Remote Programmierung via Wiregate (OpenVPN)

[2ndsky]

Du weißt aber schon, dass das WG zwar OpenVPN kann und dieses netterweise von ElabNET hier inoffiziell supported wird, es aber nicht als OpenVPN Gateway oder vergleichbares verkauft wird? Siehe hier die Produktbeschreibung:

Vorkonfiguriertes Wartungs-VPN für Service & Support:
Für einfache Hilfe und schnelle Problemlösung kann das WireGate Service- und Supportcenter auf das Gateway nach Aktivierung durch den Anwender zugreifen. Diese Aktivierung der VPN-Funktionen kann auch per KNX-Gruppenadresse erfolgen.

weiter steht dort auch folgendes:

Für Experten: Gesicherter Fernzugriff über integrierter VPN-Server und Reverse-Proxy aus dem Internet*:
Ermöglicht einfachen und sicheren Fernzugriff auf das lokale LAN. AES-Verschlüsselung und Authentisierung mit X.509-Zertifikaten entspricht höchsten Sicherheitsanforderungen. Das Schlüsselmaterial wird erst beim Endanwender mit einem eingebauten HW-Zufallszahlen-Generator generiert. Hohe Geschwindigkeit durch AES-Verschlüsselung (128 Bit) in Hardware auch für VDSL-Anschlüsse. Ab Q1/2011 optional strenge 2-Faktor-Authentifizierung mit Authentikatoren.

Man beachte den Stern am Ende. Dieser steht für:

*Die Einrichtung / Nutzung der Experten Funktionen benötigt fortgeschrittene Netzwerk-, Programmier- und Linux-Kenntnisse. Das WireGate Service- und Support-Center unterstützt Sie gerne gegen geringes Entgelt bei der Einrichtung der damit möglichen Sonderkonfigurationen. Dies kann jederzeit auch über die integrierte verschlüsselte Fernwartung erfolgen.

Wegen der Kosten für das Einrichten seitens ElabNET: hast du dich einfach mal telefonisch an den Support gewandt?

[makki]

Danke Niko.

Also nochmal: Ich rate von der Einrichtung einer Bridge (abweichend von der Out-of-the-box funktionierenden Standard-config) immernoch dringend ab!
Ausser man weiss wirklich ganz genau was & warum man da tut.
Es ist ein Sonderwunsch, der manchmal Dinge vereinfacht und deshalb umgesetzt wurde.
Vielleicht ein Fehler, das überhaupt zu sagen, denn technisch ist&bleibt es falsch.

Der Remote-Zugriff via VPN auf den KNX funktioniert ohne jegliche Änderung auf Konsole o.ä. - auch so!

Makki

[Micha]

Der Remote-Zugriff via VPN auf den KNX funktioniert ohne jegliche Änderung auf Konsole o.ä. - auch so!

Also ich habs gerade noch mal probiert. OVPN steht. In der ETS habe ich KNXnet/IP gewählt, NAT Modus aus. Der Verbindungstest (Unicast) schlägt fehl.

Out of the box geht anders. Makki zeig uns doch mal bitte, wie es geht ohne Bridge!

Wartungs VPN ist offen WG228

Danke schon mal

Micha

[makki]

Man muss - das steht auch seit dem ersten Tag in der Doku/Hilfe dazu - natürlich eine Route zum WG für das RFC1918-Subnet der VPN-Clients auf dem Default-Gateway eintragen.
Für den lokalen KNX-Zugriff via VPN->WG ist das jedoch nicht notwendig! Die "Diagnose" der ETS ist bestenfalls unbrauchbar.. Es zählt doch nur, obs funktioniert, oder?
Warum die "Diagnose" dann schon im perfekten LAN fehlschlägt: bitte die Konnex fragen..

Zusammenfassung: kommt das WG auf den KNX, kommt man auch via WG&VPN drauf - ohne jegliche Konsole etc.

Sorry, dafür das Netzwerktechnik/IP nunmal etwas kompliziert ist, kann ich nix
Die Bridge vereinfacht das natürlich etwas, aber man kann sich damit halt auch etwas schneller als man denkt - das Knie wegschiessen..

Edit: eine Sache noch - steht zwar sicher hier schon mehrfach aber trotzdem nochmal: Man muss beim Zugriff via VPN die VPN-IP des WG angeben (Default 172.24.254.1), nicht die LAN-IP! Es geht auch der Test mit ETS3f und ETS4..

