Einfacher SSH-Tunnel mit neuem CCU2 Add-On (BETA)

[Jürgen Weiß]

Einfacher SSH-Tunnel mit CCU2/CCU3 Add-On

Ab sofort kann HomeKey mittels einfachem SSH-Tunnel direkt mit der CCU2/CCU3 auch von unterwegs gesteuert werden.

Disclaimer: Wir übernehmen keine Haftung für Schäden, die aus der Nutzung der App oder des Add-Ons entstehen können!

Voraussetzungen:

• CCU2 oder CCU3
• Internetrouter, der "DynDNS" und Portweiterleitungen beherrscht
• Offizielle IP-Adresse oder DynDNS-Account
  
• Firewall-Freischaltungen auf der CCU

Anleitung:

Das anhängende Add-On für die CCU2/CCU3 herunterladen und in der Homematic Zentrale unter Systemsteuerung => Zusatzsoftware hochladen und installieren (vorher NICHT entpacken!).

Falls kein Reboot angeboten wird, noch die Zentrale neu starten (das ist u.A. bei aktuellen Versionen von z.B. Raspberrymatic der Fall!).


Nun findet sich in der HomeKey App unter Einstellungen eine neue Einstellung "Tunnel automatisch einrichten".
Durch diesen generiert die App einen neuen 2048bit RSA-Schlüssel und versucht sich mit neu installierten Add-On der CCU zu verbinden und den öffentlichen Schlüssel dorthin zu übertragen, damit dieser als authorisiertes Gerät einen Tunnel aufbauen kann.
Wichtig: zu diesem Zeitpunkt muss sich das Smartphone im Netzwerk der Homematic Zentrale befinden.

Als SSH-Hostname kommt die öffentliche IP-Adresse oder der DynDNS Hostname hinein, gefolgt von einem Doppelpunkt und dann der Port 922.
Beispiel: zuhause.dyndns.org:922


Nun muss nur noch der Port 922 im Router auf die Zentrale weitergeleitet werden.
Wie das funktioniert, kann in der Anleitung des jeweiligen Routers nachgelesen werden.

Firewalleinstellungen:

Sollte in CCU eine Firewall aktiv sein (Einstellungen => Systemsteuerung => Firewall), so bitte die folgenden Ports freischalten:

7;
922;
8183

Wenn unter "Remote Homematic Script-API" der Modus "Eingeschränkt" ausgewählt wurde (empfohlen), dann muss bei den IP-Adressen für den eingeschränkten Modus entweder das Heimnetz (z.B. 192.168.0.0/16) oder zumindest die IP-Adresse des/der Smartphones eingetragen werden (mehrere Einträge durch Semikolon getrennt).

Schlüssel verwalten:

Die freigeschalteten SSH Public-Schlüssel können bei Bedarf direkt auf der CCU unter /usr/local/addons/homekey/authorized_keys entfernt werden.

Wünsche oder Anregungen können an diesem Thread mitgeteilt werden.
Wir freuen uns über jedes Feedback!

[jensp...@gmail.com]

Funktioniert das Ganze nur mit dem DNS Dienst von Dyn oder auch mit alternativen Anbietern, z.B. selfhost.eu?

[Jürgen Weiß]

Das hängt vom Router ab und weniger von der App.
Die App nimmt jeden Host. DynDNS steht bei mir als synonym für den dynamischen DNS Service und steht nur zufällig in Verbindung mit dem gleichnamigen Anbieter.

Viele Grüße,
Jürgen Weiß

[boris.k...@gmail.com]

Hallo,
ich bekomme die SSH Verbindung mit dem Addon und Android 6.0.1 nicht mehr hin. Bei der Einrichtung bleibt er bei "interner Test des Tunnels" stehen und macht nicht weiter.
Hat das hier jemand unter Marshmallow am laufen?

Gruß
Boris

[Jürgen Weiß]

Hallo Boris,

mich würde auch interessieren, ob das bei allen Android 6.x auftritt oder nur bei einzelnen Herstellern.
Was für ein Gerät nutzt Du?
Leider kann ich das aktuell nicht testen, da ich (noch) kein Gerät mit Mashmallow habe. Aber das soll sich ja jetzt ändern (Galaxy S6).

