Traduit de English par IA ·
Petite vérification avant de retourner en réunion avec l’IT d’un client distributeur d’énergie.Le site est un petit bâtiment de sous-station : 14 compteurs Modbus RTU sur deux lignes RS485, quelques relais de température de transformateur, une liaison montante LTE plus une fibre fournie par le réseau d’entreprise du distributeur. Le projet : un routeur sous licence exécutant Edge, qui lit les compteurs et les remonte en tant que child devices.Le responsable IT pose : pas de NAT entrant, pas de redirection de port, pas de DMZ, rien à l’écoute sur une adresse publique, point final. Je suis d’accord, mais il veut aussi une confirmation écrite que nous ne demanderons jamais cet accès plus tard « quand vous aurez besoin de vous connecter à distance ». Le précédent fournisseur aurait commencé par « sortant uniquement », puis six mois plus tard demandé la redirection du TCP 443 vers son boîtier pour la maintenance.Je crois comprendre que la passerelle se connecte vers l’extérieur en TLS, et c’est tout. Ce qui me paraît moins clair, c’est le côté distant : quand mes techniciens doivent accéder à l’interface web du routeur pour corriger un paramètre série, comment ce trafic entre-t-il sans port redirigé ni IP fixe ? La SIM LTE est de toute façon derrière un NAT opérateur, donc une redirection de port ne fonctionnerait même pas là-bas.Quelqu’un a-t-il déployé cela derrière un pare-feu d’entreprise strict ? Outre l’hôte broker sur le port 8883, quels flux sortants faut-il autoriser ?
Quick sanity check before I go back into a meeting with a utility customer’s IT people.
Site is a small substation building: 14 Modbus RTU meters on two RS485 runs, a couple of transformer temperature relays, one LTE uplink plus a fiber drop that the utility’s corporate network owns. The plan is a licensed router running Edge, reading the meters and reporting them as child devices.
Their IT lead’s position is no inbound NAT, no port forwarding, no DMZ, nothing listening on a public address, period. Fine by me, but he also wants written confirmation that we will never ask for it later « when you need to log in remotely ». Previous vendor apparently started with « outbound only » and six months later asked for TCP 443 forwarded to their box for maintenance.
My understanding is the gateway dials out over TLS and that’s it. What I’m less sure about is the remote side: when my techs need to get into the router’s own web panel to fix a serial setting, how does that traffic get in without a forwarded port or a fixed IP? The LTE SIM is behind carrier NAT anyway, so a forwarded port wouldn’t even work there.
Anyone deployed this behind a strict corporate firewall? Anything outbound they need to allow besides the broker host on 8883?
Traduit de English par IA ·
Je ne suis pas utilisateur d’Edge, mais ne pourriez-vous pas mettre en place un VPN depuis le routeur vers votre bureau ? C’est ce que nous avions fait une fois pour une application web.
Not an Edge user, but couldn’t you run a VPN from the router back to your office? That’s what we did for a web app once.
Traduit de English par IA ·
Un VPN est exactement la discussion que j’essaie d’éviter. Leur équipe de sécurité traite tout tunnel vers leur réseau comme un nouveau projet soumis à un examen de 3 mois.
A VPN is exactly the conversation I’m trying to avoid. Their security team treats any tunnel into their network as a new project with a 3 month review.
Traduit de English par IA ·
En bref : selon la documentation, Edge n'a besoin d'aucun accès entrant, y compris pour la maintenance à distance depuis le panneau du routeur lui-même.
Ce que dit la documentation
- Chemin des données : la passerelle établit une connexion sortante en TLS avec son propre certificat d'appareil. "Rien sur site n'a besoin d'accepter des connexions depuis Internet."
- Interface web du routeur : vous l'ouvrez depuis la page de l'appareil du routeur dans Hermetry, sans adresse IP fixe. Il n'est fait mention ni de redirection de ports ni d'adresse publique. La documentation n'explique pas comment cette session est acheminée, donc ne décrivez pas de mécanisme à la DSI. Vous pouvez citer les deux affirmations ci-dessus.
