X1 mit S1 - Wie Netzwerk für Sicherheit einstellen?

[wennderbiber]

Moin ihr Lieben,

nachdem wir unsere Anlage nun schon eine Weile im Betrieb haben kommt über kurz oder lang der Wunsch zur Fernwartung hinzu. Deshalb hätte ich ein paar Fragen, wie ihr dies am sinnvollsten unter dem Aspekt der Sicherheit im Netzwerk einstellen würdet.

Wir haben unser Netzwerk zu Hause in 5 einzelne Netzwerke unterteilt - zum einen, um die Sicherheit zu erhöhen, zum anderen aber auch, weil es wesentlich übersichtlicher ist. Die einzelnen Netzwerke sind untereinander durch Firewall-Regeln getrennt, Ausnahmen sind dann auf Geräte-Basis einzeln explizit angelegt.

• Kamera-LAN: Hier sind unsere 10 Außenkameras und die Kamera-Synology drin.
• Infrastruktur-LAN: Hier liegen die APs, Switch und Hardware-Firewall drin und - während sie konfiguriert wird - die Alarmanlage (sonst ausgesteckt)
• Haustechnik-LAN: Hier liegt bislang das Busch Welcome-Gateway
• Work-LAN: Hier liegen meine Arbeitsgeräte drin
• Home-LAN: Hier liegen alle Endgeräte (ist auch das Privat-WLAN), Privat-NAS etc. drin - und aktuell auch der X1

Frage Nummer 1: Es wäre vermutlich sinnvoll, den X1 auch in das Home-LAN zu verschieben und den Zugriff darauf dann für die Endgeräte, die ihn über die Gira-App nutzen, über Ausnahmeregeln via Firewall zu erlauben - was meint ihr? Kann die App über Netzwerkgrenzen hinweg den X1 finden? Es wäre dann z.B. das eine Handy die 192.168.10.208, der X1 aber 192.168.100.50 - wird das Probleme machen? Ich kann ja die IP in der App angeben - habt ihr da Erfahrungswerte?

Frage Nummer 2: Wenn wir jetzt einen S1 mit einbauen, geht dieser dann wie auch der X1 an einen eigenen Switch-Port oder geht der X1 an den S1 und der S1 dann an den Switch?

Frage Nummer 3: Wenn ich den X1 an den S1 hänge (S1 dann am Switch), ist der dann nur noch über den Fernzugriff erreichbar oder erkennt der S1 sozusagen, dass das Endgerät im lokalen Netzwerk ist und macht den Zugriff dann über das Netzwerk? Es wäre natürlich doof, wenn die App immer den Umweg über das Inet raus, dann zum Gira Portal-Server, dann wieder zum S1 und dann erst zum X1 nehmen würde - kann ich mir eigentlich nicht vorstellen, aber wie ist es richtig?

Frage Nummer 4.a: Wenn nur noch der S1 mit dem Switch verbunden ist, muss dieser dann im gleichen Netzwerk sein wie die Endgeräte, die durch ihn den X1 bedienen? (siehe Frage 1) oder kann ich das genau so einrichten wie in Frage 1 beschrieben?

Frage Nummer 4.b: Wenn hingegen S1 und X1 jeweils mit einem eigenen Switch-Port verbunden sind, müssen dann beide im gleichen Netzwerk untereinander und/oder mit allen zugreifenden Endgeräten sein? Oder kann ich das genau so einrichten wie in Frage 1 beschrieben?

Frage Nummer 5: Wir möchten den S1 tatsächlich und ausschließlich für den Fernzugriff auf den X1 (und als Programmierschnittstelle) verwenden. Keine Anbindung externer Dienste wie Alexa, Google, kein Zugriff auf irgendwas anderes im Netzwerk - das haben wir bereits über die entsprechenden Synology-Funktionen geregelt. ist der S1 dann overkill oder doch genau das richtige? Und müssen wir den dafür noch irgendwie einschränken via Regeln, oder wird der Funktionsumfang direkt bei der Einrichtung im S1 geregelt?

Frage Nummer 6: Noch eine technische Frage - wir haben für den X1 ein Mean Well HDR-15-24 Hutschienen-Netzteil im Schrank - können wir vom Gira einfach weiter zum S1 für die Spannungsversorgung verdrahten, oder braucht der nochmal ein eigenes Netzteil?

