ETS6 Konfiguration von Enertex IP Secure Router

[GabrielG]

Hallo zusammen,

ich will unser Haus, dessen Bau nächstes Jahr beginnt mit KNX ausrüsten und habe mir dafür einen Testaufbau erstellt. Einen Router als Interface (Enertex IP Secure Router), eine Spannungsversorgung (Enertex KNX PowerSupply 960³), einen Binäreingang (MDT Binäreingang 32fach) und einen Schaltaktor (MDT Schaltaktor mit Strommessung 4fach) mit vier Glühlampen dran. Zur Konfiguration habe ich mit ETS 6 Pro geholt. QR Codes beider Enertex Geräte sind gescannt.
Schalter und Lampen sind über Gruppenadressen verbunden und jetzt möchte ich alles programmieren.
Zum einen mal wundert mich, dass sich ETS immer beklagt, dass die physische Adresse 15.15.0 eingestellt wäre, dabei sollte es 1.1.0 sein (habe es auch schon mit 1.1.100 versucht). Die wird jedoch immer wieder auf 15.15.0 zurück gestellt, egal, was ich mache. ETS bleibt nicht wie erwartet im Programmieren-Modus und überträgt die Konfiguration, sondern bricht in der Regel mit der Fehlermeldung "Die physikalische Adresse wird bereits von einem anderen Gerät verwendet" ab, obwohl kein anderes Gerät die Adresse haben sollte (siehe Screenshot). Manchmal kommen auch andere Fehlermeldungen wie "Inkompatible BCU Version 07B0 (benötigt: 091A)". Programmierknopf habe ich natürlich gedrückt. Zig Werksresets des Routers und ETS Neustarts haben nichts geändert. Auch nicht, ob ich Secure Tunneling aktiv oder Inaktiv gestellt habe. Der Router hängt wie mein Rechner an einer Fritz!Box, die via DHCP IPs verteilt (später würde es natürlich statische IPs geben).
Was mache ich hier falsch? Welche weiteren Infos wären nötig?

Vielen Dank schon mal!

[gbglace]

(habe es auch schon mit 1.1.100 versucht)

Ein KNX-IP-Router kann, da er ein Koppler ist, nur eine PA x.y.0 als gültige PA haben, die meist möglichen Tunnelverbindungen müssen dann eine PA x.y.z mit z ungleich 0 haben.

Bei Enertex gibt es doch diese Möglichkeiten von der IP-Seite ohne ETS auf die Geräte zu kommen und sich Einstellungen anzuschauen, was gibt es da an Informationen?

Wenn Du den schon einplanst als 1.1.0 warum dann überhaupt einen Router, wie man sieht ist auch dieser Thread wieder ein Beispiel für einen Kauf recht komplexer Technik, die zu Fehlbedienung einlädt und ggf unnötig ist.

[Klaus Gütter]

Wenn du den IP-Router in der Baumansicht links aufklappst siehst du die Tunnel-Adressen. Die musst du wie Göran schreibt auf 1.0.z mit z > 0 setzen. Üblich sind hier Werte im oberen Bereich z.B. 250, damit geht man den anderen Geräteadressen aus dem Weg.

Über Telnet könnte man auch die Tunnel-Adressen setzen, aber das ist im sicheren Modus (zu Recht) abgeschaltet.

[enertegus]

HManchmal kommen auch andere Fehlermeldungen wie "Inkompatible BCU Version 07B0 (benötigt: 091A)". Programmierknopf habe ich natürlich gedrückt. Zig Werksresets des Routers und ETS Neustarts haben nichts geändert.
l!

Ich denke, in diesem Fall, "versuchst" Du die Zusatzapplikation zu programmieren: Diese hat eine eigne PA.
Beim einmaligen Drücken der PROG Taste (LED ROT brennt dauernd) programmiert man die Router PA, nach zweimaligen Drücken PROG (LED ROT blinkt) wird die PA der Applikation angesprochen. Wenn man versehentlich die 2 mal die Progtaste drückt, stellt man die PA des Routers auf eine ungültige PA um oder die der Applikation auf den Router. Dann beim Übertragen der Applikation gibt es dann diese Fehlermeldung, weil die ETS versucht den Applikationsstack mit dem Routerstack zu laden. Ist auch bei der ETS5 gleiches Verhalten.

