HS/FS KNX/IP Sicherheit

[roggles]

Hallo Forum,

wir haben einen Kunden mit mehreren KNX Linien, die über IP-Router miteinander verbunden sind.

Am Ethernet hängt auch ein Gira HomeServer!

Wenn nun die Netzwerkverbindung aus irgendeinen Grund kurzzeitig versagt und sich der Status der Anlage ändert, bekommt der HomeServer nicht's mit und evt. programmierte Logikfunktionen haben keine aktuellen Werte.

Frage: Wie kann der HomeServer feststellen, ob das KNX Netzwerk noch in Ordnung ist und wie kann er dann aktuelle Werte der Aktoren neu auslesen?

Gruß

[Gaston]

Alles eine Frage des Aufwands, bzw. der gewünschten Granularität.

Du könntest z.B. den Gira Verknüpfungsbaustein verwenden und den dann abwechseklns 0/1 setzen und die gleiche Antort innerhalb der voirgegebenen Zeit zurückerwarten.

Gruss,
Gaston

[cgn]

TCP Pakete gehen nicht einfach so verloren - dagegen gibt es Sicherheitsmechanismen auf den Layern; ich würde da also eher erstmal den Fehler im LAN beheben, statt für unnötigen Traffic zu sorgen...

[Gaston]

TCP Pakete gehen nicht einfach so verloren - dagegen gibt es Sicherheitsmechanismen auf den Layern

Alles schön und gut, da aber KNX/IP Routing verwendet wird, und somit UDP multicast helfen TCP Mechanismen recht wenig.

Gruss,
Gaston

[roggles]

Ja genau,

Sicherheit ist nicht gegeben!
Wenn eine kritische Windstärke gerade nicht empfangen werden kann und die Verriegelung einer Jalousie nicht funktioniert steht man auf'n Schlauch.

Und seien wir mal ehrlich, ein Ethernet fällt des öfteren mal aus...
Ich habe öfter mal das Problemm, dass vermutlich der Buffer der KNX/IP Router nach Ausfall des Ethernet überläuft.
Wenn das Ethernet dann wieder funktioniert, funktionieren die KNX/IP Router nicht mehr und man muss sie neustarten.
Das kommt daher, weil das Ethernet zwischen KNX/IP Router und ersten Switch funktioniert , aber die Ethernetstrecke nach diesem Switch ausfällt, somit
hat der KNX/IP Router immer einen Link und kann nicht erfassen ob das Ethernet ausgefallen ist oder nicht. Wenn man das Cat-Kabel am KNX/IP Router entfernt und wieder
steckt ist auch alles wieder in Ordnung.


Ist es denn möglich einen Aktor durch den HomeServer zu schalten und das Ergebnis wiederum abzugleichen.

Oder..

Kann man im HomeServer auswerten wie oft ein Telegramm wiederhohlt werden musste?

Ich glaube langsam das ich in jeder Linie einfach eine SPS einsetze, die die Kommunikation über's Ethernet regelt...

Gruß

[Gaston]

Ja genau,

Sicherheit ist nicht gegeben!
Wenn eine kritische Windstärke gerade nicht empfangen werden kann und die Verriegelung einer Jalousie nicht funktioniert steht man auf'n Schlauch.

Dafür gibt es zyklisches senden oder der "Abfragen" befehl im HS.

Und seien wir mal ehrlich, ein Ethernet fällt des öfteren mal aus...

Höh ? Ethernet fällt fast bie aus, und wenns öfters der Fall ist dann gibt es ein technisches oder ein Konfigurationsproblem. Letzteres passiert oft wenn man die Geschwindigkeit der Ports feststellt anstatt auto-negotiate zu verwenden.

Ich habe öfter mal das Problemm, dass vermutlich der Buffer der KNX/IP Router nach Ausfall des Ethernet überläuft.
Wenn das Ethernet dann wieder funktioniert, funktionieren die KNX/IP Router nicht mehr und man muss sie neustarten.

Dann würde Ich mich mal an den Support wenden.

Das kommt daher, weil das Ethernet zwischen KNX/IP Router und ersten Switch funktioniert , aber die Ethernetstrecke nach diesem Switch ausfällt, somit hat der KNX/IP Router immer einen Link und kann nicht erfassen ob das Ethernet ausgefallen ist oder nicht.

Das kann nicht sein, denn wenn der Link zwischen Router und Switch in Ordnung ist dann ist für den Router das Ethernet auch i.o. und er wird seine Pakete wie gewohnt versenden. Da die Transportschicht keinerlei Sicherheitsmechanismen hat wird das Paket auch direkt aus dem Buffer gelöscht. Dass die weitere Strecke nicht funktioniert ist dabei unerheblich.


Wenn man das Cat-Kabel am KNX/IP Router entfernt und wieder
steckt ist auch alles wieder in Ordnung.

Ist es denn möglich einen Aktor durch den HomeServer zu schalten und das Ergebnis wiederum abzugleichen.

Verstehe Ich nicht.

Oder..

Kann man im HomeServer auswerten wie oft ein Telegramm wiederhohlt werden musste?

