https mit miniserver gen2 einstellen

[wrack solutionist]

Hallo,
leider schaffe ich es nicht den MS GEN2 per https von extern zu erreichen, welche Einstellungen muss man bei der FritzBox machen, damit dern MS Gen2 per HTTPS erreichbar ist.
In der Config habe ich den loxone Cloud Dienst aktiviert, als auch deren Zertifikat.


Danke

VG
Michael

Edit: Anscheindend dauert es bis der Zugriff "freigeschalten" ist. Ebenso muss in der App der MS Zugang gelöscht und neu aufgesetzt werden.
Jedoch bleibt das Problem bei 1Home (Voxior) bestehen, hier wird der Zugriff verweigert.

[Nobbi75]

Du hast Recht, bis der MS von extern erreichbar ist dauert es etwas. Ich lasse meine Fritzbox automatisch vom MS konfigurieren (Automatische Portfreigabe) ansonsten wie folgt:

BTW: Es gab bis heute mittag auch noch ein technisches Problem beim externen Zugriff

Und Du musst den MS beim Cloudservice registrieren->siehe link auf dem letzten Screenshot


Fritzbox




Config

[AlexW]

Hallo Nobbi,

versuche es jetzt auch schon verzweifelt seit Stunden, wielange muss man nach dem einrichten warten, bis der Zugriff geht?

Ändert Ihr nicht den externen HTTPS Port auch auf einen anderen statt des Standards?

Ist es denn so, dass man wegen dem Zertifikat immer über den Cloudservice zugreifen muss? (Sonst könnte man ja mit der dynamischen IP des Providers, wenigstens die Portfreigabe mal testen.)

VG Alex

[wrack solutionist]

Hi,

danke für die Antwort, MS ist registiert, jedoch funktioniert der Fernzugriff nur per APP, der gleiche Zugriff auf 1Home(vorxior) oder Geofency funktioniert nicht.
Habe ich noch was zu beachten?

VG
Michael

[svethi]

Ja, es wird sicher so sein, dass wenn Du das Zertifikat von Loxone nutzt, auch über deren Cloudserver gehen musst. Das Problem ist, dass im Zertifikat die Domain steht und wenn Du das Zertifikat von Loxone nimmst, dann steht da loxone drin. Wenn Du Dich dann über eine andere Domain verbindest, stimmt das Zertifikat nicht. früher wurdest Du darauf hingewiesen und gefragt, ob Du nicht doch verbinden willst. Heute wird die Verbindung von den meisten Clients kategorisch abgelehnt. Wenn Du also SSL mit Deiner eigenen Domain nutzen möchtest, musst Du ein eigenes Zertifikat haben. Oder Du muss Dein selfsigned Zertifikat in allen Deinen Systemen als sicher/genehmigt eintragen (was wohl aufwendig sein kann und auch nicht mit jedem Gerät gehen wird). Sicher hat Loxone aus genau diesen ganzen Problemen auch so lange daran gefeilt. Und vllt bieten sie dieses Feature halt auch nur auf dem Neuen an um sich die Entwicklungsarbeit dafür und die Serverresourcen dafür bezahlen zu lassen. Nebenbei ... genau diese Probleme hindern ja auch den Loxberry daran SSL out-of-the-box zu liefern.

[AlexW]

ja das ist so man das Zertifikat vermutlich nur mit dem Cloud DNS nutzen kann, aber man hat ja keine Chance überhaupt mit https drauf zu kommen auch wenn man alles mit Loxone macht.

[svethi]

Ich kann es leider nicht prüfen, aber entweder haben die da noch ein Problem in ihrem system, oder bei Dir ist noch was falsch. Hast Du in der Config bei extern noch den http Port hinten dran stehen?

[AlexW]

also habe jetzt den Portprüfer gefunden auf der Loxone Webseite: https://www.yougetsignal.com/tools/open-ports/

Mein Port ist offen.

Im Anhang sieht man die Fehlermeldung im Browser, würde sagen es liegt an dem Cloud Server / Zertifikat von Loxone, oder jemand eine ander Meinung.

[svethi]

genau

[AlexW]

Es ist ja wie es ist, nach 1 Stunde warten, ging es auf einmal, also man sollte es nicht zu oft wechseln den Port und dann warten, warten, warten....

