Tipps/Anregungen gesucht - Aufrüstung der Sicherheitsinfrastruktur im Heimnetzwerk für Integration von Wärmepumpe, Solar-Wechselrichter usw.

Es gibt 24 Antworten in diesem Thema, welches 7.571 mal aufgerufen wurde. Der letzte Beitrag () ist von maxim.webster.

    Hallo liebe Community,


    seit einem Jahr betreibe ich erfolgreich einen U6-LR und Unify Controller auf Raspberry Pi (Linux).

    Durch den Tausch der Ölheizung in eine Sole-Wärmepumpe und Installation einer Solaranlage müssen einige Geräte ins Heim-Netzwerk integriert werden.

    Vor dem Hintergrund der Hackerangriffe z.B. auf die Steuerung der Windräder von EON und der wachsenden Bedrohung durch Cyberattacken würde ich die Wärmepumpe, den Solar-Wechselrichter und was sonst noch dazugekommen ist gerne adäquat vor solchen Gefahren schützen.

    Da ich von Freunden viel positives über Unifi erfahren habe und mit dem U6-LR sehr zufrieden bin, würde ich gerne falls sinnvoll für die Erweiterung auf Unifi-Geräte zurückgreifen.


    Einer der Knackpunkte ist, dass ich über einen Raspberry Pi (im folgenden RPi1) aus verschiedenen Quellen (primitive Funksensoren über USB Python Skript, andere Raspberrys, MQTT usw.) Daten sammle, in einer Datenbank speichere und über Grafana visualisiere.

    Auf RPi1 läuft auch der Unifi Controller.

    Außerdem ist (und soll weiterhin) der Grafana Server über den Port 3000 aus dem Internet über DynDNS erreichbar sein.


    Meine erste Frage deshalb etwas off-topic zu dem Raspberry: seht ihr da schon ein kritisches Sicherheitsrisiko oder ist das soweit ok?


    Hier der Fragebogen:


    Momentanes Setup:

    Provider: Vodafone, 100 MBit/s, dyn. IPv4+IPv6

    Router: Vodafone Station (ab jetzt V. Station, im Erdgeschoss, DynDNS aktiviert)


    Verbundene Geräte:

    LAN:

    (V.Station) <--1x Cat.7 LAN in 1. Stock--> unmanaged TP-Link Switch <--LAN--> Drucker, PCs, Ubiquiti U6-LR

    (V.Station) <--1x LAN Patch-Kabel in Keller (provisorisch)--> unmanaged Switch (provisorisch) <--LAN--> Solar Wechselrichter

    (V.Station) <--LAN--> RPi1 mit: Grafana Server, InfluxDB, Unifi Controller, OpenVPN Server (Grafana ist über Port 3000 ins Internet exposed, um Messdaten auch von außerhalb sehen zu können)

    WLAN:

    (V.Station) <--WLAN--> Smartphones, Wallbox, Tasmota IoT Nr.1, RPi Nr.2

    (U6-LR) <--WLAN--> Smartphones, PCs, Tasmota IoT Nr.2, RPi Nr.3


    geplante Erweiterung:

    im Keller:

    statt 1x Patch-Kabel max. 2x Cat.7 LAN von der V.Station aus möglich

    statt 1x provisorischem Switch: 1x Switch (managed oder unmanaged, je nachdem was benötigt wird)

    neben dem Wechselrichter einige weitere sicherheitskritische Netzwerkgeräte (z.B. Wärmepumpe)

    der U6-LR kann statt im 1.Stock auch an den Switch im Keller angeschlossen werden, mit direktem LAN-Kabel vom Keller in den 1. Stock

    1x Unifi AP (z.B. U6-Lite)

    evtl 1x weiterer Unifi AP, falls die Vodafone Station nicht mehr als Wifi-AP genutzt werden kann/sollte

    RPi soll vom EG in Keller verschoben werden und zusätzlich zu Unifi Controller, OpenVPN usw. noch als Nextcloud/NAS genutzt werden

    im EG:

    evtl. Unifi USG falls benötigt

    im 1.Stock:

    unmanaged Switch zur Not tauschen gegen managed switch (sollte aber falls möglich vermieden werden)


    Gästenetz: nicht zwingend erforderlich aber wünschenswert.


