Xiaomi Aqara Gateway V3 das Nachhausetelefonieren verbieten

Wer Smart Home Gadgets aus Fernost (z.B. Xiaomi Aqara) einsetzt, die lediglich für eine Verwendung im beispielsweise chinesischen Ausland bestimmt sind, kennt sicher das ungute Gefühl: die Geräte senden (möglicherweise) Daten in ihre Heimat. Daten über dein zu Hause! Mit einfachen Firewall-Einstellung lässt sich diese unerwünschte Kommunikation ganz schnell unterbinden.

Überblick

Wer sein eigenes Smart Home selbst hostet, der ist gut beraten, sich über eine ordentliche Absicherung des lokalen Netzwerks Gedanken zu machen. Sicherlich reicht dem Otto-Normalverbraucher im ersten Moment die Standardeinstellung der FRITZ!Box*, wer jedoch etwas tiefer in die Materie einsteigen will, kommt um Lösungen wie pfSense oder IPfire kaum herum.

Ich benutzte als IPS (Intrusion Prevention System) / Firewall eine Watchguard XTM5 Appliance mit pfSense OS. Damit ist so ziemlich alles möglich, was man sich als Privatanwender wünschen kann. In einem anderen Artikel werde ich noch einmal genauer auf mein aktuelles Setup eingehen.

Die folgende Anleitung gilt in ihren Grundzügen aber genau so für andere Router von anderen Herstellern. Lediglich eine Firewall-Funktion (oft nicht ganz korrekt unter dem Themenpunkt Port Forwarding zu finden) muss verfügbar sein.

An dieser Stelle soll es darum gehen, wie wir dem Xiaomi Aqara Smart Home Gateway* das ständige Versenden von Daten an den chinesischen Mutterserver verbieten können.

Das Gateway baut diese Verbindung auf, um die aktuellen Sensordaten an die Aqara IoT Cloud übertragen zu können, sodass der Anwender über die Xiaomi Mi Home App darauf zugreifen kann. Das ist prinzipiell auch nicht verkehrt, denn die Aqara Lösung sieht vor, dass die Sensoren und andere Xiaomi Smart Home Produkte über die App miteinander in Verbindung gebracht und ausgelesen werden (nicht jeder hat ein Smart Home Hub zu Hause gehostet).

Da unser Ziel jedoch ein lokales Sensornetzwerk ist, d.h. bis auf unser Home Assistant Hub kein weiterer Dienst Sensordaten aus unserem Smart Home ins Internet versenden soll, muss diese Verbindung gekappt werden. Die Xiaomi Aqara Komponenten funktionieren im Übrigen auch ohne Internetverbindung und kommunizieren dann ausschließlich lokal mit dem Home Assistant Server.

Hinweis: Das Aqara Hub fängt periodisch an zu blau Blinken, wenn ihm die Internetverbindung fehlt. Das dauert aber meist nur wenige Sekunden und scheint auch nur ab und an vorzukommen. Eine andere „Einschränkung“ habe ich noch nicht beobachten könnten.

Schritt für Schritt zum lokalen Aqara Smart Home Gateway

Schritt 1: Eine fixe IP zuordnen

Zunächst ordnen wir dem Gateway eine fixe IP-Adresse zu. Da ich keine Möglichkeit gefunden habe, dieses über die App bzw. das Gateway an sich zu tun, habe ich dem Gerät in pfSense einen statischen ARP-Eintrag zugewiesen. Da meine IPS mit pfSense auch als DHCP-Server fungiert, wird dem Gateway so immer eine identische IP zugewiesen.

Das ist im Übrigen der schönere Weg, da so alle statischen IP-Einstellungen an einer zentralen Stelle verwaltet werden können und ihr nicht jedes Gerät separat konfigurieren müsst. Zusätzlich hat es den riesigen Vorteil, dass man ein betroffenes Endgerät dank aktiviertem DHCP schnell mal in ein Testnetzwerk einbinden kann, ohne dass zuerst ggf. die statische IP-Konfiguration aufwändig verändert werden muss. Das hat mir schon viel Zeit gespart.

Das statische Mapping lässt sich ganz einfach einrichten. Navigiert dazu in der pfSense auf Status -> DHCP Leases -> identifiziert das Gateway (Hostname lumi-gateway-v3_miioXXXXX) und klickt ganz rechts auf das helle Plus-Symbol.

