Erweiterte Netzwerkeinstellungen
Datennutzung
Tipp
Weitere Informationen zur Datennutzung des SmartgridOne Controller finden Sie unter Datennutzung.
Informationen zur Fehlerbehebung bei hoher Datennutzung finden Sie auch unter Fehlerbehebung – Datennutzung
Verkabelung
Informationen zur Verkabelung des Ethernet-Netzwerks finden Sie unter Richtlinien für Verkabelung & Konnektivität.
Sicherheitsrichtlinie
Sicherheitsrichtlinie: Download the PDF.
Firewall
Netzwerkports für ausgehende Verbindungen
Tipp
Die meisten Heimnetzwerke und Netzwerke kleiner Unternehmen erlauben standardmäßig alle ausgehenden Verbindungen. In diesem Fall müssen Sie nichts tun.
Der SmartgridOne Controller erfordert, dass ausgehende Verbindungen in der Netzwerk-Firewall über die folgenden Ports erlaubt sind:
- TCP-Port 80 & 443: Allgemeiner Port für die Internetverbindung. Ohne diesen Port kann der SmartgridOne Controller nicht funktionieren. Einige überwachte und gesteuerte Geräte verwenden Port 80 lokal für die Kommunikation, dieser Port wird jedoch im Allgemeinen nicht für die Internetkommunikation verwendet.
- TCP-Port 1194: Port für Remote-Service-Verbindungen für Updates, Diagnosedienste und Remote-Support. Der SmartgridOne Controller kann ohne diesen Port funktionieren, empfängt jedoch möglicherweise keine Updates und Remote-Support ist nicht möglich. Es wird empfohlen, diesen Port zu aktivieren. Sie können diesen Port in der Konfiguration des SmartgridOne Controller bei Bedarf auf Port 1192 oder einen beliebigen Port im Bereich von 35000 bis 40000 ändern.
- TCP-Port 1883 und 8883: Wird für MQTT verwendet; erforderlich, wenn der SmartgridOne Controller Live-Steuersignale empfangen können muss (z. B. bei der Kopplung mit den Energiemärkten für Imbalance / FCR!).
- UDP-Port 123: NTP-Port (Uhrzeit). Ohne diesen Port kann der SmartgridOne Controller seine interne Uhr nicht aktualisieren. Dies ist für eine ordnungsgemäße Kommunikation wichtig.
- ICMP-Echo (Ping): Der SmartgridOne Controller überprüft seine eigene Internetverbindung, indem es einige bekannte Hosts anpingt (siehe unten unter Konnektivitätsprüfung). ICMP ist ein eigenständiges Protokoll und kein TCP- oder UDP-Port, daher ist eine eigene Firewall-Regel erforderlich. Ohne diese sendet der SmartgridOne Controller weiterhin alle seine Daten, kann seine eigene Verbindung jedoch nicht bestätigen: Software ab Version 1.32 greift dann auf eine HTTPS-Prüfung der Cloud zurück, läuft normal weiter und zeigt den blockierten Ping als Warnung auf der Anmeldeseite an; ältere Software betrachtet den Controller als offline und startet ihn stündlich neu, um die Verbindung wiederherzustellen.
Warnung
Anwendungsinspektion / IPS an der Remote-Inbetriebnahmeschnittstelle Die Remote-Inbetriebnahmeschnittstelle erreicht den SmartgridOne Controller über einen OpenVPN-Tunnel zu vpn.eniris.be über TCP-Port 1194. Einige Unternehmens-Firewalls und mobile (private APN-)Netzwerke inspizieren den Inhalt erlaubter Verbindungen und verwerfen VPN-Protokolle stillschweigend, obwohl der Port selbst geöffnet ist: Die Verbindung wird geöffnet, aber das erste Paket des Tunnels kommt nie an. Stellen Sie sicher, dass die Verbindung vom SmartgridOne Controller zu vpn.eniris.be von Anwendungssteuerung, IPS und Deep Packet Inspection ausgenommen ist. Ein typisches Anzeichen ist ein SmartgridOne Controller, das seine Daten normal sendet, aber über die Remote-Inbetriebnahmeschnittstelle nicht erreichbar ist.
Konnektivitätsprüfung (ICMP)
Der SmartgridOne Controller prüft regelmäßig, ob er online ist, indem er eine ICMP-Echoanforderung (einen Ping) in der folgenden Reihenfolge an die aufgeführten Hosts sendet und beim ersten Host, der antwortet, abbricht:
- eniris.be
- authentication.eniris.be
- google.com
- time.sckcen.be
Es genügt, ICMP-Echoanforderungen und -antworten zwischen dem SmartgridOne Controller und eniris.be zuzulassen; die anderen Hosts dienen als Ausweichoptionen. Lassen Sie außerdem ICMP-Nachrichten Fragmentierung erforderlich den SmartgridOne Controller erreichen: Sie sind Bestandteil des normalen TCP-Betriebs, und Netzwerke, die sie verwerfen, verursachen ins Stocken geratene Verbindungen.
