[DISKUSSION] [V4.0.1] Timberwolf Server 3500XL nach 2 Jahren

[Protheus]

Hallo Zusammen,

nach fast 2 Jahren mit dem Timberwolf Server, dachte ich mir ich schreibe mal ein paar Erfahrungswerte hier ins Forum.
Evtl. kann ElabNet hier auch einige Informationen mitnehmen.

Aber erstmal der
-- Disclaimer --
Das hier soll kein Meckerpost sein oder will ich den TWS schlecht reden.
Ich sehe großes Potential im TWS und finde den Ansatz der einheitlichen Anbindung vieler Systeme hervorragend.
(Ja, ich habe auch einen iobroker, einen ESX, mehrere Docker-Server mit Portainer, viele Netze/VLANs und Switche aber die Abgrenzung des Smarthome (per TWS) von meiner restlichen Infrastruktur ist ein großer Vorteil).
Ich bin seit mehr als 20 Jahren in der IT tätig und habe auf vieles evtl. einen sehr technischen Blick (falls es zu technisch wird tuts mir leid - Berufskrankheit)

1. Sachen die ich sehr gut finde:

• die Anbindung der Einzelnen Systeme und deren Verknüpfung ist hervorragend und bisher habe ich nichts vergleichbares gefunden
  (Nein, HomeAssistent, ioBroker oder Openhab ist nicht vergleichbar
  z.B. KNX-Anbindung - ja, es funktioniert, aber oft gibt es Kodierungsfehler, oder man muss einen Befehl mehrfach absetzen und und und...)

• Die Logfunktion bzw. die Fehlersuche mit dem Monitoring sucht seines Gleichen

• die Systemleistung des 3500XL ist sehr gut...sollte noch für lange Zeit ausreichend sein

• die GUI ist größtenteils intuitiv und für den Rest gibt es das Forum und das Wiki

• bringt Docker mit GUI (Portainer) gleich mit (hier gibt es aber auch Negativpunkte - s.u.)

• Leichtes Updaten der Komponenten und Firmware

• die neue Visu ist sehr gut und detailverliebt gestaltet (WAF ist sehr hoch )
  (WAF == Women approval Faktor == Meine Frau findet es gut und nutzt es sehr gerne)

2. Was ich weniger gut finde:

• Software hinkt zu stark hinterher
  • Grundsystem ist Debian Stretch (9.13) => Support ist hier seit 30. Juni 2022 eingestellt (Debian 10 (Buster) seit 30. Juni 2024)
  • InfluxDB ist auch noch auf V1.8 (v2 ist aktuell)

  Code: Alles auswählen

  Normalerweise kann man auch alte Versionen nutzen, wenn man diese sauber isoliert (VLAN, Firewall usw.)
           Dies ist im Falle des TWS aber kaum möglich, da die meisten Dienste (z.b. Docker, IFTTT, NTP) Internet benötigen
           Die wenigsten haben eine große Infrastruktur mit Firewall, VLANs und Netzsegmentierung
           -> Daher ist der TWS als System anzusehen, welches mit dem Internet kommuniziert und daher auch aktuell sein MUSS
           Updates beheben ja auch Sicherheitslücken und in den Patchnotes werden diese dann meist erwähnt...

  • Die "Bevormundung" der User
    • die Portainer-GUI ist so abgespeckt, dass man sehr umständlich Konfigurieren muss
      Bsp:
      • VLAN-Unterstützung gibt es - ist aber nicht dokumentiert oder sichtbar (Networkoptions -> "parent" == "eth0.<vlan-id>" (nur mit aktiviertem MacVLAN und einem Entsprechend konfigurierten Switch dahinter))
      • Volume-Bind Option gibt es gar nicht - man kann nur Docker-Volumes rein reichen (was für die meisten Fälle ausreicht, aber eben nicht immer)
    • SSH auf das System gibt es nur in Form eines Containers der die Volumes der anderen Container reingereicht bekommt
    • Daten an die interne Influxdb können nicht direkt übergeben werden (auch nur per Docker-Container)
      (Hier lass ich mich aber gerne eines Besseren belehren, falls es doch geht)

3. Vorschläge für die Zukunft

• Software aktueller halten (1-2 mal im Jahr sollte man schon mal updaten)

• Gebt Usern die Möglichkeit selbst zu entscheiden
  Wenn auch mit Hinweis wie "Dies ist eine Expertenoption. Falls Ihr Gerät dadurch Schaden nimmt, erlischt Ihr Support!" o.ä.

