D6 kabelgebundenes LAN/WT

[crunchie72]

Hallo,

Seit letzter Woche habe ich relativ günstig ein gebrauchten WT-6 für meine D6 erstanden. Ziel ist es, damit Bilder direkt mit SFTP auf meinen NAS zu übertragen, sowohl mit Kabel (darum ins D6-Forum) als auch kabellos. Da dies gegebenfalls auch vom Internet aus geschehen soll, musste es die sichere Variante von FTP sein. Dies hat sich als schwieriger herausgestellt, als ich das erwartet habe und die LAN LED blinkte orange mit kryptischen Fehlermeldungen "Err:3F" und ähnliches.

Erst durch einen Trace mit tcpdump auf dem NAS wurde klar, warum die Verbindung mit SFTP zunächst nicht funktionierte. Die D6 (sowohl mit Kabel als auch über den WT-6) verwendet nur relativ alte sha-1 basierte SSH Algorithmen, die für die Absicherung der SFTP-Verbindung verwendet werden. Auf dem NAS war mittlere Sicherheit für SSH eingestellt (was auch für SFTP galt), und so scheiterten der NAS und die D6 am Verbindungsaufbau. Die Fehlermeldung und die entsprechende Seite von Nikon (english: https://onlinemanual.nikonimglib.com/d6/en/13_ethernet_wt-6_11.html) geben dazu nur an, die Kamera neu zu starten, was wenig hilfreich ist, da das ja nicht modernere Algorithmen in die Kamera bringt.

Abhilfe hat eine Konfigurationsänderung auf dem Synology NAS gebracht(Systemsteuerung->Terminal&SNMP->Terminal->Erweiterte Einstellungen->Anpassen). Gut versteckt, da es nicht von der Konfigurationsseite über SFTP erreichbar ist.

In den drei Spalten mindestens die folgenden Einträge anwählen:
Cipher: aes256-ctr
KEX: diffie-hellman-group14-sha1 (Siehe https://tools.ietf.org/id/draft-ietf-curdle-ssh-kex-sha2-09.html warum group14 und nicht diffie-hellman-group1-sha1 oder diffie-hellman-group-exchange-sha1)
MAC: hmac-sha1 (D6 unterstützt hmac-sha1,hmac-sha1-96,hmac-md5,hmac-md5-96,hmac-ripemd160,[email protected]. MD5 ist unsicherer als SHA1, zu Riped habe ich nicht viel gefunden)

Danach klappt dann auch der Verbindungsaufbau mit SFTP. Mit einer Portweiterleitung von dem Router (z.B. 12345 -> NAS:22) und dynamischem DNS Eintrag klappte dann auch gleich der Verbindungsaufbau über Hotspot vom Handy zum NAS ohne Probleme.

Vermutlich werde ich den Port nur weiterleiten, wenn ich das wirklich nutzen werde. Man sollte sich überlegen, ob man seine Server so dauerhaft dem Internet aussetzt. Zumindest kann man einen anderen Port als 22 wählen.

Mit der Lösung bin ich so zufrieden, auch wenn der WT-6 zunächst etwas schwer in Betrieb zu nehmen ist. Für den IT-Laien kann das schnell frustrierend sein, gerade bei dem Preis.

Insbesondere stört mich
1) Die Verknüpfung der (S)FTP Konfiguration mit dem LAN/WT. Warum man dasselbe FTP Profil nicht für ein kabelgebundenes Ethernet und den WT verwenden kann ist wohl ein Geheimnis von Nikon.
2) Die Fehlermeldungen ("Err:3F") sind doch sehr kryptisch und bei der Fehlersuche wenig hilfreich. Da waren die Programmierer wohl etwas faul, "Err. 32" in "Das Kennwort ist falsch." zu übersetzen.
3) Bei bestehender Verbindung blinkt die LAN LED sehr nervös. Ich hätte es besser gefunden, wenn die LED beim Verbindungsaufbau blinkt und bei bestehender Verbindung dauerhaft leuchtet.
4) Der Flugmodus stellt nicht den WT-6 ab (Firmware Version C 1.11). Das ist wohl ein Bug.
5) Der WT-6 unterstüzt wohl kein WPA2-Enterprise (WLAN Passwörter im Radius Server). Damit kann sich der WT-6 wohl kaum als professionelle Ausrüstung bezeichnen.

