Smarthome - IoT - Heimnetzwerk

morph027

Blutgruppe MTB positiv
Registriert
11. April 2007
Reaktionspunkte
17.343
Ort
Leipzig
Ausgehend vom fachsimpeln rumlabern im PV-Thread braucht es wohl mal einen Faden für den neumodischen Smarthome/IoT/... Krams.
 
wie sich das gehört ist das alles ins "Gastnetz" verbannt. also bei mir.
Das ist schon besser so, wegen der ganzen Sicherheitslücken "smarter" (vernetzter) Geräte (die nach kurzer Zeit auch nicht mehr gestopft werden).
Allerdings ist das "Gastnetz" dadurch relativ löchrig, angegriffen, offen, fremdüberwacht ...
"Man soll die Kirche im Dorf lassen", aber korrekt wäre ein Smart-Segment mit eigenen Access-Points (vielleicht wäre eigenes VLAN auch in Ordnung)... Aber wer beschäftigt sich schon mit Routern und IP-Filtern? Viele "Fachleute" glauben auch noch daran, den Datenverkehr mit NAT trennen zu können, vergessen gleichzeitig aber, dass dieser schwache Schutz mit IPv6 aufgehoben (ersatzlos getrichen) ist.

... und ab hier wird es kompliziert und viel zu kompliziert für über 90% aller Homes.
 

... und ab hier wird es kompliziert und viel zu kompliziert für über 90% aller Homes.
Mein Plan:
  • alle "smarten" Geräte in Gastnetz der Fritzbox
  • Home Assistant auf einem Raspberry
  • keine China-Cloud

aktuell habe ich folgende Geräte die in einer Oberfläche eingebunden werden sollen:
Nous A1T Smarte Steckdosen
Sun Deye 600 Wechselrichter
SMA Sunny Boy kommt noch dazu

Außer dem Sunny Boy dürfte dann doch niemand nach draußen telefonieren, oder?
 
Hab auch nur Geräte, die sich von China-Firmware befreien lassen und fast überall ESPHome drauf. Da gibts gute Übersicht über Geräte: https://templates.blakadder.com/

Da WLAN aber Grenzen hat und Zigbee ein Mesh aufbaut, hab ich mittlerweile auch einiges davon mit einem befreiten Silvercrest Lidl Gateway im Einsatz: https://zigbee.blakadder.com/

Ich mach den Shice ja auch beruflich und bin wegen gewisser Geschichten immer gegen Vendor Lock. Entweder ist unsicher oder der Support hört einfach mal auf und du hast teuren Schrott zu Hause. Daher immer wenn möglich Open Source. Ist bissl mehr Arbeit, aber die Qualität ist da mittlerweise echt hoch. Ich mach das schon paar Jahre.

Router/Access Points immer mit OpenWRT.

VM's und Container immer mit Proxmox, manchmal auch Docker.
 
Ich lasse sowas meinen Bruder machen und dann lasse ich die Finger davon. Aber darum steht Gastnetz in Anführungszeichen. Der macht das auch für KH und Flughafen und so...
Ja, leider ist das alles andere als trivial einfach. Ich würde dazu eigentlich gern schreiben wie es geht, aber die entstehenden DIN A4 Seiten voller Fachchinesisch wären unzumutbar.

Mein Plan:
  • alle "smarten" Geräte in Gastnetz der Fritzbox
  • Home Assistant auf einem Raspberry
  • keine China-Cloud

aktuell habe ich folgende Geräte die in einer Oberfläche eingebunden werden sollen:
Nous A1T Smarte Steckdosen
Sun Deye 600 Wechselrichter
SMA Sunny Boy kommt noch dazu
"Smarte" Geräte "draußen" in das Gastnetz einer Fritz!Box auszusperren ist schonmal ein erster super Ansatz. :daumen: Ich würde IPv6 intern abzuschalten versuchen, weil bei IPv6 der Durchgriff von Geräten aus dem Internet von außen auf alle IPv6-Geräte ermöglicht wird (keine NAT Network Address Translation).
Außer dem Sunny Boy dürfte dann doch niemand nach draußen telefonieren, oder?
Das kann man meines Wissens nach nicht gut in der Fritz!Box reglementieren: Erstmal können alle Geräte aus den LANs alles ins Internet funken, was sie möchten bei der Fritz!Box.
Wenn Du das verhindern möchtest, musst Du IP-Filterregeln etablieren. Hierfür empfielt sich ein "richtiger" Router*, der mit einer anderen Zielsetzung arbeitet, als möglichst schnell und einfach alle Geräte mit dem Internet zu verbinden.

