Werde ich gehackt?

[CoolTux]

Frage zum Abschalten, wie schaltet man denn zuverlässig und mit leichten mitteln den Zugang FHEM-Seitig ab ohne jetzt tausend Sachen umzustellen?

Kann man da evtl. einen Dummy dazu setzen?

Eventuell über allowed

[Beta-User]

allowed scheint er (der TE) ja zu nutzen, oder woher kommen die Einträge im log?

2018.09.05 12:26:09 3: Login denied by allowed_WEB for MGR via WEB_35.198.143.132_40697

Ansonsten: Im Router den Port schließen! Und wenn es unbedingt sein muß, mit einem ReverseProxy arbeiten und dann für den wieder einen Port öffnen...

[Wernieman]

Und wenn der Reverse-Proxy mit einem Passwort geschützt ist (und am besten gleich https macht), ist man "fast" so gut wie VPN ....

Gibt genug Hinweise per SuFu im Forum

[JensS]

Mein FHEM wird auch hin und wieder angegriffen. Als Sofortmaßnahme habe ich FHEM direkt mit fail2ban abgesichert.
https://forum.fhem.de/index.php/topic,84576.0.html
Mittlerweile läuft der Zugriff extern ausschließlich über apache2 als Reverse-Proxy und fail2ban.
https://haus-automatisierung.com/hardware/fhem/2016/12/30/fhem-tutorial-reihe-part-21-zugriff-auf-fhem-ueber-das-internet.html

Vielleicht hilft es dir weiter.

Gruß Jens

[l2r]

Code Auswählen Erweitern

attr WEB allowfrom ^(192.168.1.*|127.*)$

wäre zb mal ein anfang

[Wernieman]

Das ist aber das gleiche, wie (besser) den externen Port am Router dichtmachen ...

Edit:
Problem "To-many-Finger-on-Keybord" im Beitrag  gelöst
Sorry ... (Wie konnte jemand das lesen/verstehen?)

[r00t2]

Prinzipiell: Ja
Aber: accessburn wollte wissen, wie man das Ganze FHEM-seitig umsetzen kann

[marvin78]

Prinzipiell: Ja
Aber: accessburn wollte wissen, wie man das Ganze FHEM-seitig umsetzen kann

Die Antwort wäre gewesen: kann man nicht (direkt).

[Thyraz]

Welchen Sinn soll es denn haben ein SmartHome (Automatisierung) von aussen zu steuern? Es passiert doch alles automatisch.

Ich bin ja auch ein Fan davon das Heimnetz möglichst gut abzusichern.
Aber überhaupt kein Zugriff aufs SmartHome von außen mit der Begründung weil man das nicht braucht (und nicht etwa weil man es aus Sicherheitsgründen vermeiden will)n

Würde mich mal interessieren ob du und die Danksager das wirklich so betreibem bei sich.

Mir geht es gar nicht darum, den einfachen Zugriff von außen zu rechtfertigen.
Aber wenn der Sinn eines Zugriffs von außen in Frage gestellt wird können wie FileLog, DBLog, SVG Charts gleich mal aus dem SVN kicken.
Visualisierung und Diagramme scheinen dann ja nicht mehr smart zu sein und braucht man entsprechend auch im Heimnetz nicht.

Mich interessieren Messwerte von Zuhause jedenfalls meist gerade dann, wenn ich längere Zeit nicht daheim bin ...

[marvin78]

Steuerung von außen sollte bei einer HausAUTOMATION nur in Ausnahmefällen nötig sein. Visualisierungen kann man sich zusenden lassen. Zugriff per VPN oder Reverse Proxy ist relativ sicher.

[CoolTux]

Ich bin ja auch ein Fan davon das Heimnetz möglichst gut abzusichern.
Aber überhaupt kein Zugriff aufs SmartHome von außen mit der Begründung weil man das nicht braucht (und nicht etwa weil man es aus Sicherheitsgründen vermeiden will)n

Würde mich mal interessieren ob du und die Danksager das wirklich so betreibem bei sich.

