KNX/EIB KNX IP-Router gesucht (2021)

[jayem0]

Hallo Zusammen,

ich bin schon länger stiller Mitleser und habe mich nun, auch dank der Informationen aus diesem Forum, entschieden, einen KNX-Bus aufzubauen. Das Ganze wird über die Zeit skaliert werden und teilweise auch per Fernwartung per VPN konfiguriert werden müssen, sodass eine IP-Schnittstelle eine Anforderung an das System ist. Da ich noch keine Erfahrung mit KNX habe, gehe ich davon aus, nicht direkt die ideale Konfiguration zu haben. Ich möchte also auch mit dem System in einem Bestandsobjekt Erfahrung sammeln, um dann in einem neuen Objekt von vorne herein vollständig auf KNX zu setzen. Ich möchte zunächst mit einem einfachen Bus beginnen (Spannungsversorgung, IP-Router, n-fach Schaltaktor, MDT Glastaster Smart), jedoch in zukunftssichere Komponenten investieren.

Aus verschiedenen Gründen möchte ich mir für die Zukunft gerne Erweiterungen des Bus' über IP offen halten (IP <=> KNX). Ich habe bei meiner Recherche auch schon verstanden, dass es das sog. "IP-Tunneling" gibt, welches eine reine IP <=> KNX Umsetzung ist, sowie ein "IP-Routing". Dieses "IP-Routing" entspricht meinem Laien-Verständnis von KNX einem UDP Multicast Listener, der auf einer fixen (lt. Spec?) Multicast-IP auf UDP-Pakete horcht, die der KNX-IP-Spec entsprechen und diese entweder ungefiltert oder gefiltert auf den KNX-Bus weiterleitet. Umgekehrt broadcasten diese "IP-Router" den KNX-Bus Traffic gefiltert oder ungefiltert auf die Multicast-IP Adresse. Soweit mein Verständnis.

Wenn ich also irgendwann selbstgebaute Software-Lösungen einsetzen möchte, gehe ich davon aus, dass ich einen IP-Router benötige, um die Broadcast-Pakete auf den KNX-Bus zu bringen, richtig? Da ich nicht zweimal kaufen möchte, stellt sich für mich als KNX-Einsteiger nun die Frage, welchen IP-Router ich in 01/2021 am besten kaufe, der die o.g. Anforderungen erfüllt. Mir kommt es nicht auf 50€ mehr oder weniger an, wenn ich dafür Ruhe habe.

Wie spielt denn das ganze Thema "Secure" in diese Entscheidung ein? Mein Ansatz wäre, dass ich zunächst den Bus nicht absichere (privat, kein physikalischer Zugriff von Unbefugten und keine kritische Logik) und irgendwann ggfs. mal umschwenke.

Vielleicht könnt ihr mir ja den ein oder anderen Tipp geben, welcher IP-Router Stand heute eine sinnvolle Investition ist.

Danke vorab!

[EugenDo]

Eigentlich spielt es keine Rolle ... ich hätte noch einen gebrauchten Gira I14 oder MDT KNX IP Router abzugeben... beide können Secure... bei Interesse einfach PN

[gbglace]

Wenn ich also irgendwann selbstgebaute Software-Lösungen einsetzen möchte, gehe ich davon aus, dass ich einen IP-Router benötige,

Nöö. Weit verbreitete Annahme aber mehr auch nicht.

als KNX-Einsteiger nun die Frage, welchen IP-Router

keinen, dann besser eine USB-Schnittstelle.

Mir kommt es nicht auf 50€ mehr oder weniger an, wenn ich dafür Ruhe habe.

Router ja/nein sind halt mehr als 50€ Aufpreis.

Mein Ansatz wäre, dass ich zunächst den Bus nicht absichere (privat, kein physikalischer Zugriff von Unbefugten und keine kritische Logik) und irgendwann ggfs. mal umschwenke.

Bei der grünen Leitung bin ich ja noch bei Dir bei der Risikobeurteilungbeurteilung. Aber das mit der kritischen Logik, ist, sofern diese im IP-Bereich liegt oder Erweiterungen wie automatischer Rasenmäher Staubsauger, und sonstiges IoT Gerät in die Gebäudeautomation einzubinden sein sollen, per Definition kritisch. Wer mir sagt IP-ist sicher der lügt sofort. Sichere IP-Welt wird es nicht geben.