* Relativ logisch aufgebaut und dabei extrem günstig war der Bintec RS123 (gerade abgekündigt... :mad:).
 
Zuletzt bearbeitet:
Moinsen..

ich würde vor dem Aufwand erst mal den Worst-Case anschauen.

Wenn ein Thermometer nach Hause telefoniert, ist das im Regelfall eher unwichtig.. wenn ein Türschloss auf einen Cloud-Dienst angewiesen ist, ist das höchst problematisch.. und dazwischen gibt es diverse Szenarien warum und wie "nach Hause telefoniert" wird.

Gerade die ganzen Endgeräte, die nicht direkt ins WiFi gehen - sondern über ein Gateway - kennen ja nicht mal die WiFi credentials oder sonstiges. Wenn ich dem Gateway nicht vertraue, kann ich auch gucken, ob ich nicht selber eins baue, in dem ich einen passenden USB-Stick direkt an Home-Assistant klemme (wird hier so mit z-wave gemacht)

Aber ja.. ein eigenes Netz, welches Beschränkt wird, macht absolut Sinn. Sauber getrennte und bewusst gepflegte Infrastruktur ist immer Gold wert.

Mir gehts da auch wie @morph027: OpenWRT auf dem Router.. getrennte Netzwerke im ubiquiti Accesspoint, ESPhome auf den meisten IOT-Endgeräten, etc.

Falls es wen interessiert:
Ich bastel hier viel mit esp8266/esp32, habe hass.os auf einem Proxmox rennen.. ich frickel mit Kontaktsensoren und messe unterschiedliche Daten wie Feinstaub, Stromverbrauch, Luftfeuchtigkeit, Temperatur, etc.. Ich steuere eine Bewässerung, ein Aquarium, eine DIY RGB-LED Beleuchtung, etc.. Kriege aufs Handy eine Benachrichtigung, wenn die Waschmaschine fertig ist, weiß Bescheid, wenn der Nachbar raucht, noch bevor der Qualm in die Butze zieht, damit ich die Balkontür rechtzeitig zumachen kann..
uvm.

Als nächstes wird noch das Smartmeter im Keller über SML (IR) ausgelesen, etc. Das LAN-Kabel was durch den stillgelegten Schornstein zum Keller gehen soll, hat noch 12 DHL Stops bis zu mir =)
Der ESP8266 mit der IR-LED zum Auslesen ist schon getestet.. Magneten für die Sensor-Halterung liegen auch schon hier..
frickel frickel frickel..


p.s. hab hier noch 3 ungenutzte "Rockethome" z-wave gateways rumliegen.. (ist so ein rebranded devolo-zeug) wenn jemand dran rumspielen will, bescheid sagen..

p.p.s. Auf der Agenda kommt das Thema auch demnächst im Job.. da dann im größeren Stil.. da bin ich auf Loxone gestoßen.. der einzige Anbieter mit offener Schnittstelle und umfangreichem Hardware-Portfolio, den ich finden konnte.

p.p.p.s. ich suche noch animierte realtime-graphen/Charts für Home-Assistant.. kennt da jemand was?
Siehe auch https://community.home-assistant.io/t/real-time-charts/132006

p.p.p.p.s. und für die PV-Interessierten, schaut euch das mal an: OpenEMS
 
Zuletzt bearbeitet:
Mir gehts da auch wie @morph027: OpenWRT auf dem Router.. getrennte Netzwerke im ubiquiti Accesspoint, ESPhome auf den meisten IOT-Endgeräten, etc.

p.s. hab hier noch 3 ungenutzte "Rockethome" z-wave gateways rumliegen.. (ist so ein rebranded devolo-zeug) wenn jemand dran rumspielen will, bescheid sagen..
Was braucht man denn an Hardware, um ein getrenntes Netz mit diesem OpenWRT aufzubauen? :confused:

Ich probiere die jetzt nicht ALLE aus 8-)
 
High-Level wäre eine Hardware mit mehreren Netzwerkinterfaces.. aber das ist sicherlich übertrieben. Ich denke, getrennte Netze Software-Seitig zu konfigurieren sollte wohl ausreichen. "Home-Calling" ist ja kein gezielter Angriff auf die benachbarte Infrastruktur.
 
