A Szélessáv SmartHome firmware-be előre telepített Domoticz rendszerben megtartottuk az eredeti első belépési beállítást.
Az első bejelentkezéshez használható adatok:
Nagyon fontos, hogy ezeket az adatokat az első belépés után azonnal megváltoztassuk.
Mivel az alapértelmezett felhasználónév és jelszó nyilvánosan ismert, ezek változatlanul hagyása komoly biztonsági kockázatot jelent. Ha valaki hozzáfér a Domoticz kezelőfelületéhez, az okosotthon rendszerünk jelentős részét is vezérelheti.
Ezért ajánlott már az első belépéskor az admin felhasználó bejelentkezési nevét és jelszavát is megváltoztatni.
A Domoticz alapértelmezésben a helyi hálózatról érhető el. Ha a kezelőfelülethez az internet felől is közvetlenül hozzá szeretnénk férni, ehhez az OpenWrt tűzfalán külön szabályt kell létrehozni.
Ez a router kezelőfelületén a:
Hálózat → Tűzfal → Forgalmi szabályok
menüpont alatt állítható be.
Fontos: a Domoticz internet felé történő közvetlen megnyitása növeli a rendszer támadási felületét. Ilyen hozzáférést csak megfelelő felhasználónévvel, erős jelszóval és lehetőség szerint kétfaktoros hitelesítéssel használjunk.
A bal alsó Hozzáadás gombbal hozzunk létre egy új forgalmi szabályt.
Az Általános beállítások alatt adjunk nevet az új szabálynak, például:
Domoticz
A Protokoll mező maradhat TCP és UDP beállításon, de a Domoticz webes felületéhez alapvetően csak TCP szükséges.
A Forrászóna legyen:
WAN
Ez jelenti a külső, internet felőli hálózati kapcsolatot.
A Forráscím mezőt üresen hagyhatjuk. Ebben az esetben a Domoticz bármilyen külső IP-címről elérhető lesz.
Biztonságosabb megoldás, ha itt egy vagy több engedélyezett IP-címet adunk meg. Ebben az esetben a tűzfal csak ezekről a címekről engedi a kapcsolatot.
Ez azonban mobiltelefonos használatnál sokszor nem praktikus, mert a mobilinternet szolgáltató által kiosztott külső IP-cím rendszeresen változhat.
A Forrásport maradjon üres. A külső kliens forrásportját nem szükséges korlátozni.
A Célzóna beállítása különösen fontos. Ezt állítsuk:
Eszköz bemenet
Ebben az esetben ugyanis nem a belső hálózat valamely másik eszközére továbbítjuk a kapcsolatot, hanem magának az OpenWrt routernek egy szolgáltatását szeretnénk elérhetővé tenni.
A Célcím maradjon üres.
A Célport alapértelmezésben:
8080
Ha a Domoticz portját nem módosítottuk, a webes kezelőfelület ezen a porton érhető el.
A Művelet legyen:
Elfogadás
Ezzel engedélyezzük a fenti feltételeknek megfelelő bejövő kapcsolatokat.
A szabály beállítása után először mentsük el a módosításokat.
Fontos: ettől az új tűzfalszabály még nem feltétlenül lép azonnal működésbe.
Az oldal alján található Mentés és alkalmazás gombbal az új tűzfalszabályt érvényesíteni is kell.
Ennek megtörténte után a Domoticz kezelőfelülete már az internet felől is elérhetővé válhat a router külső IP-címén és a beállított porton keresztül.
A közvetlen internetes elérés kényelmes, de azt is jelenti, hogy a Domoticz bejelentkezési felülete az internet felől elérhetővé válik.
Ezért ilyen konfiguráció esetén különösen fontos:
A Domoticz távoli elérésének biztonságosabb módja a VPN-kapcsolat használata.
VPN-en keresztül a telefonunk vagy számítógépünk úgy kapcsolódhat az otthoni hálózathoz, mintha fizikailag otthon lenne. Ebben az esetben a Domoticz kezelőfelületét nem szükséges közvetlenül megnyitni az internet felé.
Ez jelentősen csökkenti annak lehetőségét, hogy külső támadók közvetlenül elérjék a Domoticz bejelentkezési felületét.
Ha nincs kifejezett szükség közvetlen internetes hozzáférésre, távoli használathoz elsősorban a VPN-kapcsolatot javasoljuk.
