Externer Zugriff auf Loxone - ausgewogene Sicherheit/Komfort mit VPN?

[Gast]

Hallo zusammen,

beschäftige mich gerade mit dem (ja bereits viel diskutiertem) Thema Sicherheit bei Loxone.
Ich möchte jetzt nicht grundlegende Netzwerktechniken bzw. Softwarekonfiguration ansprechen, aber mal eure Ideen oder Lösungsansätze hören.

- Wie kann man die Loxone-App bzw. Zugriff ins Smart Home von außen/extern sicher gestalten ohne einen immensen Komfortverlust zu haben?

Am besten ist es natürlich nichts nach außen zu öffnen und 100% über eine VPN-Verbindung zu lösen. Für iOS ist auch die VPN-on-Demand-Lösung ganz schick.
Für mich wäre es okay wenn ich die tiefe Haussteuerung oder Detailansichten eben nur im Intranet bzw. über VPN erreiche.
Dennoch:
- Wie kann ich sinnvoll bspw. die Alarmierung, Haustüre/Klingel und andere Benachrichtigungen auf dem Smartphone unterwegs erhalten?

Ich habe noch nicht ganz durchstiegen wie die Push-Nachrichten von Loxone kommen.
- "Telefoniert" der MS in die Loxone Cloud "nach Hause", wo bspw. eine Nachricht "Es hat geklingelt." abgelegt wird, welche über über den iOS-Push-Service erhalte? Oder wird direkt von daheim (vorausgesetzt offene Ports/Zugang zum Miniserver ohne VPN dazwischen) aus gepushed?

- Muss ich überhaupt irgendwelche Loxone Cloud Services nutzen? (Wetter Service benötige ich nicht (eigene Station/Wunderground) + Caller Service möchte ich nicht (wenn dann Text Push .. aber keine "oldschool" Anrufe) + DNS/Mailer Service setze ich wenn selbst um (DynDNS od. eigener Mailserver))

Sinn der Sache ist es eben nicht das berühmte "offene Scheunentor" zu lassen sondern eine solide Absicherung der Services (bspw. IP-Kameras, Heizungssteuerung, etc.) hinzubekommen. Daher prinzipiell alles gesichert über VPN, ausgenommen eben Push (Text/Bild) Nachrichten oder ganz selektive Applikationen wie bspw. die Türsprechanlage. Für alles andere ist es akzeptabel das VPN zur Steuerung aktivieren zu müssen.

Vielen Dank vorab für eure Tipps.

[Juju]

Solide Absicherung und VPN-Server lassen sich idealerweise mit einer entsprechenden Firewall (inkl. Router) und Know-how umsetzen wie z.B. Cisco ASA 5505 o.ä.
Push Benachrichtigungen setzen laut Dokumentation eine Internetverbindung voraus. Weil nicht differenziert wird ob intern oder extern, gehe ich davon aus, dass die Nachrichten immer von einem Loxone-Server (also in der "Cloud") an die Endgeräte gepusht werden. So macht auch die Limitierung von 200 Push-Nachrichten pro Tag Sinn.

[svethi]

Pushmitteilungen auf iOS laufen ausschließlich über Apple-Server. Dazu muss der Apphersteller selbst die Geräteanmeldungen etc. verwalten. Daher kann ich mir nur vorstellen, dass der MiniServer alle konfigurierten Events an einen Loxone-Server übermittelt. Dieser unterhält die Liste der Geräte (iOS) die mit dem MiniServer verknüpft sind und anhand dieser Liste werden die Mitteilungen dann über den Apple Pushdienst an die entsprechenden Geräte rausgeschickt.

Dafür muss der MiniServer richtigerweise Zugriff auf das Internet haben, doch da müssen keine Ports geöffnet werden. Es sei denn man betreibt selbst eine Firewall und in dieser sind sogar ausgehende Verbindungen gesperrt. Dann müsste die Firewall hierfür geändert werden. Meistens sind aber Verbindungen von innen nach außen nicht geblockt.

Gruß Sven

[Gast]

Okay danke das hat mir schonmal sehr geholfen.

