Streamdev absichern

str4nger

Hallo,
Erstmal RIESEN RIESEN Respekt ans yavdr Team.. Es ist so geil (Entschuldigt die vulgäre Ausdrucksweise)
Alles läuft wie am Schnürrchen... das einzige Problem das bleibt ist die Absicherung von Streamdev.
Ich lasse im Moment alle Ips zum streamen zu möchte diese aber bald beschränken aufs Heimnetzwerk..
Dennoch möchte ich unterwegs über Internet auch schauen können.
Dafür gibt es die Möglichkeit das Start Kommand von Streamdev mit Passwort zu versehen... Hier der Auszug aus der Readme:

Code

If you want to access streamdev's HTTP server from the Internet, do *not* grant
access for anyone by allowing any IP in "streamdevhosts.conf". Instead, pass the
"-a" commandline option to streamdev-server. It takes a username and a password
as argument. Clients with an IP not accepted by "streamdevhosts.conf" will then
have to login. The VDR commandline will have to look like this:


  vdr ... -P 'streamdev-server -a vdr:secret'

Allerdings müsste ich dafür wissen wo in yavdr streamdev gestartet wird um die commandline Option hinzuzufügen.

Als Alternative würde ich auch eine komplette Absicherung des Webfrontends mit Username und Passworteingabe begrüßen. Also bevor man auf das Webfrontend mit den 3 Auswahlmöglichkeiten kommt.
Ginge das auch?

Lg

mtron

Plugin parameter für streamdev kommen in /etc/vdr/plugins/plugin.streamdev-server.conf

Wenn ich du wäre würde ich das aber anders machen. Beschränke den Zugriff aufs Local net und setze am vdr einen openvpn server auf. Dann kannst du ziemlich abgesichert mittels vpn vom client von den weiten des internet auf deinen vdr zugreifen und über die vpn verbindung livetv streamen und die recording directory mit nfs auf den client mounten.

iso

Wobei OpenVPN einiges an Bandbreite nimmt. Wenn es hauptsächlich auf Sicherheit ankommt hast Du recht, aber meine Erfahrung sagt, dass die Transferrate damit erheblich sinkt. Aber was für einen upload muss man denn haben um Streamdev extern zu nutzen?

mtron

Kann ich dir nicht genau sagen, da ich einen Glasfaseranschluss (50MBit synchron) habe und noch nie an einen Engpass gestoßen bin. Natürlich wird Openvpn einiges an Bandbreite mehr benötigen, aber ohne vernünftigen Upload (würde mal sagen das ~10 MBit reichen) kann man das Streamern außerhalb des local Net eh vergessen... und jeder für die Welt offener Port ist imho ein Sicherheitsrisiko das es nach Möglichkeit zu vermeiden gilt.

Für mein Android & andere Mobile Verbindungen lasse ich den stream on-the-fly recodieren (WLAN11/54 setting im externremux script)

mase

Ich mache das ganze über OpenVPN. Ich lasse nur das Heimnetzwerk und das VPN zu.
Für mich ist das eine ausreichende Absicherung. Natürlich vorausgesetzt, dass dein
Endgerät für unterwegs OpenVPN kann. Ich benutze ein N900.

KlausiHH

OpenVPN kostet nur wenig Bandbreite. Das ist nur etwas Protokolloverhead.
Richtig ist aber, dass der Durchsatz bei OpenVPN von der CPU abhängt.
Als Beispiel mal ein handelsüblicher DSL-Router:
Mein TP-Link TL-WR1043 ND mit DD-WRT schafft so rund 480 KB/s per
OpenVPN. Die Upload-Richtung meines DSL16000 Anschlusses kann
ich nahezu sättigen - rund 105 KB/s gehen da, ohne OpenVPN übrigens
kaum mehr. Naja, und mein Routerchen hat nur irgend 'ne Embedded
CPU mit 400 MHz.

Ansonsten kann man mit einem DSL 16000 Anschluß (mit ~1000 KBit/s Upload)
schon ganz leidlich streamen. Die WLAN11 Einstellung von extern_remux passt
da gut rein. Und ich finde die Qualität damit zumindest akzeptabel. Weniger
sollte es aber IMHO nicht sein.

lg

KlausiHH

Mal aus der Versenkung hol ...

Zitat von mtron

Plugin parameter für streamdev kommen in /etc/vdr/plugins/plugin.streamdev-server.conf

Also diese Datei existiert nicht. Ich habe sie trotzdem mal angelegt, um das mit dem Passwortschutz
auszuprobieren. Inhalt:

-a vdr:geheim

oder

-a 'vdr:geheim'

Leider zeigt beides keinerlei Effekt. Der Streamdev-Server ist ohne Abfrage erreichbar.
Kann mir jemand sagen, wie man diese Parameter bei yaVDR anderes bzw. richtig
übergeben muß?

iNOB

Meiner Fritzbox hab ich per freetz OpenVPN spendiert. Als OpenVPN-Server versorgt sie so, die über Zertifikate abgesicherte Open-VPN-Clients mit einer Home-LAN-IP. So kann ich mich von Extern jederzeit einloggen und im Home-LAN bewegen, als ob ich Vorort wäre. Geschwindigkeitseinbußen konnte ich im direkten Vergleich zu meinem vorherigen SSL-Tunnel keine festellen. Streamen über VPN geht nach wie vor mit den richtigen Einstellungen in extern-remux. Ich kann das nur jedem empfehlen.

