GIRA HS 4.9 Client Zugriff ab externem Netz geht nicht

[MbM]

Hallo Allerseits

Ich bräuchte eure Hilfe

Folgendes Szenario bis Expert 4.5:
Im Lan ist ein FS4 in der Version 4.5 mit der IP 192.168.1.100 (Männervisu)
Im selben Lan ist ein KNX IP-Router 192.168.1.10 und ein Win 7 PC mit der Adresse 192.168.1.5 mit HS Client 4.4

Zusätzlich ist ein Router mit der IP 192.168.1.1 drinn, damit aus dem externen Netz 192.168.10.x auf den HS zugegriffen werden kann.
In der Portweiterleitung ist der Port 80 auf 192.168.1.100 eingetragen.

Diese Installation hat über Jahre funktioniert.


Neues Szenario mit Experten 4.9:
Der FS4 ist auf Version 4.9 geupdatet mit der IP 192.168.1.100. Port 80 und 443 ist freigeschaltet. Bei Sicherheit ist bei Zertifikat erzeugen "Gerät erzeugt Zertifikat (mit IP-Adresse als CN" ausgewählt. 2. IP-Port ist deaktiviert
Im selben Lan ist ein KNX IP-Router 192.168.1.10 und ein Win 7 PC mit der Adresse 192.168.1.5 mit HS Client 4.9

Zusätzlich ist ein Router mit der IP 192.168.1.1 drinn, damit aus dem IP-Netz 192.168.10.x auf den HS zugegriffen werden kann.
Die Portweiterleitung habe ich mit dem Port 443 auf 192.168.1.100 erweitert.

Das Funktioniert:
Der Zugriff ab dem lokalen Lan 192.168.1.x funktioniert mittels Browser und Client problemlos

Das Funktioniert nicht:
Der Zugriff ab dem externen IP-Netz 192.168.10.x funktioniert weder über den Browser noch über den Client 4.9 auf Port 443 oder 80 nicht. Es erscheint keine Fehlermeldung.

Bei der Eingabe der folgenden Adresse im Browser "HTTP://192.168.10.5/hs" oder HTTPS://192.168.10.5/hs, erscheint die Anmeldemaske. Mit eingetragenen Anmeldedaten und verbinden, passiert aber nichts.

Bei der Benutzerverwaltung und Benutzereinstellungen habe ich nicht verändert.


Was könnte das Problem sein, oder was habe ich übersehen

• Falsches Zertifikat ausgewählt?
• Hat sich von der Version 4.5 zu 4.9 in der Benutzerverwaltung etwas geändert?
• .......

Bin für jeden Hinweis dankbar!

[EugenDo]

Gateway hast Du aber im HS eingetragen?

[MbM]

Hallo Eugen

Gateway hast Du aber im HS eingetragen?

Meinst du das interne oder das default-Gateway?
Anmerkung 2019-09-25 083943.png

mfg Roger

[EugenDo]

ja, ganau ... hier musst Du das externe Netz im Zielnetz eintragen ... Gateway ist dann ja 192.168.1.1 ... Zielnetz 192.168.10.0 ... Sub 255.255.255.0 ?!?

das mit Portfreigabe habe ich aber auch nicht ganz verstanden, was Du da machst ...

[MbM]

Hallo Eugen

Zum veranschaulichen, habe ich ein kleines Prinzipschema gezeichnet.
Um von einem HS Client (PC im 192.168.10.x Netz) auf den HS (192.168.1.100) zugreifen zu können, ist im Router (192.168.1.1) eine Portweiterleitung Port 80>192.168.1.100 und Port 443>192.168.1.100 gemacht worden.
Anmerkung 2019-09-25 093922.png

Die Homeservervisualisierung gibt es so, seit 2007
Im internen Gateway ist nie etwas eingetragen worden und es hat einwandfrei funktioniert, bis zum Update von der Firmware 4.5 auf 4.9

Und nun braucht es den Eintrag für interne Gateways?


Roger

[EugenDo]

Und nun braucht es den Eintrag für interne Gateways?

ja, oder du musst dem Benutzer den externen Zugriff erlauben (Benutzerrechte) ... wenn Du aber das Netz kennst, von dem der Zugriff kommt, dann ist das sicherer, wenn Du es einfach als internes Gateway einträgst. Für den HS ist das dann wie das interne Netz.

Danke für die Skizze ... Du machst also Doppel-NAT ... sieht man eher selten.

[MbM]

Hallo nochmals

Du machst also Doppel-NAT ... sieht man eher selten

Das Verwaltungsnetz ist vereinfacht dargestellt. Dabei handelt es sich um ein Verwaltungsnetz der Schweiz mit tausenden von Arbeitsplätzen, wo wir keinen Einfluss in die IP Struktur haben.
Das KNX Netzwerk ist ein eigenes unabhängiges Lan, komplett abgekoppelt vom Verwaltungsnetz.
Wie löst du das ohne einen Router?

ja, oder du musst dem Benutzer den externen Zugriff erlauben (Benutzerrechte)

Jetzt kommt das hmmmm....
Bei den Benutzerrechten unter HTML, ist bei "externer Zugriff" mittels Passwort freigeschaltet, aber leider hat es mit dem Browser, wie oben beschrieben mit der Version 4.9 nicht funktioniert.

Ich denke nicht, dass dies das Problem ist.
Aber ich werde dies das nächste mal Vorort testen.

Besten Dank für deine Unterstützung

[EugenDo]

Wie löst du das ohne einen Router?

Wenn ich zwischen zwei Netzen routen will, dann brauche ich natürlich einen Router ... da Du ja keinen Einfluss auf das Verwaltungsnetz hast, bleibt ja auch nur das NAT

... außer Benutzerrechte und internes Gateway wüsste ich nicht, was Du sonst machen könntest.

[NilsS]

Hi. Von außen ist das Zertifikat mit der falschen IP nicht vertrauenswürdig. Vielleicht ist da ein Problem. Mach mal im Browser mit f12 die Konsole auf