Traducido del English por IA ·
Hola, soy analista de datos en una pequeña cadena de supermercados (5 tiendas). Nuestro único técnico de TI se fue en verano y el proyecto de sensores ahora es mío. Perdón si esto es básico.Cada tienda tiene de 6 a 10 sensores de temperatura ESP32 para frigoríficos/congeladores y un contador de puertas, todos enviando datos a Hermetry por MQTT. Ahora mismo están en el mismo Wi-Fi que las cajas y los PC de oficina, porque así se configuraron. Nuestro auditor de pagos con tarjeta lo ha marcado.Me han sugerido estas opciones: (1) ponerlos en el Wi-Fi de invitados, (2) crear una VLAN separada, (3) poner una Raspberry Pi en cada tienda y que los sensores hablen solo con la Pi. No sé lo suficiente para elegir. ¿Qué harías tú? Los routers son Ubiquiti, un AP por tienda.
Hi, I’m a data analyst at a small grocery chain (5 stores), our one IT guy left in the summer and now the sensor project is mine. Sorry if this is basic.
Each store has 6 to 10 ESP32 fridge/freezer temperature sensors and a door counter, all sending to Hermetry over MQTT. Right now they are on the same Wi-Fi as the tills and the office PCs, because that’s how they were set up. Our card payment auditor flagged it.
Options people have suggested to me: (1) put them on the guest Wi-Fi, (2) make a separate VLAN, (3) put a Raspberry Pi in each store and have the sensors talk only to the Pi. I don’t know enough to choose. What would you do? The routers are Ubiquiti, one AP per store.
Traducido del English por IA ·
¿El Wi-Fi de invitados parece lo más sencillo? Ya está separado de tus cajas registradoras.
Guest Wi-Fi seems easiest? It’s already separated from your tills.
Traducido del English por IA ·
Las redes de invitados en las tiendas suelen tener un portal cautivo o desconectan a los clientes después de unas horas, así que los ESP32 se quedarán colgados ahí. Compruébalo antes. ¿Los sensores necesitan comunicarse con algo dentro de la tienda, o solo salir a internet?
Guest networks in shops often have a captive portal or kick clients after a few hours, the ESP32s will hang there. Check that before. Do the sensors need to talk to anything in the store, or only out to the internet?
Traducido del English por IA ·
Solo se envían a Hermetry, que yo sepa. Nada local los lee. La red de invitados sí tiene una página de «hacer clic para aceptar».
Only out to Hermetry as far as I know. Nothing local reads them. The guest network does have a «click to accept» page.
Traducido del English por IA ·
Entonces, la red de invitados queda descartada. Lo hice para la panadería de mi hermana y dos cafeterías, todas con Ubiquiti, así que más o menos tu misma configuración:Crea un nuevo SSID «store-iot» con WPA2 PSK, asígnale su propia VLAN (digamos la 30), activa el aislamiento de clientes para que los sensores no puedan comunicarse entre sí, y en las reglas del firewall permite que esa VLAN solo salga hacia fuera: DNS, NTP y TCP 8883 hacia el broker de Hermetry (443 también si algo usa HTTPS). Bloquea la VLAN 30 hacia todas las demás redes internas. Eso es lo que quiere ver el auditor, y es una tarde por tienda.No añadiría una Pi para esto. Una Pi merece la pena cuando tus dispositivos no pueden llegar a internet por sí mismos (BLE, Modbus, Zigbee) y algo tiene que reportar por ellos como pasarela. Tus ESP32 ya hacen TLS por su cuenta; una Pi solo añadiría una tarjeta SD que puede fallar en la oficina trasera.En el lado de Hermetry, dos extras baratos: en el perfil del refrigerador, configura Allowed networks con la IP pública de cada tienda, así un token robado no sirve desde otro lugar. Y comprueba que Plain MQTT esté desactivado; solo TLS en 8883 es lo predeterminado, pero tu encargado de TI pudo haberlo activado durante las pruebas. La lista de verificación está al final de Device transport security.
Then guest is out. I did this for my sister’s bakery and two cafes, all Ubiquiti, so roughly your setup:
Make a new SSID «store-iot» with WPA2 PSK, tag it to its own VLAN (say 30), turn on client isolation so sensors can’t talk to each other, and in the firewall rules allow that VLAN only outbound: DNS, NTP, and TCP 8883 to the Hermetry broker (443 too if anything uses HTTPS). Block VLAN 30 to every other internal network. That’s what the auditor wants to see, and it’s one afternoon per store.
I wouldn’t add a Pi for this. A Pi is worth it when your devices can’t reach the internet themselves (BLE, Modbus, Zigbee) and something has to report for them as a gateway. Your ESP32s already do TLS on their own, a Pi just adds an SD card that can die in the back office.
On the Hermetry side two cheap extras: on the fridge profile set Allowed networks to each store’s public IP, so a stolen token is useless from anywhere else. And check Plain MQTT is off, TLS only on 8883 is the default but your IT guy may have turned it on while testing. Checklist at the bottom of Device transport security.
Traducido del English por IA ·
La primera tienda quedó lista el viernes con la VLAN 30 y el aislamiento. Los sensores se reconectaron solos después de que cambié el SSID en su página de configuración. Tenías razón con Plain MQTT: estaba activado y dos sensores usaban realmente el 1883. Los pasé al 8883 y lo desactivé. Las redes permitidas necesitaban las 5 IP de la tienda en el mismo perfil, y eso funcionó bien.
First store done Friday with VLAN 30 and isolation, sensors reconnected on their own after I changed the SSID in their config page. You were right about Plain MQTT, it was on, and two sensors were actually using 1883. Moved them to 8883 and turned it off. Allowed networks needed all 5 store IPs on the one profile, that worked fine.
Traducido del English por IA ·
Si el firmware del ESP32 usa un DNS fijo en el código como 8.8.8.8, permite también ese, o fallarán después del traslado y jurarás que el firewall está bien.
If the ESP32 firmware uses a hardcoded DNS like 8.8.8.8, allow that too, or they’ll fail after the move and you’ll swear the firewall is fine.
- Debes estar registrado para responder a este debate.
Únete a la conversación
Inicia sesión para preguntar y responder, dar me gusta a las publicaciones útiles y marcar la respuesta que resolvió tu problema. Cada aportación suma puntos y niveles.