    Telefon: momentan analog an V.Station, Gigaset S810A (mit AB)


    DynDNS: weiterhin eingeplant, aber nicht zwingend erforderlich


    Security:

    Netztrennung:

    ich bin mir nicht sicher, wie stark man Wechselrichter, Wärmepumpe und Wallbox gegen Bedrohungen aus dem Internet absichern sollte.

    von unserer Seite ist zunächst nicht geplant, Wechselrichter und Wärmepumpe anzusteuern - es sollen nur Daten ausgelesen und in der InfluxDB abgespeichert werden.

    falls sinnvoll natürlich Trennung durch VLAN

    evtl. Gäste-VLAN

    der RPI1 sollte Daten von diesen Geräten zu Temperatur, Leistung usw. sammeln können (z.B. Wallbox sendet Daten per WLAN über MQTT)

    der Wechselrichter kommuniziert direkt mit der Website des Herstellers, wie hier die Datensammlung für die InfluxDB funktionieren soll ist noch nicht geklärt

    die Kommunikationsprotokolle von Wärmepumpe etc. für die Datensammlung sind auch noch nicht zu 100% geklärt, sollten aber auch Daten an RPI1 senden bzw. RPi1 sollte sich die Daten ziehen können. Ob und inwieweit die Wärmepumpe auch über LAN gesteuert werden kann konnte ich noch nicht abschließend klären.


    Skalierbarkeit: sollte erweiterbar sein, aber noch nichts geplant


    Skill Selbsteinschätzung: zwischen Anfänger und gefährliches Halbwissen (oberflächliches Fachwissen) im Netzwerk-Bereich. kann aber mit Linux CLI umgehen.



    Vielen Dank schonmal für eure Hilfe.

    Was ist denn eure Empfehlung:

    Ist eine Trennung der Wechselrichter, Wärmepumpe usw. durch VLAN sinnvoll?

    Wird der USG benötigt oder ist stattdessen z.B. die Dream Machine sinnvoller? (wobei die Controller Software momentan problemlos auf RPI1 läuft)

    Oder habt ihr noch einen ganz anderen Vorschlag?

    Stellt RPi1 ein Sicherheitsrisiko dar?


    Über Links, um mich ein bisschen in die Themen einzulesen wäre ich dankbar.

    Google habe ich schon bedient und würde mich freuen, wenn ihr mir einen Tipp habt nach was ich speziell suchen sollte um nicht weiter im Dunkeln zu tappen.


    Viele Grüße,

    j0q

    Wenn du so Angst hast, gehackt zu werden, würde ich erstmal die offenen Ports schließen oder zumindest einen NGNIX verwenden.

    IPS einschalten, da reicht die USG aber nicht aus.


    VLANs machen schon Sinn aber wenn es jemand darauf anlegt, kommt man überall rein.


    Der größte Sicherheitsfaktor sitzt meiner Meinung nach vor dem PC.


    Ein Batteriespeicher bzw Dieselgenerator wäre besser als die Wärmepumpe so abzuschotten. Wenn es jemand darauf anlegt, wird das allgemeine Stromnetz lahmgelegt, Privathäuser sind da eher uninteressant. Da läuft dann auch deine Wärmepumpe nicht mehr, geschweige denn die Wechselrichter.

    Gefällt mir 4

    Moin, hYtas hat es genau auf den Punkt gebracht, alles wo du Löcher bohrst, bist du angreifbar, man muss halt abwägen, ob man selber so interessant ist, dass man einen "hacken" wollen würde.


    Um mit VLAN's zu arbeiten, wirst du um managed Switche (vorzugsweise von Ubiquiti) nicht drumherum kommen, um in den jeweiligen Etagen die Endgeräte mit einzubinden würde ich schauen was dort oben angeschlossen werden muss und dementsprechend Switche zu planen.


