HS/FS Homeserver mit IP Router KNXsecure

[D E]

Vielfach thematisiert, stückchenweise in diversen Threads mit anderem Ursprungsproblem/-thema schon besprochen aber bisher ohne eigenen Thread, deswegen dieser hier.

Schalten vom Licht über den Homeserver (Ajaxvisu) funktioniert nicht. Experte ist 4.11. IP-Router ist ein Jung IPR300SREG mit neuester Firmware v1.060
Sämtliche Gruppenadressen sind - wie man auf dem ersten Screenshot ansatzweise sehen kann - auf den Dummy vom Dummy 🤔 des Homeservers (GIRA secure dummy) gezogen OBWOHL der IP Router noch auf GAn weiterleiten steht, was ja jetzt mal egal ist.




Es gibt noch erweiterte Einstellungen im IP-Router die man explizit freischalten muss:
https://downloads.jung.de/public/de/...0201207_TD.pdf
Seite 19

IP Tunneling Secure habe ich noch nicht ausprobiert und spielt zunächst keine Rolle, da es ja mit Routing zu funktionieren hat ... sollte man annehmen dürfen.

Die .knxkeys-Datei habe ich in der ETS erstellt gehabt und über die Portal-Seite vom Homeserver hochgeladen mit anschließendem, automatischen Neustart vom Homeserver.

Wo ist der Fehler, dass es nicht funktioniert? Eine Hersteller-Bindung ist bei IP Routern ja nicht gegeben im Gegensatz zur USB-Schnittstelle, oder ist da mit KNX Secure ein alter Ärger zurück gekommen?

/edit: Möglicherweise habe ich den Fehler selbst gerade gesehen. Aktivieren von "IP Secure" im Homeserver mit den Zugangsdaten hab' ich noch nicht ausprobiert 🤦♂️ Allerdings bleiben die zwei Felder darunter grau wenn ich den Haken aktiviere. Muss Morgen probieren ob es mit dem Haken allein schon klappt ...

[EugenDo]

Der Haken muss aktiviert werden… die Anmeldedaten werden für die Verbindung über IP Interface benötigt

[D E]

Jetzt versuche ich einen Homeserver mit einem MDT IP-Interface über Tunneling an den Bus zu bekommen. Unsecure funktioniert es auch, aber jeder Versuch die beiden Geräte secure zu verheiraten schlägt fehlt, trotz aller Bemühungen die oben bereits thematisiert sind mit Zertifikaten und bla. Beim Export der .knxkeys-Datei aus der ETS wähle ich die Tunneling-Adresse aus, die ich im Experten als physikalische Adresse eingetragen habe. Das ist ja anders als beim Routing, wo ich einen secure IP-dummy für den Homeserver einfüge. Habe auch alle Gruppenadressen auf diese Tunneling-Adresse verknüpft (auch so 'ne nervige Angelegenheit).

Hat jmd. schon erfolgreich secure tunneling mit dem Homeserver am Laufen? Dass man unbedingt den GIRA IP-Router braucht ist doch auch unnötig, oder? Das ist ja ein KNX-Standard und kein GIRA-eigener Kram.

Und der Unterschied zw. sicherer Inbetriebnahme und secure tunneling ist mir nicht ganz klar. Dass die Telegramme unverschlüsselt über das IP-Netzwerk laufen wäre mir Wurst, lediglich der Zugriff auf das IP-Interface soll secure erfolgen. Da weigert sich der Homeserver aber auch wenn die sichere Inbetriebnahme aktiv und das secure tunneling inaktiv ist, die Kommunikation bleibt einfach stumm.

[meti]

Die MDT Applikation erzeugt invalide .knxkeys Files. Man könnte das zwar von Hand korrigieren (user_id -= 1) aber ob mans dann signieren kann Bzw das HS Programm die Signatur überhaupt prüft weiß ich nicht (wär aber schnell versucht).

[D E]

Man muss UserID="2" auf 1 ändern?

In der knxkeys-Datei vom Projekt aus dem ersten Beitrag (wo es ja funktioniert) fangen die

<Interface IndividualAddress="1.1.201" Type="Tunneling" Host="1.1.5" ...

Zeilen aber auch mit UserID="2" an und zählen aufwärts. Sieht nicht nach einem invaliden Eintrag aus?


Ein Unterschied zum IP-Router ist jedoch in der Zeile <Device IndividualAddress ...

wo die Einträge ToolKey, ManagementPassword und Authentication fehlen. Vlt. ist das das Problem?

Ein Umlaut im Projektnamen sollte nicht das Problem sein, oder? In Zeile 1 ist ja auch enconding mit utf-8 definiert.

[Klaus Gütter]

wo die Einträge ToolKey, ManagementPassword und Authentication fehlen

Die fehlen aus gutem Grund: sie sind nur zur Konfiguration der Geräte (also für die ETS) relevant und gehen eine Visualisierung nichts an.

[meti]

Hm, ja die sollten mit 2 anfangen.
Vielleicht wurde das zwischenzeitlich mal gefixt - oder der Bug ist nur beim Router. Im Frühjahr haben die user_ids beim MDT Router noch mit 3 angefangen und da konnte man nicht verbinden solange man das nicht ausgebessert hat.

Für ne normale Verbindung brauchst du kein ManagementPassword. ToolKey müsste für "sichere Inbetriebnahme" via ETS sein.

Ich kenn die Files nur von Routern, von reinen Tunnel Servern hab ich die auch noch nicht gesehen.

[DirtyHarry]

Unsecure funktioniert es auch,

Hab ich irgendwas verpasst? Meines Wissens geht Tunneling nur Secure beim HS (zumindest Stand 4.11.0 ist das definitiv so)...

[D E]

Funktioniert definitiv unsecure. (v4.11.3)
Hatte ich auch nicht gedacht denn im Experten kann man "mit KNX Secure Unterstützung" missverstehen als notwendig, es ist aber optional. 👍