Best Practices bei der Fernwartung

[ponG]

Habe heute mal eine Frage, die insbesondere an die Profis geht, die ihre Kunden per Fernwartung unterstützen.

Mich würde als IT-affiner KNX-Häuslebesitzer einmal interessieren, wie ihr bei Fernwartungen vorgeht. Verwendet ihr, um Zugang auf die Installationen der Kunden zu bekommen...

dedizierte Lösungen im Sinne eines Gira S1 o.Ä.
VPN-Lösungen der vorhandenen IT-Infrastruktur (FritzVPN)
separate VPN-Lösungen (eigener VPN-Router)

Wie sehen eure Kunden die Fernwartungsmöglichkeiten und wie oft bekommt ihr Bedenken zu hören, dass da immer ein "Türchen" offen ist?

Ich stelle meine Frage wirklich nur aus persönlichem Interesse als Informatiker. Ich parametriere und warte meine Installation selbst, der IT-Sicherheitsaspekt bei der Fernwartung interessiert mich nur. Ich würde mir - wenn ich ein Kunde wäre, der Fernwartung in Anspruch nähme, aber nicht an der FritzBox rumdoktern möchte - eine Lösung wünschen, bei der ich auf einfache Art und Weise selbst in der Hand hätte, wann jemand anderes Zugriff auf mein Netz erhielte.

[ponG]

Einige Teilnehmer haben mittlerweile für die vorhandene Infrastruktur abgestimmt. Gebt ihr den Ton an oder der Kunde sagt euch "Ich hab euch da was vorbereitet"?

Wie sehen eure eigenen VPN-Lösungen aus, falls ihr für Variante 3 gestimmt habt?

[spassbird]

Viele meiner Kunden nutzten selbst die ETS und da bin ich mit Teamviewer besser und schneller dran.
Hat allerdings den Nachteil, dass man dauernd die Projektdateien hin und her schicken muss.
Aber irgendwas ist ja immer.

[Utoquai]

Hallo ponG

wenn eine Infrastruktur beim Kunden vorgegeben ist, hat er den Ton angesagt ;-)
In diesem Fall schauen wir in wie weit die vorhandene Infrastruktur passt. Der Rest wird angepasst.

Variante 3 wird mit Produkten der Firma Lancom aufgebaut.


Randnotiz: Wir arbeiten überwiegend bei Privatpersonen sowie KMU. Also meist ohne IT-Fachabteilung oder Dienstleister, welche Vorgaben machen.


Gruß

Stefan

[GLT]

Es geht nicht darum, den Ton anzugeben - hat der Kunde bereits passendes Equipment u. man muss sowas nur noch einrichten - warum sollte man Kunde zur unnötigen Ausgabe drängen, nur damit man seine eigene Lösung implementiert?

[ponG]

Ich meine eher, hat der Kunde dann ohnehin schon ein VPN eingerichtet und gewährt euch Einlass oder sind die Kunden in der Regel wenig technikaffin und es läuft eher wie "Gib mir mal dein Fritzboxpasswort und lass mich machen".

Hier war neulich mal ein Thread, wo jemand sagte, sein Elektriker "müsse irgendein Programm auf die Fritzbox spielen". Dieser Thread hat mich überhaupt erst drauf gebracht, mir mal durch den Kopf gehen zu lassen, wie man es sauber lösen könnte.

[ponG]

Viele meiner Kunden nutzten selbst die ETS und da bin ich mit Teamviewer besser und schneller dran.
Hat allerdings den Nachteil, dass man dauernd die Projektdateien hin und her schicken muss.
Aber irgendwas ist ja immer.

Wenn du dich bei den Kunden per Teamviewer aufschaltest, dann brauchst du doch selbst die Projektdatei nicht, oder wo liegt mein Denkfehler in der Konstellation?

[GLT]

Technisch nicht versierte Kunden - glaubst Du, die bekommen das mit der FB hin oder macht ihnen das nicht auch der Eli/Telekomiker?
Wenn er's selber kann, ist es recht, ansonsten richtet man das nach Absprache ein u. zeigt ihm das auch (falls es interessiert) - dem Kunden ist es so eher lieber, als wenn er dafür nochmal extra löhnt. Selbst bei einer Enertex ENA muss man an den Router ran.

In grösseren Anlagen existiert oft ein IT-Verantwortlicher - da sieht man zu, dass ER das einrichtet - somit ist man wegen evtl. Zugangslücken fein raus. Leider sind so manche eher Möchtegern-ITler mit ziemlich wenig Ahnung - dann wird's problematisch..

[spassbird]

Wenn du dich bei den Kunden per Teamviewer aufschaltest, dann brauchst du doch selbst die Projektdatei nicht, oder wo liegt mein Denkfehler in der Konstellation?

Da hast Du natürlich Recht, aber in der Praxis ist es zumindest bei EFH-Kunden so, dass sie ab und an ihre Anlage, an ihre Bedürfnisse anpassen wollen.
Einiges kommt hinzu oder wird verändert.
Eine Fernwartung ist das nicht, da eigentlich eine Anlage nach Pflichtenheft konzipiert, parametriert und abgenommen wird.

Wenn etwas nicht so spielt, wie vorher oder eben Änderungen vorgenommen werden sollen, reicht Teamviewer aus.
Da aber einige Wünsche dabei sind, die ich vom Schreibtisch aus bearbeiten kann, brauch ich die Projektdatei und schicke sie dem Kunden dann zu, damit er sie schon mal importiert und die geänderten Geräte neu läd.

Meine Kunden sind so fit, dass Sie auch allein Änderungen an den Parametern, wie Nachlaufzeit, Zentralfunktion oder Dimmeigenschaften an den Geräten einstellen können. Diese Änderungen brauch ich natürlich als Basis, um weitere Anpassungen zu machen. Da bekomm ich dann die Projektdatei wieder zurück.

Ist etwas umständlich, aber solange die ETS kein Version-Controlling bietet, eine Möglichkeit das beide immer mit der aktuellsten Version arbeiten.

[ponG]

Okay, verstanden. Wenn beide Seiten Anpassungen am Projekt vornehmen und nur dann und wann per Teamviewer gearbeitet wird, kommt man natürlich nicht drumherum.

[tstalzer]

Bevorzugt Option 3:

Meistens Zywall USG 40 (oder 110 bei größeren Projekten), die dann auch die VLANs für die Gebäudetechnik aufbaut.

[Chris24]

Ich sende unseren Kunden meistens (Vorübergehend) einen fertig eingerichteten Lancom Router für die VPN Verbindung zu. Der Kunde steckt dann nur noch seine "Fritzbox" auf den WAN Port des Lancom und an die LAN1 Buchse kommt der XNX Gateway. Der Lancom baut seinerseits die IPSec Verbindung zu uns auf; an der Fritz!Box ist keine Anpassung erforderlich. Nach Ende der Anlagenänderungen bekommen wir den Lancom zurück.

[ponG]

Also ist bei dem Szenario die Kundenseite der Client? Weshalb kein Portfreigaben usw nötig sind? Auch interessant!

XNX-Gateway? Meinst du die KNX-Schnittstelle?

[Beleuchtfix]

Dann brauchst du aber doch die Einwahldaten des Kunden?
Gruß Florian

[ponG]

Ich hab ihn so verstanden, dass er sich über die Internetverbindung des Kunden als Client in seinem eigenen VPN anmeldet. Finde ich geschickt.

Ich verstehe nur noch nicht ganz, wie dann das Routing auf das IP-Interface im Kundennetzwerk klappt.