Bitte entschuldigt, wenn die Netzwerkfragen etwas laienhaft formuliert sind - ich bin beileibe kein Netzwerkadministrator und habe mir das meiste beim Machen angelesen, dafür funktioniert es aber bislang recht gut :-)

[knxPaul]

Bevor ich zu viel falsches schreibe, nur ein Teil der Antworten:
Zu 1:
Ich gehe von einer Netzwerkmaske = 255.255.255.0 aus. Ein Handy mit der IP = 192.168.10.208 kann dann selbstständig nur Geräte mit einer IP = 192.168.10.x erreichen. Wenn in der APP die IP = 192.168.100.50 eingegeben wird, ist es Aufgabe des IP-Routers, die Telegramme vom Netz 192.168.10.x in das Zielnetz 192.168.100.y weiterzuleiten, um den X1 zu erreichen. Stichwort Ausnahmeregeln via Firewall.
Zu 2:
Der X1 und der S1 werden im gleichen Netzwerk sein; im THB ist angedeutet, dass das mit Proxies funktioniert.
Zu 5:
Das besondere Feature des S1 besteht darin, dass die Fernzugriffe bei komplett verriegelten Zugriff vom Internet auf das Heimnetz funktioniert = alle Ports geschlossen. Realisiert wird das dadurch, dass der S1 nach außen die Verbindung zum Gira Portal aufbaut und alle Fernzugriffe auf das Gira Portal zugreifen, von wo aus sie ins Heimnetz weiter geleitet werden. Details siehe THB des S1.
Zu 6:
Eigentlich einfach: Der X1 benötigt 4 W, der S1 benötigt 2 W, die 15 des Mean Well HDR-15-24 bedeuten 15 W, reichen also für X1 + S1 zusammen mit einer guten Reserve.

[vento66]

Du scheinst ja schon ne gescheite Firewall zu haben. Spar Dir den S1, und bau Dir deinen eigenen VPN in dein passendes VLAN.

[wennderbiber]

Du scheinst ja schon ne gescheite Firewall zu haben. Spar Dir den S1, und bau Dir deinen eigenen VPN in dein passendes VLAN.

Das Problem ist: Ich habe absolut keine Ahnung von VPN - weder, wie ich das auf der Dream Machine vernünftig einrichte, noch wie das generell funktioniert (Asche auf mein Haupt).

Deshalb war die Hoffnung, dass der S1 das out-of-the-box kann - wenn ich meine Zeit anrechne, mich in VPN so tief einzulesen bis ich dem vertraue, was ich da baue, ist der gar nicht so teuer und eben auch per Objekt an/aus-Schaltbar

[Beleuchtfix]

Auch der S1 will konfiguriert werden und verlangt einiges an Lesen. Gira Portal anmelden, S1 anmelden, Zugänge errichten, Zugänge in die Endgeräte anlegen und eintragen ... Wenn alles eingerichtet ist, dann ist ein Fernzugang mit dem S1 schon angenehm.

Blätter mal über die Seiten deine Routers, wenn du schon VLANs einrichten kannst, dann ist die VPN Verbindung nicht mehr weit.

Gruß
Florian

[DiMa]

1.) Bei der umgesetzten Segmentation hat der X1 im Home-LAN nichts verloren. Der gehört in Infrastruktur-LAN oder Haustechnik-LAN (wobei ich keine Ahnung hätte, warum es dafür zwei getrennte Segmente gibt). Auch ein eigenes Kamera-LAN macht nur Sinn, wenn man dafür den Zugriff dann wirklich trennt und es nicht doch wieder aus Bequemlichkeitsgründen aus den anderen LANs und WLANs verfügbar macht. Zeroconf funktioniert aus gutem Grund nicht über Netzwerkgrenzen. Kann man teilweise umgehen, da sollte man aber genau wissen, was man tut. Das hat Risiken und Nebenwirkungen.
2.) Geht beides, der X1 hat einen Passthrough-Port.
3.) Wie gesagt, der X1 hat einen Passthrough-Port. Logisch macht es keinen Unterschied, ob die Geräte an einem oder zwei Ports am Switch hängen.
4a.) Siehe 1.)
4b.) Siehe 1.) Es scheint ehrlich gesagt an Netzwerk-Basics zu hapern.
5.) Was vento66 geschrieben hat.
6.) Mit "einfach weiter" wird das nicht funktionieren, mal über Reihen- und Parallelschaltungen informieren, wenn man sowas selber machen möchte... 🙄 Ob du ein weiteres Netzteil brauchst, hängt von Leistung des NT und Leistungsaufnahme von X1+S1 ab. Kann man ausrechnen 😉

Bitte entschuldigt, wenn die Netzwerkfragen etwas laienhaft formuliert sind - ich bin beileibe kein Netzwerkadministrator und habe mir das meiste beim Machen angelesen, dafür funktioniert es aber bislang recht gut :-)

Du solltest dann vielleicht zwei Nummern kleiner einsteigen und das richtig machen, anstatt nur weil das in der UDM so einfach ist x-LANs anzulegen. Die bringen z.B. nicht viel, ohne passend segmentierte WLANs und da wird's ungleich komplizierter, u.a. da die UAPs da bei den kleineren Modellen recht restriktiv sind (max. 4 SSIDs und 1 geht ja bereits für's Gäste-Netz 'drauf). Ansonsten hast du dir im Nullkommanix eine WLAN-Bridge in deine Firewall konfiguriert...