    Gruß hommes

    Umfrage G3 Instant Preisgestaltung

    Umfrage Ubiquiti Setup, Danke

    Umfrage Versandkosten EU-Store


    Mein Heimnetz

    Gefällt mir 1

    Vielen Dank für eure Tipps.


    Ich habe mich noch weiter durch verschiedene Foren gegraben und werde durch viele Aussagen eher verwirrt.
    Deshalb jetzt meine Frage, ob ich das richtig verstanden habe:

    1. Um VLAN zu verwenden, kann ich den (momentan genutzten) Switch TL-SG108 nicht mehr verwenden, außerdem muss die Vodafone Station im Bridge-Mode betrieben werden.

    2. Deshalb brauche ich einen Router wie z.B. den USG, die Dream Machine oder ein anderer Router von Unifi. Habt ihr dazu einen Tipp? die Dream Machine halte ich für nicht sehr sinnvoll, da die Network Application ja schon auf dem Raspberry läuft.

    Ist es möglich, den TP-Link-Switch gegen z.B. den DGS-1100 auszutauschen um VLAN-fähig zu werden? Den AP würde ich statt am TP-Link (bzw. D-Link)-Switch dann direkt im Keller an den Unifi-Switch anschließen.


    Gruß j0q

    hYtas vielen Dank für die Einschätzung. Der Batteriespeicher wird tatsächlich auch (hoffentlich) bald eingebaut (Lieferzeiten und so...).

    Ich hoffe nur, dass bald Wechselrichter in der Größenordnung 10-15kW auf den Markt kommen, die auch bei Netzausfall den Batteriespeicher laden können - denn momentan sind die Solarzellen da wie du schon sagtest zwecklos.


    Gruß j0q

    Um VLAN´s betreiben zu können gibt es 2 mögliche Szenarien.


    1. Du holst dir einen Layer 3 Switch und lässt den das VLAN Routing machen. Das entlastet deinen Router ist aber jetzt nicht zwingende Notwendigkeit. Muss man halt abwägen was für einen Router man nutzt und wieviel Traffic zusammenkommt (bei Ottonormal Bürger wird der Router in aller Regel aber nie Probleme damit haben)

    2. Du holst dir einen Router der auch das Thema VLAN abbilden kann. Bei der Unifi Serie gibt es aber auch viele Layer 2 managed Switche die auch VLAN Tags behandeln können und dafür nur über den Controller eingerichtet werden.


    Die kostengünstigste Variante für dich wäre also die Vodafone Station als Router zu belassen. Deine aktuellen Switche gegen Layer 2 managed Switche von Unifi austauschen. Auf dem Controller die Netzwerke mit den entsprechenden VLAN Tags einrichten.

    Der Controller muss auch nicht dauerhaft laufen außer du willst nen Gast-Portal bereitstellen oder den eigenen Radius Server von Unifi.

    Zitat von KJL

    Du holst dir einen Layer 3 Switch und lässt den das VLAN Routing machen.

    Die können doch aber wohl i.d.R. nur statisches Routing und sind zudem nicht in der Lage den Traffic zwischen den Vlans zu filtern - daher, es geht alles oder nichts zwischen den gerouteten Vlans.

    Zitat von bic

    Die können doch aber wohl i.d.R. nur statisches Routing und sind zudem nicht in der Lage den Traffic zwischen den Vlans zu filtern - daher, es geht alles oder nichts zwischen den gerouteten Vlans.

    Da wirfst du gerade was durcheinander. Gerade dafür sind Layer 3 Switche da um den kompletten Routingbereich (unabhängig von VLAN oder nicht) zu handhaben. Und jeder halbwegs gescheite Layer 3 Switch bringt auch die Möglichkeiten des behandeln von Regeln mit.

    Entweder passiert dass auf Basis von Firewallregeln oder ACL´s.

    Zitat von KJL

    Da wirfst du gerade was durcheinander.

