Von English mit KI übersetzt ·
Hallo zusammen, ich bin absoluter Anfänger, also entschuldigt bitte den langen Beitrag.Ich habe 5 ESP32 im Haus verteilt (zwei Temperatur-/Feuchtesensoren, einen Reed-Kontakt für die Garagentür, einen Wassermelder unter dem Heizkessel und einen, der die LED des Stromzählers ausliest). Alle melden sich über MQTT bei meinem Hermetry-Konto, und das funktioniert super. Aber ich lese immer wieder Horrorgeschichten, dass billige IoT-Geräte genutzt werden, um in Heimnetze einzudringen, und meine Frau arbeitet von zu Hause mit einem Firmenlaptop im selben WLAN. Deshalb würde ich die Geräte gern trennen.Mein Router ist ein TP-Link Archer AX55 (der vom Provider gestellte Router ist im Modem-Modus). Er hat ein „Guest Network“ mit der Option „Allow guests to see each other and access my local network“, außerdem liegt ein alter Raspberry Pi 3 herum, falls das hilft.Was ich nicht sicher weiß:1. Wenn ich die ESPs ins Gastnetz lege, erreichen sie dann noch Hermetry? Muss ich Ports weiterleiten? 2. Gibt es auf der Hermetry-Seite etwas, das ich ändern sollte, um es abzusichern? 3. Einer der ESPs hat eine kleine Webseite zur Konfiguration (der am Zähler). Verliere ich den Zugriff darauf von meinem Handy aus?Ich habe gestern Abend einen der Temperatursensoren testweise ins Gast-WLAN verschoben, seitdem hat er nichts mehr gesendet, also habe ich offensichtlich etwas kaputt gemacht.
Hi all, total beginner here so apologies for the long post.
I’ve got 5 ESP32s around the house (two temp/humidity, a garage door reed switch, a water leak sensor under the boiler and one reading the electricity meter LED). They all report to my Hermetry account over MQTT and it’s been great. But I keep reading horror stories about cheap IoT stuff being used to get into home networks, and my wife works from home with a work laptop on the same Wi-Fi, so I’d like to separate them.
My router is a TP-Link Archer AX55 (ISP supplied one is in modem mode). It has a „Guest Network“ with an option called „Allow guests to see each other and access my local network“, and I also have an old Raspberry Pi 3 lying around if that helps.
What I’m not sure about:
1. If I put the ESPs on the guest network, will they still reach Hermetry? Do I need to forward any ports? 2. Is there anything on the Hermetry side I should change to lock it down? 3. One ESP has a little web page for config (the meter one). Will I lose access to that from my phone?
I tried moving one of the temperature sensors to the guest Wi-Fi last night as a test and it hasn’t sent anything since, so I’ve clearly broken something.
Von English mit KI übersetzt ·
Erlaubt der AX55, Firewall-Regeln pro Netzwerk festzulegen, oder nur den Ein-/Aus-Schalter für die Gastnetzwerk-Isolation?
Does the AX55 let you set firewall rules per network, or only the guest on/off isolation switch?
Von English mit KI übersetzt ·
Soweit ich sehe, nur der Isolationsschalter, dazu eine Bandbreitenbegrenzung. Keine richtigen Regeln.
Only the isolation switch as far as I can see, plus a bandwidth limit. No proper rules.
Von English mit KI übersetzt ·
Ich denke, du musst Port 8883 am Router an die ESPs weiterleiten, da der Broker über das Gastnetzwerk zu ihnen gelangen muss?
I think you’ll need to forward 8883 on the router to the ESPs, since the broker has to get to them through the guest network?