Werde alles dann wohl hinter einem VPN verstecken und eben sehr selektiv einzelne Service ggf. über eine Firewall/Freigabe öffnen. Reguläre Pushnachrichten sollten ja weiterhin über Loxone geliefert werden.

[Thomas M.]

Und wenn schon nicht alles hinter VPN versteckt werden soll/kann, dann zumindest den http-port nicht auf 80 lassen.
Hatte am Anfang die T25 mal am Port 80 ganz ohne VPN. Das Logfile war irgendwie "lustig" zu lesen. Dort wird täglich tausende male bruteforcemässig versucht die üblichen Standardkennwörter für irgend einen login zu probieren.

Irgendein Gerät auf Port 80 mit Standardbenutzer admin und Kennwort admin und irgendjemand von irgendwo ist innerhalb von ein paar Stunden zu Besuch im Gerät.
Dem muss man sich mal bewusst sein, damit man die Notwendigkeit von diversen nötigen Maßnahmen versteht.

Und das haben wohl sehr sehr viele noch nicht ganz verstanden, sonst würde nicht versucht auf die billige Art in einen webserver einzubrechen.

Also wieso ein Bankkonto hacken? Es reicht doch tausende mails mit Mahnungen und Rechnungen zu schicken. Irgendjemand zahlt doch freiwillig irgendeinen angeblich offenen Betrag bevor man Inkasso-Probleme bekommt.

Wenn dann jemand ganz gezielt und ganz speziell digital in dein Haus einbrechen will, dann sind das Feinheiten vor denen man sich schützen muss, denn es ist dann schon einiges an insiderwissen nötig, wie man nun den Miniserver bearbeiten muss um sich die Alarmanlage abzuschalten und sich dann die Haustüre öffnet um das Haus auszuräumen.

[Gast]

Hallo!

Ich möchte jetzt nicht grundlegende Netzwerktechniken bzw. Softwarekonfiguration ansprechen, aber mal eure Ideen oder Lösungsansätze hören.

Neben den Basics wie schon gennant mit Passwörtern, Ports ändern vielleicht noch Ideen/Lösungen die ich im Betrieb habe:

- Bei mir befindet sich der MS in einem eigenen Vlan und darf nur sehr restriktiv raus (zu anderen Vlans bzw. WAN)
-- d.h. keinen Zugriff auf andere Vlans, die nichts mit dem MS zum Tun haben (PC, Server, NAS, Konsolen, etc.)

- ad Firewall
-- Ich beschränke auch sehr die Kommunikation von innen nach außen (Services die aktuell "raus dürfen" sind die Push Notifications und die Infos zu Openweathermap) bzw. lasse alles loggen was raus geht

- MultiWan Setup
-- da bin ich selbst gerade am Testen und "spielen" -> ich habe aktuell ein MultiWan Setup aus LTE und Telekomanschluss
-- Davon ist der LTE der Standardanschluss, wenn es dort aber ein "merkwürdiges" Verhalten gibt (z.B. ungereimte hohe Anzahl von Zugriffen, Attacken) dann wird umgehend zum Wan2 gewechselt -> aber wie gesagt, noch in der Testphase und keine Ahnung, ob es sinnvoll ist

Hardware verwende ich ein Alix Board mit einer pfSense für Firewall, Routing, Vlan und VPN. VPN läuft aktuell mit OpenVPN - aber auch noch in der Testphase.
Und für das Wlan teste ich gerade einen Radius Server, um auch diesen Punkt sicherer zu machen. GästeWlan läuft sowieso über ein Captive Portal mit einem Art Voucher System und nur wenige Ports/Dienste sind erlaubt.

Wo ich mir selbst unsicher bin (aber weniger ein MS Thema) ist die Absicherung der IpCams im Außenbereich (oder besser gesagt den Cat Kabeln) - ausser einem MAC-IP Binding fällt mir wenig ein bzw. steht auf der to do Liste.

Weil gerade gefunden, eine Liste mit Basics: http://knxtoday.com/2015/06/6153/sec...ck-part-2.html

[Rar9]

Hier ein interessanter Bericht zum Thema Smarthome und dessen Sicherheit.