From 6448c9eea4a0195d2a97d90547ed11f9dfc08637 Mon Sep 17 00:00:00 2001 From: Tobi G Date: Tue, 11 Aug 2026 12:14:44 +0200 Subject: [PATCH] Broker-Erreichbarkeit entscheiden: Portfreigabe 8883 statt VPS-Bridge Owner-Entscheidung: der Mehraufwand einer VPS-Bridge steht in keinem Verhaeltnis zum zusaetzlichen Schutz, da TLS-Zwang plus Pflicht-Client-Zertifikat den Port bereits praktisch unangreifbar macht. --- COMPANION_APP_ARCHITECTURE.md | 12 +++++++++--- 1 file changed, 9 insertions(+), 3 deletions(-) diff --git a/COMPANION_APP_ARCHITECTURE.md b/COMPANION_APP_ARCHITECTURE.md index b1a0929..b210833 100644 --- a/COMPANION_APP_ARCHITECTURE.md +++ b/COMPANION_APP_ARCHITECTURE.md @@ -334,9 +334,15 @@ else in this document: not yet written to a file or finalized in detail. **Kann erst nach der ersten echten MQTT-Nachricht fertig werden** (§2b): die Feldnamen im Codec-JSON sind noch unbekannt und werden mitgeschnitten, nicht geraten. -2a. **Erreichbarkeit des MQTT-Brokers für das Fahrzeug** — Portfreigabe 8883 gegen VPS-Broker mit - Mosquitto-Bridge, siehe §2b. Betrifft nur den Weg Fahrzeug→Zuhause und ist unabhängig von der - Anbindung der App (§4, dort bleibt es bei Cloudflare Tunnel). +2a. ✅ **ERLEDIGT (Entscheidung, 2026-08-11): Portfreigabe 8883**, nicht VPS-Bridge. Begründung: ein + Broker mit TLS-Zwang und Pflicht-Client-Zertifikat lässt vor dem eigentlichen Login niemanden + auch nur ansetzen — der Mehraufwand einer dauerhaften VPS-Miete plus zweitem Mosquitto plus + Bridge-Verbindung stand in keinem Verhältnis zum zusätzlichen Schutz für ein einzelnes + Privatfahrzeug. Betrifft nur den Weg Fahrzeug→Zuhause und ist unabhängig von der Anbindung der + App (§4, dort bleibt es bei Cloudflare Tunnel — kein Widerspruch, siehe dort die Begründung, warum + ein eng begrenzter, zertifikatsgesicherter Port etwas anderes ist als HA selbst offenzulegen). + **Noch zu erledigen:** stabile öffentliche Adresse fürs Zuhause (feste IP oder DynDNS-Hostname) + und die Portfreigabe am Router selbst — beides erst bei der Inbetriebnahme. 2b. **TLS-Zertifikate für Mosquitto und das Gerät** — bei der Inbetriebnahme zu erzeugen; ohne sie verweigert der FMM003 die MQTT-Verbindung. 3. **Reverse-proxy add-on: Nginx Proxy Manager vs. Traefik** — both viable (§4), pick deferred to the