[Gelöst] Raspberry PI Login

[HeikoGr]

ich halte es als Gesamtsystem schon für deutlich sicherer:

- Es sind 2 unabhängige Logins zu überwinden
- Der Angreifer weiß nicht ob es sich lohnt, er sieht "nur" den VPN Endpunkt (bei ssh erwartet er eine Shell)

härten sollte/kann man natürlich trotzdem immernoch.

Die meisten Router ja eh nicht um ein Netzwerk richtig abzuschotten. Spätestens wenn IPv6 großflächig eingesetzt wird sollten sich auch Betreiber von kleinen, lokalen Netztwerken mit einer ordentlichen Abschottung des Netzes beschäftigen. Dann reicht es nicht, den einen Dienst ordentlich zu härten.

Aber ich schweife ab :-D

[tfriedrich85]

Ich hab das System neu aufgestzt und ein Fhem Restroe gemacht.
Das Grund-Setup läuft also wieder.
Die SSH Zugänge habe ich damit abgesichert:
https://developer-blog.net/raspberry-pi-ssh-zugriff-einschraenken-teil-2/

Mein Fehler in Bezug auf GeoFancy war, das in der Fritzbox die IP des Raspberrys (auf dem Fhem läuft) als Exposed Host gesetzt war. Damit kamm ich zwar von außen leicht an Geofancy aber jeder andere auch von außen dran.

Um aber mit der Geofancy App auf einen Port zugreifen zu können, brauche ich jetzt zuminstens einen offenen Port den 8088 aber wenn ich nur diesen in der Fritzbox freigebe, komme ich von außen noch nicht drauf. Woran liegt das (siehe bild)?

[CoolTux]

Exposed Host

Ist das schlimmste was man machen kann ohne eine vernünftige Firewall und DMZ. Da gibt man alle Ports an den Host weiter. Das ist das selbe wie wenn der Host selbst direkt im Internet steht.
Bitte gebe immer nur einen Port an einen Host weiter. Und überlege ob Du das wirklich brauchst.

[Otto123]

Warum von 80 bis 88 wenn Du genau 8088 willst?
Also von 8088 bis 8088
Von 8088 auf 8088



Ich würde das nicht machen 

[Wernieman]

anstatt denyhost würde ich fail2ban nehmen (blockt gleich auf IP-Ebene), aber das sind "nur" Kleinigkeiten.

Otto hat alles wichtige gesagt ;o)

[MadMax-FHEM]

Warum von 80 bis 88 wenn Du genau 8088 willst?
Also von 8088 bis 8088
Von 8088 auf 8088



Ich würde das nicht machen 

Schon gar noch viel weniger, wenn ich schon bei solchen Einstellungen Schwierigkeiten hätte...
(wer weiß was da noch alles nicht optimal [=unsicher] konfiguriert/eingestellt wird/wurde / siehe exposed Host)

EDIT: selbst wenn dann jetzt der Port richtig eingestellt wurde -> allowed Device nicht vergessen (sofern es sich um Zugriff auf fhem handelt), sonst kommst du auch immer noch nicht drauf... (oder hätte ich das jetzt aus "Sicherheitsgründen" nicht erwähnen sollen   )...

Gruß, Joachim

[Wernieman]

Und Passwort setzen .... wobei die direkte Erreichbarkeit von FHEM aus dem Netz wurde schon seeeeehr häufig diskutiert ...

[tfriedrich85]

Warum von 80 bis 88 wenn Du genau 8088 willst?
Also von 8088 bis 8088
Von 8088 auf 8088



Ich würde das nicht machen 

Hallo Otto, da hab ich mich von der Fritzbox in die Irre führen lassen, ich dachte Ports sind 2 Stellig und 8088 bedeutet von 80 -88. Mein Fehler. Hab ich korrigiert und nun läuft es auch. Danke

@Wernieman: Ich habe ein Basicauth auf den Webhook gesetzt, wenn du das meinst?

[Otto123]

Ganz Ehrlich: Bitte: ohne jeden Plan mach keinerlei Freigaben ins Internet. Das ist grob fahrlässig!

[tfriedrich85]

@Otto
Ja, hab ich gelernt und deswegen auch den Raspi platt gemacht....

Btw: Hast du gute Erfahrungen mit einem Nano mit Ethernehr Shield und Firmata? - Hab ich deinem Footer gelsen...

[Otto123]

Nö, habe weder ethernet Shield noch firmata. Hab mal vor einiger Zeit etwas mit Arduino gespielt und den mit Arducounter und als "Ferrarisscheibenleser"  im Einsatz.

[tfriedrich85]

Ich glaube jetzt sind alle Unklarheiten beseitigt.