• Konfigurationsänderungen nur mit Extra Button bootfest machen

  Code: Alles auswählen

  Bei Switchen ist das meistens so:
          - Ich mache eine Änderung und diese wird sofort aktiv
          - Wenn ich dabei was falsch gemacht habe (und mich aussperre) kann ich immernoch 
            den Stecker ziehen und die vorherige Konfig wird geladen
          - Um Änderungen Bootfest zu machen, muss man die neue Konfig aktiv speichern/übernehmen 
            (den Button kann man ja ROT machen, wenn ungesicherte Änderungen existieren)
            (Falls da User meckern das sie vergessen haben zu speichern - das vergessen die nur ein oder zwei Mal  :D )
           => Das ist dann eine Unterscheidung zwischen running-config (die Live bearbeitet wird) und eine 
                boot-config (die beim Booten geladen wird)
              Beim Übernehmen wird die running-config in die boot-config übertragen

• Trennung Konfigurations-GUI und der Visu-Profile per URL und Port
  • Bsp: Meine Frau braucht nur die Haupt Visu und nicht die Adminoberfläche -> also könnte die ja auf Port 10443 zugreifen (dann müsste ich nur den Port freigeben, aber auf die Admin-GUI (443) hat ihr Handy keinen Zugriff)
  • Die Gast-Visu kann ich per Port 11443 verfügbar machen - Ich will ja nicht das unsere Gäste die Heizung regeln oder für sie uninteressante Infomationen sehen
  • Da aktuell aber alle Profile per :443/visu erreichbar sind, kann man hier nichts unterscheiden (vor allem nicht, aus welchem Quell-LAN man kommt und was man dann angezeigt bekommt)

• Bitte gebt die eigene CA auf...nutzt LetsEncrypt oder eine etablierte CA
  • Wenn ich meinen Gästen die Visu auf das Handy geben will, müsste ich denen jedes Mal das TWS-CA Zertifikat installieren, was aber eher ungünstig ist
    (Und Nein, Fehlermeldung wegklicken ist keine Option - User sollten NIE dazu erzogen werden, Fehler zu ignorieren...denn dann machen die das immer...)

• Gebt die Möglichkeit Backups automatisiert auch nach extern (SFTP, SMB o.ä) zu erstellen
  • Ein tägliches Backup auf eine NAS lässt einen viel ruhiger schlafen
    (Falls es das schon gibt und ich diese Option übersehen habe dann ignorieren)

• SMTP Benachrichtigungen (E-Mail) mit internem Mail-Server wäre schön

• Dokumentiert Docker und Portainer im Wiki... (oder bin ich blind und habs übersehen?)
  • MacVLAN
  • Networks
  • Volumes
  • Dockerhub Login (oder gibts das bereits?)
  • => Alles aus dem Forum zu suchen ist echt mühsam

Ok, das waren meine Eindrücke, Probleme und Wünsche nach 2 Jahren mit dem TWS.
Wenn Ihr bis hierher gelesen habt...Glückwunsch.

Bei Antworten bitte sachlich und fachlich bleiben.
Antworten wie "Aber iob/ha/oh sind besser und können das auch alles..." bitte woanders ausdiskutieren. Das ist hier nicht das Thema.

Schöne Woche noch und überhitzt nicht (bei dem Wetter schwer...)

Viele Grüße
Prothi

[Sun1453]

Danke für die klare und konstruktive Einschätzung.

[gbglace]

Hi Prothi,

ja guter Beitrag.

Diskussionen wegen Aufwand und Zeit und Abwägung daher warum einiges noch nicht aktualisiert wurde, wurde ja schon in anderen Threads diskutiert. Das Bewusstsein ist vorhanden.

