Von English mit KI übersetzt ·
Hallo, ich bin Datenanalyst bei einer kleinen Lebensmittelkette (5 Filialen). Unser einziger IT-Mitarbeiter ist im Sommer gegangen, und das Sensorprojekt liegt jetzt bei mir. Entschuldige, falls das grundlegend ist.Jede Filiale hat 6 bis 10 ESP32-Temperatursensoren für Kühl- und Gefrierschränke sowie einen Türzähler, die alle per MQTT an Hermetry senden. Derzeit sind sie im selben WLAN wie die Kassen und die Büro-PCs, weil das so eingerichtet wurde. Unser Prüfer für Kartenzahlungen hat das beanstandet.Mir wurden folgende Optionen vorgeschlagen: (1) ins Gast-WLAN, (2) ein eigenes VLAN, (3) in jeder Filiale ein Raspberry Pi, mit dem die Sensoren ausschließlich kommunizieren. Ich weiß nicht genug, um mich zu entscheiden. Was würdest du tun? Die Router sind von Ubiquiti, pro Filiale ein AP.
Hi, I’m a data analyst at a small grocery chain (5 stores), our one IT guy left in the summer and now the sensor project is mine. Sorry if this is basic.
Each store has 6 to 10 ESP32 fridge/freezer temperature sensors and a door counter, all sending to Hermetry over MQTT. Right now they are on the same Wi-Fi as the tills and the office PCs, because that’s how they were set up. Our card payment auditor flagged it.
Options people have suggested to me: (1) put them on the guest Wi-Fi, (2) make a separate VLAN, (3) put a Raspberry Pi in each store and have the sensors talk only to the Pi. I don’t know enough to choose. What would you do? The routers are Ubiquiti, one AP per store.
Von English mit KI übersetzt ·
Gast-WLAN scheint am einfachsten zu sein? Es ist bereits von euren Kassen getrennt.
Guest Wi-Fi seems easiest? It’s already separated from your tills.
Von English mit KI übersetzt ·
Gäste-Netzwerke in Geschäften haben oft ein Captive Portal oder trennen Clients nach einigen Stunden, dort bleiben die ESP32s hängen. Prüf das vorher. Müssen die Sensoren mit irgendetwas im Laden kommunizieren oder nur ins Internet?
Guest networks in shops often have a captive portal or kick clients after a few hours, the ESP32s will hang there. Check that before. Do the sensors need to talk to anything in the store, or only out to the internet?
Von English mit KI übersetzt ·
Soweit ich weiß, geht es nur an Hermetry. Lokal liest sie nichts aus. Das Gästenetzwerk hat eine „Klicken zum Akzeptieren“-Seite.
Only out to Hermetry as far as I know. Nothing local reads them. The guest network does have a „click to accept“ page.
Von English mit KI übersetzt ·
Dann scheidet das Gäste-WLAN aus. Ich habe das für die Bäckerei meiner Schwester und zwei Cafés gemacht, alles Ubiquiti, also ungefähr dein Setup:Lege eine neue SSID „store-iot“ mit WPA2 PSK an, weise ihr ein eigenes VLAN zu (sagen wir 30), aktiviere Client-Isolation, damit die Sensoren nicht untereinander kommunizieren können, und erlaube in den Firewall-Regeln für dieses VLAN nur ausgehenden Verkehr: DNS, NTP und TCP 8883 zum Hermetry-Broker (443 auch, falls etwas HTTPS nutzt). Blockiere VLAN 30 zu allen anderen internen Netzen. Das will der Prüfer sehen, und es ist pro Laden ein Nachmittag Arbeit.Einen Pi würde ich dafür nicht hinzufügen. Ein Pi lohnt sich, wenn deine Geräte selbst nicht ins Internet kommen (BLE, Modbus, Zigbee) und etwas als Gateway für sie melden muss. Deine ESP32 machen TLS bereits selbst, ein Pi würde nur eine SD-Karte hinzufügen, die im Büro hinten kaputtgehen kann.Auf der Hermetry-Seite zwei günstige Extras: Setze im Kühlschrank-Profil bei Allowed networks die öffentliche IP jedes Ladens ein, damit ein gestohlener Token von überall anders nutzlos ist. Und prüfe, dass Plain MQTT deaktiviert ist. Nur TLS auf 8883 ist der Standard, aber dein IT-Kollege hat es womöglich beim Testen eingeschaltet. Checkliste unten unter Device transport security.
Then guest is out. I did this for my sister’s bakery and two cafes, all Ubiquiti, so roughly your setup:
Make a new SSID „store-iot“ with WPA2 PSK, tag it to its own VLAN (say 30), turn on client isolation so sensors can’t talk to each other, and in the firewall rules allow that VLAN only outbound: DNS, NTP, and TCP 8883 to the Hermetry broker (443 too if anything uses HTTPS). Block VLAN 30 to every other internal network. That’s what the auditor wants to see, and it’s one afternoon per store.
I wouldn’t add a Pi for this. A Pi is worth it when your devices can’t reach the internet themselves (BLE, Modbus, Zigbee) and something has to report for them as a gateway. Your ESP32s already do TLS on their own, a Pi just adds an SD card that can die in the back office.
On the Hermetry side two cheap extras: on the fridge profile set Allowed networks to each store’s public IP, so a stolen token is useless from anywhere else. And check Plain MQTT is off, TLS only on 8883 is the default but your IT guy may have turned it on while testing. Checklist at the bottom of Device transport security.
Von English mit KI übersetzt ·
Die erste Filiale ist am Freitag mit VLAN 30 und Isolation fertig geworden. Die Sensoren haben sich nach der SSID-Änderung auf der Konfigurationsseite selbstständig neu verbunden. Sie hatten recht mit Plain MQTT, es war aktiviert, und zwei Sensoren nutzten tatsächlich Port 1883. Ich habe sie auf 8883 umgestellt und Plain MQTT deaktiviert. Erlaubte Netzwerke brauchten alle 5 Markt-IPs im einen Profil, das hat problemlos funktioniert.
First store done Friday with VLAN 30 and isolation, sensors reconnected on their own after I changed the SSID in their config page. You were right about Plain MQTT, it was on, and two sensors were actually using 1883. Moved them to 8883 and turned it off. Allowed networks needed all 5 store IPs on the one profile, that worked fine.
Von English mit KI übersetzt ·
Wenn die ESP32-Firmware einen fest codierten DNS wie 8.8.8.8 verwendet, erlaube diesen ebenfalls, sonst schlagen die Verbindungen nach dem Umzug fehl, und du wirst schwören, dass die Firewall in Ordnung ist.
If the ESP32 firmware uses a hardcoded DNS like 8.8.8.8, allow that too, or they’ll fail after the move and you’ll swear the firewall is fine.
- Du musst angemeldet sein, um auf dieses Thema antworten zu können.
Mitdiskutieren
Melde dich an, um Fragen zu stellen und zu beantworten, hilfreiche Beiträge mit „Gefällt mir“ zu markieren und die Antwort zu kennzeichnen, die dein Problem gelöst hat. Jeder Beitrag bringt Punkte und Stufen.