    Nö - ja - nö :smiling_face: Mit dem Durcheinander hast Du ja Recht, aber dies ist ein Durcheinander der Begrifflichkeiten. Eine als Layer 3 Switch vermarktete Kiste, welche dann den -wie sagts Du- "kompletten Routingbereich" handhaben kann und "die Möglichkeiten des behandeln von Regeln" mitbringt, ist funktional kein Switch, sondern ein Router mit vielen, vielen Ports :grinning_face_with_smiling_eyes:


    Für mich und da mag ich ja im Unrecht sein, ist jedoch ein Layer 3 Switch ein Switch, welcher die Packetverteilung auf Basis von MAC-Adressen vornehmen kann und zusätzlich auch IP-Routing-Funktionalität unterstütz. Er kann daher einzelne Ports verschiedenen Domänen zuordnen und innerhalb dieser Domänen als Switch arbeiten, zusätzlich beherrscht er aber auch das Routing zwischen den Domänen. Diesbzgl. unterstützt er i.d.R. aber lediglich statische Routingtabellen, es sei denn, er kostet jede Menge Geld und beherrscht so etwas, wie Route Caching oder Multilayer switching. Kann er dann aber auch noch zusätzlich regelbasiert -wie auch immer- Filtern, wird er zum Router.


    Soweit ok?

    Zitat von bic

    Nö - ja - nö :smiling_face: Mit dem Durcheinander hast Du ja Recht, aber dies ist ein Durcheinander der Begrifflichkeiten. Eine als Layer 3 Switch vermarktete Kiste, welche dann den -wie sagts Du- "kompletten Routingbereich" handhaben kann und "die Möglichkeiten des behandeln von Regeln" mitbringt, ist funktional kein Switch, sondern ein Router mit vielen, vielen Ports :grinning_face_with_smiling_eyes:


    Für mich und da mag ich ja im Unrecht sein, ist jedoch ein Layer 3 Switch ein Switch, welcher die Packetverteilung auf Basis von MAC-Adressen vornehmen kann und zusätzlich auch IP-Routing-Funktionalität unterstütz. Er kann daher einzelne Ports verschiedenen Domänen zuordnen und innerhalb dieser Domänen als Switch arbeiten, zusätzlich beherrscht er aber auch das Routing zwischen den Domänen. Diesbzgl. unterstützt er i.d.R. aber lediglich statische Routingtabellen, es sei denn, er kostet jede Menge Geld und beherrscht so etwas, wie Route Caching oder Multilayer switching. Kann er dann aber auch noch zusätzlich regelbasiert -wie auch immer- Filtern, wird er zum Router.


    Soweit ok?

    Jaein, ein Router hat z.b. immer einen WAN Port der per default config komplett anders behandelt wird als ein normaler Switchport und genau diesen besitzt ein Switch nicht. Zwar besteht über die Uplink Ports die Möglichkeit das Internet bereitzustellen aber die werden halt anders gehandhabt.

    Des weiteren kann z.b. ein Layer 3 Switch auch keine Einwahl vornehmen wie es ein Router/Modem kann.


    Das Schaubild hier veranschaulicht eigentlich ganz gut was die wirklichen Unterschiede sind:


    Meistens sind Layer 3 Switche in Ihrer Fähigkeit Routen abzuarbeiten auch eher schwachbrüstig aufgestellt weil man Sie halt nur dazu einsetzt den internen Netzwerkverkehr zu händeln.

    Das obige Schaubild ist aber auch eine ziemlich grobe Übersicht der Unterschiede denn QoS ist z.B. eigentlich Standard bei Layer 3 Switchen und natürlich hat jeder Router eine LAN Fähigkeit sonst würde das Konstrukt: Internet <-> Router <-> LAN ja nicht funktionieren.


    Es gibt auch Router die genau so Hardware ASIC benutzen. Die sind aber dann halt auch im höheren Preissegment anzutreffen.


    Ein wichtiger Punkt , aus meiner Sicht, fehlt hier auch noch und zwar die Fähigkeit mit verschiedenen Protokollen wie RIP, OSPF, EIGRP umzugehen ist nur bei Routern gegeben.