Witzig ist auch das man im browser nicht https eingeben darf sondern nur http.....

Läuft noch nicht so rund?!

[svethi]

Nee, das läuft dann ja wirklich noch gar nicht rund. Dann überträgst Du ja Dein Passwort immernoch ungeschützt übers Netz

[wrack solutionist]

Hi zur Info 1Home(Voxior) hat nun den MS 2.GEN eingebunden und funktioniert nun. Geofency leider noch nicht.
VG

[Gast]

Sicher, dass das Portforwarding auf den SSL Port 443 zeigt und nicht auf den http Port?

Gesendet von meinem SM-G955F mit Tapatalk

[br80]

Hallo, ich versuche nun schon ein paar Tage den Gen2 von extern zu erreichen. Dieses will mir einfach nicht gelingen. Ich habe den Gen1 schon länger am laufen. Hier klappt die Verbindung einwandfrei. Normal weiss ich worauf ich achten muss. Oder übersehe ich etwas ?! Vielleicht hat jemand noch eine Idee?

[svethi]

Hast Du denn auch das Portmapping im Router eingestellt? Und auch hier wieder die alte Leier ... das ist viel zu unsicher nutze VPN

[br80]

Ja habe ich eingestellt. Theoretisch kann ich es ja genau so machen wie beim Gen.1 Jedoch funktioniert es nicht. Was mich wundert ist dass ich von extern mit der Software mich verbinden kann. Nicht aber mit dem Handy.

[MTB]

Gibt es eigentlich schon eine automatische Einbindung von Letsencrypt Zertifikaten für den gen2?

[hismastersvoice]

Ich mache das, und lasse es auch automatisch erneuern, und per Skript auf den MS laden.
Allerdings ist hier das Thema das man einen Webserver an laufen haben muss der von außen erreichbar ist und dem Let's Encrypt Skript antwortet.

Ist leider nicht ganz so einfach wie lass mal ein Skript laufen und das Zertifikat abholen. Gehört etwas mehr dazu.

[MTB]

Bei mir ist eine Firewall mit Reverseproxy vorgeschaltet und ein Dienst zur automatischen Verlängerung der LetsEncrypt Zertifikate läuft auch. Die Zertifikate habe ich also im Filesystem vorliegen. Von dort müssen die "nur" noch auf den MS und dort entsprechend erneuert/ausgetauscht werden. Wie hast du das gelöst?

[hismastersvoice]

MTB

Mit einem kleinen Bash-Skript, habe mal eine kleine Beschreibung hinzugefügt. Hoffe es ist verständlich.
Installiert muss "fusermount" und "curlftpfs" sein.

Das Skript lasse ich wie die Zertifikat Erneuerung per cron-job ausführen.

#!/bin/bash
cert="cert.pem"                              #Let´sEncrypt Cert-File
key="privkey.pem"                         #Let´sEncrypt Key-File
cert_lox="Custom.cer"                   #Filename MS Cert-File
key_lox="Custom.key"                   #Fielname MS Key-Fiel
path1="/etc/letsencrypt/xxxxx"       #Verzeichnis in dem die Files von den erstellen Let`sEncrypt liegen
path2="/opt/cert2lox/tmp"              #Verzeichnis in dem die Files und umbenannten Files liegen

ftp_user="xxxxx"                            #MiniServer User
ftp_password="xxxx"                     #MiniServer Passwort
ftp_protocol="ftp"
ftp_server="192.168.xxx.xx"          #MiniServer IP
ftp_mount="/mnt/ftp"                      #Wir nur für das mounten und die FTP-Verbindung benötigt, ist egal wie es heißt.
ms_cert_dir="/mnt/ftp/sys"             #Hier liegen die Files auf dem MS

##Unmount
if mount | grep $ftp_mount > /dev/null; then
sudo fusermount -uz "$ftp_mount"
if [ $? -eq 0 ]; then
echo "Unmount FTP <> Miniserver - OK"
else
echo "Unmount FTP <> Miniserver - NOK"
exit 0
fi
fi

