Von English mit KI übersetzt ·
Dann scheidet das Gäste-WLAN aus. Ich habe das für die Bäckerei meiner Schwester und zwei Cafés gemacht, alles Ubiquiti, also ungefähr dein Setup:Lege eine neue SSID „store-iot“ mit WPA2 PSK an, weise ihr ein eigenes VLAN zu (sagen wir 30), aktiviere Client-Isolation, damit die Sensoren nicht untereinander kommunizieren können, und erlaube in den Firewall-Regeln für dieses VLAN nur ausgehenden Verkehr: DNS, NTP und TCP 8883 zum Hermetry-Broker (443 auch, falls etwas HTTPS nutzt). Blockiere VLAN 30 zu allen anderen internen Netzen. Das will der Prüfer sehen, und es ist pro Laden ein Nachmittag Arbeit.Einen Pi würde ich dafür nicht hinzufügen. Ein Pi lohnt sich, wenn deine Geräte selbst nicht ins Internet kommen (BLE, Modbus, Zigbee) und etwas als Gateway für sie melden muss. Deine ESP32 machen TLS bereits selbst, ein Pi würde nur eine SD-Karte hinzufügen, die im Büro hinten kaputtgehen kann.Auf der Hermetry-Seite zwei günstige Extras: Setze im Kühlschrank-Profil bei Allowed networks die öffentliche IP jedes Ladens ein, damit ein gestohlener Token von überall anders nutzlos ist. Und prüfe, dass Plain MQTT deaktiviert ist. Nur TLS auf 8883 ist der Standard, aber dein IT-Kollege hat es womöglich beim Testen eingeschaltet. Checkliste unten unter Device transport security.
Then guest is out. I did this for my sister’s bakery and two cafes, all Ubiquiti, so roughly your setup:
Make a new SSID „store-iot“ with WPA2 PSK, tag it to its own VLAN (say 30), turn on client isolation so sensors can’t talk to each other, and in the firewall rules allow that VLAN only outbound: DNS, NTP, and TCP 8883 to the Hermetry broker (443 too if anything uses HTTPS). Block VLAN 30 to every other internal network. That’s what the auditor wants to see, and it’s one afternoon per store.
I wouldn’t add a Pi for this. A Pi is worth it when your devices can’t reach the internet themselves (BLE, Modbus, Zigbee) and something has to report for them as a gateway. Your ESP32s already do TLS on their own, a Pi just adds an SD card that can die in the back office.
On the Hermetry side two cheap extras: on the fridge profile set Allowed networks to each store’s public IP, so a stolen token is useless from anywhere else. And check Plain MQTT is off, TLS only on 8883 is the default but your IT guy may have turned it on while testing. Checklist at the bottom of Device transport security.