Forum Domoticz en français

Le cloud c'est tabou ! On doit tout garder chez nous !

Et gagner en competances/connaissances

Oui plutot bien MyDomoticz, facile a mettre en place et protection par double mot de passe un chez eux et celui de mon rasp !
Et perso je prefere que mes copains attaquent mydomoticz, qui je pense sont mieux caller que moi en securité, plutot que m'attaquer directement !

deennoo a écrit :Et gagner en competances/connaissances

Oui c'est bien vrai sauf que j'ai le don de rien faire marcher correctement... Meme en suivant des tutos (HomeBridge), donc normalement que du copier coller, ca me resiste encore !

petite question, es que si je redirect Dz vers un port entre 35000 et 65000 + auth c'est assez safe ou mieux vaut privilégier le 443 avec certificat + auth ?
merci

Http (ssl) = Cryptage

donc mot de pass impossible à choper..

C'est mieux mais bon.. Nous ne sommes pas non plus une banque

en faite actuellement j'ai coupé tout accès externe, je passe par openvpn pour me connecter à mon réseau. donc je voudrais savoir si je mets un port entre 35000 et 65000 je suis à "l'abri" d'un éventuel piratage.

Alors, si comme tu le dis, tu as coupé toutes les communications de internet vers ton réseau lan (maison) et tu utilises un vpn pour te connecter à ton domoticz, tu es déjà bien sécurisé.

Je ne vois pas l'avantage de changer ton port pour encore plus sécuriser le truc, tu peux le faire mais bon ^^ c'est se faire chier pour rien avec un outil comme nmap que ton port soit 25 ou 65000 s'il est ouvert on le trouvera.

Avec ton vpn et le SSL d'activé sur domoticz tu dois déjà être plus au top que la majorité des personnes qui utilise domoticz

jackslayter a écrit :en faite actuellement j'ai coupé tout accès externe, je passe par openvpn pour me connecter à mon réseau. donc je voudrais savoir si je mets un port entre 35000 et 65000 je suis à "l'abri" d'un éventuel piratage.

Si tu passes par un VPN, tu peux couper les redirections de port http(s) que tu avais dû mettre en place pour une connexion directe de l'extérieur... Une fois le VPN monté, de toutes manières c'est comme si tu étais chez toi sur ton réseau local et il suffit de restreindre domoticz à ce dernier (dans sa config/config firewall de la machine ou il tourne/config box selon le cas).

A titre perso, j'ai le https de domoticz ouvert depuis presque 1 mois sur le port standard 443 (avec un certificat auto-signé perso, j'ai pas utilisé celui fourni avec domoticz, accepté une fois de mon LAN sur les machines que j'utilises ensuite en externe).

Prudent, j'avais remis les logs domoticz à son lancement, mais dans un tmpfs en ram afin de pas trop griller la SD avec les écritures... et avec un cron pour resizer le fichier toutes les semaines à 0 car le tmpfs a une taille limitée... afin d'une part de surveiller les tentatives de connexion et que ce fichier de log puisse alimenter un fail2ban pour mettre en place automatiquement un filtrage de ceux qui insisteraient trop.

En réalité je suis assez étonné: Si un SSH ouvert sur l'extérieur est très attaqué (rendant une config fail2ban appropriée absolument indispensable, voire un port knocker ; j'ai au final les deux!), HTTPS ne semble pas l'être autant. J'ai bien des accès, de l'ordre d'une ou 2 dizaines par jour (ssh, ca pouvait être des milliers, avec les IP qui changent dès que fail2ban en barre une), mais sans tentative de connexion. Probablement des robots d'indexation qui lâchent immédiatement l'affaire.

Comme un VPN ça peut en prime être pénible/indisponible sur la machine d’où on se connecte (ou accès à partir d'un tél mobile), je laisse ainsi.

Probable que si je suis un jour emmerdé, je mette aussi le 443 du https sous un knocker tout comme le 22 du ssh. Il est éventuellement plus aisé de transporter sur une clef USB un exécutable, au besoin pour plusieurs plateformes (et sans besoin de droits admin si on n'utilise que des ports > 1024 dans sa séquence de demande d'ouverture), pour ouvrir temporairement son https pour la seule IP demandeuse... qu'un VPN qui est assez lourd et qui demandera des droits pas forcément accessibles.

jay a écrit : avec un outil comme nmap que ton port soit 25 ou 65000 s'il est ouvert on le trouvera.

tu as répondu à ma question , merci

Lisez tres bon article "Que faire si vous etes attaque"?

https://www.securiteinfo.com/conseils/quefaire.shtml

Bonsoir
J'ai suivi le tutoriel à la lettre sauf que pour le fichier conf j'ai utiliser nano mais sa ne fonctionne je n'arrive pas utiliser vi ??
Merci