X1 mit S1 - Wie Netzwerk für Sicherheit einstellen?

[wennderbiber]

Moin DiMa,

danke, dass du dich des Themas noch einmal annimmst.

Da nirgends die Rede von einem Reverse Proxy ist und eine DMZ offensichtlich auch nicht existiert

nein, beides nicht vorhanden.

Solltest du sämtlichen HTTP(S) basierten Dienste auf alternative Ports umgeleitet haben und nur diese freigegeben haben oder/und jedem Dienst eine FW vorgeschaltet haben, ist mein Kommentar natürlich gegenstandslos.

Jedes LAN ist gegenüber allen anderen LANs gesperrt, anbei ein Screenshot einer solchen Regel:

Bildschirmfoto 2022-05-17 um 16.59.20.png

Portweiterleitungen nur für eine Synology, thats it. Ich war also eigentlich so vorgegangen, dass ich nicht gezielt einzelne Ports sperre oder einzelne Geräte einschränke, sondern generell alles sperre und nur einzeln freigebe, z.B. darf ein Macbook (Regel basiert auf dessen MAC-Adresse) in ein anderes Netzwerk, sonst darf aber nichts aus dem Netzwerk in ein anderes (siehe Screenshot). Habe ich da was übersehen?

[DiMa]

Und es gibt kein Gerät im WLAN, welches Zugriff auf mehr als ein LAN hat, bzw. über eine FW-Regel Zugang auf ein anderes LAN als dass ans WLAN gebundene benötigt? Also z.B. kein Tablet, Smartphone usw. welches mal auf die Kameras guckt?

Falls doch: Meinen Beitrag lesen, dein letzter Beitrag geht dann komplett am Thema vorbei. Wenn nicht: Meine Beiträge zum Thema WLAN "Bridge" ignorieren, das Problem hast du dann nicht. Ich hatte es dann einfach noch nicht mit einer ausschliesslich über LAN genutzten Smarthome-Infrastruktur zu tun.

[kmk85]

Ich buddel das mal aus und habe ne Frage.

Besitze einen X1 und S1, hängt in nem eingenen VLAN.

Habe noch ein VLAN der Einliegerwohnung, die kommen da nicht dran. Würde gerne denen ne Visu freigeben um diverse Stats zu sehen und zB Zirku zu schalten.

Wenn ich den X1 pauschal ins VLAN durchgebe, haben die ja auch Zugriff auf die IP Schnittstelle zum KNX. Das möchte ich eig. nicht.

Theoretisch macht ja dann Sinn einfach nur einen Remote Zugriff über den S1 zu realisieren, sodass man immer "von extern" zugreift? Oder wie würdet ihr das machen?

[Beleuchtfix]

Und einen eingeschränkten User mit begrenzten Freigaben im X1?
Gruß Florian

[kmk85]

Ja, das geht schon. Aber ich muss den ja ohnehin anlegen, egal ob im lokalen Netzwerk oder S1 per Fernzugriff. Aber sobald ich den X1 in das andere VLAN weiterleite, kann man auch auf den KNX Bus zugreifen. Ich glaube nicht, dass das wirklich gemacht wird, aber sollte nicht möglich sein imho.

[DerStandart]

Wenn eine Firewall im Spiel ist, könntest Du den Zugriff auf Port UDP 3671 sperren aus dem VLAN der Einliegerwohnung.

[meti]

TCP und UDP - X1 kann beides 😉

Ist schon eigenartig, dass ein Teil der "Sicherheit" der beworbenen Kombi X1 + S1 wird durch den X1 einfach ausgehebelt.
Frag mich warum das Ding nicht IP Secure durch ein Firmwareupdate nachgeliefert bekommt - bzw. schon lange bekommen hat.

[DerStandart]

IP Secure durch ein Firmwareupdate nachgeliefert bekommt

Ich denke, das wird kommen. 2025 wahrscheinlich.

[Wolpertinger]

Wenn eine Firewall im Spiel ist, könntest Du den Zugriff auf Port UDP 3671 sperren aus dem VLAN der Einliegerwohnung.

Falls nicht anders machbar, könnte man bei Vorhandensein eines Layer-3-Switches auch auf physischer Port-Ebene den UDP-Port 3671 sperren.

[meti]

Dann kannst du selber aber auch nicht mehr drauf zugreifen, oder? ZB mit ETS.
Wie funktioniert eigentlich die GPA-Programmierung - über 3671 oder benutzt die einen anderen Port?

[kmk85]

Hab ne UDM im Rack, ich werde es testen. Danke!

[DerStandart]

Es soll ja nur aus dem VLAN der ELW ein Zugriff blockiert werden.

[kmk85]

könntest Du den Zugriff auf Port UDP 3671 sperren

TCP und UDP - X1 kann beides 😉

Hi Leute, muss das noch mal aufgreifen. Heißt ich könnte den Port 3671 sperren und dann kann man zwar mit der App auf die Visu zugreifen, aber nicht per ETS auf die KNX Schnittstelle bzw. auf die Internetseite?

[meti]

Der interne Webserver wird auch nicht auf 3671 lauschen. Nur Knx.

[kmk85]

Top, also ich habe den Port mal gesperrt, finde den X1 dann noch per Browser und GPA. In der ETS ist die Schnittstelle tot. Das ist jetzt schon mal das wichtigste. Wie kommuniziert denn die App mit dem X1, kann ich wenigstens den Browser, besser auch den GPA noch sperren? meti