Insofern um das Risiko zu reduzieren meine Empfehlung so wenig wie möglich auf dem medium IP laufen lassen und wenn dann nicht ohne besondere Absicherungen und KNX-Secure ist in dem Moment das Mittel der Wahl.

Und mit welchem Gerät man den Kernbus an die IP-Welt koppelt würde ich davon abhängig machen was man denn wirklich so alles mit der Anlage anstellen möchte. Gerade wer da aufs Budget achten will/muss.

Daher die USB für den Anfang, die funktioniert für die Einrichtung des Busses am Schreibtisch auf der Baustelle und auch bei LAN im Haus kaputt Plug and Play. Gemessen an der Threaddichte im Forum Hilfe meine Schnittstelle funktioniert nicht unschlagbar die USB für einen Anfänger.

Sofern Dir die oben zitierten Netzwerk-Vokabeln wirklich was sagen und das nicht erst durch Recherche gegoogelt war, dann bist womöglich auch Fit in Absicherung eines LAN usw. dann könnte man auch direkt sich so ein Gerät holen. Der Enertex scheint mir sehr interessant zu sein.

[tobiasr]

Ich verstehe die Empfehlung zu USB Schnittstellen einfach nicht. Sie sind völlig unflexibel.

Ein Router kann z.B. in Verbindung mit Shelly, Weinzierl Multi-IO IP, Inveo Lantick, etc. sicherlich Vorteile bringen. Ebenso, wenn man große Gelände mit einem funktionsfähigen IP Backbone mit eigenem IoT VLAN/WLAN ohne Internetzugriff hat. Wer zum Beispiel in der Gartenhütte oder im Nachbarhaus (Garage, Schuppen oder Verwandtschaft) sowieso über Glasfaser einen Netzwerkanschluss herstellt, braucht keinen TP Bus mehr (wobei ich als Fallback das Kabel vmtl trotzdem legen würde).

Wenn du aber auf IP Seite einen Server mit Edomi, Openhab, IP-Symcon oder ähnliches einsetzt und dieses die Fremdgeräte einkoppelt, wird vmtl auch ein IP-Interface reichen.

Wobei noch erwähnt sein sollte, ein IP-Router kann durch "deaktivieren" (sprich Filtertabellen ohne Einträge aktivieren) der IP Multicast Linienkoppler-Funktion auch als normales IP-Interface verwendet werden.

[gbglace]

Ich verstehe die Empfehlung zu USB Schnittstellen einfach nicht. Sie sind völlig unflexibel.

Die sind aber soweit unabhängig von einer aktiven Infrastruktur neben dem TP-Bus und dem PC/Laptop mit dem man arbeitet.

Und diejenigen die von Netzwerk nicht die Ahnung haben, für die ist das super einfach zu benutzen. Die brauchen nicht mal eine PA. Wenn ich immer die Threads hier lese, von wegen doppelt vergebene PA wegen der Tunnel. bzw. ständige Fehlkonfiguration der IP-Adressen usw. da ist man mit einer USB. schon deutlich stabiler, Einstecken und läuft.

Klar kann man damit nicht so gut ausm Sofa heraus mal spontan im Keller was umstellen. Aber für das Demoboard zum Kennenlernen von KNX und für die Inbetriebnahme auf Baustelle usw. ist so eine USB sehr funktional. Und eben ein Backup bei kaputten LAN.

Bei den restlichen Punkten bin ich voll bei Dir. Aber dazu muss der TE erstmal in Seiner Planung weitermachen um den reellen Bedarf abschätzen zu können.

[jayem0]

Nöö. Weit verbreitete Annahme aber mehr auch nicht.

Kannst du das näher ausführen? Ich dachte viele Projekte setzen fire-and-forget-mäßig auf UDP-Multicast statt Unicast oder gar TCP (gibt es das überhaupt bei KNX-IP?)?

Die +/- 50€ bezogen sich auf verschiedene IP-Router untereinander.

USB fällt für mich aus, ich muss wie gesagt remote per VPN an die TPs. Außerdem kaufe ich danach dennoch einen IP-Router. Die Bench möchte ich so in Betrieb nehmen, wie sie später auch laufen soll.

Die Spannungsversorgung möchte ich auch lieber überdimensionieren, um eine vernünftige Basis zu haben und später nicht wegen ein paar mA rumrechnen zu müssen.

