edomi über Reverse-Proxy

[Ing-Dom]

Hallo zusammen,

edomi sollte man ja besser nicht öffentlich zugänglich machen. Sehe ich ein - alleine weil das CentOS nicht geplegt werden darf/soll.

Eine Möglichkeit per VPN gibts aber nicht immer.

Für diverse "dumme" Netzwerkgeräte (z.B. meine Helios-KWL) hab ich dazu eine Apache2 mit SSL und separater Authentifizierung dazwischengeschaltet.

Hat das schon mal jemand gemacht? Mit welchen Ergebnis?
Spricht irgendwas dagegen?

[jonofe]

Hat das schon mal jemand gemacht?

Ja.

Mit welchen Ergebnis?

Funktioniert.

Spricht irgendwas dagegen?

Höchstens das persönliche Sicherheitsbedürfnis.

Es gibt ja auch unterschiedliche Ausprägungen:
- mit/ohne echte DMZ
- mit/ohne zertifikatsbasierter Authentifiszierung

Ich nutze einen Reverse Proxy mit einer echten DMZ für den Zugriff des Amazon Alexa Service auf den Custom Alexa Skill, der auf meinem EDOMI Server läuft.
Daher ist der Reverseproxy nur für die Amazon Alexa IP Range freigeschaltet. Wenn ich von außen direkt auf EDOMI zugreifen wollte, würde ich es wohl mit Client Zertifikaten machen. Bedeutet aber auch, dass der Rechner von dem du aus zugreifen möchtest, dieses Client Zertifikat haben muss. Ansonsten nutze ich VPN.

Hier, hier und hier gibt es eine längere Diskussionen darüber. Wären übrigens die ersten Treffer gewesen, wenn man nach Reverse Proxy im Edomi Forum sucht.

[Ing-Dom]

ich hab sogar nach Proxy gesucht im edomi-Forum, bei den Treffern dann LBS und Alexa gelesen und es gleich als irrelevant eingestuft. War zu vorschnell.

Bzgl Sicherheit - der Kanal ist per SSL gesichert, und eine Authentifizierung mit einem hinreichend sicherem Passwort gegeben. Das Passwort wird durch SSL ausreichend geschützt.
Klar, dem Browser/Rechner muss ich vertrauen. Das muss ich aber auch bei SSL mit Zertifikat.
Oder wo seht ihr potentielle Sicherheitlücken? Bei "nur" SSL mit mod_auth ?

Ich hab den Proxy bei mir nicht zum laufen gebracht mit

                ProxyRequests Off                                                                         
                <Proxy *>
                        RequestHeader unset Accept-Encoding
                        Order deny,allow
                        Allow from all
                </Proxy>

               ProxyHTMLEnable On
               ProxyHTMLExtended On

               ProxyPass / http://192.168.178.101/
               ProxyPassReverse / http://192.168.178.101/
               ProxyHTMLURLMap http://192.168.178.101 /

allerdings hat mich dann https://knx-user-forum.de/forum/proj...253#post998253 auf den richtigen Pfad gebracht:

                ProxyRequests Off                                                                         
                <Proxy *>
                        RequestHeader unset Accept-Encoding
                        Order deny,allow
                        Allow from all
                </Proxy>

               ProxyPass / http://192.168.178.101/

Simpel, funktioniert.