Home Assistant da remoto senza servizi cloud: VPN e alternative

Nell’articolo sul controllo da remoto senza cloud abbiamo spiegato ai proprietari il principio: il telefono entra nella rete dell’impianto attraverso un tunnel privato, senza passare dal server di un produttore. Questo articolo è per chi lo deve realizzare: installatori e integratori che configurano l’accesso remoto a Home Assistant su un impianto.

Le opzioni sono diverse, e la scelta dipende dall’edificio, dalla connessione disponibile e da chi deve accedere.

Le opzioni a confronto

Home Assistant Cloud. È il servizio ufficiale a pagamento, gestito dalla società che sviluppa Home Assistant. Si attiva in pochi minuti, non richiede di configurare la rete e il suo abbonamento finanzia il progetto. È una buona scelta per una casa privata il cui proprietario accetta un servizio esterno e un canone. Non è la scelta che proponiamo per gli impianti Brick, perché introduce proprio la dipendenza da un servizio esterno che vogliamo evitare.

Tunnel attraverso servizi di terzi. Esistono servizi che creano un tunnel dalla rete di casa verso un loro server, rendendo raggiungibile Home Assistant da un indirizzo pubblico. Sono comodi, ma il traffico passa da un’infrastruttura di terzi e l’impianto dipende dal loro servizio.

VPN coordinate da un servizio esterno. Alcune VPN moderne creano collegamenti diretti tra i dispositivi, ma usano un servizio esterno per l’autenticazione e per mettere in contatto i dispositivi. Il traffico non passa dal loro server, ma l’accesso dipende dal loro account.

VPN gestita in proprio. Una VPN, per esempio con WireGuard, configurata sul router dell’impianto o sul controllore. Nessun servizio esterno, nessun canone. Richiede più lavoro di configurazione, ed è la scelta che consigliamo per gli impianti Brick.

Perché WireGuard

WireGuard è un protocollo VPN open source, moderno e molto snello. Rispetto alle VPN più vecchie ha tre vantaggi pratici:

• la configurazione è semplice: ogni dispositivo ha una coppia di chiavi, e il file di configurazione è di poche righe;
• è veloce e consuma poco, anche su un telefono, e si riconnette da solo quando cambia la rete;
• è supportato ovunque: router industriali, sistemi Linux, app per telefoni e computer.

Dove mettere il server VPN

Il “server” è il dispositivo che riceve le connessioni. Le scelte sono tre.

1. Sul router dell’impianto. È la soluzione più pulita: il router gestisce la VPN, e dietro di lui Brick e Home Assistant restano invisibili. Molti router industriali, anche quelli con SIM 4G, supportano WireGuard.
2. Sul router del cliente. Funziona se il router lo supporta, ma dipende da un apparecchio che il cliente o il suo fornitore di linea possono cambiare.
3. Sul controllore. Home Assistant ha un componente aggiuntivo per WireGuard. È comodo, ma mescola la funzione di rete con quella di regolazione.

La configurazione, passo per passo

Con il server sul router, la sequenza è questa.

1. Si attiva WireGuard sul router e si genera la coppia di chiavi del server. Si sceglie una rete privata per la VPN, diversa da quella dell’edificio, per esempio 10.10.10.0/24.
2. Si crea un “peer” per ogni persona: il proprietario, ogni familiare o membro del personale, l’installatore. Ogni peer ha la sua coppia di chiavi e il suo indirizzo nella rete VPN.
3. Si limita cosa può raggiungere ogni peer. L’installatore può raggiungere tutta la rete dell’impianto; il personale solo l’indirizzo di Home Assistant.
4. Si rende raggiungibile il router. WireGuard ha bisogno che il router sia raggiungibile da Internet sulla sua porta, di solito la 51820 UDP. È l’unica porta esposta, ed espone solo la VPN, che senza una chiave valida non risponde nemmeno.
5. Si installa l’app WireGuard sui telefoni e si importa la configurazione di ciascun peer, per esempio con un codice QR.
6. Si prova da una rete esterna, per esempio dalla rete mobile del telefono, che Home Assistant si apra all’indirizzo interno.

Il problema delle connessioni 4G

Molte connessioni mobili non hanno un indirizzo IP pubblico: l’operatore mette più clienti dietro lo stesso indirizzo. In questo caso il router non è raggiungibile da Internet, e una VPN tradizionale non riceve connessioni.

Le soluzioni sono due: chiedere all’operatore una SIM con indirizzo IP pubblico, spesso disponibile per i profili professionali, oppure far partire la connessione dal router verso un server VPN esterno raggiungibile, gestito dall’installatore o dal cliente. La seconda strada funziona sempre, ma richiede di mantenere quel server.

L’accesso dell’installatore

L’assistenza da remoto è uno dei vantaggi più concreti di un impianto connesso: molti problemi si risolvono senza uscire dall’ufficio. Per farlo in modo corretto:

• l’installatore ha il suo peer, con la sua chiave, distinto da quelli del cliente;
• il cliente sa che esiste e può revocarlo;
• gli accessi sono registrati, come previsto dalle regole minime di sicurezza.

Documentare l’accesso

Una VPN ben configurata è inutile se nessuno sa come è fatta. Alla consegna, nel documento dell’impianto, vanno scritti: dove sta il server VPN, l’elenco dei peer con il nome della persona a cui corrispondono, chi ha l’accesso amministrativo al router, come si aggiunge e come si revoca una chiave. Le chiavi private non vanno nel documento: restano sui dispositivi di chi le usa.

Così, quando cambia il personale o cambia l’installatore, l’accesso si aggiorna in dieci minuti invece di dover rifare tutto.

Cosa evitare

• Porte aperte verso le applicazioni. Inoltrare dal router la porta di Home Assistant, la 8123, o quella di Node-RED, la 1880, rende le applicazioni visibili a chiunque. È l’errore più diffuso, e il più pericoloso.
• Una chiave condivisa tra più persone o più telefoni.
• Node-RED senza password. Anche in rete privata, l’editor di Node-RED va protetto: chi lo apre può cambiare qualunque logica.
• Nessuna prova dall’esterno. Una VPN che funziona dal Wi-Fi dell’ufficio può non funzionare dalla rete mobile.

In un impianto Brick

Brick funziona senza alcun servizio esterno, e l’accesso remoto è un’aggiunta, non un requisito. Tra i componenti che si possono ordinare con il sistema c’è un router industriale 4G, che permette di dare all’impianto una sua connessione e una sua VPN, indipendenti dalla rete dell’edificio. È la configurazione che rende più semplice rispettare le regole di questo articolo, e quella che ci sembra più adatta alle seconde case e agli edifici non residenziali.