Zugriff auf IP-Interface via ETS passwortgeschützt?

[bender251]

Hallo,

irgendwie stehe ich gerade vor einem gedanklichen Problem.
Das MDT IP-Interface ist für den Webzugriff mit einem Passwort geschützt. Gibt es auch die Möglichkeit ein Passwort zum Zugriff via ETS einzurichten? Mir ist klar, dass mein Projekt in der ETS natürlich passwortgeschützt ist.
Aber wenn jemand in mein WLAN eingeloggt ist und auf seinem Rechner eine ETS laufen hat, würde er mein IP-Interface dort angezeigt bekommen und auswählen können. Wenn derjenige dann einfach ein Projekt anlegt und das IP-Interface auswählt, könnte er doch wild GAs auf meinen Bus senden. Oder habe ich hier einen Denkfehler.

Gibt es einen Zugriffsschutz, sodass man nur mit einem Passwort über die ETS auf ein IP-Interface zugreifen kann? Oder gibt es keinen anderen Weg, als das IP-Interface und den Visu-Server (Richtung IP-Interface) vom restlichen Netzwerk zu trennen, um einen unbefugten Zugriff via ETS zu verhindern?

[vento66]

Das nennt sich "KNX secure" einige Ip Router unterstützen das. Wobei ich mir über

wenn jemand in mein WLAN eingeloggt ist

mehr Gedanken machen würde!

[tobiasr]

Der einzige Schutz ist Netzwerke separieren. Oder vollständig KNX DataSecure.

[vento66]

Wieso vollständig? Die IP Seite recht ja wohl. Also wenn ein Fremder bei mir in der Wohnung, mit nem Laptop und ner Schnittstelle am Lichtschalter hängt, glaube ich fast, das ich das bemerken würde.

[tobiasr]

Dafür muss die Schnittstelle das aber auch umsetzen können. Und das können auch nicht alle. Also entweder vollständig Data Secure, oder eine "spezielle" die das auf IP Ebene kann. Aber ich muss zugeben, mich damit bisher nicht ausreichend beschäftigt zu haben.

Aber tatsächlich wäre mir das "jemand wählt sich unbemerkt in mein WLAN" auch deutlich kritischer. Selbst wenn ich auf ein "Gast" WLAN für gute Freunde verzichte, würde ich diesen immerhin so sehr vertrauen, dass Sie nicht an meinem KNX rumbasteln.

Eine Light Lösung, die natürlich nur rudimentär nutzt, wäre ggf. auch das logische Subnetz der KNX Schnittstelle so stark zu beschränken, das nur wenige Geräte (z.B. die Visu und den ETS Laptop) im selben Subnetz sind. Solange das natürlich physikalisch nicht tatsächlich getrennt ist, ein einfach zu umgehender Schutz, aber wer kommt schon darauf?

[bender251]

OK, wenn ich es richtig verstehe reicht es, wenn ich das IP Interface mit KNX IP Secure Inbetriebnehme. Ist es richtig, dass man dann nur auf das IP Interface via ETS zugreifen kann, wenn man den individuellen Authenfizierungscode hat?

[bender251]

Aber tatsächlich wäre mir das "jemand wählt sich unbemerkt in mein WLAN" auch deutlich kritischer. Selbst wenn ich auf ein "Gast" WLAN für gute Freunde verzichte, würde ich diesen immerhin so sehr vertrauen, dass Sie nicht an meinem KNX rumbasteln.

Es geht nicht um ein unbemerktes einloggen ins WLAN. Das sollte ja nicht passieren. Aber wenn die Chefin des Hauses oder die Kinder dem Besuch das WLAN-Passwort geben ist schnell mal jemand im WLAN. Oder die übermotivierten Freunde des Nachwuchses, die sich an die Netzwerkdose hängen und probieren was geht.

[Klaus Gütter]

wenn man den individuellen Authenfizierungscode hat

Nein, du brauchst das Passwort, nicht den Authentifizierungscode - letzterer ist umgekehrt dafür da, das (optional) die ETS prüfen kann, ob sie tatsächlich mit der erwarteten Tunneling-Schnittstelle spricht (und nicht etwa mit einer gespooften oder einem Man in the middle).

[bender251]

Nein, du brauchst das Passwort

OK, also geht es nur mit dem Inbetriebnahmepasswort von der ETS auf das Interface. Dann wäre das für den Privatbereich ja ausreichend auch ohne physikalische Netzwerktrennung.