IP-Router MDT SCN-IP100.03

[derneugierige]

Hallo allerseits,

ich versuche, mit dem MDT SCN-IP100.03 eine Brücke von KNX nach IP (fhem) zu schlagen. Dabei soll KNXnet/IP per multicast auf 224.0.23.12:3671 verwendet werden.

Leider verstehen sich die beiden Welten ganz und gar nicht.

Der MDT-Support konnte mir leider auch nicht wirklich weiterhelfen: ich soll DHCP/DNS überprüfen und es auch mal mit statischer Adresse probieren. Ich hatte nicht wirklich das Gefühl, dass man mir zugehört hätte 😭😭😭

Also habe ich mal Wireshark genommen, einige Aufzeichnungen gemacht und wende mich hier mal an die Experten.

Im Ruhezustand sendet der IP-Router im Rhythmus von 10 Sekunden (Zeitstempel?) folgende Telegramme:

0610 0955 0024 0002 74ed 79ef 0083 7140 0924 114a 34bc ee67 7164 6cbd cc40 ca2e 5ac3 3e3f
0610 0955 0024 0002 74ed a177 0083 7140 0924 b1d8 27a5 5ee2 bd1b 22df 22d3 6add 20bb c6ed
0610 0955 0024 0002 74ee 00f9 0083 7140 0924 7fa2 bbe5 6c62 edf9 c1c4 ec16 87e3 f1f5 2534
0610 0955 0024 0002 74ee 281d 0083 7140 0924 e3f0 e7a5 54cc 3658 ef8a 2076 382b 97c2 ce54

Wireshark kann diese Pakete nicht dekodieren. Es handelt sich hierbei also nicht um KXNnet/IP. Die zweite Hälfte der Pakete sieht auch irgendwie verschlüsselt aus.

Wenn ich von FHEM aus eine GEräteadresse ansteuere,

0610 0530 0011 2900 bcd0 0005 190e 0100 81
0610 0530 0011 2900 bcd0 0005 190e 0100 80
0610 0530 0011 2900 bcd0 0005 190e 0100 81
0610 0530 0011 2900 bcd0 0005 190e 0100 80

dann dekodiert Wireshark das brav als KNXnet/IP, und zeigt auch die korrekte GA an (190e == 3/1/14)

Wenn ich auf der KNX-Seite einen Taster mit exakt der gleichen GA drücke

0610 0950 0038 0000 0002 74ed b69b 0083 7140 0924 0000 393f 8377 df07 eab2 646c e3e9 8806 4457 7fa1 0bbd f074 be1b 396f ef6c a479 cb96 36bf
0610 0950 0038 0000 0002 74ed c370 0083 7140 0924 0000 55f8 289a 40cb 8972 4cf1 b2d5 3302 1bdc ab68 1b10 953e a422 9bfd c82f 64a9 6fb1 abe5
0610 0950 0038 0000 0002 74ed ce9d 0083 7140 0924 0000 364a cc80 9b18 6a0c 226b 4448 85a0 6a6b beda c2c4 7369 4f27 2cbd 475f dd97 76b1 970a
0610 0950 0038 0000 0002 74ed d92c 0083 7140 0924 0000 e0cc 3522 1f62 f253 c2ac cc88 b5d5 01bd 8cc6 824b c319 4a3a aa34 ebe9 a108 b058 6f82

Dann kann Wireshark das wieder nicht dekodieren. Auch ist in den Telegrammen nicht einmal andeutungsweise die GA zu erkennen. Die hinteren zwei Drittel der Telegramme sehen auch aus als könnten sie verschlüsselt sein.

Ganz offensichtlich kommt vom Router also etwas vollkommen anderes als KNXnet/IP

Wer hat eine Idee?

Was ist das für eine Protokoll? Irgend eine Art Verschlüsselung? Gibt es eine Beschreibung dazu?

Wenn nicht: wie kann ich den Router so umkonfigurieren, dass er KNXnet/IP spricht?

Kann mir da jemand weiterhelfen?

Vielen Dank schon mal Im Voraus!

[ollu77]

Hallo
Warscheinlich ist die GA nicht in der Filtertabelle des Routers.
Darum leitet er die nicht weiter.

Stell mal in den Einstellungen alles auf weiterleiten und Versuchs nochmal.

Gruss Oliver

[EugenDo]

Ist der mit Secure in der ETS eingestellt? Schildsymbol.... wenn ja, dann wird dein FHEM dann wie eine Kuh auf das Telegramm gucken... schalte Secure ab!

P.S.: mit WireShark kann man sogar mit den richtigen Schlüsselpaaren die Secure-Kommunikation sichtbar machen

[Klaus Gütter]

Der IP-Router ist auf "secure backbone" konfiguriert.
Neue Versionen von Wireshark sollten die Frames aber wenigstens als KnxNet/IP TIMER_NOTIFY und SECURE_WRAPPER identifizieren können (ohne Schlüssel aber natürlich nicht weiter decodieren) können.

Ich weiß nicht, ob FHEM Backone Security unterstützt, zur Not musst du in der ETS beim Backbone die Security abschalten.

[derneugierige]

Ist der mit Secure in der ETS eingestellt?