Viele Grüße,
Jürgen

[ffran...@gmail.com]

Ich füge mich mit Interesse ein auf einem NExus 6 unter 6

[Jürgen Weiß]

Hallo Frank,

vielen Dank - und mit welcher Erkenntnis - das der Tunnel damit funktioniert oder nicht funktioniert?

Viele Grüße,
Jürgen

[boris.k...@gmail.com]

Hallo,
das Thema hat sich für mich erstmal erledigt weil ich wieder auf Lollipop zurück gegangen bin. Ich hatte das "Resurrection Remix" Rom auf einem Galaxy S4 - war aber dann doch nicht das was ich suchte. Jetzt geht wieder alles;-)

Gruß
Boris

[Frank D]

Moin und Hallo!

Es funktioniert nicht.
Ich spiele noch etwas.

[Jürgen Weiß]

Ich habe nun etwas testen können:
Galaxy S6 mit Android 6.0.1 (Stock Rom): SSH-Tunnel funktioniert;
Galaxy S2 mit Android 6.0.1 (CM 13): SSH-Tunnel hängt beim internen Test nach Abfrage ob dem Host vertraut werden soll (Tunnel funktioniert nicht);

Offenbar haben die verschiedenen Roms unterschiedliche Ansichten von Sicherheit. Aktuell kann ich leider nicht ergründen, warum es bei dem einen funktioniert und beim anderen nicht trotz identischer Android-OS Version. Scheint kein generelles Problem zu sein...

[bernhard....@gmail.com]

Hallo,
habe ein Galaxy S7 mit Android 6.0.1 und dort funktioniert der Tunnel auch nicht,
bleibt beim Internen Test des Tunnels hängen.

LG

[nap...@gmail.com]

Hallo.
Das gleiche bei mir, hab mir gestern ein Samsung X Cover 3
Aneroid 6.0.1 zugelegt.
Echt Schade das der SSH Tunnel nicht mehr klappt.
Vielleicht kann Jürgen das Problem irgendwie lösen

LG michael

[bernhard....@gmail.com]

Hallo,

vielleicht kann Jürgen auch einen Zugang per CloudMatic in seine App einfügen, da
es ja anscheinend jetzt immer öfter mit Android 6.0.1 und dem SSH Tunnel nicht klappt.

LG
Bernhard

[Jürgen Weiß]

Hallo zusammen,

ich habe heute eine neue Version hochgeladen - schaut mal bitte, ob der SSH-Tunnel nun bei euren Android 6 Geräten funktioniert.

Das Problem war leider extrem schlecht zu testen, da der SSH-Test im Entwicklermodus immer durchgelaufen ist, nur in der im Play-Store hochgeladenen Version nicht.

Viele Grüße,

Jürgen

[Jürgen Weiß]

@Bernhard, ich habe bei CloudMatic angefragt ob die Möglichkeit besteht eine Verbindung von HomeKey via CloudMatic zu ermöglichen.

Sobald ich nähere Informationen dazu habe und diese in HomeKey integrieren konnte, werde ich ein entsprechendes Release veröffentlichen.

Ich kann allerdings nichts versprechen, da ich nicht sicher bin ob CloudMatic mit der RegaHss API der CCU arbeitet oder über ein eigenes Protokoll.

Viele Grüße,

Jürgen

[bernhard....@gmail.com]

Hallo Jürgen,

Habe soeben deine neue Version mit Erfolg getestet, SSH funktioniert wieder.

Vielen Dank für deine Bemühungen.

LG Bernhard

[ralf...@googlemail.com]

Hallo,
habe die neue Version mit einem Galaxy S7 ausprobiert.
Jetzt funktioniert es.
Super

Gruß Ralf

[nap...@gmail.com]

Hallo Jürgen.
Danke für deine mühe auch bei meinem Samsung X Caover3
Klappt's wieder.
LG Meike

[jens.be...@googlemail.com]

Moin, wird noch am Tool gearbeitet um die Schlüssel einfacher zu verwalten?

