Ликбез нубасика. 2# Удаленный доступ к Home Assistant. Роутер Keenetic. Обновление сертификатов.

Часть 2. Использование возможностей роутера Keenetic для получения доменного имени, сертификата SSL и автоматизация обновления сертификатов на сервере Home assistant.
Не забудьте добавить в configuration.yaml:
http:
ssl_certificate: /ssl/fullchain.pem
ssl_key: /ssl/privkey.pem
shell_command:
letsencrypt_restart2: 'curl -X POST -sSL -H "Authorization: Bearer $SUPERVISOR_TOKEN" supervisor/addons/core_letsencrypt/start'
Мини пк с хорошими отзывами для сервера умного дома:
bit.ly/3SeeMlE - мини пк GK3V на Celeron j4125 или n5105
bit.ly/3SFnzNw - Beelink GK Mini на Celeron j4125 и n5095
bit.ly/3DS067j - бомба ракета Beelink U59 Prо на n5105
bit.ly/3LOaYoH - безвентиляторный минипк Mele j4125
bit.ly/3SytbZK - безвентиляторний XCY j4125
bit.ly/3SGVMw9 - безвентиляторный SZBOX Celeron n6005
bit.ly/3dPLuLd - безвентиляторный i5-8265U
bit.ly/3y0BeGP - безвентиляторный n5105 с 4-мя портами 2,5 Gb LAN!!!!
А вот это тоже может пригодится:
alii.pub/6ge0r8 - концентратор USB 3.0 Orico
alii.pub/6ge2lc - клавиатура и мышка 2.4 ГГц
alii.pub/6ge3nn - Sonoff Zigbee 3.0 USB Dongle

[@SG_YouTube]

Настроил https все получилось. Процветание каналу! Спасибо.

[@Monk11th]

Блин пол дня вчера убил чтоб разобраться) утром встал нашел видос) спасибо тебе огромное!

[@dartwejders]

Спасибо! Классно что есть и такие простые способы. Полезная инфа. И главное все по существу и с хорошим звуком. Просто идеальный контент)

[@BootuzDinamontuz]

Спасибо за комментарий. Каждый комментарий это плюс каналу.

[@Volvo_car]

Круто 😎. Наконец-то настроил удаленку на свой HA с рабочего компа, где заблокировано всё, что не касается работы. С телефона выходил через tailscale, а с компа так не мог. Ну а этот метод схавал и рабочий комп и древний дешёвый keenetic. Огромное спасибо тебе добрый человек! 🤝

[@madwolf_by4355]

Сделал по инструкции, всё работает. Нужно было только подождать пока служба Cert Expiry Timestamp раздуплится, заняло где-то минут 5.

[@yurimkarelin]

Если включить доступ к серверу ХА в домашней сети по протоколу HTTP, можно обойтись без геморроя получения внутренних сертификатов. Все равно, доменное имя Кинетика уже имеет сертификат и весь трафик между облаком и Вашим роутером шифруется. Так что, остается только трафик между роутером и Вашим сервером умного дома в локалке. Если доверяете устройствам своей домашней сети, этого будет вполне достаточно. Доступа по HTTP извне при такой конфигурации нет. А Вам еще и порт 80 пробросить пришлось.

[@BootuzDinamontuz]

Таким образом тоже пользоваться можно, никто не запрещает. Да и я сам так пользуюсь. Но показать все возможности нужно. Но похоже, что это вариант будет гораздо попроще для настройки. Спасибо.

[@yurimkarelin]

@@BootuzDinamontuz В любом случае, спасибо Вам за Ваши видео. Порой узнаю для себя что-то новое.

[@BootuzDinamontuz]

А вам за комментарии. Для развития канала это чрезвычайно важно.

[@Neo-Labs]

Спасибо, мне очень полезно и автору видео и за комментарий

[@AlexeyMarkovs]

Подскажите, пожалуйста, как включить доступ из lan по http.

[@Роман-ш2ы7р]

Одно не понятно. открытый проброшенный порт на кенетике предлагаете оставить в таком виде или всё же предлагаете его закрыть? Если мы его закроем то сертификат обновится?

[@tilitilitesto8294]

Huawei WS5200, SSL нет, и похоже DDNS тоже нереально сделать. Но я еще раз проверю. Спасибо за ролик. Эндпоинты глянул - интересная штука.

