iETS und VPN

[enertegus]

Hallo,
hatte ja angekündigt, dass wir in die Richtung iETS was unternehmen wollten. Leider ist das iETS Protokoll aber nicht KNX Standard und es gibt keine offz. Dokumentation.

Damit mit dem EibPC aber auch eine Fernwartung des Systems unter halbwegs gesicherten Wegen möglich wird, wollen wir dem EibPC einen konfigurierbaren VPN-Zugang verpassen (das geht nun auch schon bei einer Testversion hier bei uns).

Das wird dann so ausschauen, dass es sowas wie
1. openVPN()
2. closeVPN()
geben wird.

Der VPN des EibPC wird im EibStudio konfiguriert und ist demnach einfach zuschalt - und abschaltbar z.B. per Timer, Weboberfläche oder KNX Taster.

VPN geht grundsätzlich auf 2 Wegen:
a) Ein gemeinsamer Schlüssel (PSK) wie viele wohl auch im eigenen WLAN nutzen. Der Schlüssel würde vom EibPC generiert und kann dann dem Elektriker etc. weitergereicht werden. Wenn man den Schlüssel aus versehen der Welt zur Verfügung gestellt hat, kann man einfach einen neuen generieren.
b) Einen Schlüssel für jeden User einzeln. An sich top, aber ich persönlich denke, dass a) schon sehr sicher ist und außerdem wäre a) m.E. leichter zu bedienen. Makki will uns hier noch erläutern, warum b) besser ist.

Für VPN Upgrade wird sicher das Patch 1.100 notwendig, weil hierzu ein neuer Kernel eingeflasht werden muss.

Nun, das zur Info, und wenn Ihr wollt, könnt ihr für die Varianten abstimmen.

[enertegus]

VPN Vorschau

Wir werden in Kürze (2-3 Wo) mit dem Betatest anfangen.

Es folgende Funktionen geben

• startVPN(): Startet VPN Service
• stopVPN(): Startet VPN Service
• openVPNuser($UserName$): Der User wird freigeschalten
• closeVPNuser($UserName$): Der User wird gesperrt.

Man kann also sowohl die User einzeln sperren, als auch den VPN gesamt starten oder stoppen.

Man wird die User über das EibStudio anlegen können und dafür einen Key genieren. Jeder user braucht dann ein Kennwort und den Key.

Die Aktivität der VPN-Teilnehmer wird geloggt und kann über EibStudio nachgelesen werden.

Ich hoffe, Ihr seid zufrieden. Dank an Makki nochmals für sein energisches Eintreten für die sichere Lösung. Manchmal bin ich halt etwas störrisch...

Voraussetzung: Patch 1.100... (siehe anderer Thread).

[enertegus]

Hier bitte die Anmerkungen zum Thema VPN und dem Betatest posten

[enertegus]

Hier bitte die Anmerkungen zum Thema VPN und dem Betatest posten

Zum Thema VPN & EibPC : http://www.youtube.com/watch?v=4u9mWx7tsYg

[MarkusL]

ein Demoprogramm findet sich im Handbuch.

Wo finde ich das?

[Bodo]

Wo finde ich das?

Hoi Markus

Auf Seite 177 von 218 im Eibstudio auf Hilfe / F1 / ? gehen.
HandbuchEibPC-16.odt, 2010-10-12

Beispiel
Über eine Gruppenaddresse 1/1/1 soll bei einem EIN-Telegramm ein bereits angelegter VPN
Teilnehmer „USER1“ der Zugang frei geschalten werden. Bei einem AUS Telegramm, soll
dieser Zugang wieder geschlossen werden. Über die Adresse 1/1/2 soll ein zweiter Anwender
„USER2“ frei geschalten werden. Über die Adresse 1/2/3 soll bei einem EIN Telegramm der
gesamte VPN gesperrt werden.
[EibPC]
if after(systemstart(),500u64) then startvpn() endif
if "OpenUser1-1/1/1"==EIN then openvpnuser($User1$) else closevpnuser($User1$) endif
if "OpenUser2-1/1/2"==EIN then openvpnuser($User2$) else closevpnuser($User2$) endif
if "StopVPN-1/1/3"==EIN then stopvpn() endif
Enertex

[MarkusL]

Danke, Bodo!

Ich vergesse immer wieder, dass ja auch per F1 das Handbuch zu erreichen ist.

Der Handbuch-Download-Link zeigt natürlich noch auf die 15er Version ohne vpn Beispiel.