Ich interessiere mich sehr für diese Funktion.

Soweit Lauf bei mir alles gut. Weiter so

Mfg
Jens

[Jürgen Weiß]

Hallo Jens,

mangels Zeit kann ich mich derzeit leider nicht über das Interface machen, deshalb steht da noch immer "Coming soon" :(

Du kannst die zugelassenen Schlüssel aber natürlich jederzeit bereinigen.

Editiere hierzu einfach die folgende Datei in Deiner CCU:

/usr/local/addons/homekey/authorized_keys

Da stehen die Keys Zeile für Zeile drin. Der jeweilige Eintrag lässt sich am Ende einer Zeile mit dem Gerätetyp, Datum der Anlage und der IMEI überprüfen.

Viele Grüße,

Jürgen

[jens.be...@googlemail.com]

Wird der SSH-Tunnel zukünftig auf dem RaspberryMatic laufen? Leider läuft dies bei mir nicht:(

Mit freundlichen Grüßen

[Jürgen Weiß]

Läuft mit YAHM auf dem Pi problemlos.

Viele Grüße,
Jürgen

[jens.be...@googlemail.com]

Ich nutze RaspberryMatic Beta4.
Und wenn ich ein Schlüssel generieren will sagt er "Internet Test des SSH-Tunnel" Auth fail.

Vieleicht kannst du mir sagen woran es liegt

Mit freundlichen Grüßen

[jens.be...@googlemail.com]

Ich habe einmal in den Logs geschaut was er mir ausspuckt, warum es nicht geht

ich bekomme dieses hier gemeldet

Mar 28 18:20:50 homematic-raspi auth.info sshd[21786]: reprocess config line 4: Deprecated option RSAAuthentication
Mar 28 18:20:50 homematic-raspi auth.info sshd[21786]: Invalid user default from 192.168.179.24 port 51015
Mar 28 18:20:50 homematic-raspi auth.info sshd[21786]: input_userauth_request: invalid user default [preauth]
Mar 28 18:20:50 homematic-raspi auth.err sshd[21786]: error: Received disconnect from 192.168.179.24 port 51015:3: com.jcraft.jsch.JSchException: Auth fail [preauth]
Mar 28 18:20:50 homematic-raspi auth.info sshd[21786]: Disconnected from 192.168.179.24 port 51015 [preauth]

[ostsee...@gmail.com]

Als SSH-Hostname kommt die öffentliche IP-Adresse Welche IP-Adresse ist gemeint die von der CCU? Ich habe auch Androit 6.0 aber der interne Test des SSH unnels schlägt fehl

[Frank Dunst]

Moin,

kam von deren Seite etwas?

Gruß
Frank

[crac...@googlemail.com]

Hallo Jürgen,
zunächst: TOLLE APP !! Nutze sie bereits lange, und möchte sie nun gern (wegen Ring Doorbell Pro) auch von extern nutzen können.
Habe das Addon auf mein Raspimatic gepackt und hänge nun an "Nun muss nur noch der Port 922 im Router auf die Zentrale weitergeleitet werden".
Eine extern erreichbare "DynDNS" Variante hatte ich bereits eingepflegt.
Zunächst: "Zentrale" = Raspimatic?
Ich bin (FritzBox 6490 cable) zur Portfreigabe gekommen. Muss teils per Drop-Down folgendes angeben und weiss leider nicht was:
- Anwendung
- Protokoll
- Port an Gerät --- bis Port
- Port extern gewünscht (IPv4)
- Freigabe aktivieren
- Internetzugriff über IPv4 und IPv6
- Internetzugriff über IPv4
- Internetzugriff über IPv6

Danke für jegliche hilfe,
Natalie

[Jürgen Weiß]

Hallo Natalie,
Protokoll ist TCP,
Port von bis ist jeweils 922
Port extern ist 922 (oder was auch immer Du nach extern haben möchtest - das trägst du dann hinter deine dyndns Adresse mit Doppelpunkt ein, z. B. meinrouter.myfritz.net:922).
Und natürlich den Haken bei Freigabe aktivieren.

