Virtueller Ausgang Let's Encrpyt Problem

[roman]

Hallo,

anscheinend gibt es Probleme mit aktuellen Let's Encrypt Zertfikaten oder einem Verschlüsselungsverfahren.
Leider sehe ich im Log nur SSL Write Error.

ZB. ein einfaches GET https://www.loxone.com/int/ liefert im HTTP Monitor "SSL Write Error".

GET https://www.orf.at funktioniert problemlos

Hat jemand seit neuestem ähnliche Probleme oder würde GET https://www.loxone.com/int/ testen?
Ich habe einen Gen1.

Danke

[AlexAn]

Gen1 könnte noch nie https!

[roman]

Es hat bis vor kurzem für Let's Encrypt funktioniert und aktuell funktioniert ja auch zb. https://www.orf.at

[roman]

Wie gestern schon vermutet, ist die Antwort von AlexAn irreführend. Ich verstehe nicht, was man mit solchen Antworten bezwecken will, wenn ich doch bereits geschrieben habe, dass orf.at problemlos funktioniert.

Nach einer langen Debugging Session habe ich die Ursache gefunden. Loxone Gen1 unterstützt wohl nur alte Cipher Suites. Konkret habe ich es durch hinzufügen von DHE-RSA-AES256-SHA256 am Server zum Laufen gebracht.
Ich habe Loxone in einem Ticket angefragt ob neue Cipher hinzugefügt werden oder zumindest ordentlich dokumentiert werden kann welche unterstützt werden.
Btw. eine ordentliche Fehlermeldung hätte mir einige Stunden Arbeit gesparrt. Aber das kennen wir ja leider von Loxone.

[AlexAn]

Sorry dann hab ich wohl nicht verstanden was du mit den Seiten überhaupt anfangen wolltest mit deinen spärlichen Informationen
Ehrlich gesagt verstehe ich auch nicht was du mit solchen Kommentaren bezwecken möchtest - bin raus

[roman]

Ich möchte bezwecken, dass wenn in naher Zukunft (aktuelle nginx Version) wahrscheinlich viele dieses Problem haben werden, rasch auf die Ursache stoßen anstatt zu lesen, dass der Gen1 kein https kann ... es steht doch schon im Titel, dass es um Virtueller Ausgang geht.

[Christian Fenzl]

Die vom Gen1 unterstützten Ciphersuites sind allesamt veraltet und unsicher, und werden kaum noch von Webservern verwendet.

Deswegen funktioniert SSL/TLS am Gen1 de facto nicht (mehr). 99,9% der Loxone-Benutzer reicht diese Info, weil sie überhaupt nicht wissen (wollen), was eine Ciphersuite ist.

Da Loxone am Gen2 den Network Stack von Linux nutzt, während der Gen1 alles in der eigenen Firmware implementiert hat, ist die Wahrscheinlichkeit gering, dass am Gen1 irgendwas passiert. Außerdem wird das als Grund für den Umstieg auf Gen2 genutzt (meist ist die Aussage „Performance zu gering“).

lg Christian

[roman]

Und woher haben 99,9% der Loxone Benutzer diese Info? Ich habe weder in der Doku vom Virtuellen Ausgang noch sonst wo in der Doku etwas davon gelesen. Einzig in der Mail Doku werden das Thema angeschnitten.

[Christian Fenzl]

Von hier. Du hast ja einen Beteiligten zusammengeputzt, der dir die Info gab.

Dass LOXONE das nicht dokumentiert, ist doch nicht unsere Schuld.

[roman]

Mich regt die fehlende Doku von LOXONE auf.

[svethi]

Dann beschwere Dich dort. Die Firma Loxone ist an diesem Forum nicht beteiligt. Daher auch die Frage, was Du hier mit solche Aussagen bezwecken willst.

[Prof.Mobilux]

Dann beschwere Dich bei Loxone und nicht bei uns.

[roman]

ich hab mich natürlich bei Loxone beschwert und das mit Nachdruck. Hier finde ich nur die Aussage von AlexAn nicht zielführend.

[svethi]

Ist aber so! Gen1 wurde schon immer als nicht https-tauglich genannt. Vereinzelt gab es dann mal Leute bei denen das ging, das ist aber nunmal die Ausnahme. Und wenn Dir hier jemand etwas mit derart langer Zugehörigkeit und entsprechend vielen Post soetwas antwortet, dann kannst Du davon ausgehen dass es stimmt.

[Teilzeitautomatisierer]

Hallo,

ich wollte jetzt nicht nochmal einen neuen Beitrag eröffnen, also setz ich mal mein Anliegen hier drunter. Im Prinzip habe ich nur eine Frage zu den HTTP Eingängen.

Ich besitze einen Miniserver Gen. 1 und möchte Werte über HTTP von Websites auslesen wie beispielsweise die aktuelle Waldbrandstufe vom DWD. Bei Seiten, die auch über HTTP aufrufbar sind, klappt alles.