[@Trofew]

Спасибо земляк, выявил у себя несколько ошибок и решил проблему.

[@НиколайТорощин-ь5ш]

Как всегда круто. Спасибо за ролик!

[@ВладимирЛенин-ы1ж]

Поверьте всё намного проще, поднимаете на кинетике sstp server, на смарфоне соотвествено sstp client (ну или на пк), ну и всё, вуфля, при подключении впн вы попадаете в локальную сеть и не надо https. А так способ рабочий, но немного неудобный

[@kamazpomoev]

Не проще, если вы захотите впоследствии порулить умным домом с помощью какого-нибудь голосового помощника.

[@DCh-c6c]

Отличный гайд для нубасиков) Но судя по комментам можно было сократить в три раза ) Спасибо автору, сегодня все настроил себе

[@BootuzDinamontuz]

Можно было. Создать домен 4го уровня c HTTP и направили его на сервер с ХА и указали порт 8123.

[@DCh-c6c]

Как то странно. Я в итоге сделал 4й уровень домена + летсэнкрипт до него. Но через локальную айпи хром ругается на недействительный серт

[@BootuzDinamontuz]

@@DCh-c6c ну если набирать адрес то будет ругаться. а если адерс, то не будет. Но летсэнкрипт не нужен в 90% случаев.

[@DCh-c6c]

@@BootuzDinamontuz Да, верно, тогда выходит что до 4го уровня извне будет работать http, но по факту трафик будет зашифрованным до роутера?

[@BootuzDinamontuz]

@@DCh-c6c Нет. Извне от тоже будет по https работать. Но только сертификат использовать при этом будет 3го уровня.

[@mediatv1867]

Кинетики рулят. Сам на днях подключился по впн sstp к своему НА. В т.ч. и через родное приложение.

[@lllGoRlll]

Блина . Спасибище!!!!

[@alexanderkharitonov7536]

Ага блин... Доходим до 4 мин. 7 сек. И-и-и-и-и.... тут самое главное! ): Слышим: "Но я так делать не буду и немножко по другому делать буду..." и тут вдруг в видео открывается ранее заготовленная закладка с файловым менеджером и с папкой SSL... А если вот к примеру в системе нет ещё SSL папки? И даже не у всех файловый менеджер установлен? Где искать эту папку и эти сертификаты полученные несколькими шагами ранее?

[@BootuzDinamontuz]

Если у вас кинетик, то достаточно, что-бы сертификаты были на роутере. Переписывать их на сервер ХА нет необходимости. А в каталог SSL я заходил только для того, что-бы продемонстрировать, что LetsEnсrypt подтянет сертификаты. Так что не нужно ни файлового менеджера, ни знание где находится каталог SSL. Этот каталог создан по умолчанию, и что-бы его увидеть, достаточно выйти из каталог config.

[@005eldar]

@@BootuzDinamontuz Добрый день. У меня не появилась папка ssl, как мне быть?

[@66sweet74]

Простите, не совсем по теме, но может быть подскажете? Есть три кинетика, еще от Zyxel/ Провайдер посылает в поддержку кинетика, а они к провайдеру. На одном кинетике я включил сервер, другими подключаюсь к нему по ipsec. Один клиент (любой из двух) подключается и работает, но при попытке подключить второго каналы падают. Может быть я где то накосячил?

[@FLieR_13]

не подгружаются сертификаты по инструкции на 4 минуте ошибка в журнале: Hint: The Certificate Authority failed to download the challenge files from the temporary standalone webserver started by Certbot on port 80. Ensure that the listed domains point to this machine and that it can accept inbound connections from the internet. Some challenges have failed. Что не так?

[@mikhailmakarov370]

если у провайдера настроен NAT то KeenDNS работать не будет ?

[@BootuzDinamontuz]

Keenetic Giga III, есть DDNS, сертификат SSL, домены 4го уровня.

[@игорьколесников-к2у]

МАРШРУТИЗАТОР LINKSYS MR9600 WIFI 6 AX6000, MESH, 4XGE LAN, 1XGE WAN, 2XUSB 3.0, BT (MR9600-EU).Вот этот роутер можно применить ? Ваш подписчик. Украина.