Gruß
iNOB

KlausiHH

VPN wurde ja schon erwähnt und wie ich selber schrieb, hab ich das auch.
Für einen anderen Fall möchte ich aber definitiv das mit dem PW-Schutz.
Wenn das nicht gehen sollte, OK, dann hab ich leider Pech gehabt.

mase

Das Problem ist nur, dass der Medienplayer, der als Client fungiert, eine Authentifizierung
unterstützen muss. Es bringt ja nichts, wenn das Web-Interface geschützt ist, man aber
trotzdem über die Direktlinks zu den Streams ran kommt.

KlausiHH

Das dürfte per angepasstem Link gehen. Beispiel:

http:// vdr:geheim@example.org:3000/...

Wobei ... bei HTTP Basic-Auth wertet auch nicht der Webserver so eine URL aus,
sondern der Browser bastelt daraus einen entprechenden Request. Logisch, geht
ja auch nicht anderes.
Also Du hast recht, der Mediaplayer muss das können. hmmmm

mad99

Zitat von iso

Wobei OpenVPN einiges an Bandbreite nimmt. Wenn es hauptsächlich auf Sicherheit ankommt hast Du recht, aber meine Erfahrung sagt, dass die Transferrate damit erheblich sinkt. Aber was für einen upload muss man denn haben um Streamdev extern zu nutzen?

Ich hab bei UPC HU 40mb/s upload (nominell), das reicht für einen stream SD-Programmen gut aus.
konfiguriert habe ich den WLAN11-Parameter aus der extern-remux.sh aus dem Wiki. Die Uploadrate begrenze ich auf auf 1000 KB/s weil mehr zu häufigen aussetzern führt und qualitativ nicht mehr viel bringt.

ullek

Zitat von KlausiHH

Zitat von »mtron«

Plugin parameter für streamdev kommen in /etc/vdr/plugins/plugin.streamdev-server.conf

Zitat von KlausiHH

Inhalt: -a vdr:geheim

So funktioniert es bei mir.Wo aber jetzt dein Problem liegt, das der Stream ohne Anmeldung läuft, lässt sich nur raten. Wie sieht denn deine streamdevhosts aus?
Als Client kannst du VLC nehmen, damit geht die Authentifizierung auf jeden Fall. URL normal eingeben, also http://IP:3000/EXT/channels.m3u, dann poppt ein Fenster auf wo die Anmeldedaten eingeben kannst, oder http://user:pass@IP:3000/EXT/channels.m3u.

KlausiHH

Prima, geht, vielen Dank ullek.

Das Problem war die streamdevhosts.conf. Ich hatte 0.0.0.0 freigegeben,
was scheinbar die Authentifizierung ganz ausschaltet.

schmirl

Darum steht in der originalen streamdevhosts.conf auch

Code

#0.0.0.0/0            # any host on any net (DON'T DO THAT! USE AUTHENTICATION)

KlausiHH

Du hast vollkommen recht. Den Kommtar hatte ich nicht mehr in Erinnerung.
Wobei der allerdings nicht unbedingt eindeutig besagt, dass Authentifizierung
bei Freigabe von überall nicht mehr funktioniert.

rallye

Ich finde den Thread gut und möchte mich - wenn auch schön älter - hier anhängen....

Ich verwende den VDR-Manager zum Streamen (neben einem Client). Ich hatte ursprünglich in der /etc/vdr/plugins/streamdevhosts.conf das nicht empfohlene 0.0.0.0/0 aktiviert. In Anlehnung an den Thread habe ich eine /etc/vdr/plugins/plugin.streamdev-server.conf
mit Inhalt "-a user:pass" (ohne Hochkomma) eingetragen. Das Port habe ich in meiner FritzBox "umgeleitet" komme "von außen" mit einer anderen Portnummer.
Wenn ich nun das nicht empfohlene 0.0.0.0/0 aktiviere, so kann ich "von draußen" streamen, also TV sehen. Wenn ich das 0.0.0.0/0 deaktiviere, so kann ich zwar die Kanalliste und EPG sehen (was ein Beweis dafür ist, dass das mit "-a user:pass" funktioniert, aber der vplayer sagt mir, dass er den stream nicht abspielen kann - egal ob mit oder ohne remux.

Irgend welche Ideen ? Kann das ein bug im VDR-Manager sein ?

Jetzt mitmachen!