Zugriff von "außen" aus dem bösen Internet

[BadSmiley]

Hi,
zugriff auf HASS von außen, da gibt es einige Beiträge in diversen Blogs usw.
Was geht:
1. VPN, klar, im Router zu konfigurieren und man muss es immer aufbauen, bevor man auf HASS zugreift. Mach ich via S1 und openVPN. Alternativ geht natürlich z.b. Wireguard usw. Aber man muss immer 2x Tippen unter Android und man merkt den Akkuverbrauch deutlich, wenn man die Verbindung einfach offen lässt.

2. S1 Direkt Link über das Geräteportal. Saugt massiv Daten und funktioniert nur über den Browser, die HASS App will unter Android nicht. Da wird wohl ein Token nicht sauber ausgetauscht und ich hatte in einem Monat mal fix 1GB an Traffic.

3. Fernzugriff via Nabu Casa Cloud, ist mit monatlichen Kosten verbunden.... da habe ich immer so mein Aua damit, wobei es sicher eine einfache Methode ist, allerdings kann ich dann nicht den KNX Bus über den gleichen Fernzugriff programmieren, das wäre der Vorteil am S1 oder VPN.

4. Cloudflare-Tunnel, habe ich nicht hin bekommen.. trotz diverser Anleitungen. Der DNS meines Mail und Webservers war dann so durch den Wind, dass ich erstmal einen Tag Ruhe vor Kunden E-Mails hatte.

5. und was macht ihr so?

6. Vergessen: Portweiterleitung auf HASS geht natürlich auch. Wird vermutlich pauschal als böse eingestuft. Dabei ist die Frage, wie sicher ist HASS eigentlich? Ich muss mal lesen, ob es eine Zertifikat Verwaltung gibt. Hat das schon mal wer gemacht? KNX Programmierung aus der Ferne, fällt dann natürlich auch weg.

Gruß
Roman

[SvenA]

Hallo!

Wir haben iPhones im Einsatz und die verbinden sich automatisch bei Zugriff auf das interne Netz via IPSec.
(Match via IP-Subnet bzw. Domain).
Damit klappen auch Zugriffe auf HA problemlos. Damit habe ich nichts nach außen offen.

Gruß
Sven

[BadSmiley]

Ja, das iPhone kann VPN on Demand, muss ich fast mal gucken ob das unter Android auch geht. Wie hast du das am iPhone konfiguriert und über welchen VPN gehst du dann?

[danny]

Hallo,

ich habe Claudflare mit 2 Faktor Authentifizierung bei der Anmeldung in Homeassistant. Homeassistant OS auf einem Intel X86-64.
Cloudflare läuft als Add-on. Würde das schon als "Sicher" einstufen und vor allem praktisch und einfach.

Gruß Danny

[Springrbua]

Ich nutze Wireguard und habe das eigentlich ständig aktiv. Allerdings habe ich auch eingestellt, dass der VPN nur für gewisse Apps verwendet werden soll.

[SvenA]

Die iPhones habe ich über ein angepasstes Konfigurationsprofil konfiguriert.
Kannst Du auch über den Apple Configurator machen.
Ist dann bei mir der Standard IPSec VPN auf dem iPhone.
Auf der Gegenseite steht ein Linux-Server mit Strongswan.

[BadSmiley]

Hallo,

ich habe Claudflare mit 2 Faktor Authentifizierung bei der Anmeldung in Homeassistant. Homeassistant OS auf einem Intel X86-64.
Cloudflare läuft als Add-on. Würde das schon als "Sicher" einstufen und vor allem praktisch und einfach.

Wie so oft, wenn man sich auskennt, ist es einfach. Ich war zu doof oder ungeduldig dafür.

Was mir noch wichtig wäre, ich würde auch gerne den Bus über den gleichen Fernzugriff programmieren können. Da bin ich durch den S1 echt verwöhnt.

[SvenA]

Was mir noch wichtig wäre, ich würde auch gerne den Bus über den gleichen Fernzugriff programmieren können. Da bin ich durch den S1 echt verwöhnt.

Wäre bei einer eigenen VPN Lösung auch möglich.

[henfri]

Hab den https port ins Internet freigegeben (dyndns).

Mit 2FA

*duck*

[BadSmiley]

Jehova! Er hat Jehova gesagt! *kreisch*

[CaptainFuture]

Ein Mittelweg wäre ein Reverse-Proxy "im Internet". Dann baust Du einen verschlüsselten Tunnel von Deinem HA-Host zu dem Proxy auf. Der Proxy würde dann http-Anfragen durch den Tunnel an den HA weiterleiten.

Vorteile wären:
1. Du brauchst keinen Port an Deinem Heim-Anschluss aufmachen.
2. Du kannst Authentifizierung auf dem Proxy machen und musst Dich nicht auf den HA verlassen
3. Die Zugriffe auf den HA werden durch den Proxy vorgefiltert auf zulässige http-Kommandos
4. Du brauchst weder dyndns noch VPN

Damit wärst Du weitestgehend unabhängig von Sicherheitslücken im HA und brauchst kein VPN. Für den Tunnel reicht eine ssh-Verbindung vollkommen aus. Sehr sicher, preisgünstig und komfortabel. Auch der WAF ist höher als bei der VPN-Lösung.

[BadSmiley]

Okay und der Reverse-Proxy läuft auch auf dem HA oder wie ein extra Kästchen? Gibt es dazu Anleitungen die ich auch verstehe?

[SvenA]

Klassisch würde ein Reverse-Proxy als separate Instanz vor dem Gerät (hier HA) stehen.
Wäre also dann eine extra Kiste...

[tsb2001]

Klassisch würde ein Reverse-Proxy als separate Instanz vor dem Gerät (hier HA) stehen.
Wäre also dann eine extra Kiste...

So habe ich es genau gelöst.
Da läuft der Apache Reverse-Proxy als VM in einem separaten Linux auf dem QNAP, alle Anfrage an alle Subdomains (ich hab für mehrere Systeme jeweils eine Subdomain mit offiziellem Wildcard-Zertifikat) werden dorthin geroutet (ausschließlich nur SSL).
Auf die eigentlichen Geräte kommt von außen niemand.

Da Homeassistant in der physikalisch „gleichen Kiste“ läuft - lediglich auf einer weiteren VM - gibts hier nur ein Gerät, was aber alles bereitstellt.

[Stoxn]

Reverse Proxy geht bspw. mit Synology Boardmitteln, Zertifikat für die URL über Let's Encrypt.
Details hat CaptainFuture schon gegeben, aber wir sammeln ja erstmal :-)