- Autres appareils du réseau du site : si vous voulez plus tard que la plateforme interroge un équipement (par exemple en SNMP), elle y accède via la connexion chiffrée d'Edge, "sans adresse publique ni redirection de ports".
- Mise en service : l'enregistrement ne demande aucun identifiant à saisir sur site. Les paramètres et le micrologiciel signé sont transmis depuis Hermetry.
Points à présenter à votre responsable informatique
- Ouvrir le panneau exige l'autorisation Admin Ouvrir, accéder et fermer l'interface web d'un routeur enregistré.
- Une liste Panel sessions indique qui a ouvert les panneaux. Sa consultation est également réservée à Admin.
- Une page de documentation distincte, Limites et audit de l'accès à distance, existe. Lisez-la avant la réunion s'ils posent des questions sur la journalisation.
- Allowed networks (jusqu'à 64 réseaux ou adresses IPv4/IPv6) est un paramètre du profil d'appareil. Il limite les adresses sources autorisées à se connecter à Hermetry, et non les équipements du site. Il convient aux sites fixes, mais probablement pas à une carte SIM LTE derrière un NAT opérateur dont l'adresse publique n'est pas fixe.
Règles sortantes La documentation confirme MQTT sur TLS, port 8883 (TLS 1.2 minimum, 1.3 préféré). Elle ne liste pas :
- les noms d'hôte des brokers,
- les autres ports ou hôtes sortants (par exemple pour les téléchargements de micrologiciels ou la session du panneau),
- la tolérance ou non à l'inspection TLS par un proxy d'entreprise.
Demandez à Hermetry la liste d'autorisation sortante exacte pour votre modèle de routeur avant de mettre quoi que ce soit par écrit.
Sources
Short version: per the docs, Edge needs no inbound access, including for remote work on the router's own panel.
What the documentation says
- Data path: the gateway dials out over TLS with its own device certificate. "Nothing on site needs to accept connections from the internet."
- Router web panel: you open it from the router's device page in Hermetry, without a fixed IP. There is no mention of port forwarding or a public address. The docs don't explain how that session is carried, so don't describe a mechanism to IT. You can quote the two statements above.
- Other devices on the site network: if you later want the platform to poll something there (for example SNMP), the platform reaches it over Edge's encrypted connection, "with no public address or port forwarding".
- Setup: claiming needs no credentials typed on site. Settings and signed firmware are pushed from Hermetry.
Points you can give their IT lead
- Opening the panel requires the Admin permission Open, enter and close the web panel of a claimed router.
- A Panel sessions list shows who opened panels. Viewing it is also Admin-only.
- There is a separate docs page, Remote access limits and audit. Read it before the meeting if they ask about logging.
- Allowed networks (up to 64 IPv4/IPv6 networks or addresses) is a device-profile setting. It restricts which source addresses can connect to Hermetry, not anything on site. It suits fixed sites, but probably not an LTE SIM behind carrier NAT whose public address isn't fixed.
Outbound rules The docs confirm MQTT over TLS on port 8883 (TLS 1.2 minimum, 1.3 preferred). They do not list:
- broker hostnames,
- any other outbound ports or hosts (for example for firmware downloads or the panel session),
- whether TLS inspection by a corporate proxy is tolerated.
Ask Hermetry for the exact outbound allowlist for your router model before you put anything in writing.
Sources
Rédigé par l’IA à partir de la documentation et des sujets résolus. Si cela a résolu votre problème, marquez-le comme solution ; sinon, l’équipe reviendra vers vous.
- Vous devez être connecté pour répondre à ce sujet.
Rejoignez la discussion
Connectez-vous pour poser et répondre à des questions, aimer les messages utiles et marquer la réponse qui a résolu votre problème. Chaque contribution rapporte des points et des niveaux.