Im KNX/IP gibt es kein ACK und somit keine Wiederholungen. Einzige Ausnahme ist der Pufferüberlauf im Router der eine ROUTING_LOST_MESSAGE Meldung auslöst. Aber auch hierauf kann keine Wiederholung erfolgen.

Ich glaube langsam das ich in jeder Linie einfach eine SPS einsetze, die die Kommunikation über's Ethernet regelt...

Das ist mit Kanonen auf Spatzen schiessen.

Gruss,
Gaston

[MatthiasS]

Ist es denn möglich einen Aktor durch den HomeServer zu schalten und das Ergebnis wiederum abzugleichen.

Natürlich geht das. Schalten und auf das Statusobjekt warten.

[roggles]

Also ok,

ich muss mich für meine teilweise "dummen" Fragen entschuldigen...
UDP ist natürlich Verbindungslos...

Man spinnt sich ja gerne mal was zusammen ...

Also ich setze in der ETS alle erforderlichen Objekte auf lesbar. Dann lese ich ein Objekt jeder Linie zyklisch (alle ca. 10min. ) aus. Wenn irgendwann keine Rückmeldung eines Objekts kommt, lese ich, sobald die Verbindung wieder in Ordnung ist, alle relevanten Objekte der Linie aus.
Im Prinzip eine Art "Watchdog", um sicherzugehen das alle Objekte im Feld mit dem HomeServer übereinstimmen.
Eine individuelle lange Verzögerung zwischen den Auslesevorgängen muss je nach Buslast eigestellt werden.

Wäre sowas praktikabel?

Zudem muss ich dem Kunden nachweisen, dass evt. sein Ethernet oder die Koppler die Ursache des Problems sind?! Alle paar Wochen, Monate kommt es zu einem Ausfall..
Dabei funktioniert das Ethernet immer wieder, aber der KNX-Bus über Ethernet nur nach Neustart der Koppler (Merten 680329).
Ich weiß leider keine Möglichkeit den Fehler weiter einzugrenzen...

Das Ethernet ist korrekt konfiguriert, also keine doppelten IP's, nur ein DHCP Server usw. Alle Linien sind mittels KNX/IP Koppler und Ethernet Glasfaser Konverter miteinander verbunden.

Gruß

[MatthiasS]

Das wäre parktikabel.

Zusätzlich könnte man den HS die Router zyklisch anpingen lassen und das protokollieren. Wobei ein erfolgreicher Ping jetzt auch nicht undingt heißt, dass die Kommunikation funktioniert. Wäre aberzumindest etwas, was schnell eingerichtet ist.

[Gaston]

Wäre sowas praktikabel?

Praktikabel ist das sicherlich. (s. Bild). ich hoffe dass ich auf die Schnelle keinen Fehler gemacht habe. Die Idee: Der Telegramgenerator gibt das Testinterval vor (hier jede Minute). Dadurch wird das Auslesen des Wertes veranlast (Befehl) so wie der Treppenhausautomat gestartet. Dieser legt fest nach wieviel Zeit spätestens das resultat da sein sollte. Ausserdem wird der Telegramgenerator mit Trigger auf 0 gesetzt (=Fehler).

Dieser Wert wird durch ein eingehendes Telegram vom Watschdog KO wegen des ODER gatters wieder auf 1 gesetzt.

Nach Ablauf der Treppenhauszeit wird der Telegrangenerator getriggert der den Augenblicklichen Wert weitergibt. Ist dieser "0" so wurde kein Telegram empfangen -> Fehler.

Zudem muss ich dem Kunden nachweisen, dass evt. sein Ethernet oder die Koppler die Ursache des Problems sind?! Alle paar Wochen, Monate kommt es zu einem Ausfall..

Da Du den Koppler neu starten musst ist das doch leicht gemacht. Das darf einfach nicht sein. Dies ist entweder ein Kopplerproblem (wahrscheinlich) oder ein externens Environmentproblem (Spannungsschwankungen,...)

Das Ethernet ist korrekt konfiguriert, also keine doppelten IP's, nur ein DHCP Server usw.

Das ist IP nicht Ethernet. Alle Prots (KNX/IP Router & Switch) sollten auf "autonegotiate" stehen. Ich würde auch die Fehlercounter an den Switchports überprüfen.

Gruss,
Gaston

[roggles]

Vielen Dank für eure Hilfestellungen! Werde das dann auch erstmal so umsetzen...

Das ist IP nicht Ethernet. Alle Prots (KNX/IP Router & Switch) sollten auf "autonegotiate" stehen. Ich würde auch die Fehlercounter an den Switchports überprüfen.

Fehlercounter -> ist eine gute Idee; werde das mal genauer beobachten

Ich meinte mit Ethernet allgemein alle Einstellungen zur Hardware und zu den Protokollen die damit zu tun haben.
Ein EDV Dienstleister hat's eingerichtet und ich selbst habe drüber geschaut.

Werde nun zusätzlich ein OpenVPN Router einrichten.

Ich musste leider feststellen, das der Gruppenmonitor in der ETS nach einer Weile nicht mehr protokolliert und man die Verbindung (KNX/IP) neu herstellen muss. Ist das korrekt? Oder mache ich was falsch?

Gruß

[cgn]

OpenVPN und KNP Multicast - da hatte ich mal ein TTL Problem