[@sergeypolovinkin9216]

А KeenDNS то есть в вашем роутере? Автор именно через него себе доступ сделал!

[@andreypupkin848]

Буду пробовать, спасибо!

[@andreypupkin848]

все сделал по инструкции. Работает. Спасибо!

[@andrei_dev7633]

ТОже стоит Kennetic Giga, если не хочешь париться просто берешь дешевый Keenetic и получаешь все фишки дорогих роутеров

[@BootuzDinamontuz]

Кинетики рулят!!!!

[@Volvo_car]

Кинетики это самые крутые, стабильные и безпроблемные железки)

[@innabogul6477]

Asus RT18N, есть ДДНС, нет сертификатов, но есть VPN сервер.

[@aleksandrgolovin1448]

Приветствую! Спасибо за видео! Сделал доступ (http), однако при удаленном подключении в статусе Loading находятся кастомные карточки графиков (например, apexcharts-card). Локально - график строится. В чем проблема - не пойму. Буду благодарен за подсказку.

[@AnryRu]

Подскажите пожалуйста, сейчас у вас работает этот доступ? я дошел до середины видео и у меня ругается let's Encrypt на не верный key type. Чуть погуглил и увидел у многих проблемы после обновления дополнения

[@AnryRu]

Заработало вот с этим параметром key_type: ecdsa

[@azumsen]

У меня не рабит

[@Lestred]

спасибо за ликбез. у меня такой же роутер. и НА установленный по ликбезу #4. по этому уроку все удалось до времени 5:14, есть доступ по https. подскажите, дальнейший показанный способ автоматизации перевыпуска сертификата на текущий момент оптимальный или есть решения лучше?

[@BootuzDinamontuz]

И вот скажите, зачем вам сертификаты на сервере, если они хранятся на роутере и обновляет их роутер самостоятельно.вно надо пеерписать урок.

[@Lestred]

@@BootuzDinamontuz для меня все это неведомая магия, я просто повторял действия. Потом закрались подозрения и я написал этот вопрос

[@BootuzDinamontuz]

Спасибо вам за коментарий, ролик перепишу, потому как кое что надо урезать, а кое-сто добавить. Но настраивать ссл внутри сети вам не нужно. Домены 4го уровня делайте без ССЛ.

[@alex_shinyaev]

Где то читал, что мол если кинетик, можно поставить KeeneticOS Entware и Debian, потом home assistant. т.е. все установить на роутер, и не покупать сервер.. вы так не пробовали сделать?

[@BootuzDinamontuz]

НЕ пробовал и не рекомендую.

[@yrmuq]

Лишняя нагрузка на роутер, если покупать недорогой роутер, все будет виснуть и тормозить. Лучше уж купить дешевый orangepi и на него все накатить, выйдет дешевле и быстрее)

[@BootuzDinamontuz]

@@yrmuq тут дело не только в лишней нагрузке на роутер, а еще и в том, что это сложно сделать, ресурсов в роутере куда меньше, возможностей еще меньше. Да и мини пк сейчас стоят 130 баксов офигенные...

[@yrmuq]

@@BootuzDinamontuz тут дело не только в сложности, а ещё и в том, что, что куда проще и дешевле купить апельсинку за 50$ и ниже, и не придётся тратить 150$ и выше на мини компьютеры и мощные роутеры.

[@BootuzDinamontuz]

@@yrmuq После минипк я стал не особо любитель малинок, апельсинок и тд. 50 баксов апельсинка, добавьте к ней блок питания, радиаторы, корпус, ssd, переходник ssd. И уже не 50 баксов.

[@homesmart2669]

Ну, открытый 80-й порт на роутере, это вроде бы не очень кошерно.

[@andreypupkin848]

Спустя день работы, да... радость была не долгой. Часть автоматизаций связанных с озвучиванием через mpd player отвалилось, доступ только по https, трансляция музыки с Алисы на другие устройства сети не работает. В идеале конечно хочется спать спокойно, зная что не кто чужой не помигает моим светом, однако... Хорошо было бы в локальной сети роутера иметь доступ как раньше http, а из вне получать по https, в интернете есть решения в виде Прокси-менеджер Nginx однако у меня не получилось подключить вэб и настроить, буду искать решение, а пока вернусь обратно.