[doenke]

Zu Frage 1
Wenn X1 und Handy in unterschiedlichen Subnetzen sind, dann muss die IP des X1 von Hand eingegeben werden. Die automatische Erkennung funktioniert dann nicht.
Davon ab funktioniert das prima, die passenden Firewallregeln vorausgesetzt.


Eine Überlegung noch, die mir damals das Genick gebrochen hat: Falls Du auch Sonos Geräte mit dem X1 steuern willst, dann solltest Du darüber nachdenken, den X1 weiter im gleichen VLAN zu betreiben, wie die Sonos Boxen (und auch die Handys, die auf Sonos zugreifen müssen).

Mit Unifi Bordmitteln ist es nicht ohne Weiteres möglich ein mDNS-Relay aufzusetzen, welcher die Multicast Pakete zwischen den Netzen weiterleitet. Ohne den funktionieren Sonosse und bedienende Geräte nicht in unterschiedlichen Subnetzen.

Falls Sonos nicht bei Dir auf dem Programm steht, dann darfst Du den 2. Teil in diesem Post gerne ignorieren.


Gruß,
Sönke

[wennderbiber]

1.) Bei der umgesetzten Segmentation hat der X1 im Home-LAN nichts verloren. Der gehört in Infrastruktur-LAN oder Haustechnik-LAN (wobei ich keine Ahnung hätte, warum es dafür zwei getrennte Segmente gibt).

Infrastruktur ist das LAN aller Unifi-Geräte, Haustechnik aktuell Busch Welcome und zukünftig dann X1 und S1 und später kommende Geräte wie Entkalkungsanlage etc.

Auch ein eigenes Kamera-LAN macht nur Sinn, wenn man dafür den Zugriff dann wirklich trennt und es nicht doch wieder aus Bequemlichkeitsgründen aus den anderen LANs und WLANs verfügbar macht.

Es ist nicht aus den anderen LANs verfügbar, sondern nur für einzelne Geräte anhand derer MAC-Adresse

2.) Geht beides, der X1 hat einen Passthrough-Port.
3.) Wie gesagt, der X1 hat einen Passthrough-Port. Logisch macht es keinen Unterschied, ob die Geräte an einem oder zwei Ports am Switch hängen.

Sehr schön, ich habe nämlich nur eine doppel-Dose am Schrank und würde den 2. Eingang gerne für die ab und zu mal notwendigen Eingriffe in die Alarmzentrale reservieren.

4a.) Siehe 1.)
4b.) Siehe 1.) Es scheint ehrlich gesagt an Netzwerk-Basics zu hapern.

Definitiv - deswegen fragen ich ja hier :-) Basics fehlen nicht unbedingt, aber ich bin zugegebener weise sehr vorsichtig bei der Nutzung von Features, die ich nicht voll verstehe, weshalb das System vermutlich mistrauischer eingerichtet ist, als es müsste.

6.) Mit "einfach weiter" wird das nicht funktionieren, mal über Reihen- und Parallelschaltungen informieren, wenn man sowas selber machen möchte... 🙄 Ob du ein weiteres Netzteil brauchst, hängt von Leistung des NT und Leistungsaufnahme von X1+S1 ab. Kann man ausrechnen 😉

Ok, das war ungeschickt formuliert - ich meine natürlich eine Parallelschaltung! Die Leistungsaufnahme ist mir klar, dafür reicht es dann doch noch, ich meinte etwas anderes: Ich meine mich zu erinnern, hier im Forum von Problemen mit dem X1 gelesen zu haben, wenn der sich die Spannungsversorgung mit anderen Geräten teilte und dass in mehreren Fällen die Lösung war, ihn an eine eigene Versorgung zu hängen. Darauf bezog sich die Frage: Sind Probleme bekannt, wenn S1 und X1 an einem Netzteil hängen?