    Ich versteh aber dass es in dem Bereich häufig zu irreführenden Annahmen kommt weil die Layer 3 Switche gerade durch eine gute Software viele Bereiche eines Routers abbilden können aber die grundlegende Aussage bleibt weiterhin bestehen:


    Ein Router ist für die Verbindung von WAN und LAN zuständig. Ein Layer 3 Switch nimmt dem Router einfach nur die Aufgabe ab sich auch noch um das Routing im LAN kümmern zu müssen.

    Ok, ok - das Bildchen ist von Cisco, oder? Vielleicht können wir uns darauf einigen, dass die Übergänge fließend sind :smiling_face: Allerdings widersprichst Du Dir nun ein wenig selbst gegenüber Deinem vorherigen "kompletten Routingbereich" - aber sei es drum :grinning_face_with_smiling_eyes:

    Zitat von bic

    Ok, ok - das Bildchen ist von Cisco, oder? Vielleicht können wir uns darauf einigen, dass die Übergänge fließend sind :smiling_face: Allerdings widersprichst Du Dir nun ein wenig selbst gegenüber Deinem vorherigen "kompletten Routingbereich" - aber sei es drum :grinning_face_with_smiling_eyes:

    Ne ist von fs.com


    Ja ich hätte dazu sagen sollen dass er den internen Routingbereich abdeckt. Wenn du jeden Tag damit zu tun hast sind manche Sachen irgendwann für einen Selbstverständlichkeit :D.


    Aber ja ich stimme dir da zu auf dem ersten Blick die Unterschiede erstmal nicht sofort auffallen.

    Zitat von KJL

    Die kostengünstigste Variante für dich wäre also die Vodafone Station als Router zu belassen. Deine aktuellen Switche gegen Layer 2 managed Switche von Unifi austauschen. Auf dem Controller die Netzwerke mit den entsprechenden VLAN Tags einrichten.

    Das klingt sehr gut. Ich werde die Vodafone Station in den Keller verlegen, somit muss nichts außer dem Unifi-Switch an der Vodafone Station angeschlossen werden.

    Trotzdem die Frage zum Verständnis: Kann man auch mit VLAN die Switches alle direkt an der Vodafone Station anschließen?

    Kann das WLAN von der Vodafone Station weiterhin verwendet werden? Meinem Verständnis nach hätte man dann aber keinen Zugriff auf die VLANs, korrekt?


    Kann man noch damit rechnen, dass der USW-16-Lite-PoE im nächsten Monat in der EU verfügbar wird? Ist ja scheins seit 1-2 Jahren nicht mehr über UI in der EU erhältlich.

    Zitat von j0q

    Das klingt sehr gut. Ich werde die Vodafone Station in den Keller verlegen, somit muss nichts außer dem Unifi-Switch an der Vodafone Station angeschlossen werden.

    Trotzdem die Frage zum Verständnis: Kann man auch mit VLAN die Switches alle direkt an der Vodafone Station anschließen?

    Kann das WLAN von der Vodafone Station weiterhin verwendet werden? Meinem Verständnis nach hätte man dann aber keinen Zugriff auf die VLANs, korrekt?


    Kann man noch damit rechnen, dass der USW-16-Lite-PoE im nächsten Monat in der EU verfügbar wird? Ist ja scheins seit 1-2 Jahren nicht mehr über UI in der EU erhältlich.

    Zum Thema die Switches mit VLAN an die Vodafone Station anschließen ja geht.

    Wenn du von Unifi schon AP´s im Einsatz hast schalt das WLAN der Vodafone Station ab. Ein Krieg der Netze klingt zwar immer lustig macht am Ende des Tages aber nur Frust :D. Und nein das WLAN der Vodafone Station hat keinen Zugriff auf das VLAN weil die Station meines Wissens nach gar keine VLAN´s händeln kann.

    Das mit der Verfügbarkeit ist so ne Sache. Dir bleibt da nichts anderes übrig als jeden Tag mehrfach zu gucken. Unifi selbst gibt leider keine Aussagen zu etwaigen Lieferterminen und auch die Reseller bekommen keine Info´s.

