Traduit de English par IA ·
Bonjour à tous, je suis un parfait débutant, désolé pour le long message.J’ai 5 ESP32 dans la maison (deux capteurs de température/humidité, un contact Reed pour la porte du garage, un capteur de fuite d’eau sous la chaudière et un qui lit la LED du compteur électrique). Ils envoient tous leurs données à mon compte Hermetry via MQTT, et ça marche très bien. Mais je lis des histoires effrayantes sur des objets IoT bon marché utilisés pour s’introduire dans les réseaux domestiques, et ma femme travaille à la maison avec un ordinateur portable professionnel sur le même Wi-Fi. J’aimerais donc les séparer.Mon routeur est un TP-Link Archer AX55 (celui du fournisseur d’accès est en mode modem). Il possède un « Guest Network » avec une option appelée « Allow guests to see each other and access my local network ». J’ai aussi un vieux Raspberry Pi 3 qui traîne, si ça peut aider.Ce dont je ne suis pas sûr :1. Si je place les ESP sur le réseau invité, pourront-ils encore atteindre Hermetry ? Faut-il rediriger des ports ? 2. Y a-t-il quelque chose à modifier côté Hermetry pour le sécuriser ? 3. Un des ESP a une petite page web de configuration (celui du compteur). Vais-je perdre l’accès à cette page depuis mon téléphone ?J’ai essayé hier soir de déplacer un des capteurs de température sur le Wi-Fi invité pour tester, et depuis il n’envoie plus rien. J’ai visiblement cassé quelque chose.
Hi all, total beginner here so apologies for the long post.
I’ve got 5 ESP32s around the house (two temp/humidity, a garage door reed switch, a water leak sensor under the boiler and one reading the electricity meter LED). They all report to my Hermetry account over MQTT and it’s been great. But I keep reading horror stories about cheap IoT stuff being used to get into home networks, and my wife works from home with a work laptop on the same Wi-Fi, so I’d like to separate them.
My router is a TP-Link Archer AX55 (ISP supplied one is in modem mode). It has a « Guest Network » with an option called « Allow guests to see each other and access my local network », and I also have an old Raspberry Pi 3 lying around if that helps.
What I’m not sure about:
1. If I put the ESPs on the guest network, will they still reach Hermetry? Do I need to forward any ports? 2. Is there anything on the Hermetry side I should change to lock it down? 3. One ESP has a little web page for config (the meter one). Will I lose access to that from my phone?
I tried moving one of the temperature sensors to the guest Wi-Fi last night as a test and it hasn’t sent anything since, so I’ve clearly broken something.
Traduit de English par IA ·
Le AX55 permet-il de définir des règles de pare-feu par réseau, ou seulement l’interrupteur d’activation/désactivation de l’isolation du réseau invité ?
Does the AX55 let you set firewall rules per network, or only the guest on/off isolation switch?
Traduit de English par IA ·
D’après ce que je vois, seulement le commutateur d’isolation, plus une limitation de bande passante. Pas de règles véritables.
Only the isolation switch as far as I can see, plus a bandwidth limit. No proper rules.
Traduit de English par IA ·
Je pense que tu devras rediriger le port 8883 du routeur vers les ESP, puisque le broker doit pouvoir les atteindre à travers le réseau invité ?
I think you’ll need to forward 8883 on the router to the ESPs, since the broker has to get to them through the guest network?