Ich kann mir gut vorstellen, daß die SFTP-Probleme auch für die WT-5, and D4s/D5 auftreten können. Die D4 konnte ja wohl noch kein SFTP, da sollte man doch lieber vorsichtig sein mit FTP über das Internet.

So, und jetzt sollte ich wieder ans Fotografieren denken.

Schöne Woche und bleibt gesund
/Sascha

Klicken zum Weiterlesen...

 

[Christian B.]

Moin Sascha, ich verstehe zwar technisch nicht einmal die Hälfte von dem, was Du uns hier niedergeschrieben hast, aber ich ahne die unendliche Mühe, die Du Dir gemacht hast um das alles herauszufinden und für Dich einrichten. GANZ herzliche Dank dafür, dass Du Dir die Mühe gemacht hast, das hier auch noch zu dokumentieren. Es wird sicher User mit demselben Problem geben, die dann dies hier lesen und Zeit sparen können. Wenn Du noch den Nerv dazu hast, könntest Du es vielleicht - so nicht schon geschehen - auch an den Nikon-Support weitergeben, denn veraltete SSH-Algorithmen sollte man schleunigst mit Firmware Update ersetzen, und zwar nicht nur bei der D6, sondern mindestens auch bei der D5. Gute Nacht! Christian

 

[KAOOS]

Nun, vielen Dank für die ausführlichen Infos. Daß der WT-6 eben so arbeitet, liegt an seinem Alter. Er wurde für die D5 aus dem Vorgänger WT-5 entwickelt, aber vermutlich nur mit einem schnelleren Wlan-Chip bestückt worden, und die LED wurde auch gespart. Also ist der Entwicklungsstand des WT-6 von 2015. Nikon hat für die D6 eben keinen neuen WT herausgebracht, sondern war eben etwas faul, wie eben bei der D6 selbst auch (viele Dinge der Neuerungen der D6 zur D5, bis auf den Expeed6 Prozessor, hätte man der D5 auch per Firmware nachreichen können.)

 

[crunchie72]

Noch mal ein kleines Update. Die D6 meldet sich beim SFTP Server mit dem folgenden Protokol an:

SSH Protocol
Protocol: SSH-2.0-libssh2_1.4.3

Mit ein wenig Nachforschung im Internet kommt man dann zu https://www.libssh2.org, um festzustellen, daß die libssh2-Library in der Version 1.4.3 vom 27. November 2012 stammt, nicht gerade aktuell. Da hat sich in der Produktpflege seit 8 Jahren keiner mehr drum gekümmert. Falls das so richtig ist, haben die auch ihr Open Source sourcing nicht ordentlich betrieben, denn in der Anleitung steht über libssh2 nichts, obwohl das Copyright der libssh2 genau das verlangt.

Die Liste der nicht behobenen Sicherheitsprobleme kann man auch einsehen: https://www.cvedetails.com/vulnerability-list/vendor_id-15300/product_id-31293/Libssh2-Libssh2.html

Ein Update auf die aktuelle Version 1.9.0 würde da einige modernere SSH Algorithmen bringen, als auch die bekannten Sicherheitslücken beheben.

Leider war die Antwort auf meine Anfrage beim Nikon-Support nur, daß die D6 SFTP unterstütze, ohne auf die Probleme einzugehen. Viel erwarten darf man da wohl nicht.