Bei Websites, die nur über SSL zugänglich sind, bekomme ich jedes mal den Fehlercode "SSL Write Error". Hat es damit zu tun, dass der Gen. 1 die Verschlüsselung nicht versteht? Oder kann man es doch irgendwie zum Laufen Kriegen?

[roman]

So ist es leider. Am einfachsten einen kleine Proxy einrichten, der folgenden Cipher verwendet: DHE-RSA-AES256-SHA256
Leider habe ich von Loxone nie eine Liste der unterstützten Cipher bekommen.

[Prof.Mobilux]

Oder LoxBerry mit dem HTTPS plugin.

[Teilzeitautomatisierer]

Schade, dass Loxone da nicht so hinterher ist. Das ist ja nach meinem Verständnis kein hardwareseitiges Problem.

Auf das Loxberry Plugin bin ich nach meinem Post auch gestoßen. Habe es jetzt mit Node-Red gelöst, das auf meinem Raspberry Pi läuft.

Ich sende jetzt einfach über Loxone eine GET-Anfrage, empfange dann den HTML-Code der Website über SSL und dieser wird dann in plain HTTP zu Loxone weitergeleitet, sodass der Miniserver es auslesen kann. Sind nur 3 Bausteine in Node-Red.

Funktioniert aber leider nicht mit Websites, die ihre Daten asynchron über JavaScript oder ähnliches beziehen.

[Jan W.]

Schade, dass Loxone da nicht so hinterher ist. Das ist ja nach meinem Verständnis kein hardwareseitiges Problem.

Doch, das hängt mit der Hardware eines MS Gen. 1 zusammen. Moderne (heute als sicher angesehene) Algorithmen für Kryptographie sind sehr rechenintensiv und daher für einen über 10 Jahre alten MS mit einer CPU und OS, welches für die Verarbeitung von Events in Echtzeit entwickelt wurde, nicht gut geeignet. Der MS Gen. 2 verwendet eine modernere und leistungsstärkere CPU und kann auch übliche TLS Ciphers verarbeiten.

Ob Du lieber Node-Red, das Loxberry Plugin https2http oder einen Squid als Proxy verwendest, das hängt von Deinen Vorlieben und Kenntnissen ab. Alle diese Lösungen können auf einem Raspberry PI oder ähnlichem System laufen, welches als Umsetzer arbeitet. Die Möglichkeiten des MS in Bezug auf Kommunikation über HTTP/HTTPS sind sehr eingeschränkt. Neben den von Dir erwähnten Problemen kann der MS nicht mit modernen Authentifizierungsmethoden am Server umgehen, die Tokens verwenden. Ich finde die Idee des Loxberries und Erweiterung der Funktionalität des MS über Plugins sehr gut, denn ein Anwender muss sich nicht mit Linux, Updates und der Kommandozeile beschäftigen. Es gibt bereits viele Plugins, die eine Anbindung von diversen externen Systemen ermöglichen.

[Teilzeitautomatisierer]

Verstehe, danke für die Erklärung.

Ja Node-Red kenne ich bereits, daher habe ich es als Erweiterung meiner Loxone-Anlage im Einsatz. Ich habe schon mit dem Gedanken gespielt auf Loxberry umzusteigen. Allerdings bin ich mir nicht sicher ob dieser all meinen Anforderungen gerecht wird.

Ich habe beispielweise Mosquitto als MQTT-Broker zu laufen und für meine Vitodens Heizung realisiere ich mit dem Raspbian eine Optolink-Schnittstelle, mit der ich die Heizung steuern und auslesen kann. Leider ist Viessmann nicht sehr offen für Schnittstellen, aber mit Optolink funktioniert das ganz gut. Außerdem läuft noch parallel dazu ein Pihole als Filter.

Ich weiß nicht inwiefern ich in das System eines Loxberry eingreifen kann, um dort Skripte zu installieren. Oder ob ein Loxberry die selben Paketquellen unterstützt wie Raspbian und ich somit auch die selben Pakete beziehen kann, ohne das System zu destabilisieren. Vielleicht hast du da mehr Erfahrung und kannst mir dazu etwas sagen?

[svethi]

Der Loxberry ist nichts anderes als eine Scriptsammljbg auf einem DietPi. Das ist ein Debian im Grunde. Früher war es ein reines Raspbian, da dort aber nur Raspberries unterstützt wurden und keine VM‘s wurde zu DietPi gewechselt. Du kannst dort im Grunde weiterhin alles selbst machen. Musst bei eigenen Scripten nur aufpassen, dass Du die nicht in Bereiche packst, die vom Loxberry beim Update überschrieben werden

[Noschvie]

Wenn du Node-Red bereits in Verwendung hast, dann wäre dies meine erste Wahl, um die Waldbrandstufe "zu holen".