Bundelsligaspielen viel Traffic entstand, kamen die Systeme außer Tritt.
Die Ports umgebogen und gut war es.
Meinerseits war das eine Empfehlung aus meiner Erfahrung. Was die Abus da macht, werden die weder dir noch deinem Errichter kundtun.
Alles was mit Videoimplementation zu tun hat, haben wir runtergenommen und Ruhe ist. Evtl. noch die Firewall entsprechend umbiegen, dass auf der Adresse der Anlage wirklich nichts anderes als der Dezidierte Port ankommt und dann sollte Ruhe sein.
Welcher Router ist dran?
DAs mit dezidierten Netzwerken wird immer mehr kommen, nur müssen dann halt die Consumer aufrüsten. Ob die das dann leisten können, wage ich zu bezweifeln.
Das kann aber nun auch nicht der Weisheit letzter Schluss sein, dass du als Endkunde dann einen Netzwerker beauftragen musst, damit dein Kram läuft.

Halt uns da mal auf dem Laufenden.
Ich geh was essen.

[Wilko]

Also die Secvest hat Standardmäßig als Internen HTTPS-Port 4433 und HTTP-Port 80.
554 ist nur der Standard für Video bei der Secvest.

Was ist das denn für ein Anschluss und was für ein Router ?! Ich hoffe kein DSL-Lite ? Die Secvest brauch einen IPV4 Adressenkreis mit einer öffentlichen IPV4 Adresse des Routers.

Ich bin jetzt kein Informatiker/Netzwerker oder so. Aber kann das vielleicht sein dass die öffentliche IP Adressen sich ändern oder umstellen wenn du deine Media-Entertain Geschichte hochfährst ?!

Ein ähnliches Problem hatte ich schonmal beim Kunden gehabt. Da lag es an der öffentlichen IPV4 Adresse und seiner Telekom LTE Geschichte.

Ich hab dann einfach die Secvest auf einem anderem separatem Netzwerk laufen lassen.

[smith007]

Er sprach von Telekom da wird man meines Wissens noch mit echtem IP4 versorgt inkl. IP6 im Dual-Stack.
Da hat man dann beides getrennt.
Ist zumindest bei mir so.

Das Problem was er hat ist auch auf das lokale Netz bezogen.
Ich denke selbst wenn er die Internetverbindung abklemmt und die Mediareceiver startet,
blockiert die Secvest nach kurzer Zeit.

Ist also kein Problem was den Anschluss an sich angeht, sondern die Mediareceiver die durch T-Entertainment nun mit
in das lokale Netz eingebunden wurden und etwas rumspuken.

Gruß Christian

[M-A-S]

@Wilko:
1) Anschluss: VDSL 50 TV IP mit IPv4 und IPv6 Versorgung
2) FRITZ!Box 7490

Die zugewiesene IPv4 Adresse ändert sich auch nicht, wenn die Telekom Media Receiver hochgefahren werden.

@funkistnichtalles / smith007

Die IP-Zonen sind bei uns in der Secvest Zentrale alle deaktiviert, so dass ich hier entsprechend auch nicht den Port (von 554 auf 1554) ändern kann, hierzu müsste ich erst einmal ein IP-Zone aktivieren und ein Netzwerkgerät hinzufügen.


Insofern bleibt mir wahrscheinlich nichts anderes übrig als einen separaten IP-Kreis aufzubauen.

Hat hiermit schon jemand erfahren, wie müsste ich hier vorgehen bzw. was benötige ich hier für Hardware?

Herzliche Grüße

[Mr.Sintony]

Lege die beiden Mediareceiver in das Gastnetz des Routers und unterbinde die Kommunikation untereinander, fertig. Das sollte man mit allen Mediengeräten im Netzwerk machen, bei denen ich nicht weiß welche Daten diese u..U. im internen Netzwerk sammeln und "nach Hause" senden.

Diese Konfiguration ist die Vorstufe einer "DMZ" , also Firewall.

Gruß Mr.Sintony

[willi42]

Ich hatte das gleiche Problem (1 Mediareceiver 400 + Secvest im selben Netz hinter Fritz!Box 7490). Den Mediareceiver auf den Gastzugang zu legen hat nicht funktioniert, er hat den Startvorgang nicht beendet. Ich habe ihn dann über die LAN-Buchse eines Fritz!Wlan-Repeaters 1750E angeschlossen. Ich weiß zwar nicht, warum, aber er stört die Secvest jetzt nicht mehr.

Siehe dazu auch https://avm.de/service/fritzbox/fritzbox...Anschluss/

[M-A-S]

@willi42: Das heißt dann aber das die Media Receiver über W-LAN im Netz hängen, da der Fritz!Wlan-Repeaters 1750E wirklich als Repeater konfiguriert ist und nicht als Bridge, oder? Dies würde bei uns nicht in Frage kommen, da das W-LAN insbesondere für HD dann zu langsam wäre.

Wenn ich es richtig sehe, bietet die neue FRITZ!OS mittlerweile auch nicht mehr die Möglichkeit einer Portweiterleitung ins Gastnetz, somit schließt sich die Möglichkeit die Secvest ins Gastnetz zu "verbannen" auch aus.

Bleibt aus meiner Sicht eigentlich nur die Möglichkeit ein separates IP-Netzwerk hinter die Fritz!Box zu hängen und hier die Secvest separiert laufen zu lassen. Hat Ihr ggfs. schon jemand Erfahrung mit, besteht hier überhaupt die Möglichkeit der Portweiterleitung, so dass die Secvest von "außen" erreichbar wäre?

[kaiwo_maru]

Seit der FW 3.00.04 scheint dieser Fehler nicht mehr aufzutreten.
Sollte das Problem noch aktuell sein, Check mal deine FW und mach ggf. ein Update.
Ich habe einen ähnlichen Aufbau und seit der FW 3.00.04 keine Probleme mehr mit Entertain.