Fernzugriff auf KNX (ETS5)

[dhb2002]

Steht 2 Beiträge unter dem von Dir zitierten Posting von mir.

Vielen Dank und Asche auf mein Haupt. Wer Lesen kann ist klar im Vorteil.

Ich habe jetzt usbip auf meinem Edomi Server (CentOS) installiert und kann den Dongle damit exportieren. Der Windows Client ist etwas mühsam aber funktioniert am Ende auch (https://github.com/cezanne/usbip-win). ETS funktioniert damit. Super!

P.S.: Für die, die über die Suche hier landen: Die Demoversion von VirtuallyHere erlaubt die kostenlose Nutzung eines USB Devices. Reicht damit also aus für den Lizensdongle aus. Ist am Ende einfacher als der USBIP Client unter Windows.

[tomster2]

Steht 2 Beiträge unter dem von Dir zitierten Posting von mir.

Ich hab VirtualHere auf meinem Qnap-NAS und den Client auf dem KNX-Laptop installiert. Kostet zwar einmalig Geld, aber das war's mir wert.

Gibt aber bestimmt auch Alternativen.

[dhb2002]

Ich habe übrigens auch meinen ETS-Dongle nicht am Laptop stecken, sondern zu Hause in einem NAS dessen USB-Port ich über das Netz freigebe. Damit ist die Gefahr den Dongle zu verlieren, ebenfalls stark reduziert ;-)

Toller Ansatz. Nehme den Dongle auch nicht gerne mit auf Reisen. Kannst du vielleicht einen kurzen Denkanstoß geben, wie du das aufgesetzt hast?

[vento66]

So sollte es funktionieren. Am besten wäre es natürlich, wenn Haus A und Haus B unterschiedliche IP Ranges haben, wird aber meist nicht möglich sein. Dann halt sicherstellen, das Du am richtigen Gateway programierst. Ggf Deines derweil vom Netz nehmen.

[Messknecht]

Auf dem Router des Bekannten (der Einfachheit halber Haus B) muss ein VPN Zugang eingerichtet werden?

Auf dem Router oder auf einem Gerät im Netzwerk von Haus B muss der VPN Zugangspunkt terminiert sein.

Damit ich Zugang von Haus A über das Internet auf das "Heimnetz" --> IP-Interface bekomme.

Ja

Muss an meinem Router (Haus A) auch etwas eingestellt werden?

In der Regel nicht. Dafür hast du einen VPN-Client auf dem Rechner installiert welcher die Verbindung aufbaut.

[Maexle]

Klar

magst Du das etwas näher beschreiben...

Auf dem Router des Bekannten (der Einfachheit halber Haus B) muss ein VPN Zugang eingerichtet werden? Damit ich Zugang von Haus A über das Internet auf das "Heimnetz" --> IP-Interface bekomme.
Richtig so? Muss an meinem Router (Haus A) auch etwas eingestellt werden?

[vento66]

Klar, sonst müsste ich ja öfters aus dem Haus gehen

[Maexle]

Nein, mit einem Notebook auf dem die ETS und das Projekt ist auf die KNX Anlage eines Bekannten zugreifen.

ich habe dein Zitat mal etwas abgeändert --> ist das möglich?
Ich habe auf meinem Rechner die ETS und das Projekt, der Bekannte hat ein IP-Interface von MDT; kann ich von mir zuhause Änderungen vornehmen?
Danke

[KNX1]

Die IP-Bereiche dürfen untereinander zunächst gar nicht kommunizieren. Das macht für mich ein Unifi-Controller mit USG, der auch für das WLAN/LAN/VPN zuständig ist und mit wenig Konfigurationsaufwand unterschiedliche Subnetze (samt DHCP-Servern) bereitstellt.

Ich kenne den Unifi-Controller nicht - aber lediglich verschiedene Subnetze innerhalb eines Netzwerkes zu definieren (ohne Trennung mittels VLAN) ist doch nur Makulatur. Es müsste ja quasi nur die IP-Adresse am PC oder beliebigen Endgerät gewechselt werden und schon bin ich im jeweiligen Subnetz.

Oder Unifi macht unter der Haube doch VLANs - ansonsten würden ja auch mehrere DHCP-Bereiche in einem unsegmentierten Netzwerk irgendwie kollidieren - woher sollte das Endgerät denn wissen, zu welchen Subnetz es denn gehört.