Warnung
Ein Netzwerk, das ICMP blockiert, sieht wie eine funktionierende Installation aus, ist es aber nicht Unternehmens-Firewalls und mobile (private APN-)Netzwerke verwerfen ICMP in Richtung Internet häufig. Alle Messwerte kommen dann weiterhin normal an, aber der SmartgridOne Controller kann seine eigene Verbindung nicht per Ping bestätigen. Software ab Version 1.32 greift auf eine HTTPS-Prüfung der Cloud zurück, bleibt online und zeigt Ping blockiert auf der Anmeldeseite an. Ältere Software meldet sich in der Konnektivitätsübersicht als offline und startet sich selbst neu, nachdem eine Stunde lang kein erfolgreicher Ping erfolgt ist, um eine ihrer Ansicht nach verlorene Verbindung wiederherzustellen – und wiederholt dies stündlich. Wenn ein SmartgridOne Controller Daten sendet, aber als offline angezeigt wird oder etwa einmal pro Stunde neu startet, überprüfen Sie zuerst die ICMP-Regeln des Netzwerks.
Netzwerkports für eingehende Verbindungen
Der SmartgridOne Controller erfordert keine geöffneten Netzwerkports für eingehende Verbindungen.
Warnung
Es wird dringend davon abgeraten und ist NICHT erforderlich, Ihre Firewall so zu konfigurieren, dass Portweiterleitungen eingerichtet oder eingehende TCP- und UDP-Verbindungen über die oben aufgeführten Ports zugelassen werden! Dies stellt ein erhebliches Sicherheitsrisiko dar.
Domain-Whitelist
Um nach zukünftigen Updates Konnektivitätsprobleme zu vermeiden, wird empfohlen, alle eniris.be- und eniris.io-Domains mit einem Wildcard-Eintrag auf die Whitelist zu setzen:
- *.eniris.be
- *.eniris.io
- a2j3w1vc0ecyne-ats.iot.us-east-1.amazonaws.com (Nur bei Verwendung von Yuso)
Mindestens die folgenden SmartgridOne-Domains werden derzeit vom SmartgridOne Controller verwendet:
- api.eniris.be - (Telemetrie & Energiemessungen) - TCP-Port 443:
- authentication.eniris.be - (Authentifizierung) - TCP-Port 443
- public-health.eniris.be - (System zur Überwachung des Gerätezustands) - TCP-Port 443
- mender.eniris.be - (Geräteaktualisierungssystem) - TCP-Port 443
- public-mender.eniris.be - (Geräteaktualisierungssystem) - TCP-Port 443
- mqtt.eniris.be - (MQTT) - TCP-Ports 1883 & 8883
- neoregistry.eniris.be - (Geräteaktualisierungssystem) - TCP-Port 443
- neodata-ingress.eniris.be - (Data-Ingress-API) - TCP-Port 443
- vpn.eniris.be - (Remote-Inbetriebnahmeschnittstelle, OpenVPN) - TCP- und UDP-Ports 1192–1194 und 35000–40000 - muss von Anwendungsinspektion / IPS ausgenommen sein
- eniris.be - (Konnektivitätsprüfung) - ICMP-Echoanforderung/-antwort (Ping); Ausweichhosts: authentication.eniris.be, google.com, time.sckcen.be
- ntp.eniris.be - (Zeitsynchronisierung) - UDP-Port 123
Feste IP-Adressen
Der SmartgridOne Controller ist standardmäßig für die Verwendung von DHCP konfiguriert. Sie können dies im Tab „Settings“ der Inbetriebnahmeschnittstelle in eine feste IP-Adresse ändern.
Tipp
Konfigurieren Sie nur dann eine feste IP-Adresse im SmartgridOne Controller, wenn Sie keine andere Möglichkeit haben. Es wird empfohlen, immer DHCP zu verwenden und stattdessen Ihren Router so zu konfigurieren, dass er dem SmartgridOne Controller immer dieselbe IP-Adresse zuweist!
Warnung
Notieren Sie sich die konfigurierte IP-Adresse. Sie benötigen diese, falls der SmartgridOne Controller nach der Änderung der IP-Adresse nicht mehr zugänglich sein sollte!
Hinweis
Zugriff auf die Inbetriebnahmeschnittstelle verloren Wenn Sie nach dem Einstellen einer festen IP-Adresse den Zugriff auf die Inbetriebnahmeschnittstelle verlieren, lesen Sie den Abschnitt Fehlerbehebung.
VLAN
Tipp
Als optionale Sicherheitsmaßnahme kann der SmartgridOne Controller in einem dedizierten VLAN platziert werden. Stellen Sie bei der Implementierung dieser Konfiguration sicher, dass alle Geräte, die eine Kommunikation mit dem Controller benötigen, demselben VLAN zugewiesen sind.