Du solltest dann vielleicht zwei Nummern kleiner einsteigen und das richtig machen, anstatt nur weil das in der UDM so einfach ist x-LANs anzulegen. Die bringen z.B. nicht viel, ohne passend segmentierte WLANs und da wird's ungleich komplizierter, u.a. da die UAPs da bei den kleineren Modellen recht restriktiv sind (max. 4 SSIDs und 1 geht ja bereits für's Gäste-Netz 'drauf).

Ich habe nur 2 WLANS, einmal Arbeit und Privat. Gast gibt es bei uns nicht. Diese nutzen die entsprechenden VLANS mit ihren jeweiligen Einschränkungen - das ganze nach mehreren Tutorials von Youtube eingerichtet und bislang (3 Jahre, Dream Machine erst seit 2 Wochen) stabil. APs habe ich auch nur 2, das ist bislang eigentlich alles gut überschaubar. Alle Teilnehmer aus Infrastruktur, Kamera und Haustechnik sind per Kabel verbunden, die brauchen (und kriegen) kein WLAN.

Ansonsten hast du dir im Nullkommanix eine WLAN-Bridge in deine Firewall konfiguriert...

Könntest du darauf etwas genauer eingehen? Das möchte ich natürlich nicht und würde mich über mehr Infos freuen.

Wenn X1 und Handy in unterschiedlichen Subnetzen sind, dann muss die IP des X1 von Hand eingegeben werden. Die automatische Erkennung funktioniert dann nicht. Davon ab funktioniert das prima, die passenden Firewallregeln vorausgesetzt.

Wunderbar, das funktioniert so auch bereits mit Handy auf Kamera-NAS für die Surveillance Station - sehr schön, wenn das in der Gira-App genauso ist.

Falls Sonos nicht bei Dir auf dem Programm steht, dann darfst Du den 2. Teil in diesem Post gerne ignorieren.

Wir haben Multiroom komplett über Teufel Raumfeld, weil der Accountzwang bei Sonos ein Ausschluss-Kriterium war und der Sound der One S und One M uns ein wenig besser gefällt. Die Teufel-Boxen kriegen wir aber so oder so nicht komplett in andere Umgebungen integriert, weshalb die einfach im Privat-WLAN hängen (Hub per Kabel) und dort auch gefunden werden.

Wenn alles eingerichtet ist, dann ist ein Fernzugang mit dem S1 schon angenehm.

Mir geht es hierbei auch um das Sicherheitsgefühl, bei einem großen Industrieanbieter die Dienste zu nutzen, anstelle eines VPN-Anbieters wo ich dann wieder vergleichen, Seriösität einschätzen etc. muss. Gibt es denn sonst noch Argumente gegen S1/für S1?

[Beleuchtfix]

Grundsätzlich verwende ich den S1 gern.

[DerStandart]

Ich verwende lieber den ISE Remote Access. Ist prinzipiell das gleiche Gerät. Kostet weniger und kann mehr.

[DiMa]

Infrastruktur ist das LAN aller Unifi-Geräte, Haustechnik aktuell Busch Welcome und zukünftig dann X1 und S1 und später kommende Geräte wie Entkalkungsanlage etc.

Das habe ich schon verstanden, der Sinn erschliesst sich mir dennoch nicht.

Es ist nicht aus den anderen LANs verfügbar, sondern nur für einzelne Geräte anhand derer MAC-Adresse

Der Satz ist schon mal ein Widerspruch in sich 😉 MAC-Filter ohne durchgängige Authentifizierung über Radius kann man darüber hinaus auch einfach weglassen, das bringt keinerlei Sicherheitsgewinn.

Basics fehlen nicht unbedingt, aber ich bin zugegebener weise sehr vorsichtig bei der Nutzung von Features, die ich nicht voll verstehe, weshalb das System vermutlich mistrauischer eingerichtet ist, als es müsste.

Man sollte von Enterprise-Geräten die Finger lassen, wenn man die ganzen Funktionen nicht versteht. Nur weil Unifi OS 'ne schicke GUI hat, ist das noch lange nicht mit einer FB vergleichbar, die einem unbedarften Anbieter die Grundkonfiguration abnimmt. Deine Konfiguration ist auch nicht "misstrauisch" oder "übertrieben sicher" - ich hoffe, mein Beitrag hat eher den Eindruck des Gegenteils vermittelt. Die FW-Konfiguration der UDM ist ein Alptraum, da ist die Fehlerw'keit höher, nicht niedriger! Mal ganz davon abgesehen. Fängt schon damit an, dass a) die UDM im Auslieferungszustand offen wie ein Scheunentor ist und b) Netzwerksegmente, die man einrichtet per default gar nicht isoliert sind...

