Hoe Raspberry PI's van andere locatie veilig aansturen.

[Coolstart]

Situatie nu
Momenteel heb ik mijn RP een Fixed IP gegevens in de router + port forwarding ingesteld. Ik kan er dus ernaartoe surfen vanuit elke locatie. Alles werk, geen probleem. Maar ik zoek een oplossing waarbij de RP veilig maar met minimale interactie kan aangesproken worden op afstand (extern IP) zonder dat je in de router dat moet gaan instellen.

Waar ik naartoe wilu
Ik zou voor een project graag een tiental RP's willen aansturen op afstand. De ontvanger krijgt een kant en klare RP en heeft geen IT kennis. Het enige wat ze zouden moeten doen is de RP aan een netwerkkabel hangen en in het stopcontact steken. Indien ze wifi willen gebruiken ipv de kabel moeten ze naar een website surfen en hun wifi-code invoeren.

Is dit een mogelijk piste?
Ik heb een server draaien met een fixed IP en die zou automatisch elke RP moeten kunnen aansturen die aan het internet hangt zonder de router te manipuleren. Ik zou op de RP dus een script kunnen draaien dat zich automatisch gaat aanmelden op dat Fixed IP om zo een connectie te maken indien de RP op een bedraad netwerk wordt aangesloten.

Ik wil tot het punt komen dat je een SD kaartje in de Pi steekt met OS + scripts en dat de installatie vanaf dat punt op afstand kan beheerd worden en datje op de PI geen muis/keyboard/scherm moet aansluiten om hem te manipuleren.

enkel vragen
- Hoe doe ik dat veilig? SSH? best practices? Het internet staat vol van gehackte IOT verhalen. Ook al is dit tijdelijk met slechts 10-tal devices, ik wil toch onderzoeken hoe alles veilig kan.
- Ik zou via deze weg het mogelijk willen maken om bijvoorbeeld het wifi wachtwoord in de RP te plaatsen, scripts aante passen etc.
- Welke back-end

Btw, het opzet is om alles zo simpel mogelijk te houden voor de gebruiker. Ik zou op de RP bijvoorbeeld een ledje willen zetten zodat ik toch een indicatie heb dat de RP toegang heeft tot de server, beetje basis communicatie om aan trouble shooting te doen. (Wifi-signaal + connectie met het internet bijvoorbeeld).

Thx!

[MewBie]

Afhankelijk van wat de RPi's moeten doen zou je ze een VPN verbinding op kunnen laten zetten naar een VPN server die jij draait.

[jvanhambelgium]

Gewoon aan de partij laten weten dat je RPI via DHCP een intern IP moet krijgen en dat SSHv2 naar "Internet" open moet staan. Eventueel je eigenlijk public IP meegeven dat ze hun FW kunnen aanpassen en naar daar als ze wat zenuwachtig zijn om outbound SSHv2 toe te laten.

Vervolgens dan gewoon een startup-script voorzien dat een SSHv2 opzet naar je server en je voorzien de nodige "tunneling" ?
Da's ongeveer de setup die m'n HomeAutomation controller doet als ik in de shell ga kijken. Een SSH-sessie met port-forwarding opzetten naar hun service-nodes in de cloud.

Zoiets : https://txlab.wordpress.c...25/call-home-ssh-scripts/

[ Voor 6% gewijzigd door jvanhambelgium op 14-04-2020 14:50 ]

[Croga]

Zowel het advies van @MewBie als dat van @jvanhambelgium vereisen dat de gebruiker óf een goed geconfigureerde router heeft óf verstand heeft van die configuratie. Beiden zijn niet zomaar vanzelfsprekend.

De betere optie zou zijn om de RPi via HTTPS contact te laten maken met je server en commandos via polling of session door te geven. Gaat je wel wat meer moeite kosten maar garandeert dat het ding overal zal werken.

[synoniem]

Je kan ook Anydesk op de RPi installeren die kun je ook zo instellen dat je hem met gebruikersnaam en wachtwoord op afstand kan beheren.

[MewBie]

Croga schreef op dinsdag 14 april 2020 @ 14:52:
Zowel het advies van @MewBie als dat van @jvanhambelgium vereisen dat de gebruiker óf een goed geconfigureerde router heeft óf verstand heeft van die configuratie. Beiden zijn niet zomaar vanzelfsprekend.

De betere optie zou zijn om de RPi via HTTPS contact te laten maken met je server en commandos via polling of session door te geven. Gaat je wel wat meer moeite kosten maar garandeert dat het ding overal zal werken.

Waar moet de gebruiker verstand van hebben bij een VPN oplossing?

De RPi zelf is gewoon ingesteld op DHCP, dus daar hoeft niks ingestelt te worden, kabel er in en je hebt internet.
De RPi zet automatisch een VPN verbinding op naar buiten, daar hoeft de gebruiker ook niks voor in te stellen. Dit doe ik momenteel dagelijks met mijn werklaptop om verbinding te maken met het netwerk van mijn werkgever, zonder ook maar iets ingestelt te hebben in mijn netwerk.

[shure-fan]

Site to site verbinding opzetten via Openvpn,

Op die manier kan de raspi ingeplugd worden op ethernet en zodra ie verbinding heeft word een tunnel opgezet naar HQ en kun je em beheren.


De pi word in dit geval een client van je eigen vpn server


Offtopic, zo draai ik een aantal ddwrt routers die verbinding maken naar mijn huis als ze ingeplugd worden op een kabel of via wifi (client)

[Croga]

MewBie schreef op dinsdag 14 april 2020 @ 15:08:
Waar moet de gebruiker verstand van hebben bij een VPN oplossing?

VPN vereist open poorten buiten datgene wat nodig is voor "gemiddeld" internet gebruik. Het is gevaarlijk om de aanname te doen dat die poorten open staan. En als die poorten niet open staan moet de gebruiker dus verstand hebben van hoe je die poorten open zet.

In veel gevallen zullen die poorten open staan maar je hebt die garantie niet. Bij HTTP/S poorten heb je die garantie wel.

[MewBie]

Croga schreef op dinsdag 14 april 2020 @ 15:28:
[...]

VPN vereist open poorten buiten datgene wat nodig is voor "gemiddeld" internet gebruik. Het is gevaarlijk om de aanname te doen dat die poorten open staan. En als die poorten niet open staan moet de gebruiker dus verstand hebben van hoe je die poorten open zet.

In veel gevallen zullen die poorten open staan maar je hebt die garantie niet. Bij HTTP/S poorten heb je die garantie wel.

Als je een VPN op zet naar buiten hoef je dus over het algemeen geen porten handmatig open te zetten, anders zou de VPN op mijn werklaptop niet werken.
En de VPN op mijn telefoon naar mijn eigen thuis netwerk vanuit een willekeurig wifi netwerk ook niet.

[jvanhambelgium]

Croga schreef op dinsdag 14 april 2020 @ 15:28:
[...]
In veel gevallen zullen die poorten open staan maar je hebt die garantie niet. Bij HTTP/S poorten heb je die garantie wel.

Als het in een bedrijfsomgeving is heb je dikwijls met proxies (al dan niet authenticated) te maken, dus "garantie" dat HTTP(S) zomaar altijd overal werkt is relatief hier.
Soweso zal je altijd wat richtlijnen aan de lokale IT moeten voorzien.

Indien deze RPI's bij particulieren thuis ingezet, zal met de klassiek home-Internet setup eigenlijk altijd alles werken ; zowel HTTP(S) als SSH gaan "zomaar" na NAT het Internet op.