Neue Hardware Miniserver mit Tree / KNX Extension / ...

[hismastersvoice]

Wie sieht es mit der HTTPS Verbindung aus, wird die schon unterstützt von der APP?
Ich hoffe es zumindest, dass das schon implementiert ist.

So wie es aussieht muss man wegen einem Zertifikat die Loxone DDNS Cloud nutzen. Ich kann die Fehlermeldung zumindest nicht mehr weg bekommen.
Er lässt ich auch nicht anders konfigurieren als mit dem Loxone Dienst.

Was der blödsinn soll kann ich mir noch nicht erklären.
Ich habe eine Domain die ein eigenes Zertifikat hat, und die würde ich auch nutzen.

Bleibt wohl bei VPN

[hismastersvoice]

Ich nutze auch VPN, aber...

In erster Line geht es um Komfort mit der nötigen Sicherheit.
Das ich mich inzwischen bei der Bank nur um den Kontostand abzurufen 2x Authentifizieren muss nervt schon gewalltig. Ist OK bei Überweisung etc. aber doch nicht für einen Kontostand.

Genau so sehe ich das bei Loxone.
Ich kann das System lahm legen, aber deswegen kann ich noch lange nicht die Haustür öffnen.
Als "echte" Alarmanlage eignet sich Loxone eh nicht und sollte separiert aufgebaut werden.

Ich finde es ok das Loxone nun https kann, so haben die nicht ITler wenigstens ein klein wenig Sicherheit.

[Christian Fenzl]

Richtig, und es gibt jetzt auch Verschlüsselung, wenn jemand von extern einen VI pulsen will (zb Geofency), und nicht zu vergessen, dass man nun auch https-Webseiten direkt Pollen kann (was in letzter Zeit ja immer weniger wurden per http).
Eine Brute Force Attacke wehrt SSL/TLS nicht ab, das Passwort muss sicher sein.

[BSiege]

christof89 Dann sind wir Kollegen. Ja natürlich. Du kannst noch Ports schieben, Du kannst Portknocking machen, Tunnel in Tunnel, Mehrfaktor Authentifizierung mit Callback und DU hast dabei ein gutes Gefühl. Aber dass für die grosse Allgemeinheit einfach nur der Service sauber implementiert werden sollte ist nun mal die Realität. Dann habe ICH bei meiner Arbeit ein gutes Gefühl ;-)

[hismastersvoice]

Ich "Depp" habe unter Sicherheit nicht geschaut.
Dort kann man entweder ein Loxone Zertifikat nutzen oder ein eigenes hochladen. Man kann es auch wieder ganz abstellen und https abschalten.
Also ohne Zertifikat geht es auf jeden Fall nicht, was auch gut so ist.

[Christian Fenzl]

Kriegt https dann einen eigenen Port, oder wird der eingestellte http-Port dann zum https-Port?
bzw Geht http noch, wenn https aktiv ist?

[Lightpicture]

Es gibt eine eigene Einstellung für den HTTPS Port.

[hismastersvoice]

Man kann http https oder beides. Wenn man in das Feld http 0 einträgt geht nur noch https etc.

[hismastersvoice]

So jetzt habe ich ein Let´s Encrypt Zertifiakt auf den MiniServer geladen, und siehe da es klappt auch mit der eigenen Domain.
Der Haken ist im Augenblick wohl das ich jetzt alle 3 Monate das Zertifikat erneuern muss und auf den MiniServer spielen muss. Bevor es abläuft.

Da ich eh bei VPN bleibe ist es egal, aber hier müsste man mit Loxone nochmal reden ob der MSGen2 das nicht selber machen könnte mit dem erneuern.

Aber auf jeden Fall geht es, und für Otto_nicht_ITler wird es ein ganz kleines bisschen sicherer.

[Pino72]

Nur um nochmal ganz sicher zu gehen: mit dem MS1 und seiner KNX Schnittstelle bin ich nicht auf die 500 GA‘s begrenzt und das wird ja hoffentlich auch so bleiben.....bin gerade im Rohbau und der Elektriker und ich haben noch nicht „eingekauft“.

