EDOMI von Remote/Internet verfügbar

[Aktor]

ups, hier noch einmal
-------------------------------
Ich habe versucht den Apache 2.4 parallel zu installieren, damit ich mit dem aktuell funktionierenden Apache 2.2.15 noch ein Backup habe. Ich bin wie folgt vorgegangen:

cd /etc/yum.repos.d/
wget http://repos.fedorapeople.org/repos/...l-httpd24.repo
yum install httpd24.x86_64

/opt/rh/httpd24/root/usr/sbin/httpd -version
chkconfig httpd off chkconfig --list | grep
httpd httpd 0: off 1: off 2: off 3: off 4: off 5: off 6: off
httpd24-httpd 0: off 1: off 2: off 3: off 4: off 5: off 6: off

und dann den Apache 2.4 wie folgt starten

service httpd24-httpd start

nachdem das dann fehlgeschlagen ist, habe ich den Apache 2.2 wie folgt gestoppt

service httpd stop

und den Apache 2.4 wieder versucht wie folgt zu aktivieren

service httpd24-httpd start

Eine Abfrage mit "httpd -v" hat mir dann allerdings gezeigt dass Apache 2.2.15 installiert ist, Edomi hat aber dann nicht mehr funktioniert.

Was habe ich vergessen bzw. wo ist mein Fehler und was muss ich noch konfigurieren?

Danke Euch im Voraus

[jonofe]

Meine erste Frage wäre: Wofür braucht man einen Backup für den Apache? Wenn du einen zweiten Apache hast, dann läuft doch noch lange nicht EDOMI damit.
Wenn es keinen wirklich guten Grund für den zweiten Apache gibt, dann würde ich das rückgängig machen.

[Aktor]

wenn ich Thorsten richtig verstanden habe, läuft seine Beschreibung nur mit Apache 2.4. Das mit dem "Backup" war darauf bezogen, dass wenn mit der Apache 2.4 Installation was nicht klappt, ich wieder zu dem Apache 2.2.15 zurück kann und Edomi wieder läuft. Sobald Apache 2.4 läuft, hätte ich den 2.2.15 deinstalliert.

[jonofe]

wenn ich Thorsten richtig verstanden habe, läuft seine Beschreibung nur mit Apache 2.4. Das mit dem "Backup" war darauf bezogen, dass wenn mit der Apache 2.4 Installation was nicht klappt, ich wieder zu dem Apache 2.2.15 zurück kann und Edomi wieder läuft. Sobald Apache 2.4 läuft, hätte ich den 2.2.15 deinstalliert.

Der Reverseproxy wird aber nicht auf dem EDOMI Server eingerichtet, sondern ist ein separater Server. Hast du den Apache 2.4 zusätzlich auf dem EDOMI Server installiert?

[McKajVah]

Hi.

Why not just install a openVPN access server on your EDOMI machine? It is really easy to set up and you have programs for android/ios/windows to run it.

Then you get full access to your home network and you can program ETS from anywhere in the world as you were home. It is really stable and up to two simultaneously connections, it is free. Would recommend this to anyone. If you use and have set up EDOMI yourself it should be easy.

[Aktor]

ja, hatte ich. ok, vielen Dank. Ich habe das Ganze jetzt wieder rückgängig gemacht.

Nur interessehalber, warum geht das nicht auch gleich mit dem Edomi Server?

[Tru]

# activate the client certificate authentication
SSLCACertificateFile /etc/ssl/keys/ca.crt
SSLVerifyClient require
SSLVerifyDepth 2

Wenn ich mal mein eigenes Gerät nicht dabei habe, dann fehlt mir auch mein Client-Zertifikat. Deshalb finde ich es gut sowohl-alsauch Möglichkeiten zu haben. Mit dem Ersatz des obigen Codes aus dem Beispiel von Thorsten durch diesen Code kann ich mit Client-Zertifikat oder mit einem (sicheren) Passwort einloggen.

# activate the client certificate authentication
SSLCACertificateFile /etc/ssl/keys/ca.crt
SSLVerifyClient optional
SSLVerifyDepth 2
SSLOptions +FakeBasicAuth

<Location />
  AuthName "Privat"
  AuthType Basic
  AuthBasicProvider file
  AuthUserFile "/etc/apache2/sites-available/httpd.passwd"
  Require valid-user
</Location>

Zudem empfehle ich den ReverseProxy auf einer eigenen Hardware als Gateway laufen zu lassen. Sollte mal eine DoS-Attacke stattfinden, dann werden keine internen Systeme in Mitleidenschaft gezogen. Ich benutze zum Beispiel den ReverseProxy, einen SSH-Server und einen VPN-Server als externen Zugang auf einem preisgünstigen AP (ohne das Wifi) unter OpenWrt.