Von English mit KI übersetzt ·
Keine Weiterleitung nötig, die Geräte bauen die Verbindungen immer selbst auf. Ich bin auch eher Facility-Management als IT, aber ich habe das letztes Jahr in unserem Hotel durchgemacht, als unser IT-Dienstleister alle Zimmersensoren und das Heizkessel-Gateway in ein separates SSID gelegt hat, und dabei habe ich viel gelernt.Was die Sensoren ausgehend benötigen:
TCP 8883 MQTT over TLS to the device host on your Connection details card
TCP 443 only if any of them use the HTTPS device API
UDP 53 DNS (they connect by host name, TLS needs the name)
UDP 123 NTP, the ESP needs real time to check the server certificateEingehend nichts. Im AX55-Gastnetz mit ausgeschaltetem „Sehen sich gegenseitig und Zugriff auf mein lokales Netzwerk“ erhältst du in etwa das Richtige: Die ESPs können das Internet erreichen, aber nicht den Laptop.Meine Vermutung für deinen Testsensor: Entweder kann er den Host nicht auflösen (manche Gastnetze verteilen seltsame DNS-Server), oder er bekommt keine Zeit. Bei uns war genau das der Fall: Die ESPs scheiterten beim TLS, weil NTP im neuen SSID blockiert war. Schau dir nach Möglichkeit die serielle Ausgabe an.Auf der Hermetry-Seite öffne dein Geräteprofil und prüfe die Härtungsliste auf der Seite zur Geräte-Transportsicherheit: Klartext-MQTT aus (nur TLS, Port 8883), Token in der URL aus, Befehle ohne TLS erlaubt leer. Außerdem gibt es ein Feld Erlaubte Netzwerke (bis zu 64 Netzwerke oder Adressen); Geräte außerhalb davon werden abgewiesen. Wenn dein Zuhause eine feste öffentliche IP hat, kannst du sie dort eintragen, sodass ein von einer Platine kopierter Token andernorts nutzlos ist.Für deine Zählerseite: Mit aktivierter Isolation erreicht dein Handy im Haupt-WLAN sie nicht. Wir hatten dafür einen Laptop im Geräte-SSID.
No forwarding needed, the devices always call out. I’m a facilities guy too, not IT, but I went through this at our hotel last year when our IT contractor put all the room sensors and the boiler gateway on a separate SSID, and I learned a lot from that.
What the sensors need outbound:
TCP 8883 MQTT over TLS to the device host on your Connection details card
TCP 443 only if any of them use the HTTPS device API
UDP 53 DNS (they connect by host name, TLS needs the name)
UDP 123 NTP, the ESP needs real time to check the server certificateNothing inbound. On the AX55 guest network with „see each other and access my local network“ switched OFF you get roughly the right thing: the ESPs can reach the internet but not the laptop.
My bet for your test sensor: either it can’t resolve the host (some guest networks hand out odd DNS), or it can’t get time. Ours did exactly that, the ESPs sat there failing TLS because NTP was blocked on the new SSID. Watch the serial output if you can.
On the Hermetry side, open your device profile and check the hardening list on the device transport security page: plain MQTT off (TLS only, port 8883), token in the URL off, commands allowed without TLS empty. There is also an Allowed networks field (up to 64 networks or addresses); devices outside it are refused. If your home has a fixed public IP you can put it there, so a token copied off a board is useless anywhere else.
For your meter page: with isolation on, your phone on the main Wi-Fi won’t reach it. We kept one laptop on the device SSID for that kind of thing.
Von English mit KI übersetzt ·
Das war’s. Das Gastnetzwerk verteilt den Router problemlos als DNS, aber mein Sketch verwendete eine fest codierte NTP-IP, die von einer Firewall blockiert wurde. Deshalb wurde die Uhr nie gestellt und TLS schlug fehl. Ich habe es auf pool.ntp.org umgestellt, und der Sensor ist wieder online. Alle fünf sind jetzt im Gastnetzwerk, die Isolation ist deaktiviert, und der Arbeitslaptop kann sie nicht sehen.An der Portweiterleitung habe ich nichts geändert, Kevin, trotzdem danke.
That was it. Guest network hands out the router as DNS fine, but my sketch was using a hardcoded NTP IP that a firewall blocked, so the clock never set and TLS failed. Switched it to pool.ntp.org and the sensor came back. All five are on the guest network now, isolation off, and the work laptop can’t see them.
Didn’t touch the port forwarding, Kevin, thanks anyway.
Von English mit KI übersetzt ·
Seien Sie vorsichtig mit erlaubten Netzwerken bei einem Heimanschluss. Die meisten britischen Internetanbieter ändern Ihre öffentliche IP-Adresse ab und zu, und an dem Tag, an dem sie sich ändert, wird jeder Sensor abgewiesen (CONNACK 5, der Grund erscheint nur im Log-Reiter des Geräts). Nutzen Sie es nur, wenn Sie eine statische IP-Adresse bezahlen.
Careful with Allowed networks on a home connection. Most UK ISPs change your public IP now and then, and the day it changes every sensor gets refused (CONNACK 5, the reason only shows on the device Log tab). Only use it if you pay for a static IP.
- Du musst angemeldet sein, um auf dieses Thema antworten zu können.
Mitdiskutieren
Melde dich an, um Fragen zu stellen und zu beantworten, hilfreiche Beiträge mit „Gefällt mir“ zu markieren und die Antwort zu kennzeichnen, die dein Problem gelöst hat. Jeder Beitrag bringt Punkte und Stufen.