Misterhouse - Sicherheit

[JoergA]

Hallo zusammen,

wie habt Ihr Eure Mr. House Installation abgesichert?? Bei mir hat sich Mr. House sehr hartnäckig und bislang erfolgreich gewehrt das ich ein Passwort setzen konnte Somit könnte immer noch jeder von außen darauf zufgreifen, wenn ich dies nicht schon wieder unterbunden hätte und nur noch intern die Funktionen nutze.

Aber: Wäre schon toll von unterwegs mal das Licht auszuschalten oder die Rolllade fahren, oder oder oder.

Besten Gruß,
Joerg

[aggie89go]

also ich habe auch kein misterhouse Passwort gesetzt, aber bzg. Zugang von Aussen benutze ich nur VPN Verbindungen, was soll da das Passwort als zusätzlicher Schutz groß bringen?

[JoergA]

also ich habe auch kein misterhouse Passwort gesetzt, aber bzg. Zugang von Aussen benutze ich nur VPN Verbindungen, was soll da das Passwort als zusätzlicher Schutz groß bringen?

Prinzipiell hast Du da recht! Wie hast Du denn den VPN konfiguriert?? Ich habe einen D-Link Router.

Gruß,
joerg

[aggie89go]

Ich habe eine Fritzbox 7270, die kann VPN Verbindungen direkt aufbauen so dass ich auf meinen PC's hier nichts einrichten muß.

Für die Fritzbox gibt es ein extra Progrämchen, mit dem man die Konfigurationsdatei anlegt, diese muß man dann in die Fritzbox laden.

Die meisten d-link Router haben nur VPN pass-through, da muss dann der PC die VPN Verbindung aufbauen.

[thoern]

Zugriff über ReverseProxy

Hallo,

bei mir läuft Misterhouse auf einem Port, der von aussen nicht erreichbar ist. Zusätzlich läuft ein Apache-Webserver, der auf https-Verbindungen über Port 443 horcht. Für den Zugriff auf Misterhouse fungiert dieser Apache als Reverse-Proxy. Der ReverseProxy ist so konfiguriert, dass Basic-Authentication mit Benutzername und Passwort zum Einsatz kommt. Die Authentifizierung übernimmt also der Apache und nicht Misterhouse. Durch den Einsatz von SSL (https) werden die zwischen Browser und Misterhouse übertragenen Informationen (auch Benutzername und Passwort) verschlüsselt. Somit kann ich weltweit von jedem beliebigen PC auf Misterhouse über eine sichere Verbindung zugreifen.

Vorteil: Die Lösung ist voll flexibel, da der Apache natürlich auch noch zahlreiche andere Aufgaben bei mir hat.

Gruß,
thoern

[RaK]

Ich hab auch einen reverse proxy über https am laufen. das sollte sicher sein.

mich würde aber auch das VPN über die Fritzbox 7270 interessieren. Hast du da ein Tutorial oder einen Link fpr mich dazu?

LG und Danke

[kkreuzer]

Ich habe ebenfalls die gleiche Lösung wie thoern und RaK.
Davon, den Misterhouse-Port direkt in der Firewall freizuschalten und auf den mh-Passwortschutz zu vertrauen, rate ich dringend ab!

Der Misterhouse-HTTP-Server ist sicher mit vielen ehrenhaften Intentionen implementiert worden, aber ganz sicher nicht dafür, Angriffen Stand zu halten...

...würde aber auch das VPN über die Fritzbox 7270 interessieren. Hast du da ein Tutorial oder einen Link fpr mich dazu?

Hilft das weiter? Link zum VPN-Portal

Grüße,
Kai

[thoern]

Klärt mich bitte mal auf, worin ihr den Nutzen einen VPN-Tunnels seht. Dann müsste ich ja jedes Mal vom gleichen VPN-Client mit dem Zielsystem VPN-Server (und dahinter Misterhouse) kommunizieren. Und über einen Browserproxy (wie er in größeren Unternehmen Standard ist) funktioniert der Zugriff ja wohl gar nicht.
Wo soll hier der Vorteil sein?

Gruß,
thoern

[kkreuzer]

Für den Zugriff auf mh sehe ich mit VPN auch keinen speziellen Nutzen; da ist es über SSL auf alle Fälle am praktischsten.

VPN hat dann Vorteile, wenn Du neben HTTP auch noch andere Protokolle fahren willst, z.B. aus der Ferne direkt mit der ETS an Deinen Bus.

Grüße,
Kai

[aggie89go]

Über eine VPN Verbindung ist man mit dem heimischen LAN verbunden als ob man zu Hause wäre, man kann auf jedes Verzeichnis zugreifen, auf jeden Rechner, alle IP Adressen local ansprechen, etc.

[thoern]

Jo, schon klar. Allerdings sehe ich den Nutzen einer Webapplikation stark eingeschränkt, wenn es nur möglich ist, über einen VPN-Tunnel drauf zuzugreifen.

Unter der Prämisse auf das Web-Frontend von Misterhouse über das Internet mit einer sicheren Verbindung zuzugreifen, halte ich einen vorgeschalteten ReverseProxy mit SSL für die geeignetere Wahl, da somit ein Zugriff von jedem beliebiegen PC mit Internetzugriff möglich ist.

Gruß,
thoern

[JoergA]

Hmm,

das mit dem Reverse Proxy hört sich für mich auch nach einer guten Alternative an, vor allem weil ich derzeit nicht auf andere Services wie direkt dem EIB zugreifen möchte.

Ich habe derzeit einen Windows 2003 Server laufen, auf den ich per Remotely Anywhere über https zugreife. Weiß jemand wie ich hier Reverse Proxy konfiguriere, oder geht das bei Windows nicht?? Auf meinem Router habe ich den entsprechenden Port auf den W2K3 Server weitergeleitet.

Jo, ich könnte natürlich auch auf den Server und dann intern auf den MH aber ich möchte schon direkt da drauf.

Besten Gruß,
Joerg

[thoern]

Sorry, kenne mich nur mit Apache aus. Dort könnte ich Dir weiterhelfen.

Für einen ReverseProxy brauchst du einen Webserver. Das reine OS ist hierfür nicht ausreichend. Unter Windows ist das vielleicht mit dem IIS möglich, aber wie gesagt, damit kenne ich micht nicht aus.

Dein mh läuft doch bestimmt unter Linux. Was spricht dagegen, noch einen Apache mitlaufen zu lassen und diesen als RP zu konfigurieren?

[JoergA]

Außer der tatsache, das ich dies bislang noch nie installiert, geschweige denn konfiguriert habe => Nix

Also: Mit ein wenig Hilfe würde ich dies zumindest probieren

Besten Gruß,
Joerg

[thoern]

Dann sag doch mal auf welchem OS dein MH läuft und welche Weboberfläche du verwendest?