[jonofe]

ja, hatte ich. ok, vielen Dank. Ich habe das Ganze jetzt wieder rückgängig gemacht.

Nur interessehalber, warum geht das nicht auch gleich mit dem Edomi Server?

Technisch wird es natürlich auch funktionieren. Du musst halt berücksichtigen, dass zwei apaches auf unterschiedlichen Ports laufen müssen, damit sie sich nicht in die Quere kommen. Der Reverse Proxy ist aber eher ein Sicherheitsfeature und das würde bei Installation auf dem Server, den du eigentlich "sicher" haben möchtest, keinen Sinn ergeben. Idealerweise gibt es zwischen Reverseproxy und dem Zielserver auch noch eine Firewall. also ungefähr so:

Internet <-> DSL Router <-> Reverse Proxy (DMZ) <-> (Firewall/Router) <-> EDOMI (privates sicheres Netz)

[Robby]

Damit ich das jetzt auch mal im Anfang verstehen kann....

...habe ich jetzt mit meinem Raspi aus dem Alexa Skill Projekt schon den "sicheren" Zugriff, oder muss man jetzt noch etwas machen?
bzw. sollte man etwas machen?

[Aktor]

Andre, vielen Dank. Jetzt habe ich es verstanden.

Robby, ich antworte Dir hier besser nicht. Ist bei mir im Moment selber alles mit Unsicherheitsfaktoren bestimmt.

[jonofe]

Damit ich das jetzt auch mal im Anfang verstehen kann....

...habe ich jetzt mit meinem Raspi aus dem Alexa Skill Projekt schon den "sicheren" Zugriff, oder muss man jetzt noch etwas machen?
bzw. sollte man etwas machen?

Zumindest einen sichereren Zugriff, als den EDOMI Server direkt aus dem Internet erreichbar zu machen.
Ich vermute du fragst, weil du keine Firewall/Router zwischen EDOMI und Reverseproxy hast. Richtig?

Würde jetzt dein Reverse Proxy kompromittiert (das geht eigentlich nur über den apache/nginx, wenn du nur den Port 443 von deinem DSL Router weitergeleitet hast), dann könnte ein Angreifer natürlich vom Reverseproxy aus dein internes Netz scannen und weitere Angriffe ausführen. Wenn eine Firewall/Router dazwischen ist, dann würde er dort geblockt und hätte weiterhin nur Zugriff auf die freigegebenen Ports (z.B. den, auf den der Reverse Proxy weiterleitet).

[Aktor]

Hallo Andre,

ich habe es jetzt mit VPN probiert und da läuft es ohne Problem.

Jetzt habe ich Deine super Anleitung zum Alexa Custom Skill Projekt gesehen und würde mich jetzt doch gerne noch einmal an das Thema reversproxy mit dem Rasperry ranwagen.

Ich bin allerdings noch etwas unsicher wo er dann genau eingebunden wird und wie das ganze Setup aussieht. Hättest Du hier vielleicht eine kleine Übersichtsskizze ?

Danke auch an dieser Stelle für die tolle Dokumentation.

[jonofe]

Hättest Du hier vielleicht eine kleine Übersichtsskizze ?

Bei mir siehts ungefähr so aus:
IMAG0526.jpg

[Aktor]

Danke Andre.

An der Stelle, an der Du den Router/ FW eingezeichnet hast, habe ich derzeit einen Switch. Könnte ich die Firewall auch softwareseitig auf dem RPI lösen, oder empfiehlst Du die FW auf alle Fälle hardwareseitig, an der von Dir eingezeichneten Stelle?

[Robby]

Zumindest einen sichereren Zugriff, als den EDOMI Server direkt aus dem Internet erreichbar zu machen.
Ich vermute du fragst, weil du keine Firewall/Router zwischen EDOMI und Reverseproxy hast. Richtig?

Würde jetzt dein Reverse Proxy kompromittiert (das geht eigentlich nur über den apache/nginx, wenn du nur den Port 443 von deinem DSL Router weitergeleitet hast), dann könnte ein Angreifer natürlich vom Reverseproxy aus dein internes Netz scannen und weitere Angriffe ausführen. Wenn eine Firewall/Router dazwischen ist, dann würde er dort geblockt und hätte weiterhin nur Zugriff auf die freigegebenen Ports (z.B. den, auf den der Reverse Proxy weiterleitet).

Ich glaub dadrauf hat Andre mir schon geantwortet