Bleibt die Frage: welche IP-Router (und ggfs. IP-Interfaces) sind Stand heute empfehlenswert?

[jayem0]

Ein Router kann z.B. in Verbindung mit Shelly, Weinzierl Multi-IO IP, Inveo Lantick, etc. sicherlich Vorteile bringen.

Könntest du hier etwas ins Detail gehen? Mir sind die Netzwerkbegrifflichkeiten bekannt, aber die genauen KNX-IP Spezifika nicht. Wo liegen denn die Stolperfallen?

[gbglace]

Die Spannungsversorgung möchte ich auch lieber überdimensionieren, um eine vernünftige Basis zu haben und später nicht wegen ein paar mA rumrechnen zu müssen.

Das ist auch OK und macht bis zu gewissen Reservequoten auch Sinn.

Die von Enertex sind gut. Der Gira kann eben auch mit deren Sonderlocken wie G1 im WLAN umgehen.

Alles was nicht KNX-zertifiziert ist und in der IP-Welt KNX-Dialektik beherrscht nutzt meist eine Tunnelverbindung, denn ein komplettes KNX-Systemverhalten als echter KNX-Teilnehmer ist eben nochmal anders, von daher braucht es einen Router erst ab dem Moment wo eine echte KNX-IP Linie betrieben wird, entweder um einfach als Backbone oder längere Entfernungen zu überbrücken oder eben echte KNX-IP Geräte zu nutzen. Für eine Visu und VPN Zugriffe auf das System absolut nicht.

[tobiasr]

Die von mir genannten KNX IP Geräte nutzen alle KNX IP Routing funktionalitäten quasi als echte KNX Linie. Dafür benötigst du einen KNX Router. Dafür aber keine weitere Software (ggf. lassen sich nicht alle Geräte über die ETS parametrisieren, weil sich nicht alle der KNXA angeschlossen haben).

[jayem0]

Bei der grünen Leitung bin ich ja noch bei Dir bei der Risikobeurteilungbeurteilung. Aber das mit der kritischen Logik, ist, sofern diese im IP-Bereich liegt oder Erweiterungen wie automatischer Rasenmäher Staubsauger, und sonstiges IoT Gerät in die Gebäudeautomation einzubinden sein sollen, per Definition kritisch. Wer mir sagt IP-ist sicher der lügt sofort. Sichere IP-Welt wird es nicht geben.

Insofern um das Risiko zu reduzieren meine Empfehlung so wenig wie möglich auf dem medium IP laufen lassen und wenn dann nicht ohne besondere Absicherungen und KNX-Secure ist in dem Moment das Mittel der Wahl.

Risikobeurteilung ist ein riesen Thema. Ich habe es mir leicht gemacht. Per Definition liegt der Bus anfangs nicht außerhalb des Objekts sondern lediglich innen. Fremdzugriff daher definiert ausgeschlossen. Nicht kritische Infrastruktur definiere ich als „es ist verkraftbar, wenn die Funktion ausfällt oder durch Dritte gestört wird“. Wenn ich keinen Zugriff per VPN brauche schalte ich den KNX IP-Router hart aus (bzw. lasse das jemanden vor Ort tun). Hierdurch ist der Zugriff per IP nicht mehr möglich. Unter den o.g. Umständen sehe ich aktuell (!) keinen Bedarf für eine Absicherung des Bus. Oder übersehe ich etwas?

[jayem0]

Das ist auch OK und macht bis zu gewissen Reservequoten auch Sinn.

Die von Enertex sind gut. Der Gira kann eben auch mit deren Sonderlocken wie G1 im WLAN umgehen.

Alles was nicht KNX-zertifiziert ist und in der IP-Welt KNX-Dialektik beherrscht nutzt meist eine Tunnelverbindung, denn ein komplettes KNX-Systemverhalten als echter KNX-Teilnehmer ist eben nochmal anders, von daher braucht es einen Router erst ab dem Moment wo eine echte KNX-IP Linie betrieben wird, entweder um einfach als Backbone oder längere Entfernungen zu überbrücken oder eben echte KNX-IP Geräte zu nutzen. Für eine Visu und VPN Zugriffe auf das System absolut nicht.