Ja, "KNX IP Secure" scheint es zu sein. Bin mittlerweile auch drüber gestolpert...

wenn ja, dann wird dein FHEM dann wie eine Kuh auf das Telegramm gucken... schalte Secure ab!

Naja, grundsätzlich ist security ja nicht schlecht. Schliesslich will ich ja auch nicht, dass ein Einbrecher über WLAN den Türöffner betätogt.

Abschalten wäre zwar eine Option. Bevorzugen würde ich jedoch, wenn fhem ebenfalls verschlüsselt kommunizieren würde.

Insofern wäre es interessant zu erfahren, wie das Verfahren genau funktioniert.

P.S.: mit WireShark kann man sogar mit den richtigen Schlüsselpaaren die Secure-Kommunikation sichtbar machen

[/quote]
Interessant! Wie kann ich die Schlüssel aus ETS exportieren? Und wie spiele ich diese in Wireshark ein?

Klaus Gütter[/B]]
Neue Versionen von Wireshark sollten die Frames aber wenigstens als KnxNet/IP TIMER_NOTIFY und SECURE_WRAPPER identifizieren können

Tut er leider nicht. Das ist wireshark-2.6.10 aus ubuntu 18.04

[Klaus Gütter]

Wireshark 3 sollte es schon sein.
Den benötigten Backbone-Key sieht du im Report "Sicherheit".

[jayem0]

Blöde Frage: Ist bei Wireshark standardmäßig ein / der (?) KNX-Dissector installiert oder muss der TE den ggfs. nachinstallieren?

[derneugierige]

Blöde Frage: Ist bei Wireshark standardmäßig ein / der (?) KNX-Dissector installiert oder muss der TE den ggfs. nachinstallieren?

Unverschlüsselte KNX-Telegramme zeigt er ja an. Daraus hätte ich jetzt schlussgefolgert, dass Wireshark das grundsätzlich kann...

Wo findet man denn Informationen, wie die Pakete von KNX IP Secure aufgebaut sind?

BTW: Kann eigentlich knxd mit KNX IP Secure umgehen?

[Klaus Gütter]

Ist bei Wireshark standardmäßig ein / der (?) KNX-Dissector installiert

Ja; ich kann jetzt allerdings nicht auswendig die Wireshark-Version sagen, seit der das so ist.
Wenn er nur unverschlüsselte anzeigt, ist das jedenfalls nicht die aktuelle Version.

[gbglace]

Kann da mal wer den Titel des Threads anpassen? Hier geht es doch nur darum wie man den Bastelsystem KNX-Secure beibringt und nicht das der MDT Router irgendetwas nicht beherrscht?

[derneugierige]

gbglace:

Die Frage war, wie man den Router umkonfigurieren kann.

Wo bitte wurde geschrieben, dass der Router irgendetwas nicht beherrschen soll? Wenn Du schon stänkern möchtest, dann doch wenigstens nicht mit Argumenten die an den Haaren herbeigezogen sind...

Das Bastelsystem darfst Du gerne ignorieren. Niemand zwingt Dich, es zu verwenden.

Und Deine .sig könntest Du bei Gelegenheit auch mal selbst beherzigen... Bevor Du DIch eingeklinkt hast ging es in diesem Thread vollkommen stressfrei zu.

PS: Wie ändert man den Titel? Finde kein Eingabefeld um diesen zu ändern.

[hjk]

Wenn du den ersten Beitrag bearbeitest, sollte eine Titeländerung möglich sein.
Der Titel ist in der Tat unpassend und sollte geändert werden.

[derneugierige]

Wenn du den ersten Beitrag bearbeitest, sollte eine Titeländerung möglich sein.

Habe es gerade eben versucht: da kann ich vor den Titel zwar einen Prefix setzen, aber nicht den Titel selbst ändern. Das Titel-Feld ist ausgegraut.

Der Titel ist in der Tat unpassend und sollte geändert werden.

Naja, das liegt wohl im Auge des Betrachters.

Natürlich hätte ich mit dem jetzigen Wissen einen anderen Titel gewählt. Hinterher weiss man es eben immer besser...

Zu meiner Verteidigung muss ich aber sagen: der MDT-Support wusste es leider auch nicht besser als ich...

[scw2wi]

Das Titel-Feld ist ausgegraut.

Das ist bei meinen Threads genauso, vermutlich kann den Titel nur ein Admin ändern.

Ich halte das gar nicht für so leicht, den Titel immer von Anfang an passend zu wählen,
vor allem dann, wenn es um ein Problem geht, und man die Ursache noch gar nicht kennt.
Am besten wäre es dann wohl, das Problem in Stichworten möglichst gut zu beschreiben.

Hier in diesem Fall geht es ja darum, wie man mit FHEM verschlüsselt kommunizieren kann,
oder hab' ich das falsch verstanden?

Walter

[scw2wi]

der MDT-Support wusste es leider auch nicht besser als ich...

Hättest du dir wirklich erwartet, dass der MDT-Support ein Problem lösen kann, dass mit MDT überhaupt nichts zu tun hat?
Mich hätte das jetzt echt überrascht.

Walter