Traduit de English par IA ·
Bonjour, je suis data analyst dans une petite chaîne d’épiceries (5 magasins). Notre unique informaticien est parti en été et le projet de capteurs m’a été confié. Désolé si c’est basique.Chaque magasin dispose de 6 à 10 capteurs de température ESP32 pour réfrigérateurs/congélateurs et d’un compteur de portes, qui envoient tous leurs données à Hermetry via MQTT. Actuellement, ils sont sur le même Wi-Fi que les caisses et les PC du bureau, parce que c’est ainsi qu’ils ont été configurés. Notre auditeur des paiements par carte l’a signalé.On m’a proposé plusieurs options : (1) les mettre sur le Wi-Fi invité, (2) créer un VLAN séparé, (3) installer un Raspberry Pi dans chaque magasin et faire en sorte que les capteurs ne communiquent qu’avec le Pi. Je ne me sens pas assez compétent pour choisir. Que ferais-tu ? Les routeurs sont des Ubiquiti, un AP par magasin.
Hi, I’m a data analyst at a small grocery chain (5 stores), our one IT guy left in the summer and now the sensor project is mine. Sorry if this is basic.
Each store has 6 to 10 ESP32 fridge/freezer temperature sensors and a door counter, all sending to Hermetry over MQTT. Right now they are on the same Wi-Fi as the tills and the office PCs, because that’s how they were set up. Our card payment auditor flagged it.
Options people have suggested to me: (1) put them on the guest Wi-Fi, (2) make a separate VLAN, (3) put a Raspberry Pi in each store and have the sensors talk only to the Pi. I don’t know enough to choose. What would you do? The routers are Ubiquiti, one AP per store.
Traduit de English par IA ·
Le Wi-Fi invité semble le plus simple ? Il est déjà séparé de vos caisses.
Guest Wi-Fi seems easiest? It’s already separated from your tills.
Traduit de English par IA ·
Les réseaux invités dans les magasins ont souvent un portail captif ou déconnectent les clients au bout de quelques heures, les ESP32 vont donc rester bloqués là-bas. Vérifiez cela avant. Les capteurs doivent-ils communiquer avec quoi que ce soit dans le magasin, ou seulement sortir vers Internet ?
Guest networks in shops often have a captive portal or kick clients after a few hours, the ESP32s will hang there. Check that before. Do the sensors need to talk to anything in the store, or only out to the internet?
Traduit de English par IA ·
Seulement vers Hermetry, à ma connaissance. Rien en local ne les lit. Le réseau invité dispose bien d’une page « cliquer pour accepter ».
Only out to Hermetry as far as I know. Nothing local reads them. The guest network does have a « click to accept » page.
Traduit de English par IA ·
Alors le Wi-Fi invité est exclu. Je l’ai fait pour la boulangerie de ma sœur et deux cafés, tous en Ubiquiti, donc à peu près ta configuration :Crée un nouveau SSID « store-iot » en WPA2 PSK, associe-le à son propre VLAN (disons 30), active l’isolation des clients pour que les capteurs ne puissent pas communiquer entre eux, et dans les règles du pare-feu, autorise ce VLAN uniquement en sortie : DNS, NTP et TCP 8883 vers le broker Hermetry (443 aussi si quelque chose utilise HTTPS). Bloque le VLAN 30 vers tous les autres réseaux internes. C’est ce que l’auditeur veut voir, et c’est une après-midi par magasin.Je n’ajouterais pas de Pi pour cela. Un Pi se justifie quand tes appareils ne peuvent pas accéder eux-mêmes à Internet (BLE, Modbus, Zigbee) et que quelque chose doit remonter les données pour eux en tant que passerelle. Tes ESP32 font déjà du TLS par eux-mêmes ; un Pi ajouterait simplement une carte SD qui peut tomber en panne dans l’arrière-boutique.Côté Hermetry, deux petits plus peu coûteux : dans le profil de réfrigérateur, renseigne Allowed networks avec l’IP publique de chaque magasin, pour qu’un jeton volé soit inutile depuis ailleurs. Et vérifie que Plain MQTT est désactivé : seul TLS sur 8883 est la valeur par défaut, mais ton responsable informatique a peut-être activé l’option pendant les tests. La checklist se trouve en bas de Device transport security.
Then guest is out. I did this for my sister’s bakery and two cafes, all Ubiquiti, so roughly your setup:
Make a new SSID « store-iot » with WPA2 PSK, tag it to its own VLAN (say 30), turn on client isolation so sensors can’t talk to each other, and in the firewall rules allow that VLAN only outbound: DNS, NTP, and TCP 8883 to the Hermetry broker (443 too if anything uses HTTPS). Block VLAN 30 to every other internal network. That’s what the auditor wants to see, and it’s one afternoon per store.
I wouldn’t add a Pi for this. A Pi is worth it when your devices can’t reach the internet themselves (BLE, Modbus, Zigbee) and something has to report for them as a gateway. Your ESP32s already do TLS on their own, a Pi just adds an SD card that can die in the back office.
On the Hermetry side two cheap extras: on the fridge profile set Allowed networks to each store’s public IP, so a stolen token is useless from anywhere else. And check Plain MQTT is off, TLS only on 8883 is the default but your IT guy may have turned it on while testing. Checklist at the bottom of Device transport security.
Traduit de English par IA ·
Le premier magasin est terminé vendredi avec le VLAN 30 et l’isolation. Les capteurs se sont reconnectés d’eux-mêmes après que j’ai modifié le SSID sur leur page de configuration. Vous aviez raison au sujet de Plain MQTT : il était activé, et deux capteurs utilisaient effectivement le port 1883. Je les ai basculés sur le 8883 et j’ai désactivé l’option. Les réseaux autorisés avaient besoin des 5 adresses IP du magasin dans le même profil, ce qui a très bien fonctionné.
First store done Friday with VLAN 30 and isolation, sensors reconnected on their own after I changed the SSID in their config page. You were right about Plain MQTT, it was on, and two sensors were actually using 1883. Moved them to 8883 and turned it off. Allowed networks needed all 5 store IPs on the one profile, that worked fine.
Traduit de English par IA ·
Si le firmware de l’ESP32 utilise un DNS codé en dur comme 8.8.8.8, autorise-le aussi, sinon les capteurs échoueront après le déménagement et tu jureras que le pare-feu est correct.
If the ESP32 firmware uses a hardcoded DNS like 8.8.8.8, allow that too, or they’ll fail after the move and you’ll swear the firewall is fine.
- Vous devez être connecté pour répondre à ce sujet.
Rejoignez la discussion
Connectez-vous pour poser et répondre à des questions, aimer les messages utiles et marquer la réponse qui a résolu votre problème. Chaque contribution rapporte des points et des niveaux.