Warum interessiert mich das? Ich habe heute beruflich mit einer Abkündigung von SSH Protokollen in openssh (also der SFTP-Server seite) zu tun gehabt. Da werden nach und nach die unsicheren Protokolle nach und abgeschaltet, was dann irgendwann zu einem nicht mehr funktionierendem WT-6 führen wird.

 

[KAOOS]

Hallo,
ich würde bei Nikon nochmals nachfragen, so eine einfache Antwort sollte auch nicht kommen. Der WT-6 ist eben, wie schon gesagt, von 2015/2016.
Für die D6 hätte Nikon einen neuen WT herausbringen müssen, mit entsprechend neuen Protokollen, und Fullduplex ax-Support. Leider arbeitet der WT5 nur halfduplex, sprich beim WT-5 mit maximal schnellem Wlan-n nur 150MB/S, statt 300.
Warum die den WT so drosseln, ist mir unbekannt, da es sich ja um professionelle Dongles handelt, die auch nicht so günstig sind, wenn neu gekauft wird.
Was mich aber interessieren würde, wenn schon bei dem WT-6 das SSH Protokoll so alt ist, wie schaut es dann beim WT5 aus??

 

[crunchie72]

Hallo,

So richtig zufrieden war ich mit der Performance von SFTP in der D6 nicht.

Ich habe keine Ahnung ob das von Interesse ist, aber ich fasse mal zusammen, was ich beobachtet habe:

Auf dem FTP Server wurde mit tcpdump der Datenverkehr aufgezeichnet, mit wireshark kann man dann den Durchsatz und Probleme messen, um herauszufinden, ob da noch mehr drin ist und was den besten Datendurchsatz bietet.

Der Server war immer der gleiche Synology DS918+, es wurden zahlreiche JPEG Bilder übertragen. Bedingt durch das Netzwerk, waren immer 3 Unifi Switches im Pfad von der Kamera zum NAS, was aber nur eine untergeordnete Rolle spielen sollte.
Der WLAN AP befand sich weniger als einen Meter von der Kamera, was optimale Verbindungen erlauben sollte. Die Kamera hat dabei 5GHz-Frequenzen verwendet.

Dabei habe ich die folgenden Messergebnisse bekommen.

Ethernetkabel: D6 -> Unifi US-8 -> Unifi US-8 -> Unifi US-8 -> DS918+ und FTP (passive): 420MBit/s, keine TCP retransmissions
Ethernetkabel: D6 -> Unifi US-8 -> Unifi US-8 -> Unifi US-8 -> DS918+ und SFTP: 52Mbit/s, keine TCP retransmissions
WT-6 D6 -> Unifi UAP-AC-Lite -> Unifi US-8 -> Unifi US-8 -> Unifi US-8 -> DS918+ mit FTP (passive): 114MBit/s, 0.2% Malformed TCP (spuriuos retransmissions)
WT-6 D6 -> Unifi UAP-AC-Lite -> Unifi US-8 -> Unifi US-8 -> Unifi US-8 -> DS918+ mit FTP (active): 108MBit/s, keine TCP retransmissions
WT-6 D6 -> Unifi UAP-AC-Lite -> Unifi US-8 -> Unifi US-8 -> Unifi US-8 -> DS918+ mit SFTP: 21MBit/s, 6% Malformed TCP packets (spuriuos retransmissions)

