Traducido del English por IA ·
Una comprobación rápida antes de volver a una reunión con el equipo de TI de una empresa eléctrica cliente.El sitio es un pequeño edificio de subestación: 14 medidores Modbus RTU en dos tramos RS485, un par de relés de temperatura de transformador, un enlace LTE de subida y una acometida de fibra que pertenece a la red corporativa de la eléctrica. El plan es un router con licencia que ejecuta Edge, lee los medidores y los reporta como child devices.La postura de su responsable de TI es: nada de NAT entrante, ni redirección de puertos, ni DMZ, nada escuchando en una dirección pública, punto. De acuerdo por mi parte, pero también quiere confirmación por escrito de que nunca pediremos eso después «cuando necesiten conectarse de forma remota». Al parecer, el proveedor anterior empezó con «solo salida» y seis meses después pidió reenviar el TCP 443 a su equipo para mantenimiento.Entiendo que la pasarela se conecta hacia afuera por TLS y nada más. Lo que tengo menos claro es el lado remoto: cuando mis técnicos necesitan entrar en el panel web del router para corregir un ajuste serie, ¿cómo entra ese tráfico sin un puerto reenviado ni una IP fija? La SIM LTE está detrás de un NAT de operador de todos modos, así que un reenvío de puerto ni siquiera funcionaría allí.¿Alguien lo ha desplegado detrás de un cortafuegos corporativo estricto? ¿Qué tráfico saliente necesitan permitir aparte del host del broker en el 8883?
Quick sanity check before I go back into a meeting with a utility customer’s IT people.
Site is a small substation building: 14 Modbus RTU meters on two RS485 runs, a couple of transformer temperature relays, one LTE uplink plus a fiber drop that the utility’s corporate network owns. The plan is a licensed router running Edge, reading the meters and reporting them as child devices.
Their IT lead’s position is no inbound NAT, no port forwarding, no DMZ, nothing listening on a public address, period. Fine by me, but he also wants written confirmation that we will never ask for it later «when you need to log in remotely». Previous vendor apparently started with «outbound only» and six months later asked for TCP 443 forwarded to their box for maintenance.
My understanding is the gateway dials out over TLS and that’s it. What I’m less sure about is the remote side: when my techs need to get into the router’s own web panel to fix a serial setting, how does that traffic get in without a forwarded port or a fixed IP? The LTE SIM is behind carrier NAT anyway, so a forwarded port wouldn’t even work there.
Anyone deployed this behind a strict corporate firewall? Anything outbound they need to allow besides the broker host on 8883?
Traducido del English por IA ·
No soy usuario de Edge, pero ¿no podrías montar una VPN desde el router hasta tu oficina? Eso es lo que hicimos una vez para una aplicación web.
Not an Edge user, but couldn’t you run a VPN from the router back to your office? That’s what we did for a web app once.
Traducido del English por IA ·
Una VPN es justo la conversación que intento evitar. Su equipo de seguridad trata cualquier túnel hacia su red como un nuevo proyecto con una revisión de 3 meses.
A VPN is exactly the conversation I’m trying to avoid. Their security team treats any tunnel into their network as a new project with a 3 month review.
Traducido del English por IA ·
En resumen: según la documentación, Edge no necesita acceso entrante, incluido el trabajo remoto en el panel web del propio router.
Lo que dice la documentación
- Ruta de datos: la pasarela se conecta hacia afuera por TLS con su propio certificado de dispositivo. "Nada en la instalación necesita aceptar conexiones desde internet."
- Panel web del router: se abre desde la página del dispositivo del router en Hermetry, sin necesidad de una IP fija. No se menciona reenvío de puertos ni una dirección pública. La documentación no explica cómo se transporta esa sesión, así que no describa un mecanismo al departamento de TI. Puede citar las dos afirmaciones anteriores.
- Otros dispositivos de la red de la instalación: si más adelante quiere que la plataforma consulte algo allí (por ejemplo, por SNMP), la plataforma lo alcanza a través de la conexión cifrada de Edge, "sin dirección pública ni reenvío de puertos".
- Configuración: la vinculación no requiere introducir credenciales en la instalación. La configuración y el firmware firmado se envían desde Hermetry.
Puntos que puede comentar a su responsable de TI
- Abrir el panel requiere el permiso Admin Abrir, acceder y cerrar el panel web de un router vinculado.
- La lista Panel sessions muestra quién abrió los paneles. Su consulta también es solo para Admin.
- Existe una página de documentación aparte, Límites y auditoría del acceso remoto. Léala antes de la reunión si preguntan por el registro de actividad.
- Allowed networks (hasta 64 redes o direcciones IPv4/IPv6) es un ajuste del perfil del dispositivo. Restringe qué direcciones de origen pueden conectarse a Hermetry, no a nada de la instalación. Encaja con instalaciones fijas, pero probablemente no con una SIM LTE detrás de un NAT de operador cuya dirección pública no es fija.
Reglas de salida La documentación confirma MQTT sobre TLS en el puerto 8883 (TLS 1.2 como mínimo, 1.3 preferido). Sin embargo, no enumera:
- nombres de host de los brokers,
- otros puertos o hosts de salida (por ejemplo, para descargas de firmware o la sesión del panel),
- si se tolera la inspección TLS por un proxy corporativo.
Pida a Hermetry la lista de permitidos de salida exacta para su modelo de router antes de poner nada por escrito.
Fuentes
Short version: per the docs, Edge needs no inbound access, including for remote work on the router's own panel.
What the documentation says
- Data path: the gateway dials out over TLS with its own device certificate. "Nothing on site needs to accept connections from the internet."
- Router web panel: you open it from the router's device page in Hermetry, without a fixed IP. There is no mention of port forwarding or a public address. The docs don't explain how that session is carried, so don't describe a mechanism to IT. You can quote the two statements above.
- Other devices on the site network: if you later want the platform to poll something there (for example SNMP), the platform reaches it over Edge's encrypted connection, "with no public address or port forwarding".
- Setup: claiming needs no credentials typed on site. Settings and signed firmware are pushed from Hermetry.
Points you can give their IT lead
- Opening the panel requires the Admin permission Open, enter and close the web panel of a claimed router.
- A Panel sessions list shows who opened panels. Viewing it is also Admin-only.
- There is a separate docs page, Remote access limits and audit. Read it before the meeting if they ask about logging.
- Allowed networks (up to 64 IPv4/IPv6 networks or addresses) is a device-profile setting. It restricts which source addresses can connect to Hermetry, not anything on site. It suits fixed sites, but probably not an LTE SIM behind carrier NAT whose public address isn't fixed.
Outbound rules The docs confirm MQTT over TLS on port 8883 (TLS 1.2 minimum, 1.3 preferred). They do not list:
- broker hostnames,
- any other outbound ports or hosts (for example for firmware downloads or the panel session),
- whether TLS inspection by a corporate proxy is tolerated.
Ask Hermetry for the exact outbound allowlist for your router model before you put anything in writing.
Sources
Escrito por IA a partir de la documentación y de los temas resueltos. Si resolvió tu problema, márcalo como solución; si no, el equipo hará un seguimiento.
- Debes estar registrado para responder a este debate.
Únete a la conversación
Inicia sesión para preguntar y responder, dar me gusta a las publicaciones útiles y marcar la respuesta que resolvió tu problema. Cada aportación suma puntos y niveles.