    Alternativ bliebe noch der normale 16 Port PoE da mein ich aber im Hinterkopf zu haben dass die wohl ein Problem mit überhitzen hatten also wäre eher zu nem 24er zu raten aber das musst natürlich du entscheiden und dein Geldbeutel :grinning_squinting_face:

    Zitat von KJL

    Zum Thema die Switches mit VLAN an die Vodafone Station anschließen ja geht.

    Wenn du von Unifi schon AP´s im Einsatz hast schalt das WLAN der Vodafone Station ab. Ein Krieg der Netze klingt zwar immer lustig macht am Ende des Tages aber nur Frust :D. Und nein das WLAN der Vodafone Station hat keinen Zugriff auf das VLAN weil die Station meines Wissens nach gar keine VLAN´s händeln kann.

    Das mit der Verfügbarkeit ist so ne Sache. Dir bleibt da nichts anderes übrig als jeden Tag mehrfach zu gucken. Unifi selbst gibt leider keine Aussagen zu etwaigen Lieferterminen und auch die Reseller bekommen keine Info´s.

    Alternativ bliebe noch der normale 16 Port PoE da mein ich aber im Hinterkopf zu haben dass die wohl ein Problem mit überhitzen hatten also wäre eher zu nem 24er zu raten aber das musst natürlich du entscheiden und dein Geldbeutel :grinning_squinting_face:

    Plane momentan mit einem USW-24 (ohne PoE), 3x USW Flex Mini, den bestehenden U6LR und ein (oder zwei) U6 Lite.

    Da ich nur 4-5 PoE-Geräte einsetzen werde, lohnt sich denke ich der Aufpreis zum USW-16-POE (bzw. 24-POE) nicht wirklich.

    Oder hat der Switch mit PoE noch andere Zusatzfeatures, die ich vergessen habe?

    In dem Netzwerkschrank werde ich dann einfach einen Fachboden einbauen, auf dem dann die PoE-Injektoren befestigt werden.

    Moin, aus dem Stegreif wäre ein Vorteil das du ihn mittels Klick neu starten könntest, den einzelnen Port, bei einem Netzteil musst Stecker ziehen, inwieweit das gebraucht wird muss man für sich selber entscheiden. Wird es im Controller angezeigt wie viel Watt gerade verbraucht werden bei einem externen Netzteil, ich weiß es gerade nicht, beim Switch mit PoE wird es angezeigt.

    Nur ein Netzwerkkabel, anstatt immer zwei Netzwerkkabel plus das Stromkabel, was auch wieder verstaut werden muss, bei 5 Stk musst du auch schon wieder mit Steckdosenleiste arbeiten, zumindest mehr als nur ein Stromkabel beim Switch.


    Es hat alles vor und Nachteile. Geht der Switch kaputt ist alles aus, beim Netzteil für jedes Gerät nur eines.


    Wie viel Komfort möchte man haben und was kann bzw. möchte man investieren.


    Gruß hommes

    Umfrage G3 Instant Preisgestaltung

    Umfrage Ubiquiti Setup, Danke

    Umfrage Versandkosten EU-Store


    Mein Heimnetz

    Zitat von hommes

    Wird es im Controller angezeigt wie viel Watt gerade verbraucht werden bei einem externen Netzteil, ich weiß es gerade nicht, beim Switch mit PoE wird es angezeigt.

    Das mit dem Stromverbrauch klingt tatsächlich interessant, werde ich mir mal durch den Kopf gehen lassen ob ich das brauche.


    Vielen Dank euch beiden @KJL und hommes


    Gruß j0q

    Zitat von j0q

    Ich hoffe nur, dass bald Wechselrichter in der Größenordnung 10-15kW auf den Markt kommen, die auch bei Netzausfall den Batteriespeicher laden können

    Gibt es von Fronius gen24 10.2
    der kann 15kwp peak und 10kwp dan den Speicehr laden

    Zitat von KJL

    Das mit der Verfügbarkeit ist so ne Sache.

    Konnte tatsächlich noch einen USW-Lite-16 direkt bei UI ergattern :smiling_face:
    Nur noch eine Frage zur Klarstellung: Alle Geräte im gleichen Wifi-Netzwerk müssen auch im gleichen VLAN sein, korrekt?