- √ - EIB Fernwartung über DSL

[knx-tech]

Hallo Kollegen

ich suche für ein kleines Projekt ca. 40 Teilnehmer eine kostengünstige Fernwartungsmöglichkeit.
Dort muß ich des öfters die Lichtszenen anpassen.

Es ist Vorort ein T-DSL Basic flat mit ISDN vorhanden.

Was würdet Ihr in diesem Fall einsetzten.

Ein Homeserver ist mit 100% sicherheit zu teuer?!

[EIB-TECH]

Siemens AP 146 -


EIB Port BABTEC

oder N146 over EIBnet/IP

oder N148 over EIBnet/IP

oder Linng und Janke NK2

[knx-tech]

Fernwartung DSL

Hallo Helmuth

hört sich Mega einfach an

aber wie finde ich meine Anlage im Internet

[viceversa]

Der Homeserver wäre sicher die beste Lösung, er könnte ja auch noch andere Aufgaben übernehmen. Wenn ich mir die Homeserver-Preise bei ebay so ansehe, dann ist es nach meiner Ansicht wirklich nicht mehr teuer, sich so ein Teil zuzulegen bzw. dem Kunden zu verkaufen.

Aber vielleicht kennt ja jemand noch andere Möglichkeiten.

[Michel]

aber wie finde ich meine Anlage im Internet

Da brauchst du schon einen Rechner mit dyndns (o.ä.) im Netz; kann übrigens auch eine Dreambox mit LAN-Anschluss und entsprechendem Plugin sein.

[knx-tech]

Fernwartung DSL

Der Homeserver wäre sicher die beste Lösung, er könnte ja auch noch andere Aufgaben übernehmen.

Wenn ich vom Bauherrn die Mittel eines HS bekommen würde hätte ich die Frage nicht gestellt.

Leider hat der Planer in diesem Projekt umbedingt das B&J Touch noch dazu in monocrom haben wollen.

Ich wäre froh gewesen wenn ein HS drinnen wäre

[knx-tech]

Siemens AP 146 -


EIB Port BABTEC

oder N146 over EIBnet/IP

oder N148 over EIBnet/IP

oder Linng und Janke NK2

Danke Helmut

wie wird das eingerichtet das ich von der Ferne aus drauf komme

Kannst du mir das kurz erklären
Danke im Voraus

[Michel]

http://www.automation.siemens.com/et...801603_apb.pdf

http://www.automation.siemens.com/cg...*&re=&fc=279Rr

[Jürgen]

Danke Helmut

wie wird das eingerichtet das ich von der Ferne aus drauf komme

Kannst du mir das kurz erklären
Danke im Voraus

Hallo!

In der Regel ist der DSL Router in der Lage mit DYNDNS umzugehen. EIn Blick ins Handbuch schafft klarheit..
Hintergrund: Die DSL Verbindung wird mindestens 1x am Tag getrennt, dann bekommt man eine neue, zufällige IP vom Provider. Diese muss man kennen, um ins Netz zu kommen. Nun gibt es dankenswerterweise Einrichtungen wie www.dyndns.org, bei denen ein beliebiger Name
xxx.dyndns.org eingerichtet werden kann. Die Zuordnung Domain - IP wird dann auf Wunsch geändert. Dieses kann manuell, von der Dreambox oder direkt vom Router erfolgen.
Über die Eingabe xxx.dyndns.org landet man dann also auf dem heimischen (oder eben fremden..) DSL Router. Hier gibt man dann halt noch eine http Weiterleitung zum EIB Gateway an. Geschieht wie DYNDNS in der Routerkonfiguration. Empfehelnswert ist dann noch ein anderer Port, z,B. 8080 oder so....

Bei Fragen einfach fragen..


Gruß Jürgen

[makki]

Im Prinzip wie die Vorposter geschrieben haben: Dyndns an fast jedem gängigen Router und der Zugriff sollte kein Problem sein.
Allerdings kann ichs mir nun nicht verkeifen auf die Sicherheit hinzuweisen:
man sollte den Zugang auch entsprechend abdichten, d.h. entweder wenigstens entsprechende statische Quell-IP's für den Zugriff am Router eintragen oder nur bei Bedarf manuell "von innen" öffnen.. Sonst ist das fast genauso fahrlässig wie wenn ich ne 230V-Leitung anfassen würde

Obwohl ich bisher keine Scans auf die u.g. EIB-Ports gesehen habe
würde ich jetzt sämtliche EIB/IP-Komponenten mangels "aushärtung" nicht so einschätzen, dass sie jegliches sinnfreies, zufällig an diesen Port gesendete Paket ohne weiteres und ohne einen bestenfalls freiwilligen restart überstehen..

Nur am Router ins LAN zum EIB/IP-GW muss man dann nach meiner Kurzrecherche nicht Port 80/TCP (=http für den Homeserver) sondern UDP mit den Ports 50000, 50001, 50002 weiterleiten..