Die Hinweise von wegen das ist ein Expertenknopf damit erlischt der Support, sind nett, werden aber ignoriert werden und dann dennoch Support gefordert. Alles schon erlebt mit entsprechend schlechter Presse Beiträgen hier im Forum oder anderen Plattformen. Ich denke auf solche Risiken wird sich Elabnet vorläufig nicht einlassen. Der TWs hat da schon ein ziemliches Alleinstellungsmerkmalen im vergleich zu anderen Herstellern home-Servern.

Ich habe deutlich weniger Ahnung vom Container-Handwerk und bin einfach froh einfache Sorten derer auf dem TWS laufen zu lassen. Für weitere Sachen würde ich dann auch eine separate Kiste aufsetzen, da mir einfach der TWS in seiner Rolle im Haus zu wichtig ist, als das ich da dann solche Funktionen drauf laufen lassen würde.


Ich glaube das mit der Visu sollte sich etwas entschärfen, wenn noch eine Benutzersteuerung hinzukommt.

Ich will am Handy die Visus nicht per IP-Adresse:Port-Nummer aufrufen. Und eine Sicherheit ist das ja auch nicht. Spielst an der Portnummer in der URL und schon hast auch wieder die anderen Seiten auf dem Schirm.

Hat man so eine Visu in einem Ferienhaus, ja dann haben auch Gäste diese Visu auf dem Schirm, das sollte sich dann aber auch über eine geeignete Benutzersteuerung steuern lassen, die dann die Zugriffe auch nur über ein definiertes Zeitfenster zulässt (gebuchter Urlaub).

Besuch einfach so im Haus, bekommt maximal noch nen key zum Gäste-WLAN. Da gibt es aber keine Visu vom TWS. Ich wüsste ehrlich auch nicht wozu ein Gast eine Visu auf seinem Handy von meiner Haussteuerung haben sollte.

[AndererStefan]

Hi,
ich finde deine Rückmeldung sehr ehrlich und konstruktiv.

Zu der Sache mit den Zertifikaten und let’s Encrypt gabs schon mal eine Erklärung von Elabnet: Das Problem ist: dazu müsste der TWs über das Internet erreichbar sein um die Domain zu verifizieren. - Das das möchte nicht jeder.

[Protheus]

...
Ich will am Handy die Visus nicht per IP-Adresse:Port-Nummer aufrufen. Und eine Sicherheit ist das ja auch nicht. Spielst an der Portnummer in der URL und schon hast auch wieder die anderen Seiten auf dem Schirm.

IP-Adresse:Port ist ja nur notwendig, wenn du einen anderen Port als 443 nutzt (https impliziert diesen Port wenn nicht anderes angegeben wird)
Wenns die Firewall oder der Router nicht erlaubt, kannste da rumspielen wie du willst...da kommt nix anderes

Benutzerkontensteuerung ist zwar eine gute Sache, aber wesentlich unsicherer als eine Netztrennung.

Bsp: wenn meine (nicht unbedingt technikaffine) Schwiegermutter zu uns zu Besuch kommt, kann die ja einen Trojaner, den sie sich mal auf dem Handy eingefangen hat in mein Gast-Wlan verbinden. Der Typ am anderen Ende des Trojaners weiß ziemlich genau wie man sowas knackt und wenn alles auf 443 läuft, isser auch in der Konfig drin.

Hat man so eine Visu in einem Ferienhaus, ja dann haben auch Gäste diese Visu auf dem Schirm, das sollte sich dann aber auch über eine geeignete Benutzersteuerung steuern lassen, die dann die Zugriffe auch nur über ein definiertes Zeitfenster zulässt (gebuchter Urlaub).

Besuch einfach so im Haus, bekommt maximal noch nen key zum Gäste-WLAN. Da gibt es aber keine Visu vom TWS. Ich wüsste ehrlich auch nicht wozu ein Gast eine Visu auf seinem Handy von meiner Haussteuerung haben sollte.

Genau das ist ja bei mir der Fall.

