Traduit de English par IA ·
Alors le Wi-Fi invité est exclu. Je l’ai fait pour la boulangerie de ma sœur et deux cafés, tous en Ubiquiti, donc à peu près ta configuration :Crée un nouveau SSID « store-iot » en WPA2 PSK, associe-le à son propre VLAN (disons 30), active l’isolation des clients pour que les capteurs ne puissent pas communiquer entre eux, et dans les règles du pare-feu, autorise ce VLAN uniquement en sortie : DNS, NTP et TCP 8883 vers le broker Hermetry (443 aussi si quelque chose utilise HTTPS). Bloque le VLAN 30 vers tous les autres réseaux internes. C’est ce que l’auditeur veut voir, et c’est une après-midi par magasin.Je n’ajouterais pas de Pi pour cela. Un Pi se justifie quand tes appareils ne peuvent pas accéder eux-mêmes à Internet (BLE, Modbus, Zigbee) et que quelque chose doit remonter les données pour eux en tant que passerelle. Tes ESP32 font déjà du TLS par eux-mêmes ; un Pi ajouterait simplement une carte SD qui peut tomber en panne dans l’arrière-boutique.Côté Hermetry, deux petits plus peu coûteux : dans le profil de réfrigérateur, renseigne Allowed networks avec l’IP publique de chaque magasin, pour qu’un jeton volé soit inutile depuis ailleurs. Et vérifie que Plain MQTT est désactivé : seul TLS sur 8883 est la valeur par défaut, mais ton responsable informatique a peut-être activé l’option pendant les tests. La checklist se trouve en bas de Device transport security.
Then guest is out. I did this for my sister’s bakery and two cafes, all Ubiquiti, so roughly your setup:
Make a new SSID « store-iot » with WPA2 PSK, tag it to its own VLAN (say 30), turn on client isolation so sensors can’t talk to each other, and in the firewall rules allow that VLAN only outbound: DNS, NTP, and TCP 8883 to the Hermetry broker (443 too if anything uses HTTPS). Block VLAN 30 to every other internal network. That’s what the auditor wants to see, and it’s one afternoon per store.
I wouldn’t add a Pi for this. A Pi is worth it when your devices can’t reach the internet themselves (BLE, Modbus, Zigbee) and something has to report for them as a gateway. Your ESP32s already do TLS on their own, a Pi just adds an SD card that can die in the back office.
On the Hermetry side two cheap extras: on the fridge profile set Allowed networks to each store’s public IP, so a stolen token is useless from anywhere else. And check Plain MQTT is off, TLS only on 8883 is the default but your IT guy may have turned it on while testing. Checklist at the bottom of Device transport security.