[Featurerequest] eibPC und PoE

[vento66]

Wenn ich mMn schreibe fragen mich alle was das sein soll......

Das hat ganz einfach was mit der "verenglischung" unserer schönen Deutschen Sprache zu tun.
Jeder will heute einfach "in" sein und verdirbt damit die Sprache.

Viel Interessanter ist da schon die Frage warum ein FI jetzt RCD (Residual Current protective Device) ,
Schutzkleinspannung SELV (Safty Extra Low Voltage) oder die Funktionskleinspannung jetzt PELV (Protective Extra Low Voltage) heissen muss

[MargarineMann]

Wann hat das "IMHO" eigentlich das "meiner Meinung nach" abgelöst? ... und warum?

Nebenbei: netter Vortrag ^^

[makki]

Uih Uih Uih.. sorry, eigentlich müsste ich jetzt schon wieder zum 6seitigen Aufsatz anlegen...

Ich versuchs in ganz kurz (Fortsetzung einer verlorenen Antwort):
Die GA/HA ist der IT ganz fundamental untergeordnet, es sind Netzwerke und Protokolle, ganz einfach.
Wer dafür IP oder LAN verwendet, muss eben auch was davon verstehen. Dass das nichts mit "ich stecke mir meine Fritzbox an den PC" zu tun hat dürfte eigentlich klar sein. Nur gibt es in der Männer-Netzwerktechnik zum Glück die Mechanismen, sowas nicht nur durch obscurity (=RS232 in der Küche, geglaubt sicher weil einfach kaum einer weiss, was da rauskommt) abzusichern sondern auch in richtig und trotzdem fernwartbar.. Sorry..

Dass man dafür dann im professionellen Umfeld z.B. ein eigenes Vlan verwendet und nicht Hanni und Nanni am Switch rumspielen, sollte eigentlich selbstverständlich sein. Das ist es in der Praxis auch, weil Netzwerkadministratoren, die wenig davon verstehen nunmal nicht lange auf ihrem Stuhl bleiben..
Aber vielleicht deswegen haben die Switches auch oft - im Gegensatz zu KNX, wo derlei Dinge sowas von Grundlegend fehlen dass es einem graust - auch nen Begriff davon was z.B. AAA ist. Ignorierte Grundlagen, Kryptographie.. Wir wollten ja nicht bei 6 Seiten landen.. Schluss..

Das ist aber in Unternehmensnetzwerken selbstverständlich, weil da gehts auch manchmal um ein bisschen mehr, als ob das Licht in der Küche angeht..

Wenn der "!IT-ler", durchaus manchmal mit Hochschulstudium, den ggü. dem ganzen KNX 100x komplexeren "blöden" Switch konfiguriert, dann aber regelmässig als "Anwender" ggü. dem "Fachmann" - mit Hauptschulabschluss und IHK-Prüfung + 2 Tage KNX-Schulung - als Spielkind verunglimpft wird,: da geht mir echt die Hutschnur hoch!
Und selbst ein IMHO völlig überteuerter Cisco-Switch kostet einen Bruchteil verglichen mit dem KNX-Zeugs. Und das schöne ist: den brauche ich dafür nicht, weil es sich hier nämlich nicht um ein Kartell handelt


Trotzdem, zurück zum Thema, PoE ist IMHO überflüssig bei einem 1,2-1,7W REG-Gerät, dem im Umkreis von 50cm regelmässig 1-5x 12-29VDC zur Verfügung stehen.
Ausserdem ist PoE IMHO regelmässig (noch?) völlig überteuert.. Nicht mehr als der KNX-Trafo, aber den hat man eh schon


Aber mit der Argumentation für die Trennung bin ich nicht einverstanden.
Und jemand der was auf Security gibt, der muss den KNX leider eh einfach komplett ausschliessen, weil da dieses Thema (jahrzehnte anerkannte Grundlagen, Kryptographie) einfach völlig fremd ist.. Anderes Thema..