Makki

[Micha]

Danke, das wars. Funktioniert einwandfrei. Nur warum hast Du uns erst auf die falsche Fährte mit der Bridge gebracht, wenn die Fernprogrammierung auch ohne Bridge so einfach ist.

Eine Frage noch zum sicheren Verständnis:

Man muss - das steht auch seit dem ersten Tag in der Doku/Hilfe dazu - natürlich eine Route zum WG für das RFC1918-Subnet der VPN-Clients auf dem Default-Gateway eintragen.

Das bedeutet

Netzwerk: 172.24.254.0
Subnet : 255.255.255.0
Gateway : IP des WG im lokalen Netz

Ist das richtig so?

Ich hatte im Netzwerk immer das Netzwerk eingetragen, in dem sich das WG befindet.

Gruss Micha

[MicHau]

Danke, das wars. Funktioniert einwandfrei. Nur warum hast Du uns erst auf die falsche Fährte mit der Bridge gebracht, wenn die Fernprogrammierung auch ohne Bridge so einfach ist.

Ich muss mal nachfragen.
Du kannst jetzt über das normale VPN (eingerichtet über die Wiregate Weboberfläche) mit ETS aus der Ferne Geräte programmieren, habe ich das richtig verstanden?

Ich frage nach, weil ich das mal auf diesem Weg ausprobiert hatte und keinen Erfolg hatte, trotz eingetragener Route.

[Micha]

Ja, ich habe das heute auf zwei WG ausprobiert. Ein WG verbinder über eine IP-Schnittstelle, das andere über ein TP_UART . Der entscheidende Hinweis kam von Makki zum Schluss: In der ETS muss als IP die VPN-IP des WG eingetragen werden. Dann funktioniert sogar der Komm-Test in der ETS.

Gruss Micha

[makki]

Danke, das wars. Funktioniert einwandfrei. Nur warum hast Du uns erst auf die falsche Fährte mit der Bridge gebracht, wenn die Fernprogrammierung auch ohne Bridge so einfach ist.

Tut mir leid, wenn ich da eine falsche Fährte gelegt habe!
Ich meine jedem, der danach gefragt hat, mind. 10x gesagt zu haben das es (Bridge) eigentlich keine so gute Idee ist
Genaugenommen ist das ein Bug im eibd, es sollte auch mit der LAN-IP gehen - theoretisch. Praktisch aber nicht..

Das bedeutet

Netzwerk: 172.24.254.0
Subnet : 255.255.255.0
Gateway : IP des WG im lokalen Netz

Ist das richtig so?

Richtig (Default-Einstellung). Das ist aber nur notwendig, wenn man auf andere Geräte im LAN zugreifen will.

Ich hatte im Netzwerk immer das Netzwerk eingetragen, in dem sich das WG befindet.

Genau das darf man nicht machen, weil das führt ganz einfach zu unerreichbar. Steht auch in der Hilfe: es muss für die VPN-Clients (ohne gefährliche Bridge) ein sep. Subnet sein!

Makki

[Micha]

Hallo Makki,

Da ich gerade so in Schwung bin, noch eine Frage.

Eines meiner WG befindet sich bei einem Kunden in einem entfernten Netz, in dem schon ein OVPN-Server auf einem NAS läuft. Darüber habe ich vom zuständigen Admin einen VPN-Zugang auf das WG. Der kriegt das aber nicht hin (oder will nicht), dass ich mit der ETS die dort befindliche KNX-Anlage programmieren kann.

Wäre es nicht möglich, im Netz zusätzlich einen zweiten OVPN-Server auf dem WG zu aktivieren, ohne dass sich beide gegenseitig stören, ggf. durch Wahl eines anderen Ports (statt 1194 z.B. 1195) oder anders, sodass ich auf dem bekannten Weg meine KNX-Anlage programmieren kann.

Gruss Micha

[makki]

Den Port (Default 1194/UDP) kann man im Webif einstellen..
Falls die Client-config vorher generiert wurde, muss man ihn dort manuell anpassen.
Und natürlich am GW entsprechend ggfs. weiterleiten; ansonsten kein Problem.

Einfacher & besser ist aber immer sich mit dem Netzwerk-Admin zu unterhalten, auch wenn ihm das suspekt ist, KNXnet/IP ist 3671/UDP, nicht mehr

Makki