Traduit de English par IA ·
Pas besoin de redirection, les appareils initient toujours les connexions sortantes. Je suis aussi du côté exploitation technique des bâtiments, pas informatique, mais j’ai vécu cela à notre hôtel l’an dernier lorsque notre prestataire informatique a placé tous les capteurs des chambres et la passerelle de la chaudière sur un SSID séparé, et j’en ai beaucoup appris.Ce dont les capteurs ont besoin en sortie :
TCP 8883 MQTT over TLS to the device host on your Connection details card
TCP 443 only if any of them use the HTTPS device API
UDP 53 DNS (they connect by host name, TLS needs the name)
UDP 123 NTP, the ESP needs real time to check the server certificateRien en entrée. Sur le réseau invité de l’AX55, avec « voir les autres appareils et accéder à mon réseau local » désactivé, vous obtenez à peu près ce qu’il faut : les ESP peuvent accéder à Internet mais pas à l’ordinateur portable.Mon hypothèse pour votre capteur de test : soit il ne peut pas résoudre le nom d’hôte (certains réseaux invités distribuent des DNS étranges), soit il n’arrive pas à obtenir l’heure. Chez nous, c’est exactement ce qui s’est passé : les ESP échouaient sur TLS parce que NTP était bloqué sur le nouveau SSID. Surveillez la sortie série si vous le pouvez.Côté Hermetry, ouvrez votre profil d’appareil et vérifiez la liste de durcissement sur la page de sécurité du transport des appareils : MQTT non chiffré désactivé (TLS uniquement, port 8883), jeton dans l’URL désactivé, commandes autorisées sans TLS vide. Il existe aussi un champ Réseaux autorisés (jusqu’à 64 réseaux ou adresses) ; les appareils situés en dehors sont refusés. Si votre domicile dispose d’une IP publique fixe, vous pouvez l’indiquer ici, ainsi un jeton copié depuis une carte sera inutilisable ailleurs.Pour votre page compteur : avec l’isolation activée, votre téléphone sur le Wi-Fi principal ne pourra pas l’atteindre. Nous gardions un ordinateur portable sur le SSID des appareils pour ce genre de cas.
No forwarding needed, the devices always call out. I’m a facilities guy too, not IT, but I went through this at our hotel last year when our IT contractor put all the room sensors and the boiler gateway on a separate SSID, and I learned a lot from that.
What the sensors need outbound:
TCP 8883 MQTT over TLS to the device host on your Connection details card
TCP 443 only if any of them use the HTTPS device API
UDP 53 DNS (they connect by host name, TLS needs the name)
UDP 123 NTP, the ESP needs real time to check the server certificateNothing inbound. On the AX55 guest network with « see each other and access my local network » switched OFF you get roughly the right thing: the ESPs can reach the internet but not the laptop.
My bet for your test sensor: either it can’t resolve the host (some guest networks hand out odd DNS), or it can’t get time. Ours did exactly that, the ESPs sat there failing TLS because NTP was blocked on the new SSID. Watch the serial output if you can.
On the Hermetry side, open your device profile and check the hardening list on the device transport security page: plain MQTT off (TLS only, port 8883), token in the URL off, commands allowed without TLS empty. There is also an Allowed networks field (up to 64 networks or addresses); devices outside it are refused. If your home has a fixed public IP you can put it there, so a token copied off a board is useless anywhere else.
For your meter page: with isolation on, your phone on the main Wi-Fi won’t reach it. We kept one laptop on the device SSID for that kind of thing.