Die D6 scheint mit SFTP sowohl mit Kabel als auch mit WT-6 ernsthafte Performanceprobleme zu haben. Immerhin treten beim Kabel keine Paketverluste mit TCP auf, was gut ist für den Datendurchsatz.
Schlimmer sieht es da allerdings mit dem WLAN aus. Die beste Methode ist passives FTP, allerdings sollte man sich da im Klaren sein, daß die Passwörter zum FTP im Klartext durch das Netz geschickt werden. Das ist innerhalb des Heimnetzwerks noch zu verschmerzen, aber im Internet oder auch bei fremden lokalen Netzen ein klares No-Go!
Mit den 0.2% TCP Problemen bei passivem FTP kann ich leben, immerhin kommt dabei mehr Durchsatz zustande als mit aktivem FTP.
Wo es richtig schlecht aussieht ist WLAN mit SFTP. Da scheint die Kamera beim Senden nicht mitzubekommen, ob die TCP Pakete bestätigt wurden. Es kann vielleicht daran liegen, daß der WT-6 eben kein Fullduplex unterstützt. Warum FTP davon allerdings nichts oder nur viel weniger mitbekommt ist damit nicht zu erklären. 6% ist aber schon eine ordentliche Hausnummer, was Paketverluste angeht, da geht richtig viel Performance durch erneutes Senden der Daten drauf. Ich vermute mal einfach, daß die Firmware der Kamera beim Verschlüsseln der zu Daten im Uplink (D6 -> SFTP server) einfach mal Downlink (SFTP server -> D6) Pakete verschläft.
Die Messungen mit FTP lassen die Vermutung zu, daß das Problem nicht am WLAN an sich sondern in der Kamera liegt. Im WLAN sind ja 108MBit/s ohne Probleme möglich.
Mich würde nicht wundern, wenn die Firmware und die CPU der D6 einfach nicht auf Verschlüsselung ausgelegt ist. Es ist ja immerhin eine Kamera und kein Router/Computer, bei denen meistens ja sogar Hardwareunterstützung für die Verschlüsselung in den Prozessoren dabei ist.

Unterwegs werde ich mich mit der lausigen SFTP-Performance abfinden müssen. Daheim werde ich ein FTP-Profil verwenden. Und auch in fremden Kabelnetzen wird SFTP mit seinen 52MBit/s ausreichen müssen.
Die Sicherheitsprobleme dabei werde ich etwas reduzieren, indem ich ein spezielles D6-Konto auf dem NAS habe, das nichts außer FTP darf und dabei in genau ein Verzeichnis schreiben darf. Dazu wurde das FTP Logging aktiviert, so daß Probleme nachverfolgbar werden. Und natürlich wird ein verschlüsseltes WLAN verwendet, so ist das offene Passwort nur lesbar für Angreifer, die eh schon Zugriff auf das Netz haben.

So richtig gut is das nicht, aber 114MBit/s sind halt irgendwie besser als 21Mbit/s. Wenn ich mit neuen Bildern heimkomme, wird einfach die Kamera eingesschaltet, und bis der Computer angeschaltet ist, sind (fast) alle Bilder schon verfügbar. Ist irgendwie cool.

 

[fwolf15]

Wenn es per LAN flotter geht, könnte man fast mal drüber nachdenken ob man nicht den LAN Anschluss der Kamera nutzt und daran nen Wifi Modul hängt, also wireless bridging betreibt. Für die Kamera wäre es ja dann LAN.

Mit nem Raspberry ist das ja recht schnell gemacht, aber..... nen raspberry ist dafür halt zu groß. Müsste man mal schauen ob es keine Funkmodule gibt die nen LAN anschluss unterstützen.

Edit: mit so nem Modul müsste sich da was machen lassen, hab aber bis jetzt leider noch keins gefunden welches auch 5GHz unterstützt was dann höhere Geschwindigkeiten erlauben würde.

Gruß
Wolfgang

 

[KAOOS]

Laut Nikon sollte der WT-6 aber doch Fullduplex haben, im Gegensatz zum WT-5. Dort steht, daß er 866Mbit/s schafft, das wäre ja schon fast volle AC-Geschwindigkeit. Vielleicht fehlt der D6 noch das passende Update, um die volle Geschwindigkeit des WT-6 zu nutzen. Alternativ wäre mal ein Test mit einer D5 notwendig, um zu sehen, ob diese mit dem WT-6 schneller arbeitet, als die D6.
Da ich weder D5 noch den WT-6 habe, kann ich hier leider nichts dazu beitragen.