Michael

[EIB-TECH]

Nur am Router ins LAN zum EIB/IP-GW muss man dann nach meiner Kurzrecherche nicht Port 80/TCP (=http für den Homeserver) sondern UDP mit den Ports 50000, 50001, 50002 weiterleiten..

Michael

Ich kann nur davon abraten, die Standard Ports zu verwenden.

Es gibt genügend Anlagen die über diese Ports erreichbar sind.

Ich verwende intern immer die Standardports aber nach außen gehen andere Ports..................

Muss jeder selbst wissen.............

[SEckert]

Hallo Kollegen

Was würdet Ihr in diesem Fall einsetzten.

Hallo,

schau mal hier.

[makki]

Ich kann nur davon abraten, die Standard Ports zu verwenden.
Ich verwende intern immer die Standardports aber nach außen gehen andere Ports..................

Muss jeder selbst wissen.............

Hinweisen wollte ich primär darauf, dass die ETS mit dem IP-GW nicht über Port 80/TCP kommuniziert..

Da stimme ich schon schon zu, aber "security by obscurity" (also z.B. andere Ports verwenden) ist m.E. nur die halbe Wahrheit.
Bei einem HS lasse ich mir das noch eingehen, weil ich davon ausgehe dass da wenigstens ein halbwegs ausgehärteter Apache o.ä. läuft, aber vor Geräte wie diese Gateways gehört m.E. wenigstens ein paar Filter-Regeln die gleich nur bestimmte IP's zulassen!
Was natürlich problematisch ist mit dynamischen IPs beim zugreifenden Rechner, dann bleibt nur das aufmachen nach Bedarf..
Diese ganzen embedded-systeme, egal ob Printserver oder EIB-Gateway sind normalerweise alles andere als für das rauhe Internet ausgehärtet, wenn mal jemand nach Schwachstellen das suchen anfängt, was hier sicherlich schon alleine mangels Verbreitung niemand machen und publizieren wird. Ausser ein potentieller Angreifer..

Michael

siehe z.B. hier

[makki]

EIB Frenwartung und Security

Jetzt muss ich mal grundlegend nachtreten , weil ich meine im Bereich Internet und Firewalls soviel zu verstehen wie die meisten hier von EIB..

Kern der Sache: so wie ich das sehe, werden hier im Forum die Sachen doch für gewöhnlich "richtig" gemacht. Man verwendet EIB und nicht EL*, beachtet gängige Vorschriften und Standards usw.
Wenn ich dann aber die - sorry - Grütze von D-Link,Netgear usw. lese dreht sich mir der Magen um. Das sind Billigst-Soho-Geräte und die Bedienung unterliegt nach meinem Eindruck zumindest manchmal eher dem Faktor Versuch&Irrtum als Wissen.
Es werden ohne weiteres 500.- EUR für ein IP-GW gezahlt, aber der Router soll 50.- kosten .. Da passt was nicht zusammen..

Ein IP-Filter wäre nur das absolute minimum, wenns um die EIB-Programmierung geht sehe ich eigentlich nur eine saubere Lösung und das ist ein VPN mit Authentisierung drüberlegen.
Es sollte damit sichergestellt sein, dass 1. nur authorisierte Personen überhaupt darauf zugreifen können und 2. die beteiligten Gateways von aussen garnicht ohne weiteres erreichbar sind.

Wie man das realisieren kann hängt von vorhandener Infrastruktur usw. ab, Netgear und Konsorten spielen da aber jedenfalls nicht mit.
Eine Variante wäre eine Linux-Lösung, da wirds aber ein bisschen frickelig, das bietet sich nur an wenn Know-how und z.B. ein laufender Rechner schon vorhanden ist (Forum-Suche "SSH-Server"), da hat mal jemand was geschrieben das sich vernünftig anhörte.
Eine andere, es gibt da eine "Labor-Firmware" von AVM mit VPN für die grosse Fritzbox, kenne ich aber nicht; vermutlich zwar auch eher Soho-Niveau aber besser als "durchschalten".

Was ich machen würde ist ein Cisco-Router mit "richtiger" Firewall und VPN-Zugang.. Das ist zwar erstmal technisch nicht ganz ohne, würde aber auf dem Niveau der ansonsten eingesetzten Komponenten spielen. Die Basis-config jedenfalls könnte ich schnell stricken falls da mal jemand Interesse hat..
Das beginnt HW-technisch so bei 200.- EUR netto und was für den Einsatz-zweck angemessenes "richtiges" mit Wlan, integriertem ADSL-Modem und ISDN (877W) liegt bei 400.- EUR netto..

Grüsse

Michael

[babel]

Bei einem HS lasse ich mir das noch eingehen, weil ich davon ausgehe dass da wenigstens ein halbwegs ausgehärteter Apache o.ä. läuft,

Nein, auf dem HS läuft kein Apache, die Software die auf Port 80 antwortet ist ein Pyhtonprozess. Besonders gehärtet ist beim HS auch nichts, das ist ein Kernel 2.4.3 und gut ist.