Im darauffolgenden Dialog muss der Eintrag entsprechend angelegt werden. Hier teilt ihr dem DHCP-Server mit, dass die MAC-Adresse des Aqara Smart Home Gateway V3 immer einer bestimmten IP zugeordnet werden soll. Die MAC-Adresse übernimmt pfSense selbständig aus der Geräteübersicht.

Ihr müsst hier nur Folgendes ausfüllen:

• Client Identifiert: Name des Gerätes
• IP-Adresse: Die gewünschte IP, die in Zukunft zugeordnet wird -> Darauf achten, dass die IP außerhalb des Bereiches des DHCP-Servers liegt
• Hostname: Wird übernommen
• Description: Wer will, kann hier eine Beschreibung hinterlegen.

Hinweis: Nicht alle Router, die für den Heimgebrauch bestimmt sind erlauben das Anlegen statischer ARP-Einträge. Sollte euer Gerät dieses nicht können, könnt ihr euch entweder entscheiden mit dem dynamischen DHCP-Setup zu leben oder ihr konfiguriert das Gerät separat. Im Fall des Aqara Hubs habe ich eine solche Einstellung aber nicht gefunden.

Schritt 2: Firewallregel erstellen

Im zweiten Schritt erstellen wir die entsprechende Firewallregel, die den ausgehenden Verkehr des Aqara Gateways* blockiert. Dazu wechseln wir in pfSense zu Firewall -> Rules -> LAN. Mit einem Klick auf „Add“ legen wir eine neue Regel am Ende der Liste an.

Die folgenden Parameter werden in diesem Dialog gesetzt:

• Action: Block oder Reject (wir wollen ja den ausgehenden Verkehr blockieren, siehe unten)
• Interface: LAN (Euer lokales Interface kann anders benannt sein!)
• Address Family: IPV4
• Protocol: Any
• Source: Single host or alias -> IP-Adresse des Aqara Gateway V3*
• Destination: any
• Description: XIAOMI Block (oder was immer ihr möchtet)

Anschließend speichern und pfSense die Regeln neu laden lassen. Fertig.

Schritt 3: Wirksamkeit der Firewallregel prüfen

Im letzten Schritt sollte die Wirksamkeit der Regel geprüft werden. Dazu am besten eine Stunde warten und danach noch einmal unter Firewall -> Rules -> LAN nachsehen.

Hier ist nun auch unsere „XIAOMI* Block“ Regel zu sehen. Innerhalb einer Stunde sollte das Gateway bereits einige Male versucht haben, nach Hause zu telefonieren. In der Spalte „States“ ist zu erkennen, dass die Regel ausgehende Pakete blockiert hat, die den gesetzten Spezifikationen entsprechen. Technisch etwas schicker kann es sein, die Regel statt als „Block“ lieber als „Reject“ anzulegen.

Der Unterschied lässt sich folgendermaßen beschreiben: Bei einer Block-Regel verwirft die Firewall die betroffenen Pakete einfach ohne das Quellgerät (Aqara Gateway*) darüber zu informieren. Das Gateway hört dann einfach nie wieder etwas von seiner Anfrage. Bei einer Reject-Regel wird das Endgerät hingegen von der Firewall über das Abweisen der Pakete informiert. Bei einigen Geräten funktioniert Reject besser, weil es mit einem harten Block Probleme geben kann. Beim Aqara Gateway habe ich aber mit der Block-Regel nie ein Problem festgestellt.

Dies bedeutet, dass das Aqara Gateway ab sofort nur noch Pakete im lokalen Netzwerk versenden kann. Unser Ziel ist damit erreicht! 🙂

Aqara Gateway aktualisieren

Dann und wann kommt aus dem Hause Xiaomi auch immer mal wieder ein Software-Update für das Gateway heraus. Das bekommt ihr natürlich im Normalfall gar nicht mit, weil das Gateway durch die fehlenden Internetverbindung keine Verbindung zur App aufbauen kann und sich somit auch keine Prüfung auf eine neue Version durchführen lässt.

Wollt ihr das Gateway also über die App auf den neusten Stand aktualisieren (der einzig mir bekannte Weg), müsst ihr daran denken, die Firewallregel für einen Augenblick zu deaktivieren. Ansonsten kann das Aqara Gateway* logischerweise keine Firmware herunterladen (bzw. die Anfrage dazu versenden).