Viele Grüße,
Jürgen

[Jürgen Weiß]

Ich habe mal das aktuelle Addon im Eingangsthread hochgeladen.

Bitte testet das mal unter CCU3 und gebt bitte Feedback, ob das bei jedem Nutzer so unter CCU3 funktioniert.

Danke für euer Feedback!

[dreamscoutm]

Hi.

Habe mehrmals versucht das CCU3 Addon zu installieren. Habe ja uch schon einige drauf und weiß wie es geht. Jedoch wird es nach der installation nicht angezeigt.

Grüße

Andi

[Jürgen Weiß]

Hallo Andi,

bitte teste es nochmal mit dem anhängenden Addon.

Viele Grüße,
Jürgen

[Mi...@el-mauer.de]

Hallo zusammen,

geht das Addon bei jemand mit CCU3 ?

Bei mir hat die Installation geklappt, wird in der CCU3 angezeigt, ich bekomme aber beim Einrichten des Tunnels in der App einen Fehler:

Schlüssel generieren  OK

Auf CCU kopieren  OK

Interner Test des SSH-Tunnels   FEHLER

Auth fail

Vielleicht hab ich auch was falsches als Username und Password eingetragen... Ganz genau weiß ich nicht, was da rein soll...

Der Key wird auf jeden Fall richtig übertragen auf die CCU3 , das habe ich per FTP nachkontrolliert. Und für jeden Versuch bekomme ich eine neue Zeile in der Datei mit den Keys.....

Jemand eine Idee ?

Mike

[ostsee...@gmail.com]

Bei mir ist es genauso ich habe es auch nicht hinbekommen.

[Jürgen Weiß]

Hallo Mike,

das tut mir leid, dass das Addon nicht funktioniert.

Kannst Du bitte mittels SSH auf der CCU mal folgende Befehle ausführen und testen, ob es dann direkt funktioniert?

grep -q default: /etc/passwd || echo "default:x:1003:1003:Default non-root user:/home/default:/bin/sh" >> /etc/passwd

grep -q default: /etc/group || echo "default:x:1003:" >> /etc/group

Diese beiden Zeilen kommen allerdings vom Install-Script, sollten demnach bei einer Installation auch ausgeführt werden... Hmm...

[Jürgen Weiß]

Bitte testet mal anhängendes Update des AddOns.

[dreamscoutm]

Hi Jürgen.

Hab das neue Addon 1.0.1. auf die CCU3 gepackt.

Beim SSH-Tunnel einrichten hängt es weiter bei "interner Test des SSH-Tunnels".

Die Befehle kann ich erst probieren wenn ich mal wieder zuhause bin.

Grüße und Danke

[Jürgen Weiß]

Mit welcher Fehlermeldung?

Hast Du das alte AddOn vorher deinstalliert oder einfach drüber installiert?

[dreamscoutm]

Beides.

Fehlermeldung siehe Foto.

War damals auch schon das gleiche Problem.

[Jürgen Weiß]

Das ist aber ein ganz anderer Fehler als der Genannte. "Auth fail" erscheint, wenn der passwd-Eintrag nicht vorhanden ist.

In Deinem Fall sieht mir das entweder danach aus, dass der sshd nicht gestartet wurde (wobei dann eher sowas wie connection refused kommen müsste) oder - und das ist eher meine Vermutung, dass die CCU3-Firewall den Port 922 nicht durchlässt.

Ist dieser Port in den Firewall-Einstellungen denn geöffnet?

Für das AddOn wird benötigt:

7;

922;

8183

[dreamscoutm]

Hab die Ports wieder eingetragen. Hatte ich rausgenommen.

Nun bekomme ich die Fehlermeldung Auth fail.

Grüße

[Jürgen Weiß]

Bitte nochmal das AddOn deinstallieren und neu installieren.

Geht es dann?

Falls nicht, versuche es mal über die beiden Befehle über die SSH-Konsole, aber schau bitte vorher mal rein:

cat /etc/passwd

Gibt es dort einen Eintrag "default"?

