EDOMI von Remote/Internet verfügbar

[jeans112]

Hallo Christian,

ich möchte hier jetzt bitte keine Grundsatzdiskussion lostreten. (Nur VPN ist sicher usw ...)

Ich möchte einfach nur mal Fragen, ob du dir bereits Gedanken über die Erreichbarkeit/Sicherheit der EDOMI-Visu über das Internet gemacht hast?

Ist/wird es so sicher, dass ich einfach eine Portweiterleitung auf dem Router machen kann?

Ist da keine richtige Sicherheit vorhanden, so dass ich es nur mit VPN realisieren kann?

Oder sind da ganz andere Lösungsansätze angedacht?

Danke und Grüße
Jens

P.S.: Ich finde es super welche Arbeit du dir machst und auch noch der Allgemeinheit zur Verfügung stellst!

[SeatSLF]

Ich habe es über einen VPN gelöst

[gaert]

Natürlich kann man einfach eine Portweiterleitung auf 80 einrichten - nur steht dann der EDOMI-Server(!) sperrangelweit offen... EDOMI als solches ist durchaus aus "sicher" zu bezeichnen, sofern entsprechend sichere Passwörter gewählt wurden. Aber: Der HTTPD-Dienst und die Dateirechte sind absolut UNSICHER konfiguriert, d.h. es könnten im Prinzip beliebige Dateien heruntergeladen werden (z.B. Kamerbilder) - sofern der "Angreifer" die URL kennt. Da EDOMI frei verfügbar ist, wäre es ein Kinderspiel, die entsprechenden URLs zu ermitteln...

Als Kompromiss zum VPN ist es demnach sehr sinnvoll, den Zugriff auf die EDOMI-Hardware (via Internet) entsprechend auf Netzwerkebene abzusichern, d.h. KEIN einfaches Portforwarding, sondern zumindest noch entsprechende Mechanismen davor "schalten" (Port-Knocking, etc.).

[2Fast4You78]

VPN on Demand?

[gaert]

Was auch immer für ein VPN - Hauptsache VPN Portforwarding ist irgendwie 90er... Würde ich lassen!

[coliflower]

Was auch immer für ein VPN - Hauptsache VPN ..

Wenn man folgender Aussage glauben darf, dann nicht jede VPN-Technoligie ;-)

PPTP is no longer considered a secure VPN technology because it relies upon MS-CHAPv2 which has been compromised. If you continue to use PPTP be aware that intercepted traffic can be decrypted by a third party, so it should be considered unencrypted. We advise migrating to another VPN type such as OpenVPN or IPsec.

[gaert]

Korrekt. Aber immernoch besser als Portforwarding...

[coliflower]

Stimmt ;-)

[patrickgoll]

Sophos Home UTM ins Netz und dann entweder mit ReverseProxy und Custom Login, gerne auch OTP, dann hat man den 2. Faktor. Oder HTML5 Gateway oder IPSec VPN oder oder. Die UTM kann das alles und kostet nix. Vorausgesetzt man kann sie konfigurieren.

Guter Artikel zum Thema: http://www.networkguy.de/?p=269

[coliflower]

oder pfSense … mit einer riesigen Community ...

[patrickgoll]

Ja auch eine Möglichkeit, wenn auch nicht in meinem Portfolio Könnte noch mit einer Checkpoint auffahren, als IT Security Consultant. Ist aber wohl eher nichts für den Heimgebrauch Aber mal ganz ehrlich. Die UTM von Sophos kostenlos für den Heimgebrauch, wo sie das Enterprise normalerweise 4000€ aufwärts kostet ist schon ziemlicher Luxus. Web Proxy, Mail Proxy, Reverse Proxy, Enterprise Firewall, VPN Access (Remote und Site-to-Site). Also das ist schon ein starkes Stück. Ich kenne pfSense zu wenig um zu wissen, wieviel die davon auch leisten kann.

[coliflower]

Hat die Home Edition von SOPHOS nicht eine Limitation auf 50 IPs oder habe ich das falsch verstanden ?
Auch wenn es für den Heimgebrauch ausreichen sollte …

Für die ganzen Proxythemen gibt es für die pfSense zusätzliche Installationspakete ..
Ansonsten ein Stateful Fire-Wall mit VPN, usw.

[patrickgoll]

Ja das mit den 50 IPs stimmt. Die neue Firewall XG von Sophos limitiert nur noch auf 4 Kerne und 6GB RAM für den heimgebrauch. Reicht also beides gut aus. Ich habe etliche Verbraucher komme aber nicht annähernd an die 50 IPs. Und im Zweifel hängt man sie hinter einen Router und maskiert. Dann hat man 50 Netze. Das spätestens reicht dann völlig.

[sonnenkind80]

Als Kabel BW/Unitymedia geplagter habe ich einen IPV6 Anschluss und einen IPv4 DS-Lite Stack. Somit habe ich keine Chance für einen "einfachen" Zugriff mittels VPN.

Wie kann ich dennoch meine Visu von "außerhalb" sicher erreichen?
Danke!

[ThorstenGehrig]

Hi
Ich halte von VPN und VPNonDemand nicht viel... da muss man zum einen auf den Verbindungsaufbau warten - zum anderen das VPN wieder schließen...
Ich mag "direktes" HTTP(s) mit zertifikatsbasierender authorisierung - da muss man nur einmal die Clients authorisieren (zertifikat installieren)... und der rest geht ziemlich nativ.
Ich versuche gerade dafür meinen Apache2 als reverse-proxy für Edomi einzurichten (für andere Services macht er das schon).
Generell funktioniert schon das ich auf die "ladeseite" von EDOMI komme - also da wo er versucht seine konfiguration zu finden... leider geht es dann nicht weiter.
Irgendwelche Tipps ob zusätzliche Ports etc. gebraucht werden?

Gruß
Thorsten