Darauf bezog sich die Frage: Sind Probleme bekannt, wenn S1 und X1 an einem Netzteil hängen?

Nö und in den Beiträgen, an die du dich zu erinnern meinst geht es auch nicht darum, sondern um die immerwährende Grundsatzdiskussion, ob man einen X1 (oder S1 oder ein KNX-IP-I/F oder oder oder) an den Hilfsspannungsausgang einer KNX Busspannungsversorgung hängen darf.

Ich habe nur 2 WLANS, einmal Arbeit und Privat. Gast gibt es bei uns nicht.

Aber 5 LANs. Du hast echt die richtigen Prioritäten 😂 Ich überlasse das Feld dann mal deinen Youtube-Experten 😉

Mir geht es hierbei auch um das Sicherheitsgefühl, bei einem großen Industrieanbieter die Dienste zu nutzen, anstelle eines VPN-Anbieters wo ich dann wieder vergleichen, Seriösität einschätzen etc. muss.

Und du glaubst, Gira kann sowas besser als diejenigen, die Hauptberuflich in VPN machen? Aber wenn's dir nur ums Gefühl geht... 😉

Ich bin 'raus. Mir wird das reziproke Verhältnis zwischen Netzwerkfunktionen der Router und Netzwerkkenntnissen der Nutzer zu viel.

[wennderbiber]

Aber 5 LANs. Du hast echt die richtigen Prioritäten 😂 Ich überlasse das Feld dann mal deinen Youtube-Experten 😉

Hmm, konkreteres als Spott und Häme hast du nun auch nicht geliefert - nach meiner Erinnerung war der Thread-Titel nicht "Kniet nieder vor dem Gott des Netzwerks - Rate my Setup" sondern ich fragte nach Hilfe - wieso löst das so eine Reaktion aus? Ich habe dir nicht einmal widersprochen bislang?

Mal davon abgesehen: Die LANs SIND isoliert von einander, soweit habe ich die Firewall dann doch verstanden. Und wofür sollte ich jetzt noch ein 3. WLAN haben? Jugenschutz-Filter für die Kinder laufen lokal auf deren Geräten, alle anderen Geräte sind wie gesagt verkabelt - also wozu?

Nö und in den Beiträgen, an die du dich zu erinnern meinst geht es auch nicht darum, sondern um die immerwährende Grundsatzdiskussion, ob man einen X1 (oder S1 oder ein KNX-IP-I/F oder oder oder) an den Hilfsspannungsausgang einer KNX Busspannungsversorgung hängen darf.

Das freut mich doch zu hören.

[knxPaul]

ich fragte nach Hilfe - wieso löst das so eine Reaktion aus?

Ich habe auch nach mehrmaligem Lesen der Beiträge keine Ahnung, was Du verstanden hast und wo Hilfe benötigt wird. Einiges sollte schon geklärt sein. Wenn wir weiter kommen wollen, dann bitte die offenen Fragen nochmals neu formulieren.

[wennderbiber]

dann bitte die offenen Fragen nochmals neu formulieren.

Inzwischen keine konkreten Fragen, nur haben mich die Andeutungen von DiMa nun doch etwas verunsichert.

Ansonsten hast du dir im Nullkommanix eine WLAN-Bridge in deine Firewall konfiguriert...

Da hätte ich gerne etwas mehr Infos zu so einem Szenario, vielleicht ist das ja auch für andere interessant?

[DiMa]

Hab' ich nach deinen unendlichen Fragen und Äußerungen eigentlich keinerlei Lust zu, aber die Kurzfassung: LAN an dass das WLAN gebunden ist muss FW-Regeln haben, die den Verkehr zwischen den Segmenten zu den Diensten zulassen. Da nirgends die Rede von einem Reverse Proxy ist und eine DMZ offensichtlich auch nicht existiert, hat jedes Gerät im WLAN mindestens über Ports 80 & 443 Zugriff auf alle LANs, die nicht explizit nur für andere Ports frei geben sind. Folge: Jeder erfolgreiche Angriff auf ein Gerät im WLAN hat Zugriff auf Traffic aus allen verbundenen LANs und zumindest Zugriff auf die webbasierten Dienste und das ist für Heimnetze die größte Angriffsfläche.

Solltest du sämtlichen HTTP(S) basierten Dienste auf alternative Ports umgeleitet haben und nur diese freigegeben haben oder/und jedem Dienst eine FW vorgeschaltet haben, ist mein Kommentar natürlich gegenstandslos.