Port 8084 über Internet

[HarryB]

Hallo,

ich kann nicht über das Internet auf die Weboberfläche (8084) zugreifen.

Portforwarding auf der Fritzbox ist eingerichet
FHEM ist auch konfiguriert (also Passwort, etc. gesetzt)
Intern über den Port funzt das. Also denke ich mal ist das korrekt. Username und PW werden abgefragt.

Da ich dachte, der Raspberry würde evtl. was blocken, habe ich mit sudo /sbin/iptables --flush mal die Firewall ausgeschaltet.
Aber auch danach ging es nicht.

Portforwarding über die FB geht generell. Anderer Port für eine Überwachungskamera funktioniert einwandfrei.


Hat jemand eine Idee?

[marvin78]

Zu Portforwarding bekommst du von mir keinen Tipp.

Ich habe aber trotzdem einen guten: Verwende VPN und du bist auf der sicheren und zuverlässigen Seite.

[Elektrolurch]

VPN kann ich auch nur empfehlen. Auf der FB ist das einfach einzurichten.
Wenn Du kein https für fhem laufen lässt, dann dürften die Nuztzer/Passwort - Abfragen auch noch im Klartext über das Internet laufen.
Also -> VPN.

'Elektrolurch

[Wernieman]

Alternativ über einen https-Proxy (z.B. apache) mit eigener Authentifizierung .....

Aber mal eine andere Frage: Welcher router ist auf Deinem FHEM-Rechner gesetzt? Was für ein Betriebsystem?

[Tedious]

Ich wüsste nicht was gegen HTTPS mit Zertifikat sprechen würde - lasse mich aber gerne belehren...

[Wernieman]

Naja ... fhem ist nicht gerade optimal abgesichert .. für einen direkten Zugriff aus dem Netz.

[Tedious]

Naja, ein Portscan auf den 8084 liefert bei mir von extern geschlossenen Port - und dazu habe ich verschlüsselt User/Password. Ich dachte das reicht?!

[dev0]

Der Portscan liefert nix, weil Deine Weiterleitung nicht funktioniert, sonst wäre der Port offen. Um von außen auf fhem zuzugreifen solltest du aus Sicherheitsgründen wirklich ein vpn oder reverse proxy wie apache, nginx, netscaler,... verwenden.

[Wuppi68]

nur weil es technisch "einfach" mit der Portweiterleitung sollte man es mit FHEM nicht machen ...

Das Risiko ist einfach viel zu groß - und der Staatsanwalt bzw. der Rechtevertreteranwalt klopfen vermutlich ganz schnell mit Forderungen bei Dir an der Haustür.

Ohne VPN kein FHEM von draussen

[Frank_Huber]

/signed.
per vpn von draussen rein, dann fhem intern.

generell sollte es aber dennoch gehen. hat dein fhem device die richtige ip-config?
subnet/gateway gesetzt? bei manueller ip vergabee vergisst man das gern...

[AxelSchweiss]

Kannst du von deiner Fritzbox deinen raspi anpingen/erreicht ?
Kannst du von deinem Raspi die Fritzbox anpingen/erreichen?
kurzum .... stimmt dein Routing.
Dann kann man ja in der Fritzbox noch rechnerspezifische Einstellungen machen.
Den ganzen Spielkram in der Fritzbox eben .... hast du dir da nichts zu-konfiguriert ?

[chris1284]

Das Risiko ist einfach viel zu groß - und der Staatsanwalt bzw. der Rechtevertreteranwalt klopfen vermutlich ganz schnell mit Forderungen bei Dir an der Haustür.

da fhem in der regel nicht als root läuft wird man kaum wegen sinnlos aufgedrehten heizungen und tags über geschaltetem licht verklagt werden....
aber sicher übertrieben gut um leuten angst / respekt vor dem protweiterleiten / dem öffnen von ports nach außen angst zu machen   

ich denke man muss den spagat zwischen sicherheit und verwaltbarkeit finden.... im wiki gibts einen schönen artikel zum thema http://fhemwiki.de/wiki/Apache_Authentication_Proxy
proxy. diesen dann noch statt http mit https betreiben und ggf. clientzertifikate zur anmeldung und das reciht dann in der regel.

@vpn: lustige sache und mit fritzbox für jeden einfach einzurichten. auf mobilen endgeräten aber ehr unpraktikabel zu nutzen wie ich finde (iphone zb).
bei den telekom standard routern muss man sich zum von dann zb mehr tun. und ein leihenaft eingerichtetes vpn ist auch nicht der brüller in sachen sicherheit.

zum problem: ist evtl in fhemweb allowfrom gesetzt?

[marvin78]

@vpn: lustige sache und mit fritzbox für jeden einfach einzurichten. auf mobilen endgeräten aber ehr unpraktikabel zu nutzen wie ich finde (iphone zb).

Lustig ist, dass du das iPhone ansprichst, denn genau damit ist es sehr praktikabel nutzbar. Stichwort ist hier VPN per URL on demand. Das ist einiges der wenigen Themen, bei denen Android (ohne root) tatsächlich unpraktikabler ist. Aber auch nicht deutlich. Ein Button auf dem Homescreen, damit VPN einschalten und dann die WebApp öffnen macht max 3 Klicks. Sehr praktikabel, wie ich finde. Insgesamt für den Anfänger mit FritzBox ist es deutlich leichter und praktikabler als viele andere Möglichkeiten und sicherer als Portweiterleitung, ist es in jedem Fall. Diese sollte man vermeiden, wenn es eben geht.

[Elektrolurch]

Zitat:
@vpn: lustige sache und mit fritzbox für jeden einfach einzurichten. auf mobilen endgeräten aber ehr unpraktikabel zu nutzen wie ich finde (iphone zb).
bei den telekom standard routern muss man sich zum von dann zb mehr tun. und ein leihenaft eingerichtetes vpn ist auch nicht der brüller in sachen sicherheit.


Das meiste hat ja schon mein Vorgänger hierzu geschrieben.
Wer keine Fritzbox hat, kann auch OpenVPN verwenden. Dazu gibt es jede Menge gute Anleitungen im Netz. Das hat auch noch den Charme, dass man das nicht über IPSec, sondern SSL betreibt und den Port frei wählen kann. Ich habe schon Hotspots gesehen, die VPN nicht durchgelassen haben und mit OpenVPN könnte man auch das umgehen.

Habe mir das schon auf dem 'Cubie eingerichtet, warte nur noch auf das iPhone, das ist bestellt....

Elektrolurch

[Wuppi68]

da fhem in der regel nicht als root läuft wird man kaum wegen sinnlos aufgedrehten heizungen und tags über geschaltetem licht verklagt werden....
aber sicher übertrieben gut um leuten angst / respekt vor dem protweiterleiten / dem öffnen von ports nach außen angst zu machen   

Hi Chris,

ich denke wer weiss, was er tut stellt diese Frage nicht und hat das Risiko schon selbst eingeschätzt.

Wer diese Frage stellt, dem fehlt mit allergrößter Wahrscheinlichkeit der nötige Hintergrund und deshalb heißt es für mich ganz klar abraten.

Gruß

Ralf

PS.: Die kalte oder warme Heizung ist das harmloseste was passieren kann Als Spam Verteiler zu fungieren ist auch noch langweilig ... so richtig spanend wird es dann bei Msuik/Video Verteilung, Kipo's ...