[@BootuzDinamontuz]

Не нужно устанавливать галочку HTTPS в локальной сети. Это лишнее.. kzbin.info/www/bejne/oGjUXmemZs6rps0

[@BootuzDinamontuz]

И если у вас есть интеграция Яндекс станции, то вчера было это - t.me/AlexxIT_SmartHome/638

[@BootuzDinamontuz]

И у меня все работает с момента записи видео и без отвалов. Но у меня нет Алисы.

[@andreypupkin848]

@@BootuzDinamontuz да, обновился, все норм

[@Ivanvyksa]

Спасибо за урок. Судя по логам LS Сертификаты создаются, но папки SSL я не нахожу и сертификатов соответсвенно тоже. При проверке конфигурации выдает ошибку: Integration error: ssl_key - Integration 'ssl_key' not found. Integration error: ssl_certificate - Integration 'ssl_certificate' not found.

[@BootuzDinamontuz]

А вы логи внимательно посмотрите. Больше всего, что там написано, что сертификат уже создан и пересоздавать его смысла нет. И хранятся они на роутере. И летсэнкрипт вам на машине с ХА вообще не нужен.

[@Ivanvyksa]

@@BootuzDinamontuz в таком случае доступ работает только через http, если зайти через https - вылезает 502 ошибка.

[@BootuzDinamontuz]

@@Ivanvyksa А в конфиге ХА вы прописали пути к ключам? а ключей же по этим путям нет, поэтому сносим все лишнее, что писалось в конфиг ха. В идеале из всей секции http: в конфиге у вас должно остаться только http: и все!!!!!

[@Ivanvyksa]

@@BootuzDinamontuz конфиг выглядит так http: #ssl_certificate: /ssl/fullchain.pem #ssl_key: /ssl/privkey.pem Пути к сертификатам закомментированы. Так как сделать чтобы летсэнкрипт загружал сертификаты в папку SSL и работал доступ по https?

[@BootuzDinamontuz]

Кукизы почистили?

[@aH6y]

keenetic топ

[@BootuzDinamontuz]

Так это еще старый роутер. Новые вообще агонь.

[@ИгорьБлинов-е8й]

Получение сертификата... уже сутки, что делать ?

[@BootuzDinamontuz]

Обычно 3 секунды. Это на самом роутере так?

[@Xpasha100]

А что делать если у меня ZTE F670 от ростелекома.

[@BootuzDinamontuz]

А там нет проброса портов? или Динамического ДНС?

[@Xpasha100]

@@BootuzDinamontuz есть но там только три настройки: dtdns не работает, потом dipc - ведёт тоже на несуществующую страницу и dyndns - который хочет денег

[@BootuzDinamontuz]

DuckDNS бесплатно и сразу в ХА!

[@Xpasha100]

@@BootuzDinamontuz спасибо. Обязательно ознакомлюсь

[@MsRevers13]

Спасибо за подробное описание, все заработало по HTTPS, Но теперь к HA нет доступа в локалке по IP 193.168.x.x:8123, так и должно быть? Через keendns работает заметно медленнее.

[@BootuzDinamontuz]

Не. И локальный адрес тоже должен работать.

[@MsRevers13]

@@BootuzDinamontuz Да, спасибо. Работает по https

[@BootuzDinamontuz]

А вы явно Force SSL включили?

[@MsRevers13]

@@BootuzDinamontuz Если бы я знал как это делается или не делается. Настраивал по видео.

[@АнтонК-ы8й]

@@BootuzDinamontuz Такая же фигня, по ip доступ отвалился

[@alex_shinyaev]

8123 получилось открыть, а 443 не открывается.. TP link archer c2300 Может ли быть такое, что провайдер не даёт?

[@BootuzDinamontuz]

Роутер может не давать открыть порт. Особенно если ip не белый

[@alex_shinyaev]

@@BootuzDinamontuz это любые порты может не давать или только 443? 8123 ведь открыл.. У меня провайдер выдаёт то серый, то белый ип (динамический), я проверяю ип в настройках роутера и ип на сайте 2ip, бывает, что они сходятся, а бывает различаются. Когда сходятся, порты открыты, когда не сходятся, порты закрыты. Но 443 всегда закрыт, 80 тоже.. другие открываются. Думаю может кинет к купить, только мне нужен не на 4 лан порта, а больше, но боюсь куплю, а толку не будет, если провайдер не даёт порты пробрасывать.. А в кинетике через облако нужно открывать порты? Или можно без этого обойтись. У меня пока 3 цели сделать удалённый доступ https Далее настроить интеграции яндекс и гугл (чтобы устройства ха были видны в яндекс и гугл хоум, с обратной связью), для этих интеграциий как я понял нужен внешний доступ с ssl сертификатом, поэтому пока первая задача настроить такой доступ..