Nach dem Update kann die Regel dann direkt wieder aktiviert werden. Alle Einstellungen und Verbindungen zu den Sensoren bleiben meiner Erfahrung nach erhalten. Ihr müsst euch nur bewusst darüber sein, dass für den Zeitraum der Aktualisierung wieder nach Hause telefoniert wird. Das betrifft natürlich für einen kleinen zeitlichen Ausschnitt auch die Sensordaten aus eurem zu Hause.

Noch mehr Abschottung mit VLANs

In diesem Moment haben wir bereits erreicht, dass keine Verbindung mehr zwischen Gateway und der Außenwelt besteht. Trotzdem sind alle IoT-Geräte in der Regel in dasselbe Netzwerk eingebunden, wie andere Computer, Konsole, Smartphones und Co. Potenziell kann das Aqara Gateway* also sämtlichen unverschlüsselten Traffic im lokalen Netzwerk auslesen und ist somit bei einer Sicherheitslücke ein potenzielles Einfallstor.

Es hat sich daher als generell gute Praxis erwiesen, alle Smart Home Geräte in ein eigenes VLAN auszulagern. VLAN steht für Virtual Local Area Network und kann dazu genutzt werden, zwei vollständig getrennte Netzwerke aufzubauen, auch wenn physikalisch nur ein Netzwerkkabel zur Verfügung steht.

Das ganze funktioniert so, dass jedem Paket ein sogenannter VLAN-Tag angehangen wird und die Pakete von VLAN-fähigen Switches nur an die Endgerät (Ports) geroutet werden, die Teilnehmer eines VLANs sind.

Naturgemäßg besteht zwischen verschiedenen VLANs somit keine Verbindung. Das ist natürlich potenziell schlecht, denn irgendwie soll ja letztendlich doch eine Verbindung zwischen Smart Home im einen und dem Smartphone im anderen VLAN zustande kommen.

Um das zu ermöglichen kommt ein Router zum Einsatz. Ich habe meine VLAN-Setup im Büro ebenfalls mit pfSense gelöst. Gleichzeitig stellt pfSense auch die DHCP-Server für jedes VLAN bereit. In jedem VLAN gibt es nämlich einen eigenen IP-Adressenkreis.

In der aktuellen Konfiguration sind alle Smart Home Geräte inklusive Media-Receiver in einem eignen VLAN zusammengefasst. Für WLAN-Gerät, wie das Aqara Gateway, habe ich dafür eine eigene SSID erstellt, die nur Zugriff auf das IoT-VLAN hat. Das geht mit dem Ubiquiti AP AC Pro Access Point* ganz einfach und mit Bordmitteln.

Warum erzähle ich das alles in Bezug auf das Aqara Gateway? Während meiner diversen Versuche habe ich herausgefunden, dass für eine schlanke Konfiguration, Home Assistant und Aquara Gateway im gleichen VLAN hängen sollten. Das ganze liegt an dem Protokoll (oder besser gesagt Protokollen), die Xiaomi beim Gateway zur Aktualisierung der Sensorinformationen einsetzt.

Während der reine Zugriff auf das Gateway von Home Assistant aus via Unicast möglich ist, wird bei der Änderung eines Sensorstatus (z.B. Türsensor von „offen“ zu „geschlossen“) kein Unicast Push an Home Assistant gesendet. Stattdessen schickt das Gateway Pakete per Multicast in alle Richtungen. Diesen Multicast-Traffic vernünftig zu Routen ist ohne genaueres Wissen über die exakten Ports etc. nicht zuverlässig möglich. Daher habe ich mich schlussendlich entschieden, Gateway und Home Assistant einfach beide in dasselbe VLAN zu hängen. Das Aqara Gateway hat weiterhin nur Zugriff auf das lokale Netz, Home Assistant darf auf bestimmten Ports natürlich mit den anderen lokalen VLANs und dem Internet kommunizieren.

Schlusswort

Dem Aqara Gateway den ständigen Datenaustausch mit dem chinesischen Heimtserver zu verbieten ist in meinen Augen aus Datenschutzsicht sinnvoll. Ich hoffe, der Artikel hat gezeigt, dass sich dieses Ziel mit nur wenigen Einstellungen erreichen lässt. Mit andern Routern mögen gar nicht weniger Klicks nötig sein.

Fragen oder Anmerkungen? Gerne einen Kommentar hinterlassen!