Maximale Leitungslänge KNX - und DALI Kabel

[mmutz]

Okay aber auf den kompletten KNX Bus wird man wohl kaum über Dali zugreifen können

Das Problem bei sowas ist, dass niemand sicher ausschließen kann, dass die Gateways nicht irgendeine Sicherheitslücke in der DALI-Implementierung haben, über die man das Gateway rooten kann. Wenn man das geschafft hat, kann man den KNX-Bus beliebig manipulieren.

Und es muss nur einer irgendwann irgendwo auf der Welt den Exploit schreiben, dann wandert der in die einschlägigen Sammlungen und es wird trivial, eine DALI-Maus zu präparieren, die den Angriff vollautomatisch ausführt. Die Leute die die BMWs klauen zimmern sich den Keyless-Exploit ja genauso wenig selbst zusammen wie ein klassischer Einbrecher sich hinsetzt und einen Schraubendreher aus Vollmetall fräst.

Alles, was an digitaler Kommunikation die Gebäudehülle durchbricht, muss gesondert abgesichert werden, damit mehr als ein Hindernis im Weg steht.

[altec]

Alles, was an digitaler Kommunikation die Gebäudehülle durchbricht, muss gesondert abgesichert werden, damit mehr als ein Hindernis im Weg steht.

Das spricht ja dafür, die Außenlinie ins Gartenhaus zu bringen und dort einen Mini-Verteiler so setzen. Es geht ja wohl auch hauptsächlich darum, dass Gartenhäuschen mit in die zentralen Schaltbefehle einzubeziehen. Ansonsten wäre es vielleicht doch etwas übertrieben, wobei ich das Gartenhaus vom TE nicht kenne. Kann ja auch eine kleinere Gartenvilla sein.

[mmutz]

Wenn die KNX-Außenlinie noch nicht im Gartenhaus liegt, würde ich wahrscheinlich (modulo grüne Leitung als Reserve, dann aber innen nicht aufgelegt, bzw. an den Potentialausgleich angeschlossen, um Überspannungen abzuleiten) tatsächlich nur mit DALI ins Gartenhaus gehen. Dann muss der Angreifer das DALI-GW und den LK überwinden.

Ganz abgesehen davon, dass man so ein geklautes DALI-GW auch gut in der Bucht verticken könnte, sozusagen als Trostpreis, wenn man das Haupthaus nicht auf bekommen hat

[Brn]

Kann ja auch eine kleinere Gartenvilla sein.

...es ist tatsächlich nur eine kleine 10qm Holzhaus.

Nur mit DALI in's Gartenhaus zu gehen war meine erste Wahl. Ich habe nur keine 2x 230V-fähigen Leitungen mehr frei. Eigentlich ist nur noch das KNX Kabel und 2x CAT7 ungenutzt. Beides ist nach meinem Wissen technisch kein problem, hinsichtlich der "Zertifizierungen" aber nicht zulässig.

[altec]

Dann nimm doch einen billigen Schalt-oder Dimmaktor, bau den ins Gartenhaus - und fertig. Einen LK+SV wirst Du ja sicherlich bereits in der HV haben. Vielleicht erweiterst Du das Häuschen später mal zu einer Villa. Wer weiß...…..

[Brn]

Dann nimm doch einen billigen Schalt-oder Dimmaktor, bau den ins Gartenhaus - und fertig. Einen LK+SV wirst Du ja sicherlich bereits in der HV haben. Vielleicht erweiterst Du das Häuschen später mal zu einer Villa. Wer weiß...…..

Ich bin mir eben nicht sicher, welche Rolle die galvanische Trennung spielt. Also wie wichtig sie in meiner Situation ist. Ansonsten könnte man auch günstige UP Aktoren nehmen.
Einen eigenen LK für den Außenbereich habe ich (noch) nicht. Darin begründet, dass ich bisher nicht davon ausgegangen bin, KNX nach außen zu bringen (es ligt nur ein nicht angeschlossenen Kabel dort). Ich wollte lediglich DALI raus bringen.

[gbglace]

Galvanische Trennung schütz halt Geräte vor elektrischen Schäden hinter dem LK. Von daher besser einen abgerauchten Aktor in der Gartenhütte als ne abgerauchte KNX-Anlage im Haus. Mehr Sicherheitsoptionen gegen Manipulation kommen nochmal dazu.

[Brn]

Mehr Sicherheitsoptionen gegen Manipulation kommen nochmal dazu.

Wie ist das eigentlich mit den Filtern in den Linienkopplern: ich habe mir die Anwendung eines Kopplers mal in ETS angeschaut. Handeln die nur das Routing, also: Pakete der Linie 2 dürfen nur zu Linie 1 oder filtern die auch Paket zu einzelnen Geräten, nach dem Motto: alle Pakete der Linie 2 (Garten) dürfen nur zum Gerät 4.3.35 (DALI Gateway) auf Linie 4?

[gbglace]

wenn sie richtig programmiert sind, filtern sie alle Telegramme an GA die nicht auf der jeweils anderen Seite verknüpft sind.
Dazu kann man meist noch einstellen, das direkt adressierte Telegramme (jene mit direkter PA Ansprache) blockiert werden, das verhindert das Reprogrammieren auf der jeweils anderen Linie. Wenn man dann och ein MDT Sicherheitsmodul dazu tut kann man jedes Programmieren auf einer Linie verhindern.

Das ist gegenüber vollem Durchzug und Mitlesen und Erreichen des gesamten Busses schon sicher.

[Klaus Gütter]

Die Filtertabelle enthält alle Gruppenadressen, die von einer Seite des Koppler zum anderen geroutet werden sollen. Also mehr nach dem Motto: "alle Geräte der Linie 2 (Garten) dürfen über den Koppler nur die GAs 10/2/0 bis 10/2/20 senden" (von Geräten weiß der Koppler nichts, aber wenn kein anderes Gerät mit diesem GAs verknüpft ist, hast du den gleichen Effekt).

Neben Gruppentelegrammen gibt es auch noch individuell adressierte Telegramme. Die treten aber nur bei der Konfiguration der Geräte auf. Aus Sicherheits-Gesichtspunkten kannst du daran denken, den Koppler für individuell adressierte Telegramme ganz zu sperren und das Umprogrammieren des Kopplers von der Unterlinie aus auch. Diese Einstellmöglichkeiten werden von vielen aktuellen Linienkoppplern angeboten.

-- Göran war schneller...

[Brn]

-- Göran war schneller...

Trotzdem danke an euch beide. Auch wenn gbglace schneller war, die Kombination aus beiden Formulierungen hat mir, glaube ich, das Verständnis gebracht.
Letztlich ist es genau das, was ich möchte.....

..brauche ich nur noch einen günstigen Linienkoppler....

[gurumeditation]

10 BEGIN
20 GOTO Marktplatz
30 END

[Brn]

10 BEGIN
20 GOTO Marktplatz
30 END

Übertragen aus den 80ern in dieses Jahrhundert meinst du vermutlich sowas in der Art:

var device = {
   get: function() {
              markplace.getDevice( {
                  'from': 'https://knx-user-forum.de/forum/%C3%B6ffentlicher-bereich/marktplatz'
                   }
              );
    }
}