openWB Forum

Meine openWB befindet sich wie wohl bei vielen ausserhalb des Hauses. Und ich habe sie mit LAN Kabel angeschlossen. Das stellt nun ein nicht unerhebliches Sicherheitsproblem dar. Schliesslich kann damit mehr oder weniger jeder sich ins LAN einklinken.

Wenn man versucht das Problem mit Firewall-Einstellungen einzugrenzen, dann arbeitet man sich ja nicht nur an der openWB ab, sondern an allen devices im Hausnetz. Da passieren leicht Fehler, weil restriktive Massnahmen die Funktion beeinträchtigen.

Alternativ könnte man einen VPN Zugang nutzen. Gab es schon Überlegungen die openWB als VPN client zu konfigurieren? Geht das vielleicht und ich hab‘s nur nicht gefunden?

Machst Du dir da nicht ein bisschen viel Gedanken? Bei mir müsste jemand erst einmal das Gehäuse aufschrauben um das LAN-Kabel zu erreichen. Da ist es ja eigentlich bequemer und vor allem auch unauffälliger sich ins WLAN einzuschleichen.

In grossen Firmen wird das so gemacht, dass unbekannte MAC-Ids einen Alarm auslösen, wenn sie sich einklinken, bzw sie werden isoliert. Aber ob man den Aufwand auch zu Hause treiben mag?

Zumindest etwas Schutz bietet ein Managed Switch, der auf dem LAN Port der openWB nur eine spezielle MAC zulässt. Noch sicherer, aber auch mit wesentlich mehr Aufwand verbunden, wird es, wenn Du am Switch eine Authentifizierung anschaltest. Das ist aber eher im professionellen Bereich anzusiedeln, da auch noch ein Authentifizierungsserver benötigt wird.

Für ein VPN müsste die openWB ja über das Internet in Dein Netz kommen. Heißt also z.B. über einen mobilen UMTS Router. Da kommt es zwangsläufig zu mehr Problemen, da die Verbindung schon mal abreißen kann.

LaffaJet hat geschrieben: ↑Fr Mär 31, 2023 6:06 am Wenn man versucht das Problem mit Firewall-Einstellungen einzugrenzen, dann arbeitet man sich ja nicht nur an der openWB ab, sondern an allen devices im Hausnetz. Da passieren leicht Fehler, weil restriktive Massnahmen die Funktion beeinträchtigen.

...ich habe die openWB (und den EVU-Zähler, PV-WR) in ein VLAN (wie ein Gastnetz) gesperrt.
So kommt die openWB ins I-Net, ich komme vom Heim-Netz auf die openWB, aber die openWB kommt nicht ins Heimnetz.
Das ist ganz einfach einzurichten und ist wenig fehleranfällig.
Da muss man sich garnicht an anderen Devices in der Firewall "abarbeiten"....ein VLAN ist LAyer 2 und eine Regel für das ganze (V)LAN reicht aus, in der Firewall

Mit MAC basierten ACls usw braucht man da auch garnicht anfangen...

VLANs kann man gut dafür verwenden, aber wenn die OpenWB ins Heimnetz kommt, dann gibt's einen weg dorthin.
Das kann man noch ein wenig verbessern, setzt aber auch einen guten switch voraus, der das unterstützt, hat auch nicht jeder.

Die openWB kommt nicht ins Heimnetz. Das Heimnetz kommt ins Netz der openWB.
Das sind zwei verschiedene Richtungen, des Verbindungsaufbaus. Die Firewall im Router passt da drauf auf.
VLANs alleine reichen nicht, ich dachte allerdings das wäre klar gewesen...man braucht auch eine entsprechende Firewall.

Mit einer Fritzbox geht das nicht, die kann keine VLANs...allerdings, wenn man das Gastnetz dafür nutzt geht es auch damit...nur sind dann alle Gäste in einem Netz.

Machst du das mit nem extra Router oder hast du statt der Fritte einen anderen DSL/WAN Router?
Wenn extra Router, was für ein Hersteller/Gerät.


VG
Det

Ich denke, ein managebarer Switch hinter der Fritzbox reicht da aus. Bei mir hängt meim ganzes LAN an einem Switch. Nur Homematic hängt direkt an der FB. (War aus Gründen der USV so gewählt. Muss ich aber auch mal überdenken)

Ich hab auch einen großen managed switch in meinem Netzwerkschrank und auch das Gästenetz (VLAN) der Fritte auf ein paar Ports raus gegeben. Ein Layer3 Switch war mir damals zu teuer, heute würde ich es vermutlich gleich so machen.

VG
Det

derNeueDet hat geschrieben: ↑Sa Apr 01, 2023 7:06 am Machst du das mit nem extra Router oder hast du statt der Fritte einen anderen DSL/WAN Router?
Wenn extra Router, was für ein Hersteller/Gerät.

Ich mache das mit einem "richtigen" Router...der ist nicht extra, da ich keine Fritzbox nutze.
Router und Switches sind bei mir (fast) alles von Mikrotik....intern i.d.R. mit 10G vernetzt.

Router: https://mikrotik.com/product/rb4011igs_rm
grosser Switch: https://mikrotik.com/product/CRS326-24G-2SplusRM
10G intermediate Switch: https://mikrotik.com/product/crs309_1g_8s_in
dezentrale Etagen-Switche mit 10G Link für die HomeOffice Welt: https://mikrotik.com/product/css610_8g_2s_in
kleine Etagen-Switche: https://eu.dlink.com/de/de/products/dgs ... t-switches ...die werden, wie die APs zentral über PoE versorgt und können noch 1-2 weiter Geräte mit Strom versorgen.
So einer hängt im Keller mt PV-WR, openWB, Victron GX und nem AP. Vor dem Victron EM24 hate ich das EVU-Kit V1 und auch den ModbusTCP Adapter aus diesem per PoE mit Strom versorgt...das muss/könnte ich demnächst als PV-Kit mal wieder einbauen.

Ich habe Kabel-Inet und LTE I-Net parallel. Bei Kabel ist der Standard-Router des Providers im Bridge-Mode und Routing/WAN dort abgeschaltet, quasi nur das Modem übrig. LTE ist wieder ein Mikrotik unterm Dach, auf dem Spitzboden: https://mikrotik.com/product/lhgg_lte6_kit