IP Gateway im LAN/WLAN schützen

[hotzen]

Moin,
es wird ja heiß zum Thema KNX Security diskutiert, ich möchte mich mal auf den wohl realistisch heikelsten Punkt beschränken: Das IP Gateway im LAN/WLAN.
Bei mir ist ein BeagleBoneBlack per Debian/KNXD der IP-Gateway und wird somit direkt von der Visu per Ethernet angesprochen.

Wie schützt ihr das denn im lokalen Netz? Der völlig freie Zugriff auf den KNXD stört mich.
Nutzt ihr VLANs? Hat jemand pragmatische Ideen, nicht überkomplex oder over-engineered?

Besten Dank!

[DerStandart]

Gegenfrage: Welche Bedrohungen hast Du denn bei Dir im lokalen Netz, die Du gerne vom IP-Gateway fernhalten möchtest?

[coliflower]

Ich vermute ...

Wenn er nur LAN hätte, ohne Internet und Zugang von Außen, zu 99,99% keine, aber ...

LAN + Internet … theoretisch sind alle möglichen Bedrohung möglich
WLAN mit oder ohne Internet … wie oben bzw. ohne durch „leichterer“ Hack ins LAN/WLAN

Es kommt halt darauf an ob das einer Person egal ist oder nicht sein LAN/WLAN ohne Gegenmassnahmen zu betreiben - das ist halt subjektiv … manche verschlüsseln sein WLAN gar nicht ...

Und wenn jemand aus seiner subjektiven Sicht eine Schwachstelle beim KNXnet/IP-Gateway sieht (berechtigt oder auch nicht) bzw. diese entschärfen möchte, dann ist das doch OK wenn er sich dazu Gedanken macht und sich austauschen möchte ...

[Claus.Mallorca]

Da Sicherheit bei smart homes heiß diskutiert wird, und jeder Journalist eine riesen Freude daran hat, darauf hinzuweisen, wie unheimlich unsicher die Bussysteme heutzutage sind, ist eigentlich die Konnex gefragt, bei der Sicherheitsfrage aktiv zu werden. Den Meisten ist es egal, wenn der böse Hacker das Licht schaltet, kritisch wird es bei elektrisch betätigte Türen. Der unbedarfte Journalist kennt sich nicht aus und schreibt, was seine Phantasie hergibt, und da jeder heutzutage im Internet ist, ist die Gefahr nicht von der Hand zu weisen!

[NilsS]

Kurze Gegenfrage, was sollen bitte VLANs etc. bringen? Der Zugriff darauf wird doch trotzdem benötigt.

Du könntest, da es sich ja um ein Linux Gateway handelt, folgendes tun.
* Zugriff mittels iptables auf IP Adressen begrenzen.
* Zugriff mittels ebtables auf MAC Adressen begrenzen
* auf dem Debian suricata oder snort installieren

[hotzen]

dachte darüber nach den IP gateway und visu Rechner per vlan vom Rest des Netzes zu separieren.

aber
- ETS Zugriff per WLAN direkt auf den IP Gateway/knxd
- influxdb/grafana system wird vom IP gateway befüllt

Weiss nicht ob man das noch sinnvoll mit vlans abbilden kann?

vielleicht ist iptables wirklich das pragmatischste. Sollte jemand bewusst versuchen auf den knxd zu kommen, hilft mir das zwar nichts aber dann habe ich eh ein anderes Problem.

fokussiert auf das IP gateway, wie sichert ihr es bzw. mit welchen Gründen tut ihr es denn nicht?

[NilsS]

dachte darüber nach den IP gateway und visu Rechner per vlan vom Rest des Netzes zu separieren.

Dein VIsu Rechner braucht kein Internet?
Du willst also einen frei zugänglichen Rechner mit Internet in das geschützte VLAN bringen...

ETS Zugriff per WLAN direkt auf den IP Gateway/knxd

Mit Tunneling wäre das in einem anderen Netz jetzt nicht so das Problem, eher bei Multicast

influxdb/grafana system wird vom IP gateway befüllt

Was nutzt du da als Firewall?

.... mit welchen Gründen tut ihr es denn nicht?

Du musst halt (wie auch in dem etwas ausgearteten KNX Security Thread benannt) die Sicherheits relevanten Dinge vom Bus lassen. Dann ist die Angriffsfläche durchaus überschaubar. Aus dem Internet direkt (ist klar) sollte der knxd nicht erreichbar sein. Wenn jemand es bei dir bis in ein internes Netz geschafft hat, gibt es dort sicher viel interessantere Ziele als den knxd.

[Lunix1983]

Ich hab meine KNX Router in einem eigenen VLAN hängen ...
da meine VISU aber im Server-VLAN hängt, musste ich Multicast-Routing aktivieren, damit diese miteinander sprechen können...

[NilsS]

Hmmm, naja. .. Geräte die man evtl nicht updated und die auch von jedem im Haus genutzt werden können würde ich ganz sicher nicht in ein gesichertes Server-VLAN setzen. Dann dort auch noch Löcher zu bohren damit da Multicast durch geht .... dann doch lieber eher ganichts

[Lunix1983]

naja, multicast natürlich nur von bestimmten geräten! nicht generell! Firewalls haben ja auch eine Aufgabe!

[DerStandart]

Ich schütze mein IP-Gateway im lokalen Netz, indem ich von Außen keine Zugriffe zulase und intern die Gäste nur in ein separates Gäste WLAN lasse.