[GabrielG]

Hi zusammen,

danke euch schon mal!

Ein KNX-IP-Router kann, da er ein Koppler ist, nur eine PA x.y.0 als gültige PA haben, die meist möglichen Tunnelverbindungen müssen dann eine PA x.y.z mit z ungleich 0 haben.

Bei Enertex gibt es doch diese Möglichkeiten von der IP-Seite ohne ETS auf die Geräte zu kommen und sich Einstellungen anzuschauen, was gibt es da an Informationen?

Wenn Du den schon einplanst als 1.1.0 warum dann überhaupt einen Router, wie man sieht ist auch dieser Thread wieder ein Beispiel für einen Kauf recht komplexer Technik, die zu Fehlbedienung einlädt und ggf unnötig ist.

Die 100 hatte ich nur mal als Test verwendet, ob da überhaupt etwas passiert. Ich habe mich bei der verwendeten Technik an den Empfehlungen von Stefan Heinles Buch orientiert und natürlich nicht die Komponenten nur für den Testaufbau gekauft, sondern welche, die auch später mal in ein deutlich komplexeres System passen.

Wenn du den IP-Router in der Baumansicht links aufklappst siehst du die Tunnel-Adressen. Die musst du wie Göran schreibt auf 1.0.z mit z > 0 setzen. Üblich sind hier Werte im oberen Bereich z.B. 250, damit geht man den anderen Geräteadressen aus dem Weg.

Über Telnet könnte man auch die Tunnel-Adressen setzen, aber das ist im sicheren Modus (zu Recht) abgeschaltet.

Es gab keine Kollisionen, der Router hatte die 0, die Tunnel 2-9, Energieversorgung 1, Binäreingang 10 und Schaltaktor die 11. Habe die Tunnel trotzdem mal auf 240-247 geändert.

Ich denke, in diesem Fall, "versuchst" Du die Zusatzapplikation zu programmieren: Diese hat eine eigne PA.
Beim einmaligen Drücken der PROG Taste (LED ROT brennt dauernd) programmiert man die Router PA, nach zweimaligen Drücken PROG (LED ROT blinkt) wird die PA der Applikation angesprochen. Wenn man versehentlich die 2 mal die Progtaste drückt, stellt man die PA des Routers auf eine ungültige PA um oder die der Applikation auf den Router. Dann beim Übertragen der Applikation gibt es dann diese Fehlermeldung, weil die ETS versucht den Applikationsstack mit dem Routerstack zu laden. Ist auch bei der ETS5 gleiches Verhalten.

Ok, danke für den Hinweis, kann gut sein, dass ich da mal zu oft auf die Taste gedrückt habe. Achte jetzt darauf, dass das rote Licht nur leuchtet und nicht blinkt.
Die "Inkompatible BCU" Fehlermeldung kommt, wenn ich als Verbindung "Ethernet" statt "Ethernet KNX IP Secure Router" auswähle.

Es funktioniert aber leider nach wie vor noch nicht. Habe mal ein paar Screenshots 1-4 vom Programmiervorgang angehängt. Die Bilder könnte man quasi als Dauerschleife nehmen. Was mache ich da falsch? Ich vermute es hängt irgendwie mit den "Lokalen Einstellungen"/Bild 5 zusammen? Ich bekomme hier immer den Schreibfehler, egal, welche Physische Adresse ich eingebe.

Sorry für die absoluten Anfängerfragen, das ist das erste Mal, dass ich versuche KNX Geräte zu programmieren.

[gbglace]

Die letzten Bilder wenn Du Tunneling verwenden willst, stellst natürlich nicht die 1.1.0 ein, weil das ja der Router al solcher ist, quasi die HOST-PA die da noch falsch auf 15.15.0 steht.

[GelleLand]

Es funktioniert aber leider nach wie vor noch nicht. Habe mal ein paar Screenshots 1-4 vom Programmiervorgang angehängt. Die Bilder könnte man quasi als Dauerschleife nehmen. Was mache ich da falsch? Ich vermute es hängt irgendwie mit den "Lokalen Einstellungen"/Bild 5 zusammen? Ich bekomme hier immer den Schreibfehler, egal, welche Physische Adresse ich eingebe.