Ich habe, vereinfacht dargestellt, ein IOT-Netzwerk und ein Gäste-Netzwerk
Der TWS steht im IOT-LAN und die Gäste kommen...ins Gäste-LAN.
Ich habe eine Firewall zwischen den Netzen, die ich so konfigurieren kann, dass man aus dem Gäste-LAN NUR auf ein bestimmtes Gerät mit einem bestimmten Port zugreifen kann.

Wir wohnen weit weg von unseren Familien und wenn die zu Besuch kommen dann meist für mehrere Wochen.
Gerade bei den älteren Bereichen unserer Familien, ist das Technikverständnis sehr gering. Daher fühlen die sich mit Ihren eigenen Geräten einfach wohler. Meist ist der Gedanke bei nem fremden Gerät: "Ich traue mich nicht, weil ich könnte ja was kaputt machen!" (Können sie nicht, aber erkläre das 50 Mal...)
Da spielt die Psyche und Verständnis mit rein. Nur bunte Bildchen und aussagekräftige Bezeichnungen reichen leider nicht immer aus
Trotzdem mach ich ein hübsches Display mit bunten Bildchen an die Wand

Anwendungsfälle sind Klimaanlage, Lüftung, Licht und Rollo. Das dürfen die in gewissen Rahmen schon selbst steuern.

Viele Grüße
Prothi

[cybersmart]

Let‘s encrypt wäre schon gut möglich und automatisierbar, es wird lediglich eine ausgehende Internetverbindung benötigt (DNS Challenge DNS-01). Da liese sich schon was umsetzen und auch ermöglichen eigene Domains dann zu nutzen (iVm intern DNS Server), aber Elabnet hat derzeit vermuutlich ganz andere Prioritäten und das ist auch ok so.

Ich habe den TWS hinter einem Traefik Proxy mit Lets Encrypt Zertifikaten so wie meine anderen Webdienste auch und bin damit nicht mehr vom Elabnet Zertifikat abhängig sondern nutze meine eigene Domain mit Hostnamen tws.local.cybersmart.eu mit öffentlichem Zertifikat aber ohne, dass irgendwelche Daten über das Internet gehen müssen. So eine Umsetzung auf dem TWS wäre schon auch charmant.

[Parsley]

Danke @Protheus für deinen Beitrag.

Die VLAN-Fähigkeit war mir so noch gar nicht bewusst. Das könnte noch mal nützlich für mich werden.

Bezüglich Updates und automatischen Backups auf externe Laufwerke gebe ich dir recht und auch das CA-Thema bleibt hoffentlich nicht auf ewig so.
@cybersmart, lässt sich deine Lösung so „nachbausicher“ beschreiben, dass ich es auch als Semi-Laie dauerhaft sicher und ohne viel Pflege betreiben könnte?

Den Vorschlag die Visu auf einem anderen Port zu habe und somit einfache Firewall regeln von besseren Router nutzen zu können finde ich super.

Die Idee Änderungen nur auf Knopfdruck bootfest zu machen kenne ich zwar von z.B. Cisco. Aber da der TWS auch diverse Anteile „fremder“ Software enthält, wird das für den TWS kaum umsetzbar sein.

Was ein „freieres“ Docker oder einen „Auf eigenes Risiko“-Knopf angeht, bin ich anderer Auffassung: Der TWS sollte so robust wie möglich sein. Als Docker-Newbee habe ich in einem beschränkten System weniger Hemmungen mal was auszuprobieren. Und für Elabnet lässt sich der Supportaufwand reduzieren, wenn man nicht gleich alles kaputt machen kann.

Beim Thema Doku stimme ich zu: Doku ist nie fertig und lässt sich immer verbessern. Das ist beim TWS natürlich nicht anders.

Schöner Beitrag

[Protheus]

@Parsley

Danke für das Feedback (auch an alle anderen Poster hier).

Die Lösung von cybersmart ist eine der gängigen LetsEncrypt Implementierungen und die läuft einwandfrei ohne weiteres zutun.
Aus Sicherheitssicht (Berufsparanoia ) sehe ich das aber eher als nicht so schöne Lösung an.