Geplant ist eine Mischung aus Loxone und Knx wobei ich an die 500er Grenze wohl nicht so schnell stoßen werde da Hauptanteil Loxone ist. Trotzdem würde ich jetzt gerne die richtige Entscheidung treffen was die Komponenten angeht......man will ja dann in Zukunft noch was dranhängen an das System.

[Leo Kirch]

Was die Zukunft bringt, solltest Du besser direkt bei Loxone anfragen.

[hismastersvoice]

Nur um nochmal ganz sicher zu gehen: mit dem MS1 und seiner KNX Schnittstelle bin ich nicht auf die 500 GA‘s begrenzt und das wird ja hoffentlich auch so bleiben.....bin gerade im Rohbau und der Elektriker und ich haben noch nicht „eingekauft“.

Geplant ist eine Mischung aus Loxone und Knx wobei ich an die 500er Grenze wohl nicht so schnell stoßen werde da Hauptanteil Loxone ist. Trotzdem würde ich jetzt gerne die richtige Entscheidung treffen was die Komponenten angeht......man will ja dann in Zukunft noch was dranhängen an das System.

Richtig, hier ist die Grenze wohl eher die Leistung der Hardware.

[cRieder]

Eigentlich hat ja noch niemand eine KNX Extension in Verwendung, der die 500er Begrenzung bestätigen könnte.
Ich vermute ja mal stark, dass es die (momentan) genausowenig gibt wie irgendeine beim Gen1
Was aber nicht heißt, dass die vielleicht doch irgendwann mal eingeführt wird.

[Prof.Mobilux]

Ich denke schon, dass sie die Grenze aktiviert haben. Loxone möchte reine KNX Installationen verhindern, die den MS nur als Visu nutzen. Sie "wären schön blöd", wenn sie so eine Beschränkung bei einer neuen Extension nicht einbauen würden... Beim MS1 ist das was anderes. Ich denke da trauen sie sich nicht die 100k Installationen zu zerschiessen :-) Gab genug Shit Storm bei der ModBus-geschichte damals, und da waren nur eine Handvoll User betroffen und schon gar keine Installationen in Hotels oder Geschäftsräumen...

[Prof.Mobilux]

Mich würde mal interessieren wie sie das mit den HTTPS Zertifikaten gelöst haben. Oder muss man da zwangsweise über den CloudDNS gehen?

[zeki]

CloudDNS oder eigenes Zertifikat (siehe oben).

Cool wäre eine Option "Letsencrypt", wo man seinen Hostnamen eintragen kann und dieses Cert dann automatisch verlängert wird. So wie bei vielen anderen Lösungen.

[hismastersvoice]

Ich habe jetzt auch mal ein Let's Encrypt Zertifikat eingebaut.

Das Problem ist dass erneuern, alle 3 Monate.
Die Idee von zeki ist das einzig richtige. Alternativ könnte man zb per API die Möglichkeit bieten das Zertifikat zu tauschen und dann per Linux ein Skript erstellen.

Allerdings ist die zweite Möglichkeit wieder nur für Profis, weswegen die Lösung 1 schon besser wäre. Aber auch unwahrscheinlicher

[patriwag]

In einem anderen Thread geht es um den Reverse Proxy, also eine Webserver der seine Daten dem Internet nur via HTTPS anbietet und im Hintergrund selbst als Client sich an den Miniserver wendet. Diese Lösung hatte bisher nur z.T. funktioniert, da die Loxone App selbst nicht für HTTPS ausgelegt war. Seit dem Miniserver Gen 2 hat sich das geändert. Jetzt kann auch die App HTTS und damit kann man den Miniserver Gen 1 und Gen 2 über das Internet sicher erreichbar machen. In jedem Fall würde ich eine next Gen Firewall davor schalten, die Angriffe erkennt und unterbindet. Ich werde vermutlich für meine Frau und mich bei der Telekom eine feste IP im Mobilfunk buchen. Damit kann ich den Zugriff aus dem Netz nur für diese IP-Adressen gestatten. Andere Geräte sind dann definitiv raus.

