KNX Secure

KNX Secure 保护你的 KNX 系统，防止未经授权的访问或篡改。它包含两种机制：

• KNX Data Secure 保护设备本身，防止配置被擅自更改（Secure Commissioning），还可以选择对 TP 总线上的单条 KNX 报文进行加密。

• KNX IP Secure 加密 IP 通信，即 KNX Bridge 与 ETS 等 IP 客户端之间的连接。

一般项目使用 KNX Secure 来阻止经由 IP 的未授权访问，这需要启用 Data Secure。而对总线上的 KNX 报文加密会大幅增加复杂度，实际很少使用。只要没有人能擅自接触绿色的 KNX 总线电缆，就可以不做这一步。

Factory Default Setup Key (FDSK)

每台 KNX Secure 设备都有一个唯一的出厂默认设置密钥（Factory Default Setup Key，FDSK）。Atios KNX Bridge 的 FDSK 显示在 KNX 设置页面上（例如 ALODDQ-DW4XY3-W5LL77-LLRM7W-22OZE4-3FJBRH），设备底部也印有 FDSK。

前提条件

• ETS 6.0 或更高版本
• knxprod 文件：KNX Bridge v3.0 或更高版本
• KNX Bridge 固件 3.1.0 或更高版本

---

Secure Commissioning

第一台 Atios KNX Bridge

1. 在 ETS Online Catalogue 中找到制造商 Atios AG，选择 Atios KNX Bridge, Version 3.0 or higher，把它拖入项目拓扑。
2. 按提示设置项目密码。
3. ETS 提示添加 FDSK 时，打开 Web Interface。
4. 进入 KNX Settings → KNX Secure，复制二维码下方显示的 FDSK（例如 ALOG2M-E4XZO2-CCEC53-L4B6XA-TSKIG4-DFBXTF），粘贴到 ETS 中。
5. Secure Commissioning 和 Secure Tunneling 默认已启用。
6. 在 ETS 中右键点击 KNX Bridge，先选择 Download Individual Address，再选择 Download Application。

ETS 项目中已有 Atios KNX Bridge

1. 在 ETS Online Catalogue 中找到制造商 Atios AG，选择 Atios KNX Bridge, Version 3.0 or higher，把它拖入项目拓扑。
2. 按提示设置项目密码。
3. ETS 提示添加 FDSK 时，点击 Later。
4. 删除刚才拖入的 KNX Bridge。
5. 在拓扑中点击你原有的 KNX Bridge。
6. 进入 Properties → Info → Application，点击面板底部的 Update。
7. 通过 Properties → Settings → Add Device Certificate 为原有设备添加 FDSK。
8. 在 ETS 中右键点击 KNX Bridge，选择 Download Application。

INFO

如果看不到 Add Device Certificate 按钮，可能需要先把 Secure Commissioning 设为 active。

更新原有 KNX Bridge 时

不要通过 ComboBox 更改应用程序，否则所有配件和设置都会被清除。如果误操作，请立即点击 Undo。

IP Secure Tunneling

IP Secure 对 Atios KNX Bridge 与 IP 客户端之间的 IP 通信进行加密，防止能接入网络的人读取或注入 IP 报文。

将客户端（例如 Home Assistant）连接到 Atios KNX Bridge

1. 在拓扑视图中展开 Atios KNX Bridge 的 Tunnel Address 节点。
2. 选择客户端要使用的隧道。
3. 把客户端需要接收或发送的所有组地址拖放到该隧道上。
4. 通过 Properties → Settings → Export Interface Information 导出 keyring 文件。
5. 将 keyring 文件导入客户端。

WARNING

Tunnel 4 专供 Matter/HomeKit 使用。第三方客户端请使用其他隧道。

为什么要这样做：keyring 文件中包含认证码、拖入该隧道的每个组地址的密钥，以及在 Bridge 与客户端之间建立加密 IP 连接所需的用户 ID。

安全组地址（可选）

默认情况下，如果所有相关设备都启用了 Secure Commissioning，ETS 会自动为组地址启用安全功能。你也可以针对每个组地址强制启用或禁用安全功能。

只有当别人可能物理接触到你的 KNX 总线时，才需要使用安全组地址。一般住宅项目不需要为单个组地址启用安全功能，因为这会大幅增加复杂度。

Accessory Manager 的安全组地址

1. 为组地址启用安全功能（如果 ETS 没有自动启用）。
2. 将组地址拖放到 Tunnel 4（Matter/HomeKit）。
3. 向所有相关设备重新下载应用程序，以更新它们的有效源地址列表。
4. 在 ETS 中通过 Project Details → Security → Backup Keyring 导出 keyring 文件。
5. 打开 Web Interface，导入 keyring 文件（KNX Settings）。

KNX-DALI Gateway 的安全组地址

1. 为组地址启用安全功能（如果 ETS 没有自动启用）。
2. 向 Atios KNX Bridge 重新下载应用程序。
3. 向所有相关设备重新下载应用程序。

为什么要这样做：Web Interface 管理你的 Matter 配件，并把它们映射到 KNX 组地址。要向安全组地址发送命令或读取其状态，配件需要 keyring 中保存的加密密钥。把组地址分配给 Tunnel 4，还会让 ETS 把该隧道地址作为合法发送方添加到所有相关设备上，并更新它们的过滤表。如果没有这项分配，Bridge 就没有该地址的密钥，加密报文也就到达不了执行器。

安全配置变更后更新 keyring

在 ETS 中对安全配置做了任何更改后，都需要：

1. 从 ETS 重新导出 keyring。
2. 将其重新导入 KNX Bridge 的 Web Interface，以及其他所有使用 KNX Secure 的第三方系统。