Prinzip: Du gibst der LetsEncrypt Instanz bei Dir (certbot bzw. acme) einen Schreibzugriff auf das Konto bei Deinem Domänenprovider (IONOS, Telekom usw. usf.) In den Eintrag der gewünschten Domain wird ein Texteintrag erstellt der von LetsEncrypt beim ausstellen überprüft wird. Bei Aktualisierung wird der Eintrag einfach aktualisiert.
Im Grunde ist es das Selbe, wie wenn die Datei auf deinem Client liegt und du einen Portforward auf Port 80 deines Geräts machen musst.
Allerdings hat der Client dann Schreibzugriff bei deinem Domainprovider...

Zum Thema Expertenmodus:
Robustheit Ist absolut richtig. Mir geht es auch eher um eine Entscheidung der User.
Die Funktion könnte man ja auch nur mit einem Extra-Key freischaltbar machen oder was ähnliches.
Für die Leute, wo das System im Grundzustand ausreicht, muss der Expertenmodus nicht verfügbar sein. (Und wenn man keine Ahnung hat, sollte man eh die Finger davon lassen. Blind ohne Verstand eine Anleitung nachklickern, sollte man eh nie tun)

Viele Grüße
Prothi

[jhaeberle]

Hallo Uwe,

Ich habe den TWS hinter einem Traefik Proxy mit Lets Encrypt Zertifikaten so wie meine anderen Webdienste auch und bin damit nicht mehr vom Elabnet Zertifikat abhängig sondern nutze meine eigene Domain mit Hostnamen tws.local.cybersmart.eu mit öffentlichem Zertifikat aber ohne, dass irgendwelche Daten über das Internet gehen müssen. So eine Umsetzung auf dem TWS wäre schon auch charmant.

Hast du Traefik auf dem TWS Portainer am Laufen oder außerhalb? Wenn du das auf dem TWS hast, könntest du bitte dein Vorgehen teilen?

Danke, Gruß
Jochen

[cybersmart]

Hi zusammen,

die Anmerkung von @Protheus ist korrekt, man gibt einem Stück Software dem man vertrauen muss Schreibzugriff (API Zugriff) auf den DNS und das ist wie alles eine Abwägungssache. Lässt sich aber auch monitoren.
Auch bei mir ist der berufliche Hintergrund Cybersecurity und manches würde man gerne anders lösen aber es sind eben Kompromisse erforderlich.

@Parsley Generell könnte man die Lösung einfach nachbauen, aber Traefik ist schon mächtig und man muss neben dem Bertieb des Traefik-Proxy seine Domain bei einem unterstützen Provider mit API Zugriff haben (bzw. genauer gesagt den Nameserver und diesen selbst verwalten können). Auch kein Hexenwerk aber am Anfang sicher erstmal steinig der Weg.

Wenn es einmal eingerichtet ist braucht es aber fast keine Pflege mehr, da die Zertifikate alle 90 Tage automatisch erneuert werden. Ausserdem kann man direkt andere Webdienste zu Hause auch damit mit TLS Zertifikaten versorgen (bei mir NAS, X1, S1, node-red, Home Assistant, etc).
Für den gesicherten Fernzugriff nach Hause nutze ich bei IONOS einen 1€/Monat Server als Wireguard Gateway in meine Home DMZ und firewallkontrolliert bzw. über den Traefik Proxy in der DMZ dann für Zugriff auf TWS und die VISU im internen Netz). Mein S1 ist nur noch ein Backup-Gateway ins Heimnetz derzeit.

Wie gesagt leider eher nichts für normale User aber es wäre „paketierbar“ und als Lösung anbietbar.

@jhaeberle Ich nutze es auf einem eigenen Linux mit Docker in meiner DMZ, wo auch mein Wireguard Tunnel terminiert, nicht auf dem Docker des TWS, da man doch einiges konfigurieren muss. Aber generell könnte Elabnet natürlich mit LetsEncrypt und ggf auch Traefik als Proxy eine integrierte Lösung bauen, nur ist das aktuell m.E. definitiv nichts wo man bei Elabnet Zeit drauf einsetzen sollte, die Prios müssen anders liegen.
Die Community könnte natürlich eine Raspi Lösung „bauen“ aber das wäre schon zeitlich aufwändig das auch zu maintainen.

VG

Uwe