Okay, danke! Ich hätte es genau anders herum vermutet, nämlich, dass die Projekte Pakete nach KNX-IP-Spec auf gut Glück per Multicast rausblasen und hoffen, dass irgendein Teilnehmer zuhört. Wie sieht es denn bspw. mit NodeRED oder Homebridge aus?

Macht es denn nicht Sinn, etwas mehr Geld auszugeben, um später für alle Schandtaten gerüstet zu sein?

[tobiasr]

Solange du in deinem Einfamilienhaus die Leitung nicht aus dem Gebäude führst, kann man von "Sicher" reden. Sobald du aber eine Brücke auf WLAN/LAN baust oder das Kabel das Gebäude verlässt (Taster auf Terassse, Temperaturfühler, etc.) nicht mehr. Wobei ICH der Meinung bin, dass es ca. viele Einfallstore gibt, welche viel wahrscheinlicher sind als ein physikalischer Angriff auf das Bus Kabel.

Bei IP kann man nicht von sicher sprechen. Hier muss immer eine physikalische (mindestens logische - VLAN) Trennung erfolgen, wenn ich das verhindern möchte. Wenn du den Router ausschaltest, wenn du ihn aus der Ferne nicht benötigst, reicht auch ein Interface.

Denn die ganzen Vorteile eines Routers kannst du nur bei dauerhaftem Betrieb nutzen.

Nachtrag zu deinem weiteren Beitrag: Ein KNX Router bläßt diejenigen Gruppenadressen Telegramme raus, welche in seiner Filtertabelle freigegeben sind. Ein Programmieren kann er teilweise auch verhindern. Daher sogar ein Sicherheitsgewinn. Bei einer Tunnelverbindung habe ich quasi echten physikalischen Zugriff auf alles am Bus.

Wobei bei schlecht abgesichertem Netzwerk (Firewall) komme ich natürlich immer an beide Netzwerk Ports (im Sinne von UDP Ports) und kann mir die Verbindungsart (Routing, Tunneling) aussuchen.

[jayem0]

Also wären das dann folgende Alternativen, die in Betracht kämen; oder fehlt noch einer?

	Enertex IP-Router	Gira IP v4	MDT SCN-IP100.03	Weinzierl IP-Router 752 secure
Preis	ca. 290€	ca. 280€	ca. 240€	ca. 280€
Logger	-	SD-Karte	-	-
U-Versorgung	KNX-Bus	Extern 24V DC	KNX-Bus	KNX-Bus
Tunneling	8	4	4	8
NTP-Server	ja	?	?	?

Die IP-Interfaces scheinen vom jeweiligen Hersteller ganz grob immer ca. 100€ günstiger zu sein als die Router.

Was sind denn hierfür vernünftige Vergleichskriterien? An den 50€ zwischen MDT und Weinzierl / Enertex soll es nicht liegen, wenn Weinzierl / Enertex einen echten Mehrwert haben. Ich werde mir die Komponenten gleich mal in die ETS ziehen und schauen, welche Parameter sich jeweils einstellen lassen. Was wäre denn eure Empfehlung?

[tobiasr]

Ich persönlich würde aus Sympathiegründen ohne die Applikation zu kennen am ehesten den Weinzierl nehmen. In älteren Installationen habe ich gerne die Geräte von Siemens eingebaut. Einfach aufgrund der Ausgangslage: Das wird in vielen Industrieanlagen eingesetzt und bei dem aufgerufenem Preis werden die wohl ausreichend getestet haben. Zudem konnten die quasi "nichts", wobei man also auch keine Parametrierungsfehler, etc. machen kann.

Die Frage ist nur: Warum willst du einen Router einsetzen, wenn du nach eigener Angabe das Gerät hart abschalten willst, wenn du es nicht benötigst? Da reicht doch ein Interface locker aus.

[gbglace]

Manch einer priorisiert noch nach Platzbedarf. Wichtig finde ich wo die Versorgunsgspannung für den Router herkommt, direkt aus dem Bus und/oder PoE finde ich OK, extra Anschluss finde ich nicht mehr zeitgemäß.

Bei den Enertex finde ich sehr gut das man bei den Tunneladressen den PA auch eindeutig IP-Adressen zuordnen kann. normal ist immer first come first serve. Für die Übersichtlichkeit des Buslogs ist das immer wenig übersichtlich, gerade wenn Du die Schnittstelle immer hart abschaltest zumindest vom LAN.