RaspberryMatic - Verbesserungsvorschläge/Wünsche

[AndiMD]

Nein, da gibt es KEINERLEI praktische Angriffsvektoren. Vielleicht solltest du da doch dich nochmal etwas genauer einlesen was technologisch hinter Tailscale steckt und was es von traditionellen VPN Lösungen unterscheidet. Dann solltest du schnell verstehen das die Art&Weise wie man mit Tailscale ein privates VPN betreiben kann vollkommen sicher ist, auch wenn man über den offiziellen Tailscale Control Server geht um die einzelnen VPN Nodes einzurichten.

Tailscale schreibt selbst:

All machines in a tailnet maintain a connection with a centralized coordination server in order to exchange metadata such as encryption keys, network topology changes, and access policy changes. The coordination server is part of the control plane only.

Das heisst, deren Server ist für die Initiierung der Verbindung, dem Austausch der Keys, Änderungen der Netzwerk Topologie und ACL's zuständigt.
Also könnte sich ein guter Angreifer, so er sich in diesen Server gehackt hätte, sich eine eigene Node konfigurieren und diese in meine Topologie hinzufügen. Der Austausch der Keys erfolgt dann über diesen Server, auch wenn sie nicht physisch dort hinterlegt sind.

The admin console is where you find detailed information about your tailnet. You can manage nodes on your network, users and their permissions, and settings such as key expiry. The admin console also informs you if an update to the Tailscale client is available for your device. Changes to your tailnet are immediately published to all relevant machines by the coordination server.

Dann baut seine Node halt die Verbindung direkt auf, da ist es unerheblich ob der Traffic nicht über diesen Server läuft.
Zumal es in gewissen Situationen, wo die Nodes nicht direkt miteinander kommunizieren können, auch einen Relay Server (DERP) zu geben scheint.

When a direct connection between two machines cannot be established, then the only way to communicate is through an intermediate relay that both machines are able to communicate with. ... a small amount of traffic must instead be routed through DERP. Relays are distributed globally — New York City, Dallas, Seattle, London, San Francisco, Frankfurt, Tokyo, Sydney, Bangalore, Singapore…

Alle 3 Zitate sagen mir, dass es da doch gewisse, wenn auch sehr schwirig durchzuführende Angriffsvektoren gibt...

Ein VPN was ohne solch einen Server auskommt ist hier sehr viel sicherer, wenn auch nicht so kompfortabel...

Ob nun CloudMatic, Cloud-Weiterleitung, VPN oder Tailscale VPN, wir diskutieren hier aber über Themen, die mit dem eigentlichen Vorschlag nichts zu tun haben. Jeder kann hier ja die präferierte Variante nehmen, welche er für angemessen hält. Schön ist, dass es überhaupt eine Möglichkeit gibt, die Zentrale selbst in ein VPN zu integrieren. Ob es nun die beste VPN Lösung darstellt, muss jeder für sich entscheiden und muss hier nicht in eine Grundsatzdiskussion ausarten.

[AndiMD]

Auch das ist persönliche Ansichtssache, die Vorteile warum man zwingend CloudMatic in Kombination mit NEO nutzt haben sich mir zumindest noch nicht endgültig erschlossen. Im Gegensatz dazu kann man über Cloud-Weiterleitung über den NEO Server eben alle verbundenen Systeme aus der App steuern und nicht nur ausschließlich die CCU bzw. RaspberryMatic und deren angelernte Geräte wie bei CloudMatic. Hängt am Schluss sicher davon ab, was man eigentlich an Geräten ansteuern will, zumindest kann man Cloud-Weiterleitung einfach mit einem Knopfdruck aus der App aktivieren bzw. deaktivieren, ich weis nicht ob das mit CloudMatic in dem Kontext auch möglich ist.

Klar gäbe es sicherlich andere Wege, wie z.B. Cloud-Weiterleitung oder andere, aber die CloudMatic ist für andere benötigte Sachen sowieso schon da und weshalb sollte ich da dann noch andere Dienste zusätzlich etablieren, wenn es auch damit geht... Es führen viele Wege nach Rom, aber wenn ich schon mal auf einem Weg bin, weshalb sollte ich dann zurück und einen anderen nehmen?

Ob nun CloudMatic, Cloud-Weiterleitung, VPN oder Tailscale VPN, wir diskutieren hier über Themen, die mit dem eigentlichen Vorschlag nichts zu tun haben.

[Xel66]

Tailscale ist jedoch IMHO eine sehr sehr gute und IMHO sogar bessere alternative zu CloudMatic wenn man nur von außen auf seine CCU gelangen möchte. Und wenn man das noch auf anderen Geräten (Laptop, NAS, etc.) einsetzt...