Makki

[MatthiasS]

Ich erkläre es - ein letztes Mal - gaaanz verständlich:

Voraussetzung für EibPC: KNX
Voraussetzung für KNX: KNX-Spannungsversorgung
Feature von 99% aller KNX-Spannungsversorgungen: zusätzliche unverdrosselte 24V zur freien Verfügung

Wo sitzt Spannungsversorgung? Im Schaltschrank
Wo sitzt EibPC: Im Schaltschrank

Fall 1: Zwei Drähtchen von der KNX-Spgsversorgung zum EibPC
Fall 2: POE-Switch versorgt EibPC

In Fall 1 ist die Funktion des EibPC abhängig vom KNX

In Fall 2 ist die Funktion des EibPC abhängig von KNX UND vom POE-Injektor.

Quizfrage: Welcher Fall ist ausfallsicherer?

P.S: Sicherheit in Netzen ist nicht gleichzusetzen mit DATENsicherheit, wichtig als erstes ist die Sicherheit des Netzes an sich.

[saft6luck]

Was soll den Level 1 sein? Layer 1? = Hub oder der Lichtschalter

also was nicht reingesteckt werden sollte:
Gerät mit IP eines wichtigen Gerätes
Gerät mit aktiviertem DHCP-Server, wenn schon einer vorhanden
Kabel zwischen 2 Switchports.
Switche/AP's bei denen man nicht sicher ist ob/welches STP läuft und was der Switch erwartet.

Jo, Layer = Level, mea culpa ; Layer 1 war aber absicht
Einem Layer 2 Switch ist erst mal egal welche IP die Geräte haben, solange die MAC Adresse unterschiedlich ist, denn nur darauf kommt es an.
Im Grunde fand ich die Diskussion über Sicherheit im LAN lächerlich, wenn es eigentlich um POE geht.

[NilsS]

Mehrere Geräte mit gleicher IP an einem Level 1 Switch machen aber keine Probleme.

Was soll den Level 1 sein? Layer 1? = Hub oder der Lichtschalter

also was nicht reingesteckt werden sollte:
Gerät mit IP eines wichtigen Gerätes
Gerät mit aktiviertem DHCP-Server, wenn schon einer vorhanden
Kabel zwischen 2 Switchports.
Switche/AP's bei denen man nicht sicher ist ob/welches STP läuft und was der Switch erwartet.

[saft6luck]

Warum nicht? Ohne IP Funktionalität, als reine Automatisierungslösung, ist das doch super sicher?

Sollte nicht als "schlechte Werbung" zählen, sondern als Seitenhieb

[saft6luck]

Warum wusste ich schon vorher, dass in Kürze die Cisco-keule mit den Switchen im 4stelligen bereich geschwungen wird?

Mehrere Geräte mit gleicher IP an einem Level 1 Switch machen aber keine Probleme. Bei deiner Darstellung muss man zwangsläufig auf potentere Geräte schließen (die auch keine Probleme damit haben).
Ja früher, als noch alles shared war, war es so einfach Leute zu schrecken.

Wir reden hier aber von anderen Objekten. Und ich fände die Aussage absurd, für die schnöde Verbindung zwischen dem EibPC und dem Bus, die ich locker mit einer popeligen Schnittstelle und einem Stückel Draht SICHER herstellen kann (Point-to-Point, für ITler) noch jemanden zu beauftragen, der sich auf Netzwerksicherheit spezialisiert hat, nur um die gleiche Zuverlässigkeit zu bekommen wie das Stück Draht.

Du weisst schon, das Ethernet für die Anbindung des eibPCs vorgesehen ist? Und da momentan kein KNX drüber läuft?

[enertegus]

3. Ein "Profi"-Objekt-Absicherer/Visu/Logik/Beschatter wird bestimmt nicht zu einem eibPC greifen.

Warum nicht? Ohne IP Funktionalität, als reine Automatisierungslösung, ist das doch super sicher?

[saft6luck]

Der Ansatz, Funktionalitäten der IT auf die Gebäudesteuerung zu übertragen, ist riskant und oft unsinnig. Ein richtiger Systemintegrator wird NIEMALS die Visualisierung oder gar LOGIK (!) mit über das "normale" LAN fahren. Ein falsch konfiguriertes Gerät (IP-Adresse) in den Switch gesteckt, schon steht die Visu/Logik/Beschattung etc. Bei großen Objekten der Super-GAU!