Sorry für die absoluten Anfängerfragen, das ist das erste Mal, dass ich versuche KNX Geräte zu programmieren.

Ich hatte exakt diese Fehlermeldung nachdem ich meinen Router entladen und re-programmieren wollte. Ursächlich war auch hier, dass ich beim programnieren der PAs die beiden Applikationen verwechselt habe bzw. falsch gedrückt habe.
Im Grunde wurde aber bereits von enertegus das relevante beschrieben.

So wie ich das verstehe, kommt es auf die Firmwareversion an, welche PA bei 1x oder 2x Drücken programmiert werden kann.
Der Vollständigkeit halber, hier die Links zu den Handbüchern:
TP Applikation HB: https://www.enertex.de/downloads/116...eRouter_de.pdf
IP (Zusatz)Applikation HB: https://www.enertex.de/downloads/116...rMapper_de.pdf

Bei mir ist es (siehe auch Bild...)
1x - TP Applikation
2x - IP Applikation

Wie Du siehst, habe ich für die Tunnel PAs einfach 8 Stück freigelassen (für mich persönlich/mein Projekt völlig i.O.)
Wenn die ETS das erste mal nach dem Tunnel fragt, trägst Du z.B. die erste Tunnel PA ein und klickst auf prüfen.
Sofern die frei ist, sollte das fehlerfrei funktionieren. Die Tunnel PA ist nicht die Geräte / TP Applikations PA!

Der NAT Modus sollte, gemäß der dem Interface zugewiesenen IP, nicht notwendig sein. Du befindest dich vermutlich im selben IP Bereich bzw. lokalen LAN wie die FritzBox.
Bitte schalte den zuerst mal aus und probier das ganze wie beschrieben noch mal.

[GabrielG]

Danke euch!

Irgendwie hat nichts funktioniert, da ich es nicht geschafft habe über ETS6 die KNX und Tunneladresse richtig zu setzen. Daher habe ich testweise mal Secure komplett deaktiviert, mich via Telnet eingeloggt, die KNX Adresse hart auf 1.1.0 und die Tunneladresse 1 auf die IP meines Rechners gesetzt. Und schwuppdiwupp plötzlich funktioniert alles wie vorgestellt.
Falls jemand dasselbe Problem hat: Die Telnet Befehle stehen im von GelleLand verlinkten Manual.

Werde morgen mal versuchen alles auch mit Secure hinzubekommen, aber da bin ich jetzt guter Dinge .

[GelleLand]

Schön, dass Du weiter gekommen bist!
Telnet wurde weiter oben bereits erwähnt. Kann man so machen. Es sollte aber mit der richtigen zuordnung aus 1x drücken, PA an die TP Applikation vergeben und Applikation laden, nicht zu von Dir genannten Fehlermeldung kommen.
Überprüf noch die Tunneladdressen in der ETS bzw. stell sicher, das die via Telnet konfigurierten auch denen in der ETS entsprechen.

Tunneladresse 1 auf die IP meines Rechners gesetzt.

Ich vermute mal, Du meinst nicht die IP des Rechners, sondern die Tunneladresse, die in der ETS gerade angezeigt wird? Ansonsten verstehe ich die Aussage nicht.

Hast Du die NAT eigentlich deaktiviert?
Ich habe diese Option in der ETS 5 nur, wenn ich den Tunnel manuell hinzufüge. Abgesehen davon, ist der NAT Modus dann standardmäßg nicht eingeschaltet.
Das sollte aber in deinem Fall gar nicht notwendig sein, denn die ETS müsste das Interface automatisch finden.

[GabrielG]

Ich vermute mal, Du meinst nicht die IP des Rechners, sondern die Tunneladresse, die in der ETS gerade angezeigt wird? Ansonsten verstehe ich die Aussage nicht.

Hast Du die NAT eigentlich deaktiviert?

Ja, sorry, klar, da hatte ich mich verschrieben. Ich musste die beiden Befehle

tpconfig set 1.1.0
tunaddr 1 1.1.1

senden. NAT ist deaktiviert.