Wenn man aber nicht die entsprechenden Rechte hat, auf dem Rechner dementsprechende Software zu installieren, hilft einem das auch nicht weiter. Deswegen würde ich meinen Job nicht riskieren und es versuchen. Ein Login auf meine-homematic.de ist aber möglich. Auch sind die Firmenhandys dementsprechend totalverriegelt, dass keine Software aus dem offiziellen Appstore installiert werden kann (es gibt einen firmeninternen). Insofern ist eine VPN-Lösung, die installiert und/oder administriert werden muss es keine Alternative oder Ersatz für den von Cloudmatic gewählten Weg des Logins via Webinterface. Und für die Einbindung von Cloud-Diensten (Alexa & Co.) ist das auch nicht geeignet. Einzig allein für Zugriff per selbstadministrierten Smartdevice oder Rechner ist es eine Alternative.

Gruß Xel66

[anderl1969]

Aus gegebenen Anlass: die aktuelle Version 3.65.11.20221218 scheint ja Probleme mit Heizgruppen zu haben. Deswegen habe ich für mich beschlossen, dieses Update auszulassen und auf die korrigierte Version zu warten.

Jetzt weist mich aber die Startseite permanent auf die von mir unerwünschte Version hin. Und "schlimmer" noch: wenn die korrigierte Nachfolgeversion erscheint, laufe ich Gefahr, das zu übersehen.

Deshalb wäre es schön, wenn es eine Möglichkeit gäbe, das aktuelle Update zu ignorieren und erst auf das nächste Update wieder hingewiesen zu werden.

[thfrank]

Hab mich heute zum ersten Mal an RM gewagt...

1. Wenn man in der WebUI nach Bearbeiten/Einstellen z.B. unter Programme oder Geräte den 'Zurück' Button klickt wäre es schön, wieder an der vorigen Stelle der Webseite zu landen und nicht immer wieder am Anfang.

Ich habe nirgends einen Kommentar auf diesen Wunsch gesehen, ich fände das auch eine große Erleichterung.

Ist so ein Feature zu erwarten oder nicht möglich?

Thomas

[Matthias K.]

Ich vermute das ist dem technischen Unterbau der WebUI geschildet, der ist, sagen wie mal, nicht besonders modern.
Jede kleine Änderung zieht u.U. eine Latte an weiteren nötigen Änderungen nach sich.
Daher hat sich da bisher kein Freiwilliger gefunden dafür Zeit zu investieren.
Am Besten wäre vermutlich eine komplette Neuentwicklung der WebUI, aber auch dafür hat sich leider noch keiner gemeldet.
Ich kann's leider nicht, ich hatte zwar früher etwas Kontakt mit PHP, CSS und HTML, aber das ist 20 Jahre her und heute fehlt die Zeit mich in was Modernes einzuarbeiten...

[jp112sdl]

eine komplette Neuentwicklung der WebUI,

ist schon deshalb unmöglich, weil einige Seiteninhalte direkt vom HMIPServer kommen. Und spätestens da sieht es dann wieder aus wie Windows 3.11

[Faust]

Hallo in die Runde,

ich habe mir den Spaß angetan und mein Netzwerk von 192.168.0.0/24 komplett auf 172.20.0.0/16 umgestellt. Das ist natürlich ein fettes Unterfangen aber was soll's. Das Mehr an möglichen IP Addressen und die Möglichkeit es besser zu strukturieren ohne gleich VLAN umsetzen zu müssen ist es wert.

Dabei ist mir aufgefallen, dass bei den z.B. CUX Geräten die Änderung der jeweiligen 'IP Adressen zur wahren Klick- und (Seiten)Scroll Orgie ausartet. Wäre es nicht möglich die Felder einfach dynamisch zu vergrößern damit man auf einem Blick sieht was im Feld konfiguriert ist? Es ist nach rechts genügend Platz. Das würde es alles etwas übersichtlicher machen, auch bei der Fehlersuche.

Screenshot 2022-12-30 201643.png (16.47 KiB) 465 mal betrachtet

Euch allen einen guten Rutsch und bleibt gesund.
Faust

[WAdler 68]

Ich finde die Anzeige mit grafischer Darstellung im RedMatic echt klasse. Schade, das es so etwas nicht im RaspberryMatic direckt gibt.

[McPan]

Ich fänd's pfiffig, wenn man auf einem frisch geflashten Image im Anschluss noch irgendwo auf der SD-Karte ein Backup ablegen könnte, welches dann beim ersten Start automatisch impoprtiert wird. Das müsste im Anschluss an den erfolgten Import ebenso automatisch wieder gelöscht werden, damit's nicht bei jedem Neustart wieder eingespielt wird.

Das wäre dann beim alternierenden Wechsel der SD-Karten bei neuen Versionen hilfreich.