[dreamscoutm]

Werde ich nächste Woche probieren. Muss leider los :(

Vielen Dank für deine Hilfe!

Grüße

[Mi...@el-mauer.de]

Hallo Jürgen,

habe das neue Addon installiert... sogar 2x mittlerweile, denke du hast nur die Texte auf 1.01 nicht umgeändert, es wird noch mit 1.00 angezeigt

Auth fail bleib betehen.

bekomme folgende Antwort:

# cat /etc/passwd

root:x:0:0:root:/root:/bin/sh

daemon:x:1:1:daemon:/usr/sbin:/bin/false

bin:x:2:2:bin:/bin:/bin/false

sys:x:3:3:sys:/dev:/bin/false

sync:x:4:100:sync:/bin:/bin/sync

mail:x:8:8:mail:/var/spool/mail:/bin/false

www-data:x:33:33:www-data:/var/www:/bin/false

operator:x:37:37:Operator:/var:/bin/false

nobody:x:65534:65534:nobody:/home:/bin/false

avahi:x:1000:1000::/:/bin/false

dbus:x:1001:1001:DBus messagebus user:/var/run/dbus:/bin/false

sshd:x:1002:1003:SSH drop priv user:/:/bin/false

Mike

[Mi...@el-mauer.de]

Ach und das wird dich auch interessieren.... denke das könnte dann bei der Installation auch passieren:

# grep -q default: /etc/passwd || echo "default:x:1003:1003:Default non-root use

r:/home/default:/bin/sh" >> /etc/passwd

-sh: can't create /etc/passwd: Read-only file system

Mike

[Jürgen Weiß]

Na, dann kommen wir der Sache doch schon näher, danke für den Hinweis!

Ich habe mal ein paar Tests gemacht.

Jetzt sollte es funktionieren?!

[Mi...@el-mauer.de]

Hurra, 

ja es geht. Einrichtung funktioniert und auch außerhalb vom Home-Wlan hat der Tunnel sofort funktioniert.

Danke

Gruß

Mike

[dreamscoutm]

Bei funktioniert auch alles jetzt perfekt!

CCU3 und Homekey works!

Danke

[Thomas]

Hallo Jürgen Weiß

habe mir HomeMatic IP CCU3 Zugelegt.

Das Problem was ich habe wurde hier schon beschrieben, trotzdem funktioniert es nicht!

Bei "tunnel automatisch einrichten" bekomme ich immer noch die Meldung "interner Test Des SSH-Tunnels" Fehler.

 Alle Ports sind eingerichtet und die Weiterleitung auf der FritzBox auch.

komme jetzt nicht so richtig weiter.

LG  Thomas

[Jürgen Weiß]

Hallo Thomas,

ich habe Meldung von einem Nutzer erhalten, dass die aktuelle Version 2.49.18 wohl Probleme mit dem Addon macht, ein downgrade auf 2.47.20 hat die Funktion wieder hergestellt. Daher kann ich als kurzfristige Lösung nur auf den Downgrade auf diese Version verweisen.

Sobald ich eine neue Version vom Addon fertig habe, lade ich sie hier hoch.

Viele Grüße,
Jürgen

[Jürgen Weiß]

Ah, Kommando zurück, falsch gelesen - du hast ja ne CCU3....
Hmm 🤔

Internet Test prüft, ob die App auf den Port 922 der ccu IP zugreifen kann (also das Addon bzw. der modifizierte SSH Daemon läuft).
Hast Du diesen Port auch freigeschaltet?

Hast Du SSH Zugriff auf Deine Box und kannst mal prüfen, ob der ssh daemon hochgefahren ist (ps | grep homekey)?
Falls der daemon läuft, schau mal bitte ob der User "default" in der /etc/passwd enthalten ist (grep default /etc/passwd).

Das waren so die häufigsten Fehlerursachen.

Wenn das nichts hilft, schreibe bitte mal welche Version der CCU3 Firmware Du aktuell installiert hast. Vielleicht ist bei der neuesten Version ja auch eine Änderung an den Plug-ins vorgenommen worden (noch nicht geprüft, bei mir läuft noch 3.47.22, könnte aber aufgrund der Analogie zur 2er Firmware Version auch daran liegen).

