Sicherheitseinstellungen

[Stromneuling]

Ich habe Tailscale aktiviert und RaspberryMatic authentifiziert und eingeloggt.
Ich bin kein Sicherheitsexperte, reicht das aus als Sicherheitseinstellungen. Wird der Traffic dadurch nur über VPN und im lokalen Netz geroutet?
Oder sollten noch weitere Einstellungen in der Firewall gemacht werden wie zum Beispiel Homematic XML-RPC API einschränken?

[Stromneuling]

Kann keiner seine Sicherheitseinstellungen und Erfahrungen mit mir teilen ?

[Sanweb]

Hallo,

In meinem Falle habe ich stets immer auf Sachen gesetzt, welche ich selber auch kontrollieren kann und Cloudfrei sind. Zwar setze ich auch Tailscale ein, nutze aber nur deren Client's, jedoch nicht deren Server zum routen des VPN Traffics. Ich verweise da mal auf das interessante Projekt namens Headscale bei Github was im Augenblick vielleicht den Bedienkomfort der Oberfläche des kanadischen Tailscale-Anbieters nicht bietet, dafür aber ohne dessen Server aus kommt.

Meine Konstellation sieht wie folgt aus:Ich habe mir eine kleine virtuelle Maschine bei einem Anbieter (möchte hier jetzt keine Werbung machen, daher kein Name und dem Hinweise, das es kein Deutscher ist) für 20 USD im Jahr (1 Core @ 3.50+ GHz/512 MB Ram/ 10GB SSD/ Traffic Flatrate) gemietet. Dort das besagte Project aufgesetzt und über die Kommandozeile konfiguriert. Firewall beim virtuellen Server hochgezogen (keine Ports offen, lediglich der geänderte SSH Port für den Fernzugriff und ein Tailscale Port ist offen) und schon hat man sein eigenes VPN Netzwerk, in dem tatsächlich KEINER reinschauen kann. Eine Portweiterleitung o.ä. existiert nicht in meiner Fritzbox, alles zu! Den externen Server habe ich mit einem Raspi im lokalem Netzwerk verknüpft, wobei der Raspi den Traffic über das VPN in beiden Richtungen routet. So kann ich mit der Tailscale Smartphone-App auf mein gesamtes lokales Netzwerk zu Hause von unterwegs zugreifen und da ist die CCU3 inbegriffen.

Nur so als Gedankenanstoß ...

[Ukle]

Moin,
der gesicherte Zugriff auf mein komplettes LAN läuft über DynDNS-IP-Adresse (deutscher Anbieter für 99 Cent pro Monat) und zwei VPN-Zugänge über meine Fritzbox 7590:
1) IPsec (zur Nutzung mit meinem Smartphone und Tablet)
2) Wireguard (zur Nutzung mit meinem Notebook)

Somit habe ich auch unterwegs oder im Urlaub ein kompletter Zugriff auf meine heimischen Ressourcen wie der RaspberryMatic bei für mich ausreichend Sicherheit.

Das läuft bei mir nun schon seit Jahren absolut stabil und effizient.
Die von der RaspberryMatic dankenswert angebotene Tailscale-Lösung nutze ich daher nicht - never change a running system

[jmaus]

Zwar setze ich auch Tailscale ein, nutze aber nur deren Client's, jedoch nicht deren Server zum routen des VPN Traffics.

Ich hoffe du weisst das da nichts über irgendwelche Server von Tailscale "geroutet" wird. Die Server von Tailscale vermitteln lediglich einmalig beim Verbindungsaufbau zwischen deinen Clients. Wenn die Vermittlung einmal passiert ist wird der gesamte Traffic nur zwischen deinen Clients direkt stattfinden. Ergo geht auch keinerlei Sicherheitsrelevanter Traffic über irgendwelche fremden Server/Systeme.

[Sanweb]

Ich hoffe du weisst das da nichts über irgendwelche Server von Tailscale "geroutet" wird. Die Server von Tailscale vermitteln lediglich einmalig beim Verbindungsaufbau zwischen deinen Clients. Wenn die Vermittlung einmal passiert ist wird der gesamte Traffic nur zwischen deinen Clients direkt stattfinden. Ergo geht auch keinerlei Sicherheitsrelevanter Traffic über irgendwelche fremden Server/Systeme.

Habs so eingerichtet, da zum Zeitpunkt der Einrichtung niemand zu 100% sagen konnte, das sie es nicht könn(t)en, da alleine das verbinden nur über deren Servern schon erfolgt. Bei den ganzen "Datenpannen" der letzten Jahre bei kommerziellen Anbietern egal welcher Branche mit großem Kundenpool wird man da vorsichtiger bzw. misstrauisch. Vertrauen ist gut, eigene Kontrolle ist besser ...

[Stromneuling]

Ich habe jetzt mal alles auf eingeschränkt eingestellt und die entsprechenden Ports freigegeben.
Tailscale habe ich auch am Laufen, aber ob das was bringt weiß ich nicht, weil ich HomeAssistant auch in Tailscale habe und sonst eh nicht von außen erreichbar ist.