Traduit de English par IA ·
Pas besoin de redirection, les appareils initient toujours les connexions sortantes. Je suis aussi du côté exploitation technique des bâtiments, pas informatique, mais j’ai vécu cela à notre hôtel l’an dernier lorsque notre prestataire informatique a placé tous les capteurs des chambres et la passerelle de la chaudière sur un SSID séparé, et j’en ai beaucoup appris.Ce dont les capteurs ont besoin en sortie :
TCP 8883 MQTT over TLS to the device host on your Connection details card
TCP 443 only if any of them use the HTTPS device API
UDP 53 DNS (they connect by host name, TLS needs the name)
UDP 123 NTP, the ESP needs real time to check the server certificateRien en entrée. Sur le réseau invité de l’AX55, avec « voir les autres appareils et accéder à mon réseau local » désactivé, vous obtenez à peu près ce qu’il faut : les ESP peuvent accéder à Internet mais pas à l’ordinateur portable.Mon hypothèse pour votre capteur de test : soit il ne peut pas résoudre le nom d’hôte (certains réseaux invités distribuent des DNS étranges), soit il n’arrive pas à obtenir l’heure. Chez nous, c’est exactement ce qui s’est passé : les ESP échouaient sur TLS parce que NTP était bloqué sur le nouveau SSID. Surveillez la sortie série si vous le pouvez.Côté Hermetry, ouvrez votre profil d’appareil et vérifiez la liste de durcissement sur la page de sécurité du transport des appareils : MQTT non chiffré désactivé (TLS uniquement, port 8883), jeton dans l’URL désactivé, commandes autorisées sans TLS vide. Il existe aussi un champ Réseaux autorisés (jusqu’à 64 réseaux ou adresses) ; les appareils situés en dehors sont refusés. Si votre domicile dispose d’une IP publique fixe, vous pouvez l’indiquer ici, ainsi un jeton copié depuis une carte sera inutilisable ailleurs.Pour votre page compteur : avec l’isolation activée, votre téléphone sur le Wi-Fi principal ne pourra pas l’atteindre. Nous gardions un ordinateur portable sur le SSID des appareils pour ce genre de cas.
No forwarding needed, the devices always call out. I’m a facilities guy too, not IT, but I went through this at our hotel last year when our IT contractor put all the room sensors and the boiler gateway on a separate SSID, and I learned a lot from that.
What the sensors need outbound:
TCP 8883 MQTT over TLS to the device host on your Connection details card
TCP 443 only if any of them use the HTTPS device API
UDP 53 DNS (they connect by host name, TLS needs the name)
UDP 123 NTP, the ESP needs real time to check the server certificateNothing inbound. On the AX55 guest network with « see each other and access my local network » switched OFF you get roughly the right thing: the ESPs can reach the internet but not the laptop.
My bet for your test sensor: either it can’t resolve the host (some guest networks hand out odd DNS), or it can’t get time. Ours did exactly that, the ESPs sat there failing TLS because NTP was blocked on the new SSID. Watch the serial output if you can.
On the Hermetry side, open your device profile and check the hardening list on the device transport security page: plain MQTT off (TLS only, port 8883), token in the URL off, commands allowed without TLS empty. There is also an Allowed networks field (up to 64 networks or addresses); devices outside it are refused. If your home has a fixed public IP you can put it there, so a token copied off a board is useless anywhere else.
For your meter page: with isolation on, your phone on the main Wi-Fi won’t reach it. We kept one laptop on the device SSID for that kind of thing.
Traduit de English par IA ·
C’était bien ça. Le réseau invité distribue correctement le routeur comme DNS, mais mon sketch utilisait une adresse IP NTP codée en dur, bloquée par un pare-feu. L’horloge n’a donc jamais été réglée et TLS a échoué. Je l’ai remplacée par pool.ntp.org et le capteur est revenu. Les cinq sont maintenant sur le réseau invité, l’isolation désactivée, et le portable du travail ne peut pas les voir.Je n’ai pas touché à la redirection de ports, Kevin, merci quand même.
That was it. Guest network hands out the router as DNS fine, but my sketch was using a hardcoded NTP IP that a firewall blocked, so the clock never set and TLS failed. Switched it to pool.ntp.org and the sensor came back. All five are on the guest network now, isolation off, and the work laptop can’t see them.
Didn’t touch the port forwarding, Kevin, thanks anyway.
Traduit de English par IA ·
Prudence avec les réseaux autorisés sur une connexion domestique. La plupart des FAI britanniques changent votre adresse IP publique de temps en temps, et le jour où elle change, tous les capteurs sont refusés (CONNACK 5, la raison n’apparaît que dans l’onglet Log de l’appareil). Ne l’utilisez que si vous payez pour une IP statique.
Careful with Allowed networks on a home connection. Most UK ISPs change your public IP now and then, and the day it changes every sensor gets refused (CONNACK 5, the reason only shows on the device Log tab). Only use it if you pay for a static IP.
- Vous devez être connecté pour répondre à ce sujet.
Rejoignez la discussion
Connectez-vous pour poser et répondre à des questions, aimer les messages utiles et marquer la réponse qui a résolu votre problème. Chaque contribution rapporte des points et des niveaux.