[Joggi2222]

Hallo,

ich habe mal ein Problem mit dem VPN.
Nachdem ich das nach dem Video eingerichtet habe und auch die Dateien in Verzeichnis config kopiert habe, kommt beim drücken auf connect folgende Fehlermeldung:
Cannot load CA certificate file certs/ca.crt path (null)..........
Hat jemand einen Tipp was ich da falsch mache?

Danke und Gruß
Joggi

[salixer]

Cannot load CA certificate file certs/ca.crt path (null)..........

Das ca.crt wird nicht gefunden. Entweder das ca.crt in das Verzeichnis certs verschieben oder die openvpn.ovpn Datei anpassen (die entrechende Zeile sollte leicht zu finden sein).

[Joggi2222]

Hallöchen,
vielen Dank für die Antwort.
Ich hab die config Datei (hoffentlich richtig) edidiert, da das Verzeichnis cert nicht vorhanden war bzw. ist.
Leider hat´s nichts genützt.
Anbei die komplette Fehlermeldung:
Tue Oct 19 21:17:55 2010 OpenVPN 2.1.3 i686-pc-mingw32 [SSL] [LZO2] [PKCS11] built on Aug 20 2010
Tue Oct 19 21:18:03 2010 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Tue Oct 19 21:18:03 2010 Cannot load CA certificate file config/ca.crt path (null) (SSL_CTX_load_verify_locations): error:02001003:system library:fopen:No such process: error:2006D080:BIO routines:BIO_new_file:no such file: error:0B084002:x509 certificate routines:X509_load_cert_crl_file:system lib
Tue Oct 19 21:18:03 2010 Exiting

Hat hier vielleicht jemand eine Idee?

Gruß
Joggi

[hredl]

Passwortschutz

Hallo!

Kann man mittels dem VPN dann auch für den Webserver einen Passwortschutz vergeben? So daß man mittels IPhone über den Router auf den EIBPc zugreifen kann oder ist das nur für Fernwartung möglich?

Lg
Hermann

[enertegus]

Hallo!
Kann man mittels dem VPN dann auch für den Webserver einen Passwortschutz vergeben? So daß man mittels IPhone über den Router auf den EIBPc zugreifen kann oder ist das nur für Fernwartung möglich?

Über den VPN kann man natürlich dann auch den Webserver ansprechen (so wie beim Seminar letzten Samstag gezeigt). Was das iPhone betrifft, muss ich erst mal schauen, was man da "Einstellen" muss.

[salixer]

Hallöchen,
vielen Dank für die Antwort.
Ich hab die config Datei (hoffentlich richtig) edidiert, da das Verzeichnis cert nicht vorhanden war bzw. ist.
Leider hat´s nichts genützt.

OK, hast das Zertifikat im EibStudio bei der VPN-Konfiguration erstellen lassen und abgespeichert? Das sollten dann 2 Dateien sein: ca.crt und tls-auth.key.

Die Dateien kannst du dann zusammen mit der openvpn.ovpn Konfigdatei im "config" Ordner der Windows-OpenVPN-GUI abspeichern. In dem Fall sieht der entsprechende Eintrag in der openvpn.ovpn so aus:

# Root CA file 
ca ca.crt 
# HMAC signature file 
tls-auth tls-auth.key 1

[salixer]

So daß man mittels IPhone über den Router auf den EIBPc zugreifen kann oder ist das nur für Fernwartung möglich?

Man kann mit jedem Gerät zugreifen, das OpenVPN mit Zertifikaten als Client unterstützt. Von Haus aus kann das iPhone das AFAIK nicht. Für Android z.B. habe ich dafür Apps im Market gesehen, also gegebenenfalls mal im Apple Appstore nach OpenVPN suchen. Ich gehe aber mal davon aus, dass man dafür mindestenes einen Jailbreak braucht.

EDIT: Auf die Schnelle gefunden: http://www.guizmovpn.com/ (braucht Jailbreak und den alternativen AppStore Cydia)

Why is it released only under Cydia ? It has to run use a background process to keep the VPN tunnel active when the GUI is closed,
and it also need to run external commands to modify the network configuration and the routes.
For those 2 reasons, it can't be released on the official App Store.

[Joggi2222]

@salixer
Hallo, supi, jetzt hat es geklappt.Die Rechner sind gelb bzw. ich hab eine Verbindung.
Nur noch - vielleicht die letzte Frage: Wie komme ich nun auf den EibPC? In der Box des Fritzes hab ich den Port 1194 auf die IP der EibPC umgeleitet. Was müsste ich nun am Netbook eingeben, damit ich nun z.B. den Webserver erreiche? Die IP des EibPC?

Gruß
Joggi