Ich kann auf jeden Fall VLANs als Segmentierung sehr empfehlen - den Endgeräten ist das egal, da sie das gar nicht mitbekommen (dürfen!). Nur die Infrastruktur (Switch, Firewall) muss damit klar kommen - und dass kann im Zweifelsfall schon ein billiger 25-Euro Pseudo-Managed Netgear Switch.

P.S. In einem der letzten IP-Symcon Youtube Videos war ein Vortrag von Lingg&Janke mit IP-Symcon und Data-Secure - ich schlussfolgere damit, dass das irgendwie gehen sollte ...

[Burgerking]

Ok. Danke für die Erklärung.

[tomster2]

Eigentlich ist mein Ansatz gerade die ENTkoppelung. Die IP-Bereiche dürfen untereinander zunächst gar nicht kommunizieren. Das macht für mich ein Unifi-Controller mit USG, der auch für das WLAN/LAN/VPN zuständig ist und mit wenig Konfigurationsaufwand unterschiedliche Subnetze (samt DHCP-Servern) bereitstellt. Wenn aber bestimmte Geräte doch unbedingt in ein anderes Subnetz zugreifen sollen, dann kann man das über entsprechende Firewallregeln im Unifi-Controller bewerkstelligen.

[Burgerking]

Danke!
Wie "koppelst" du die verschiedenen IP Adressbereiche? wenn z.b. KNX mit einem Gerät in einem anderen Bereich reden muss?

lg

[tomster2]

Du meinst ein VLAN ? Damit muss ich mich auch noch beschäftigen...

Nein, nicht VLAN, sondern tatsächlich andere IP-Bereiche. Es gibt noch genug Geräte, die mit VLAN nicht umgehen können.

Sachen gibt es Tolle Idee!
Wie macht man das? Habe 2 Synology NAS...

Mein USB-Server (VirtualHere) läuft auf einem QNAP-NAS, aber es sind anscheinend auch für Synolgy (oder auch RasPi) Pakete verfügbar:
https://virtualhere.com/nas

Nach der Trialphase kostet eine Lizenz zwar inzwischen 49U$, aber mir war es das wert. Ein neuer Dongle kostet - glaube ich 80-100€...
Die Lizenz ist aber an das verwendete Server-Gerät gekoppelt und kann nicht transferiert werden!

Es gibt aber auch noch andere Anbieter für USB-Server-Software.

[Burgerking]

Ich habe sämtliche "Systemgeräte" (IP Router, Türsprechstelle, Wandtablet, etc.) in ein separates Subnetz gepackt (z.b. 192.168.10.0). Mein WLAN/LAN und das GastWLAN haben jeweils auch eigene Subnetze.

Du meinst ein VLAN ? Damit muss ich mich auch noch beschäftigen...

Ich habe übrigens auch meinen ETS-Dongle nicht am Laptop stecken, sondern zu Hause in einem NAS dessen USB-Port ich über das Netz freigebe. Damit ist die Gefahr den Dongle zu verlieren, ebenfalls stark reduziert ;-)

Sachen gibt es Tolle Idee!
Wie macht man das? Habe 2 Synology NAS...

[tomster2]

Nein, mit einem Notebook (zb. Ausland) auf dem die ETS und das Projekt ist auf die KNX Anlage Zuhause zugreifen.

OK, ist auch der "vernünftigere" Ansatz ;-)

Ich habe sämtliche "Systemgeräte" (IP Router, Türsprechstelle, Wandtablet, etc.) in ein separates Subnetz gepackt (z.b. 192.168.10.0). Mein WLAN/LAN und das GastWLAN haben jeweils auch eigene Subnetze. Damit (=interne Firewall) federe ich "Angriffe" von innen schon einmal ganz gut ab. Zugriff von außerhalb mache ich - wie auch von hjk vorgeschlagen - über VPN. Secure nutze ich nicht, weil ich meine fhem-Instanz (für's Tablet) damit nicht zum Laufen gebracht habe.

Ich habe übrigens auch meinen ETS-Dongle nicht am Laptop stecken, sondern zu Hause in einem NAS dessen USB-Port ich über das Netz freigebe. Damit ist die Gefahr den Dongle zu verlieren, ebenfalls stark reduziert ;-)