##Verzeichnis erstellen
if [ ! -d $path2 ]; then
sudo mkdir $path2
if [ $? -eq 0 ]; then
echo "Create TMP-Dir - OK"
else
echo "Create TMP-Dir - NOK"
exit 0
fi
else
echo "TMP-Dir exist - OK"
fi

##Verzeichnis aufräumen
sudo rm -f $path2/*.*
if [ $? -eq 0 ]; then
echo "Cleanup - OK"
else
echo "Cleanup - NOK"
exit 0
fi

##LE-Cert kopieren
sudo cp -f $path1/$cert $path2
if [ $? -eq 0 ]; then
echo "Copy Cert - OK"
else
echo "Copy Cert - NOK"
exit 0
fi

##LE-Key kopiere
sudo cp -f $path1/$key $path2
if [ $? -eq 0 ]; then
echo "Copy Key - OK"
else
echo "Copy Key - NOK"
exit 0
fi

##Cert umbenennen für MS
sudo mv $path2/$cert $path2/$cert_lox
if [ $? -eq 0 ]; then
echo "Rename Cert - OK"
else
echo "Rename Cert - NOK"
exit 0
fi

##Key umbenennen für MS
sudo mv $path2/$key $path2/$key_lox
if [ $? -eq 0 ]; then
echo "Rename Key - OK"
else
echo "Rename Key - NOK"
exit 0
fi

##FTP Verzeichnis erstellen
if [ ! -d $ftp_mount ]; then
sudo mkdir $ftp_mount
if [ $? -eq 0 ]; then
echo "Create FTP-Dir - OK"
else
echo "Create FTP-Dir - NOK"
exit 0
fi
else
echo "FTP-Dir exist - OK"
fi

##FTP mounten
sudo curlftpfs "$ftp_protocol://$ftp_user:$ftp_password@$ftp_server" "$ftp_mount"
if [ $? -eq 0 ]; then
echo "Mount FTP <> Miniserver - OK"
else
echo "Mount FTP <> Miniserver - NOK"
exit 0
fi

##Dateien auf MS kopieren
cp -f $path2/$cert_lox $ms_cert_dir/$cert_lox
if [ $? -eq 0 ]; then
echo "Copy Cert-File to MS - OK"
else
echo "Copy Cert-File to MS - NOK"
exit 0
fi

cp -f $path2/$key_lox $ms_cert_dir/$key_lox
if [ $? -eq 0 ]; then
echo "Copy Key-File to MS - OK"
else
echo "Copy Key-File to MS - NOK"
exit 0
fi

##FTP unmount
sudo fusermount -uz "$ftp_mount"
if [ $? -eq 0 ]; then
echo "Unmount FTP <> Miniserver - OK"
else
echo "Unmount FTP <> Miniserver - NOK"
exit 0
fi


##aufräumen
if [ -d $ftp_mount ]; then
sudo rmdir $ftp_mount
if [ $? -eq 0 ]; then
echo "Delete FTP-Dir - OK"
else
echo "Delete FTP-Dir - NOK"
exit 0
fi
else
echo "FTP-Dir already deleted - OK"
fi

sudo rm -f $path2/*.*
if [ $? -eq 0 ]; then
echo "Cleanup - OK"
else
echo "Cleanup - NOK"
exit 0
fi

sudo rmdir $path2
if [ $? -eq 0 ]; then
echo "Delete TMP-Dir - OK"
else
echo "Delete TMP-Dir - NOK"
exit 0
fi

[MTB]

Vielen Dank für das Script!
Eine Frage hierzu: Der Miniserver erkennt selbst, dass ein neues Zertifikat vorliegt und tauscht dieses ohne zutun aus? Sprich es müssen keine Webdienste des MS neu gestartet werden?

[hismastersvoice]

Der MS2 nimmt direkt das neue Zertifikat sobald sich ein User neu anmeldet/einloggt.
Da musst du sonst nichts mehr machen.

[br80]

Mittlerweile kann ich mich auch per Browser von extern einwählen. Wenn ich in die App meine direkte IP + Port eingeben dann funktioniert es auch. Aber nicht wenn ich den loxone dyndns Dienst nutze. Der Loxone Support sagt sie helfen nicht bei Netzwerkangelegenheiten. Anscheinend kann man vom Support nicht mehr viel erwarten. Hat noch jemand eine Idee?