Von English mit KI übersetzt ·
Keine Weiterleitung nötig, die Geräte bauen die Verbindungen immer selbst auf. Ich bin auch eher Facility-Management als IT, aber ich habe das letztes Jahr in unserem Hotel durchgemacht, als unser IT-Dienstleister alle Zimmersensoren und das Heizkessel-Gateway in ein separates SSID gelegt hat, und dabei habe ich viel gelernt.Was die Sensoren ausgehend benötigen:
TCP 8883 MQTT over TLS to the device host on your Connection details card
TCP 443 only if any of them use the HTTPS device API
UDP 53 DNS (they connect by host name, TLS needs the name)
UDP 123 NTP, the ESP needs real time to check the server certificateEingehend nichts. Im AX55-Gastnetz mit ausgeschaltetem „Sehen sich gegenseitig und Zugriff auf mein lokales Netzwerk“ erhältst du in etwa das Richtige: Die ESPs können das Internet erreichen, aber nicht den Laptop.Meine Vermutung für deinen Testsensor: Entweder kann er den Host nicht auflösen (manche Gastnetze verteilen seltsame DNS-Server), oder er bekommt keine Zeit. Bei uns war genau das der Fall: Die ESPs scheiterten beim TLS, weil NTP im neuen SSID blockiert war. Schau dir nach Möglichkeit die serielle Ausgabe an.Auf der Hermetry-Seite öffne dein Geräteprofil und prüfe die Härtungsliste auf der Seite zur Geräte-Transportsicherheit: Klartext-MQTT aus (nur TLS, Port 8883), Token in der URL aus, Befehle ohne TLS erlaubt leer. Außerdem gibt es ein Feld Erlaubte Netzwerke (bis zu 64 Netzwerke oder Adressen); Geräte außerhalb davon werden abgewiesen. Wenn dein Zuhause eine feste öffentliche IP hat, kannst du sie dort eintragen, sodass ein von einer Platine kopierter Token andernorts nutzlos ist.Für deine Zählerseite: Mit aktivierter Isolation erreicht dein Handy im Haupt-WLAN sie nicht. Wir hatten dafür einen Laptop im Geräte-SSID.
No forwarding needed, the devices always call out. I’m a facilities guy too, not IT, but I went through this at our hotel last year when our IT contractor put all the room sensors and the boiler gateway on a separate SSID, and I learned a lot from that.
What the sensors need outbound:
TCP 8883 MQTT over TLS to the device host on your Connection details card
TCP 443 only if any of them use the HTTPS device API
UDP 53 DNS (they connect by host name, TLS needs the name)
UDP 123 NTP, the ESP needs real time to check the server certificateNothing inbound. On the AX55 guest network with „see each other and access my local network“ switched OFF you get roughly the right thing: the ESPs can reach the internet but not the laptop.
My bet for your test sensor: either it can’t resolve the host (some guest networks hand out odd DNS), or it can’t get time. Ours did exactly that, the ESPs sat there failing TLS because NTP was blocked on the new SSID. Watch the serial output if you can.
On the Hermetry side, open your device profile and check the hardening list on the device transport security page: plain MQTT off (TLS only, port 8883), token in the URL off, commands allowed without TLS empty. There is also an Allowed networks field (up to 64 networks or addresses); devices outside it are refused. If your home has a fixed public IP you can put it there, so a token copied off a board is useless anywhere else.
For your meter page: with isolation on, your phone on the main Wi-Fi won’t reach it. We kept one laptop on the device SSID for that kind of thing.