Mir geht es gar nicht darum, den einfachen Zugriff von außen zu rechtfertigen.
Aber wenn der Sinn eines Zugriffs von außen in Frage gestellt wird können wie FileLog, DBLog, SVG Charts gleich mal aus dem SVN kicken.
Visualisierung und Diagramme scheinen dann ja nicht mehr smart zu sein und braucht man entsprechend auch im Heimnetz nicht.

Mich interessieren Messwerte von Zuhause jedenfalls meist gerade dann, wenn ich längere Zeit nicht daheim bin ...

Wie Marvin bereits schrieb sollten sich externe Aufrufe sehr sehr in Grenzen halten und wenn dann mit VPN oder Reverse Proxy mit Client Zertifikat.
Ich mache so gut wie alles über Pushover. Wenn irgendwelche Grenzen welche ich definiert habe überschritten werden, so bekomme ich eine Nachricht. Natürlich ist es schwer wenn man im Urlaub ist zu reagieren.
Aber wie willst Du reagieren bei einem Feueralarm, oder bei zu hoher Luftfeuchte. Und wenn sollte das die Automatik machen. Zu mindest bei zu hoher Luftfeuchte z.B.
Ich habe die Möglichkeit über reverse Proxy und Client Zertifikat bedingt mein FHEM zu schalten. Ansonsten macht sehr sehr vieles die Automatik.



Grüße

[r00t2]

... Natürlich ist es schwer wenn man im Urlaub ist zu reagieren.
Aber wie willst Du reagieren bei einem Feueralarm, oder bei zu hoher Luftfeuchte....

Deshalb - und weil sie keine lebenswichtigen Funktionen steuert - fahre ich FHEM auch herunter, wenn ich im Urlaub bin. Denn ich möchte nicht am Strand liegen und eine Meldung bekommen, dass der Rauchmelder XYZ gerade angeschlagen hat oder die Temperatur der CPU soeben das Durchschmelzen ebenjener verursacht

... Ich habe die Möglichkeit über reverse Proxy und Client Zertifikat bedingt mein FHEM zu schalten. Ansonsten macht sehr sehr vieles die Automatik...

Ich hatte meine FHEM auch so eingerichtet, dass man sie ziemlich komplett per Mail steuern konnte. Jedoch war mir auch das zu heikel und ich habe die Steuerung letztendlich nur auf ein paar Kommandos eingeschränkt. So kann ich z. B. einen kurzen "Statusbericht" des Systems auf diese Weise anfordern, der einem dann per Mail zugeschickt wird, etc. aber Aktoren steuern ist nicht mehr möglich.

[Wernieman]

Nur mal als interesse ... wie hast Du das eingerichtet?

[r00t2]

Ein FHEM Mailcheck Modul triggert bei Empfang ein NOTIFY, das die empfangene Nachricht anhand ein paar Eigenschaften auf "Erlaubnis" prüft und führt dann eine Aktion aus, die mir z. B. per sendEmail eine Nachricht mit ein paar Werten aus einem SYSMON Modul zusammenstellt und sendet.

Ganz grob ähnlich wie hier: https://www.computerhilfen.de/info/fhem-mailcheck-emails-an-das-smart-home-schicken-und-darauf-reagieren.html
Nur dass ich keine Klartext-Nachrichten versende, sondern verschlüsselt und die Nachrichten ein paar Eigenschaften haben müssen, auf die geprüft wird, ehe eine Aktion ausgeführt wird.

Grundsätzlich kann man das Ganze aber auch so generisch bauen, dass man jeden beliebigen Befehl senden und mit fhem("tu dies und das"); ausführen kann. Das wäre mir per Mail aber zu gefährlich, deshalb gibt es das bei mir nicht mehr, sondern nur den ganz eingeschränkten Satz an Befehlen, der tatsächlich dann in FHEM weiter verarbeitet wird.

[erwe]

Guten Tag,
Ich verwende den CT-Test um zu testen, ob Geräte von Aussen erreichbar sind:

https://www.heise.de/security/dienste/Netzwerkcheck-2114.html

Und dann zusätzlich die FHEM-Ports: 8083,8084,8085

LG, erwe