[orli]

Man kann eine feste Telekom Mobilfunk IP mieten?

[patriwag]

ja, kann man. Hält jeweils 6 Monate.

[TomekWaw]

hismastersvoice,

Es gibt fertige Skripte für Linux, z.B ich vervende das acme-Paket (acme.sh). Ich habe viele Domains (>100) die mit Let's Encrypt Zertifikate geschützt sind und Zertifikate werden automatisch wiederherstellen, wenn Skript täglich von cron aus gestartet werdet.

[hismastersvoice]

hismastersvoice,

Es gibt fertige Skripte für Linux, z.B ich vervende das acme-Paket (acme.sh). Ich habe viele Domains (>100) die mit Let's Encrypt Zertifikate geschützt sind und Zertifikate werden automatisch wiederherstellen, wenn Skript täglich von cron aus gestartet werdet.

Das ist schon klar, ich habe das auf meinen Mail Server genau so. Nur muss ich ja aktuell alle 3 Monate das Zertifikat neu auf den MiniServer spielen. Dazu müsste ich immer die Config aufmachen und das ganze überspielen.

[BSiege]

Hast Du schon überprüft, ob Du nicht via FTP an Key und Zertifikat kommst? Oder Webinterface? Das lässt sich alles scripten. In der Config ist es sowieso fehlplaziert. Ob 1,2,5 oder 10 Jahre, du wirst immer kalt erwischt. Der Durchbruch von Let's Encrypt ist nur teilweise dem "gratis" zu verdanken, sondern dem faktischen Automatisierungszwang.

[hismastersvoice]

https://www.loxforum.com/forum/hardware-zubeh%C3%B6r-sensorik/222143-neue-hardware-miniserver-mit-tree-knx-extension/page4

Schau mal hier.. Schon erledigt...

[hismastersvoice]

Habe eine Weg gefunden um die das Zertifikat per Skript zu erneuern.
Per FTP kann man in der Verzeichnis /sys/ des MiniServer die Dateien #custom.cer #custom.key neu einspielen.



Ruft man die WebUI im Browser auf zeigt es direkt das neue Zertifikat an. Also müsste es ohne Neustart des MiniServer gehen.

[christof89]

Ich sehe schon das nächste LoxBerry Plugin

[hismastersvoice]

Ich dachte es, du sagst es

[TomekWaw]

Wow, Super! Anscheinend verfolgt MS diese Dateien und startet den Webserver neu wenn sie sich ändern

[Sun1453]

Hallo zusammen,

ist es möglich das man weiterhin den Miniserver mit 1,5 mm Kabel in Sachen Digitale Eingänge und auch 24 V / Link anfahren kann?

Wie ich gelesen habe kann man ja alle Klemmen abstecken und damit sollte man doch andere Kontaktverbindung aufstecken können. Wenn dem nicht so ist dann wird es bei mir beim MS1 bleiben, weil das ganze jetzt wieder umzubauen, habe ich keine Lust. Ich hoffe es gibt da was.

[romildo]

Ja den Shop habe ich auch so gefunden
Klemmen für die Digitalen-Eingänge habe ich aber immer noch keine gesehen.
Damit wir vom selben sprechen: Es geht um die 8pol Klemmleiste bei den Eingängen und nicht um die 2pol Klemme bei der Versorgung.

[christof89]

Evtl. kommt da noch etwas von Markus, dauert vielleicht nur noch.
Aber frag mal unter dem von mir verlinkten Video mit "#KFA" nach.

[romildo]

Danke, aber ich brauche keine.
Die Originalklemmen können 0,8mm², mehr brauche ich nicht.
War reine Neugier, da ich die nicht gefunden habe.