Von English mit KI übersetzt ·
Kurzer Plausibilitätscheck, bevor ich wieder in ein Meeting mit der IT eines Energieversorgers gehe.Standort ist ein kleines Umspannwerksgebäude: 14 Modbus-RTU-Zähler an zwei RS485-Strängen, ein paar Transformator-Temperaturrelais, ein LTE-Uplink plus eine Glasfaserleitung, die dem Unternehmensnetz des Versorgers gehört. Geplant ist ein lizenzierter Router mit Edge, der die Zähler ausliest und sie als Child Devices meldet.Der IT-Leiter besteht auf: kein eingehendes NAT, keine Portweiterleitung, keine DMZ, nichts, das auf einer öffentlichen Adresse lauscht, Punkt. Für mich in Ordnung, aber er will auch eine schriftliche Bestätigung, dass wir nicht später verlangen, „wenn Sie sich aus der Ferne anmelden müssen“. Der vorherige Anbieter hat angeblich mit „nur ausgehend“ angefangen und sechs Monate später TCP 443 zu seinem Gerät für Wartung weitergeleitet haben wollen.Meiner Ansicht nach wählt sich das Gateway per TLS nach außen ein, mehr nicht. Unsicherer bin ich bei der Gegenseite: Wenn meine Techniker das Web-Panel des Routers aufrufen müssen, um eine serielle Einstellung zu korrigieren, wie kommt dieser Verkehr ohne weitergeleiteten Port oder feste IP herein? Die LTE-SIM steckt ohnehin hinter einem Carrier-NAT, dort würde eine Portweiterleitung gar nicht funktionieren.Hat das schon jemand hinter einer strikten Unternehmensfirewall eingesetzt? Welche ausgehenden Verbindungen müssen außer dem Broker-Host auf Port 8883 freigegeben werden?
Quick sanity check before I go back into a meeting with a utility customer’s IT people.
Site is a small substation building: 14 Modbus RTU meters on two RS485 runs, a couple of transformer temperature relays, one LTE uplink plus a fiber drop that the utility’s corporate network owns. The plan is a licensed router running Edge, reading the meters and reporting them as child devices.
Their IT lead’s position is no inbound NAT, no port forwarding, no DMZ, nothing listening on a public address, period. Fine by me, but he also wants written confirmation that we will never ask for it later „when you need to log in remotely“. Previous vendor apparently started with „outbound only“ and six months later asked for TCP 443 forwarded to their box for maintenance.
My understanding is the gateway dials out over TLS and that’s it. What I’m less sure about is the remote side: when my techs need to get into the router’s own web panel to fix a serial setting, how does that traffic get in without a forwarded port or a fixed IP? The LTE SIM is behind carrier NAT anyway, so a forwarded port wouldn’t even work there.
Anyone deployed this behind a strict corporate firewall? Anything outbound they need to allow besides the broker host on 8883?
Von English mit KI übersetzt ·
Ich bin kein Edge-Nutzer, aber könnte man nicht vom Router aus ein VPN zurück zu Ihrem Büro aufbauen? Das haben wir einmal für eine Web-App so gemacht.
Not an Edge user, but couldn’t you run a VPN from the router back to your office? That’s what we did for a web app once.
Von English mit KI übersetzt ·
Ein VPN ist genau das Gespräch, das ich vermeiden möchte. Deren Sicherheitsteam betrachtet jeden Tunnel in ihr Netzwerk als neues Projekt mit einer dreimonatigen Prüfung.
A VPN is exactly the conversation I’m trying to avoid. Their security team treats any tunnel into their network as a new project with a 3 month review.
Von English mit KI übersetzt ·
Kurz gesagt: Laut Dokumentation benötigt Edge keinen eingehenden Zugriff, auch nicht für die Fernwartung am Bedienfeld des Routers selbst.
Was die Dokumentation sagt
- Datenweg: Das Gateway wählt sich über TLS mit seinem eigenen Gerätezertifikat nach außen ein. "Vor Ort muss nichts Verbindungen aus dem Internet annehmen."
- Web-Oberfläche des Routers: Sie öffnen sie von der Geräteseite des Routers in Hermetry, ohne feste IP-Adresse. Port-Weiterleitung oder eine öffentliche Adresse werden nicht erwähnt. Die Dokumentation erklärt nicht, wie diese Sitzung übertragen wird, daher sollten Sie der IT keinen Mechanismus beschreiben. Sie können die beiden oben genannten Aussagen zitieren.