Hatte heute noch einen kurzen Schreckmoment. ETS6 scheint das gar nicht zu mögen, wenn der Gruppenmonitor gerade aktiv ist wenn man den IP Router von "insecure" auf "secure" umstellt. Dann schmiert ETS während dem Programmieren ab und der Router ist danach in einem unansprechbaren Zustand - da hilft nur ein Werksreset. Aber jetzt funktioniert alles im sicheren Modus .

Noch kurz eine andere Frage: Ist es möglich die selben Geräte im Secure Modus in unterschiedlichen Projekten zu verwenden, wenn man unterschiedliche Dinge testen will? Ich dachte naiv es könnte reichen wenn ich da einfach Inbetriebnahmepasswort und Authentifizierungscode zwischen den Projekten abgleiche, aber ETS meckert da, dass auch Zertifikate nicht passen würden. Gerade bekomme ich die Projektwechsel nur über den Zwischenschritt Factory Reset hin.

[GelleLand]

Aus meiner Sicht stellt sich die Frage ob Du KNX Secure überhaupt benötigst.
Das kommt wie immer auf die Anforderungen bzw. Gegebenheiten an.
Wer den Zugang zur KNX Leitung nicht physikalisch und den Zugang zum LAN nicht logisch (Firewall, Segmentierung, etc) unterbinden kann oder möchte, sollte sich KNX Secure anschauen.
Ich benutze KNX Data / IP Secure nicht. Für mich persönlich ist das so in Ordnung bzw. ich hab es auch ohne unter Kontrolle. Situation = EFH

Zu deiner Frage:
Ich habe keine praktische Erhahrung mit KNX Secure.
Das von Dir beschriebene Verhalten macht nach meinem Verständnis sinn. Mit KNX Secure soll ja unter anderem das verhindert werden.
Aus Inbetriebnahmepasswort und Authentifizierungscode werden projektspezifische Schlüssel (z.B. Werkzeugschlüssel für das Gerät - in deinem Fall der Router) generiert.
Damit wird u.a. sichergestellt, dass man eben nicht über ein anderes Projekt darauf zugreifen kann.

Kann jemand mit Erfahrung noch etwas hierzu beitragen?

[enertegus]

Die Tunnelverbindungen haben einzelne Passwörter. Daher kann ein Gerät zumindest auf den Bus schreiben oder lesen, falls das bekannt ist. Für die Programmierung des Routers selbst reicht dieses Kennwort aber nicht aus.

[GabrielG]

Top, danke euch!

Die Tunnelverbindungen haben einzelne Passwörter. Daher kann ein Gerät zumindest auf den Bus schreiben oder lesen, falls das bekannt ist. Für die Programmierung des Routers selbst reicht dieses Kennwort aber nicht aus.

Wäre es damit aber möglich zum Testen unterschiedlicher Setups ein Projekt zu duplizieren, das Duplikat entsprechend zu ändern und dann zwischen diesen Duplikaten zu wechseln? Dann sollte das Zertifikat ja in jedem Duplikat abgelegt sein.

Aus meiner Sicht stellt sich die Frage ob Du KNX Secure überhaupt benötigst.
Das kommt wie immer auf die Anforderungen bzw. Gegebenheiten an.
Wer den Zugang zur KNX Leitung nicht physikalisch und den Zugang zum LAN nicht logisch (Firewall, Segmentierung, etc) unterbinden kann oder möchte, sollte sich KNX Secure anschauen.

Genau das ist der Punkt. Zum einen ist geplant manches (u.A. Logik) später über einen Raspberry Pi (bzw. Docker-Container auf dem Pi) zu machen und der wird vermutlich im Netz hängen. Zum anderen soll eine KNX Linie auch in den Garten und die Einliegerwohnung geführt werden. Daher haben wir uns für KNX Secure entschieden - zumindest bei Router und Spannungsversorgung. Wobei der Garten natürlich eine eigene Spannungsversorgung bekommen wird und wir die ELW je nach Vermietung familienintern oder -extern auch in ein getrenntes Netzwerksegment verschieben werden.