Viele Grüße,
Jürgen

[Jürgen Weiß]

Kurzes Update für die Mitleser:

Das aktuelle AddOn funktioniert bei mir auch unter der aktuellen 3.49.17 (nach Upgrade sowohl nach Deinstallation/Neuinstallation des AddOns).

[soli...@googlemail.com]

Hi Jürgen

Es funktioniert  !!! Die IP  von meinen Handy war nicht eingetragen in der IP Freigabe.

vielen vielen Dank für die Mühe 5 Sterne bekommst du!!!

Nochmal vielen  Dank!!

[sash.br...@gmail.com]

Hallo,

kann ich den Tunnel auch auf mehreren Handys nutzen?

Muss ich hier irgendwo das Zertfikat von einen Handy auf das andere kopieren?

Oder kann der Tunnelendpunkt mehrere Zertifikate?

[Jürgen Weiß]

Hallo,

durch den Button in der App "Tunnel automatisch einrichten" wird auf dem Smartphone ein privater Key generiert und im privaten App-Bereich des Smartphones gespeichert. Der Public-Key wird dann auf die CCU übertragen.

Somit kannst Du das auf beliebig vielen Smartphones nutzen, die Zugriff auf Dein WLAN haben.

[Detlef Schmidt]

Hallo, ich bekommen auf meiner CCU2 die homekey-1.0.0.tar.gz nicht installiert. Die alt Version homekey_0.1_ccu2.tar habe ich vorher gelöscht. Die alte bekomme ich auch wieder installiert aber die neue nicht, was ist das Problem?

[Jürgen Weiß]

Hallo Detlef,

wird wahrscheinlich an einem Update der CCU2 liegen, das Addon wird für die CCU2 nicht mehr aktualisiert, weil ich keine CCU2 mehr zum Testen habe.

Versuch mal die Version der CCU3, sollte sich die CCU2 durch Updates dem Stand der CCU3 angenähert haben, so könnte diese Version funktionieren.

Ansonsten, wenn die 0.1 noch funktioniert, warum möchtest Du sie aktualisieren?

Viele Grüße,
Jürgen

[Detlef Schmidt]

Ah OK, ne die 01 geht nicht mehr. Ich war zwischenzeitlich bei Appel, jetzt wieder Android und habe an der CCu2 nicht verändert, deshalb wollte ich die Neuere ausprobieren.

Dann werde ich die 3er mal ausprobieren.

[detlefs...@gmail.com]

Hallo, ich muß nochmal nerveren.

Ich bin jetzt umgestiegen von der ccu2 auf ccu3, damit ich die App wieder zum laufen zubekommen.

Jetzt bekomme ich einfach keine SSh erbindung zustande. Diese Fehlermeldung bekomme ich.

java.net.ConnectException: failed to connect to /192.168.178.18 (port 922) from (port 34372) connect failed: ECONNREFUSED (Connection refused)

Möglicherweise wurde das HomeKey Addon auf der CCU nicht korrekt installiert!

Funktioniert das Addon im moment nicht oder liegt der Fehler bei mir.

[detlefs...@gmail.com]

So jetzt geht es, habe mal die aktuelle homekey-ccu3-1.0.3.tar.gz gegen die homekey-ccu3-1.0.2.tar.gz ausgetaucht und damit geht es.

Soll daas so sein?

[Jürgen Weiß]

Hast Du nach dem Einspielen der 1.0.3 die CCU nochmal neu gestartet oder ist das dann mit der Version 1.0.2 erst passiert?

Meiner Erfahrung nach muss die CCU nach der Installation des Addons (und dem darauf erfolgten Reboot) nochmal neu gestartet werden.

Warum das so ist, konnte ich noch nicht ausmachen....

[detlefs...@gmail.com]

Ich hatte das gestern eingerichtet, und habe auch mehrmals neu gestartet aber ging einfach nicht.

Heute nochmal mit befasst und durch zufall im Forum die vorige Version endeckt. Und ging sofort nach Reboot.