[@BootuzDinamontuz]

@@alex_shinyaevхз. Но странный у вас провайдер.

[@alex_shinyaev]

@@BootuzDinamontuz главное что то бытается в первую секунду, т. Е. Эмблема ха появляется и начинается загрузка (курсор крутит), но дальше не пускает.

[@MegaDemerzel]

Спасибо за ликбез, а что надо сделать, если Кинетик подключен после другого модема (GPON), не даёт Let's Encrypt сделать своё дело. Настроил переадресацию с Вход Подключение Ethernet...может надо ещё что то сделать?

[@BootuzDinamontuz]

А GPON не должен тут как-то на что-то влиятть, по-идее. У вас кинетик не может обносить на себе сертификаты или где?

[@MegaDemerzel]

@@BootuzDinamontuz Да он на себе и делает, в принципе этого достаточно. Спасибо.

[@vanadiy83]

можно еще по WireGuard подключаться к локальной сети

[@BootuzDinamontuz]

МОжно. Но зачем если есть кинетик?

[@vanadiy83]

@@BootuzDinamontuz в кинетиках новых можно по WireGuard подключаться. С уважением

[@BootuzDinamontuz]

У меня кинетику 7 лет. ТАм такого и близко нет.

[@НатаниэльДампо]

Люблю роутеры кинетик у меня их 5 штук, но после начала войны 3 из них по разу зависали и и сбрасывали прошивки (в Украине). Может совпало, до этого проблем таких не было

[@BootuzDinamontuz]

Пашуть як гай шумить. На початку війни були проблеми у провайдера - Тріолан. Харківський. Зараз все чітко.

[@mycarnavi691]

либо я дурак , либо лыжи не едут , к кенетику доступ есть, на малину ни как , дохожу до bed gateway , дальше тупняк

[@User-l9b8z]

Спасибо автору за видео! Крутой контент) Но после настройки появилась проблема, кто может - помогите: после всех настроек и перезагрузки системы, зайти в ХА не удаётся никак. Он подключается к вафле, даже выдаёт страницу авторизации, но затем просто висит постоянная ошибка Unnable to Connect. Похоже, придётся второй раз сносить и восстанавливать бэкап. Стандартные Внутренние адреса IP и homeassistant.local тоже не работают... Что я сделал не так или, возможно, не сделал? В чём может быть причина и как сделать нормально?

[@BootuzDinamontuz]

http или https?

[@Sergeyworld]

Решил тут перейти с mihome на homeassistant, но теперь чет сомневаюсь. Слишком все сложно

[@BootuzDinamontuz]

Сомневайтесь.

[@leoi6191]

Не нужен никакой let’s в ХА… все сделает роутер кинетик

[@BootuzDinamontuz]

Не нужен если выбрать HTTP при создании домена 4го уровня. И этого вполне достаточно. К роутеру будет доступ по https из мира, а от роутера к серваку с ХА будет доступ по HTTP. И этого более чем достаточно. Но если вам нужны ключи на сервере непосредственно ( не знаю зачем они нужны, но вдруг), то тогда летсэнкрипт и скачать ключи на сервак.

[@ДенисЗайцев-э1ф]

у меня keenetic. Старый как говно мамонта, но менять его пока на гигу который не смотря на свою охрененность стоит при этом десятку - ну нафиг.

[@BootuzDinamontuz]

Если есть те же функции, то смысл менять?

[@ДенисЗайцев-э1ф]

@@BootuzDinamontuz в том то и дело что халявы от зукселя в смысле доступа через инет в нем нету 😆 видимо все же придется менять

[@sergeytishenko295]

только вместо использования shell_command можно было все сделать из самой автоматизации action: - service: hassio.addon_start data: addon: core_letsencrypt