Was braucht man denn an Hardware, um ein getrenntes Netz mit diesem OpenWRT aufzubauen? :confused:


Ich probiere die jetzt nicht ALLE aus 8-)
Wenn man nicht unbedingt über zig Etagen muss sondern den Server zb. direkt an den OpenWRT klemmen kann, brauchts da nur ein Kabel. Den Rest mit VLAN ist dann nur noch Software.

Hardware kann ich mal schauen, meinen WRT1200AC scheints nicht mehr zu geben, der tut aber einfach seinen Dienst. Sind halt fast alles WLAN-Geräte, bei mir ist das Teil also statt der Fritzbox drin, mit DSL Modem dann davor geschalten.
 
Ich habe Homeassistant als Docker auf einem Raspberry Pi laufen. Und ein Mosquitto und Zigbee2MQTT. Bei mir ist eigentlich fast alles mit Zigbee verbunden. Am Raspberry Pi hängt dafür ein Sonoff Zigbee USB-Stick (P-Version, damit es mit Zigbee2MQTT funktioniert).
Und alle Geräte lokal ohne Clouddienste. Das ist ein Vorteil von Zigbee-Geräten - Da muss man keine Firmware flashen um sie lokal zu benutzen (Zumindest hat bis jetzt alles auf Anhieb funktioniert)
Fernzugriff mache ich über einen gedockerten Nginx mit letsencrypt-TLS-Zertifikat und Portfreigabe auf der Fritzbox.

...

"Smarte" Geräte "draußen" in das Gastnetz einer Fritz!Box auszusperren ist schonmal ein erster super Ansatz. :daumen: Ich würde IPv6 intern abzuschalten versuchen, weil bei IPv6 der Durchgriff von Geräten aus dem Internet von außen auf alle IPv6-Geräte ermöglicht wird (keine NAT Network Address Translation).
...
Aber die IPv6-Geräte sind doch trotzdem hinter der Firewall. Ohne Portforwarding kommst du da aus dem Internet nicht dran.
 
Ich habe Homeassistant als Docker auf einem Raspberry Pi laufen. Und ein Mosquitto und Zigbee2MQTT. Bei mir ist eigentlich fast alles mit Zigbee verbunden. Am Raspberry Pi hängt dafür ein Sonoff Zigbee USB-Stick (P-Version, damit es mit Zigbee2MQTT funktioniert).
Und alle Geräte lokal ohne Clouddienste. Das ist ein Vorteil von Zigbee-Geräten - Da muss man keine Firmware flashen um sie lokal zu benutzen (Zumindest hat bis jetzt alles auf Anhieb funktioniert)
Fernzugriff mache ich über einen gedockerten Nginx mit letsencrypt-TLS-Zertifikat und Portfreigabe auf der Fritzbox.


Aber die IPv6-Geräte sind doch trotzdem hinter der Firewall. Ohne Portforwarding kommst du da aus dem Internet nicht dran.
Mosquitto läuft hier auch, da geht zb der Inverter per https://github.com/bohdan-s/SunGather rein. Oder die mit Valetudo geflashten Roborocks.

Reverse Proxy nutze ich Caddy, der macht gleich automatisch den ganzen letsencrypt Kram mit.
 
Ich habe Homeassistant als Docker auf einem Raspberry Pi laufen. Und ein Mosquitto und Zigbee2MQTT. Bei mir ist eigentlich fast alles mit Zigbee verbunden. Am Raspberry Pi hängt dafür ein Sonoff Zigbee USB-Stick (P-Version, damit es mit Zigbee2MQTT funktioniert).
Was macht man mit anderen Geräten, die nicht über Zigbee laufen?

Beispielsweise mein Wechselrichter vom BKW. Der muss dann im selben Netzwerk, wie der Raspi sein, oder?
 