- Andere Geräte im Standortnetz: Wenn die Plattform später dort etwas abfragen soll (zum Beispiel per SNMP), erreicht sie es über die verschlüsselte Verbindung von Edge, "ohne öffentliche Adresse oder Port-Weiterleitung".
- Einrichtung: Für die Zuordnung sind vor Ort keine Zugangsdaten einzugeben. Einstellungen und signierte Firmware werden aus Hermetry übertragen.
Punkte für Ihre IT-Leitung
- Zum Öffnen des Bedienfelds wird die Admin-Berechtigung Web-Oberfläche eines zugeordneten Routers öffnen, betreten und schließen benötigt.
- Eine Liste Panel sessions zeigt, wer Bedienfelder geöffnet hat. Auch deren Ansicht ist nur für Admins möglich.
- Es gibt eine separate Dokumentationsseite Remote access limits and audit. Lesen Sie sie vor dem Termin, falls nach der Protokollierung gefragt wird.
- Allowed networks (bis zu 64 IPv4/IPv6-Netze oder -Adressen) ist eine Einstellung des Geräteprofils. Sie beschränkt, welche Quelladressen sich mit Hermetry verbinden dürfen, nicht Geräte vor Ort. Sie eignet sich für Standorte mit fester Adresse, wahrscheinlich aber nicht für eine LTE-SIM hinter einem Carrier-NAT mit wechselnder öffentlicher Adresse.
Ausgehende Regeln Die Dokumentation bestätigt MQTT über TLS auf Port 8883 (mindestens TLS 1.2, bevorzugt 1.3). Sie listen jedoch nicht auf:
- Broker-Hostnamen,
- weitere ausgehende Ports oder Hosts (zum Beispiel für Firmware-Downloads oder die Panel-Sitzung),
- ob eine TLS-Inspektion durch einen Unternehmensproxy toleriert wird.
Fordern Sie bei Hermetry die genaue ausgehende Allowlist für Ihr Routermodell an, bevor Sie etwas schriftlich festhalten.
Quellen
Short version: per the docs, Edge needs no inbound access, including for remote work on the router's own panel.
What the documentation says
- Data path: the gateway dials out over TLS with its own device certificate. "Nothing on site needs to accept connections from the internet."
- Router web panel: you open it from the router's device page in Hermetry, without a fixed IP. There is no mention of port forwarding or a public address. The docs don't explain how that session is carried, so don't describe a mechanism to IT. You can quote the two statements above.
- Other devices on the site network: if you later want the platform to poll something there (for example SNMP), the platform reaches it over Edge's encrypted connection, "with no public address or port forwarding".
- Setup: claiming needs no credentials typed on site. Settings and signed firmware are pushed from Hermetry.
Points you can give their IT lead
- Opening the panel requires the Admin permission Open, enter and close the web panel of a claimed router.
- A Panel sessions list shows who opened panels. Viewing it is also Admin-only.
- There is a separate docs page, Remote access limits and audit. Read it before the meeting if they ask about logging.
- Allowed networks (up to 64 IPv4/IPv6 networks or addresses) is a device-profile setting. It restricts which source addresses can connect to Hermetry, not anything on site. It suits fixed sites, but probably not an LTE SIM behind carrier NAT whose public address isn't fixed.
Outbound rules The docs confirm MQTT over TLS on port 8883 (TLS 1.2 minimum, 1.3 preferred). They do not list:
- broker hostnames,
- any other outbound ports or hosts (for example for firmware downloads or the panel session),
- whether TLS inspection by a corporate proxy is tolerated.
Ask Hermetry for the exact outbound allowlist for your router model before you put anything in writing.
Sources
Von KI aus der Dokumentation und gelösten Themen erstellt. Wenn sie dein Problem gelöst hat, markiere sie als Lösung; wenn nicht, meldet sich das Team bei dir.
- Du musst angemeldet sein, um auf dieses Thema antworten zu können.
Mitdiskutieren
Melde dich an, um Fragen zu stellen und zu beantworten, hilfreiche Beiträge mit „Gefällt mir“ zu markieren und die Antwort zu kennzeichnen, die dein Problem gelöst hat. Jeder Beitrag bringt Punkte und Stufen.