Traducido del English por IA ·
Entonces, la red de invitados queda descartada. Lo hice para la panadería de mi hermana y dos cafeterías, todas con Ubiquiti, así que más o menos tu misma configuración:Crea un nuevo SSID «store-iot» con WPA2 PSK, asígnale su propia VLAN (digamos la 30), activa el aislamiento de clientes para que los sensores no puedan comunicarse entre sí, y en las reglas del firewall permite que esa VLAN solo salga hacia fuera: DNS, NTP y TCP 8883 hacia el broker de Hermetry (443 también si algo usa HTTPS). Bloquea la VLAN 30 hacia todas las demás redes internas. Eso es lo que quiere ver el auditor, y es una tarde por tienda.No añadiría una Pi para esto. Una Pi merece la pena cuando tus dispositivos no pueden llegar a internet por sí mismos (BLE, Modbus, Zigbee) y algo tiene que reportar por ellos como pasarela. Tus ESP32 ya hacen TLS por su cuenta; una Pi solo añadiría una tarjeta SD que puede fallar en la oficina trasera.En el lado de Hermetry, dos extras baratos: en el perfil del refrigerador, configura Allowed networks con la IP pública de cada tienda, así un token robado no sirve desde otro lugar. Y comprueba que Plain MQTT esté desactivado; solo TLS en 8883 es lo predeterminado, pero tu encargado de TI pudo haberlo activado durante las pruebas. La lista de verificación está al final de Device transport security.
Then guest is out. I did this for my sister’s bakery and two cafes, all Ubiquiti, so roughly your setup:
Make a new SSID «store-iot» with WPA2 PSK, tag it to its own VLAN (say 30), turn on client isolation so sensors can’t talk to each other, and in the firewall rules allow that VLAN only outbound: DNS, NTP, and TCP 8883 to the Hermetry broker (443 too if anything uses HTTPS). Block VLAN 30 to every other internal network. That’s what the auditor wants to see, and it’s one afternoon per store.
I wouldn’t add a Pi for this. A Pi is worth it when your devices can’t reach the internet themselves (BLE, Modbus, Zigbee) and something has to report for them as a gateway. Your ESP32s already do TLS on their own, a Pi just adds an SD card that can die in the back office.
On the Hermetry side two cheap extras: on the fridge profile set Allowed networks to each store’s public IP, so a stolen token is useless from anywhere else. And check Plain MQTT is off, TLS only on 8883 is the default but your IT guy may have turned it on while testing. Checklist at the bottom of Device transport security.