Ich habe Homeassistant als Docker auf einem Raspberry Pi laufen. Und ein Mosquitto und Zigbee2MQTT. Bei mir ist eigentlich fast alles mit Zigbee verbunden. Am Raspberry Pi hängt dafür ein Sonoff Zigbee USB-Stick (P-Version, damit es mit Zigbee2MQTT funktioniert).
Und alle Geräte lokal ohne Clouddienste. Das ist ein Vorteil von Zigbee-Geräten - Da muss man keine Firmware flashen um sie lokal zu benutzen (Zumindest hat bis jetzt alles auf Anhieb funktioniert)
Fernzugriff mache ich über einen gedockerten Nginx mit letsencrypt-TLS-Zertifikat und Portfreigabe auf der Fritzbox.


Aber die IPv6-Geräte sind doch trotzdem hinter der Firewall. Ohne Portforwarding kommst du da aus dem Internet nicht dran.
Ich bin ja kein Fan von IPv6.. aber war da nicht der Knackpunkt, dass das eben nicht mehr notwendig wird.. weil man ganze Ranges hinter dem Router/Modem direkt erreichen kann ohne NAT und/oder Forwarding?
 
Wenn man nicht unbedingt über zig Etagen muss sondern den Server zb. direkt an den OpenWRT klemmen kann, brauchts da nur ein Kabel. Den Rest mit VLAN ist dann nur noch Software.

Hardware kann ich mal schauen, meinen WRT1200AC scheints nicht mehr zu geben, der tut aber einfach seinen Dienst. Sind halt fast alles WLAN-Geräte, bei mir ist das Teil also statt der Fritzbox drin, mit DSL Modem dann davor geschalten.
Verkabelung sollte kein Problem sein: in fast jedem Zimmer ist eine Netzwerkdose.

Die Fritz Box soll aber bleiben, also brauche ich einen zweiten Router für diesen OpenWRT?
 
Aber die IPv6-Geräte sind doch trotzdem hinter der Firewall. Ohne Portforwarding kommst du da aus dem Internet nicht dran.
Firewall ist ein weiter Begriff. Wenn sich die Fritz!Box vom Provider (DHCP) ein vordefiniertes und öffentliches IPv6-Segment einrichtet, dann bekommen IPv6-Geräte eben eine öffentliche IPv6-Adresse und der Kunde(Betreiber) vertraut auf eine dicht vorkonfigurierte Softwarefirewall in der "smarten" Glühbirne. :(
Ich bin ja kein Fan von IPv6..
Die Frage stellt sich nicht bei immer mehr Geräten/Anschlüssen. Der Adressbereich von IPv4 ist übervoll (Telekom vergibt neuerdings 10.x.x.x private IP-Adressen an Mobilfunkgeräte, neue Festnetzkunden bekommen erstmal garkeine IPv4-Adresse für den Home-Router, ...). :eek:
... aber war da nicht der Knackpunkt, dass das eben nicht mehr notwendig wird.. weil man ganze Ranges hinter dem Router/Modem direkt erreichen kann ohne NAT und/oder Forwarding?
Exakt ^das ist das Problem, aber dafür kann die Playstation direkt mit den Multiplayer-Servern verschiedener Games kommunizieren, ohne dass irgendwelche Port-Freigaben eingerichtet (zugelassen) werden müssen.
 
btw.. es gibt auch esp32 module mit ethernet: WT32-ETH01
Das wird hier das Endgerät, dass das Smartmeter ausliest.. und gleichzeitig Basis für eine Alarmanlage für den Keller..

Und wie ich gerade feststelle, gibts sogar eine POE Variante die noch günstiger is
https://www.olimex.com/Products/IoT/ESP32/ESP32-POE/open-source-hardware
Is ja nicht so, dass ich gerade erst das teurere ohne POE gekauft habe >:(
 
btw.. es gibt auch esp32 module mit ethernet: WT32-ETH01
Das wird hier das Endgerät, dass das Smartmeter ausliest.. und gleichzeitig Basis für eine Alarmanlage für den Keller..

Und wie ich gerade feststelle, gibts sogar eine POE Variante die noch günstiger is
https://www.olimex.com/Products/IoT/ESP32/ESP32-POE/open-source-hardware
Is ja nicht so, dass ich gerade erst das teurere ohne POE gekauft habe >:(
Da war ich faul und hatte keine Lust auf basteln: https://www.ebay.de/itm/314321775948?hash=item492f09ad4c:g:nr4AAOSwus1jwNSP

Tasmota mit passendem SML Dialekt konfiguriert und alles live per MQTT im HA.
 
Zurück
Oben Unten