Zugriff auf Loxone Miniserver über Extern

[OliverLU]

Ich versuche den Loxone Miniserver als Alarmserver zu nutzen.

Letzendlich generiert meine Kamera von Instar über die Instar Cloud folgende URL (zusätzlich habe ich in der InstarCloud natürlich die Anmeldedaten des Minsierver hinterlegt):

http://dns.loxonecloud.com:80/EEE0007000DA/dev/sps/io/alarmserver120c/Pulse?trigger=cloud

Es kommt hier leider folgende Fehlermeldung zurück:

HTTP/1.1 307 Temporary Redirect
Access-Control-Allow-Origin: *
Content-Length: 0
Content-Security-Policy: default-src dns.loxonecloud.com *.dns.loxonecloud.com 'unsafe-inline' data:;
Content-Type: text/html; charset=UTF-8
Date: Fri, 12 Jan 2024 16:51:23 GMT
Location: http://92.72.62.194:2100/dev/sps/io/...?trigger=cloud
Server: Apache/2.4.29 (Ubuntu)


Kann hier ggf jemand etwas mit anfangen? Wenn ich die URL separat eingebe werde ich im Browser nach den Anmeldedaten des Minisverver gefragt. Wenn ich diese wiederum eingebe bekommt der Loxone Miniserver das Alarmsignal

[svethi]

Das ist keine Fehlermeldung, das ist eine Weiterleitung zu Deinem MiniServer.

[OliverLU]

okay, dennoch kann ich beim Miniserver die Meldung nicht einlesen. Hat hier jmd ggf eine Idee woran das liegt?

Muss man ggf die Login-Daten direkt in die Http-Adresse integrieren? Wie heißen dann die URL-Abkürzungen für Benutzername und Passwort?

[svethi]

Nee, Du bist ja auch noch lange nicht beim MiniServer. Du bist auf einem Internetserver gelandet. Wenn die Kamera keine Weiterleitungen kann, wirst Du auf diesem Wege nicht zum Erfolg kommen.
Deine Frage bezog sich rein auf die Rückmeldung, die Du als Fehlermeldung fehlgedeutet hast.
Genau dazu und auf die Frage ob jemand was damit anfangen kann, hast Du Deine Antwort bekommen. Wenn Du noch weitere Antworten brauchst, solltest Du auch die entsprechenden Fragen stellen und auch dazu sämtliche Informationen Bereitstellen.

[Jan W.]

Wenn die Kamera bzw. die Instar Cloud mit einem HTTP Redirect nicht umgehen kann, dann könntest Du einen anderen Dyn-DNS Dienst nutzen. Die anderen Dienste lösen den FQDN direkt in Deine öffentliche IP-Adresse auf. Als URL würde ich dann

http://kamerauser:meinpassword@mein-ms.dyndns.com:2100/dev/sps/io/alarmserver120c/Pulse?trigger=cloud​

versuchen. Der FQDN "mein-ms.dyndns.com" ist ein Beispiel und dieser muss in Deine öffentliche IP-Adresse 92.72.62.194 aufgelöst werden. Der DNS Dienst von Loxone verwendet immer einen HTTP Redirect. Dieser Redirect kann auf einen anderen TCP Port erfolgen, was die Sache nach meiner Ansicht nicht wirklich sicherer macht.

Da bei diesem Weg (auch beim Loxone DNS Dienst) die Anmeldedaten (Username und Passwort) im Klartext per HTTP gesendet werden, solltest Du auf keinen Fall Deinen Admin-User nehmen, sondern einen eigenen User für die Kamera einrichten, der nur auf den Alarmserver eine Berechtigung hat. Falls es jemand schafft, sich in die Instar Cloud einzuhacken, dann hat er nicht gleich Deinen Admin-User. Es ist zwar nicht so leicht, aber nicht unmöglich, dass die Pakete auf der Leitung abgehört werden und auch in diesem Fall möchtest Du sicherlich nicht Dein Admin-User verwenden. Mit einem eigenen User könnte ein Hacker, nur Fehlalarme auslösen, aber nicht gleich Deinen MS kapern.

Sicher ist das zwar immer noch nicht, denn wer seinen Miniserver aus dem Internet erreichbar macht, muss damit rechnen, dass früher oder später eine Schwachstelle im Webinterface des MS gefunden wird und dann ein Hacker möglicherweise die Config auslesen oder sogar vollen Zugriff auf diesen erlangen kann. Das verändern des öffentlich zugänglichen Ports macht es dabei dem Hacker nur geringfügig schwerer.

Siehe auch hier: https://www.loxone.com/enen/kb/web-services/ (inkl. der Warnung).

Deine öffentliche IP-Adresse war gerade noch aktiv und OHNE irgendeine Anmeldung liefert der MS die MAC-Adresse. Die hattest Du in der o.a. URL bereits angegeben. Das mag auf den ersten Blick nicht dramatisch sein, aber die Antwort als XML ist ein klarer Hinweis, dass sich ein MS hinter dieser IP Adresse verbirgt. Im Internet gibt es genügend Hacker, die regelmäßig alle öffentlichen IP-Adressen auf offene Ports scannen und über bestimmte URIs den Gerätetyp der Gegenseite ermitteln können.

curl "http://92.72.62.194:2100/dev/cfg/mac"
<?xml version="1.0" encoding="utf-8"?>
<LL control="dev/cfg/mac" value="EE:E0:00:70:00:DA" Code="200"/>​

[Christian Fenzl]

Loxone Cloud DNS ist kein DNS Server im Sinne des DNS-Standards.
Deswegen funktioniert damit keine normale DNS-Auflösung, wie es normale DNS und DynDNS-Dienste machen.
LG Christian