Hm, welchen Level haben den diese "Switches"? Welches Error Management?

Wer soetwas propagiert (und das POE-Thema nehme ich gleich dazu), der hat wenig Ahnung davon, wie störsichere Objekte aufgezogen werden. Zuhause ist das ganz nett, aber als ernstzunehmendes Feature? Sicher nicht!

1. Das Eine (LAN) hat mit dem Anderen = Wunsch nach POE Fähigkeit absolut nichts zu tun. Du wirst den Ethernet Anschluss mit oder ohne POE verwenden.
2. Die Trennung von LAN für KNX und "gefährlichem anderen Traffic" kann man über Router und/oder Switches absichern, je nach Anwendung und Wunsch, da muss man nicht "Schwarzmalen".
3. Ein "Profi"-Objekt-Absicherer/Visu/Logik/Beschatter wird bestimmt nicht zu einem eibPC greifen.

[MatthiasS]

Warum wusste ich schon vorher, dass in Kürze die Cisco-keule mit den Switchen im 4stelligen bereich geschwungen wird?

Korrekt, im Gewerbebau mit Lan-Backbone macht man das auch so. Aber mit einem eignen Lan.

Wir reden hier aber von anderen Objekten. Und ich fände die Aussage absurd, für die schnöde Verbindung zwischen dem EibPC und dem Bus, die ich locker mit einer popeligen Schnittstelle und einem Stückel Draht SICHER herstellen kann (Point-to-Point, für ITler) noch jemanden zu beauftragen, der sich auf Netzwerksicherheit spezialisiert hat, nur um die gleiche Zuverlässigkeit zu bekommen wie das Stück Draht.

[NilsS]

Also bei Geräten z.B. Switch einer gleichen Klasse wie KNX im Busbereich(Kostenverhältnis) ist PortSecurity doch wohl keine Hexerei (MAC/802.1x/VLAN/PVLAN) und sicher noch dutzende aktiv einwirkende Sicherheitsmechanismen die das verhindern und auch gleich Loggen.

Bei KNX gibts da nix wenn jemand den Tasterabzieht und was anderes draufklatsch.

edit: bezog sich natürlich nicht auf die heimische LAN klitsche von ner Fritzbox, aber wie du schriebs Großprojekt.

[MatthiasS]

Ich will euch keine Angst machen, es geht nur darum, ernsthaft zu überlegen, was sinnvoll ist und was nicht.

Bis vor wenigen Jahren war der Bus völlig autark. In der Diele eine UP-RS232, für Änderungen kam der Installateur mit dem Laptop. Folge: System betonstabil, autark, wenn es einmal lief, dann bis in alle Ewigkeit.

Von mir betreute Objekt gehen nwv per FT1.2 oder USB an den Bus. Lest euch mal durch, wieviele Probleme (Konfiguration) es mit den IP-Routern gibt.

Bei mir läuft der HS (Logik/ZSU etc., außer Visu), wenn mein LAN abgeschaltet ist.

P.S: Zwei KNX-Geräte mit gleicher PA? kein Problem, macht nichts!

[Topper]

Ein richtiger Systemintegrator wird NIEMALS die Visualisierung oder gar LOGIK (!) mit über das "normale" LAN fahren. Ein falsch konfiguriertes Gerät (IP-Adresse) in den Switch gesteckt, schon steht die Visu/Logik/Beschattung etc. Bei großen Objekten der Super-GAU!

Jetzt machst Du mir Angst, Matthias.
Wie würde dann eine sinnvolle Anbindung aussehen, die das verhindert?
Bin auf diesem Gebiet leider nicht sooo der Crack.

Gruß, Markus

[MatthiasS]

Wieder falsch ;-)

Während IT-Umgebungen ständig in Bewegung sind und auch Anwender das System erweiteren können/sollen/dürfen (Netzwerkkabel einstöpseln), ist das in der Gebäudetechnik nicht so. Da darf nach VDE nur der Fachmann ran. Und dann sind solchen Anlagen quasi-statisch.