Bir cihazın nasıl bağlandığı, verilerinin ve komutlarının yolda ne kadar korunduğunu belirler. Hermetry, cihaz trafiğini varsayılan olarak şifreler ve daha zayıf her seçeneği, cihaz profili bazında açmanız gereken bir istisna olarak ele alır. Bu sayfa taşıma katmanı korumalarını tek yerde toplar; alan alan başvuru bilgisi Cihaz profilleri sayfasındadır (sekme Taşıma ve kimlik doğrulama).
Şifreleme
| Yol | Varsayılan | Ayrıntılar |
|---|---|---|
| MQTT | 8883 portunda TLS | En az TLS 1.2, tercihen TLS 1.3. Yalnızca ileri gizlilik sağlayan TLS 1.2 paket şifreleme takımları (RSA anahtar değişimi yok, CBC yok). Bkz. MQTT. |
| Cihaz HTTP API’si | HTTPS | Düz HTTP, yalnızca kurulumunuzun sunduğu yerlerde çalışır ve bu durumda komutlar sınırlıdır (aşağıya bakın). Bkz. Cihaz HTTP API’si. |
| LoRaWAN | Sensör ile ağ arasındaki LoRaWAN oturum anahtarları | Her ağ geçidi türünün nasıl bağlandığı LoRaWAN sayfasındadır. |
| Sorgulanan uç noktalar ve kameralar | Hermetry dışarıya bağlanır | Kimlik bilgileri şifreli saklanır ve bir daha gösterilmez. Bkz. Protokol uç noktaları. |
Açmanız gereken istisnalar
| Profil ayarı | Varsayılan | Risk | Ne zaman kullanılır |
|---|---|---|---|
| Düz MQTT’ye izin ver (port 1883) | Kapalı (Yalnızca TLS (port 8883)) | Veriler ve kimlik bilgileri açık metin olarak iletilir. | Yalnızca TLS desteklemeyen cihazlar için, özel ağda veya VPN üzerinde. Yalnızca TLS’e geri dönmek, düz oturumları hemen sonlandırır. |
| URL’de belirteç (başlık gönderemeyen cihazlar) | Kapalı | Belirteç proxy günlüklerinden ve geçmişten sızabilir. Bu tür bir profil yalnızca HTTP kullanır ve cihazları hiçbir komut almaz. | Yalnızca Authorization başlığı ayarlayamayan cihazlar için. |
| TLS olmadan izin verilen komutlar | Boş | Listelenen bir komut yolda okunabilir veya yeniden oynatılabilir. | Yalnızca sys.info veya sys.ping gibi zararsız komutlar, en fazla 32 tane. |
Profil ne derse desin:
- Komutlar yalnızca TLS oturumlarında gönderilir; TLS olmadan izin verilen komutlar altında listelenenler hariç. Diğer komutlar bir TLS oturumu veya süresinin dolmasını bekler.
- Yazılım güncellemeleri ve cihaz ayarları hiçbir zaman açık metin gönderilmez, fabrika ayarlarına döndürme ise hiçbir cihaza gönderilmez.
sys.reboot,ota.checkveyacert.renewkomutlarını asla TLS olmadan izin verilen olarak listelemeyin.
Kimler bağlanabilir
| Denetim | Etki |
|---|---|
| İzin verilen kimlik doğrulama | Profilin kabul ettiği kimlik bilgisi türleri: Erişim belirteci, MQTT temel (kullanıcı adı ve parola), X.509 sertifikası. Yalnızca cihazlarınızın kullandıklarına izin verin. |
| İzin verilen ağlar | En fazla 64 IPv4 veya IPv6 ağı ya da tek adres. Dışarıdakiler reddedilir (MQTT CONNACK 5, HTTP 403). Sabit sitelerdeki cihazlar için kullanın. |
| Cihaz durumu | Devre dışı bir cihaz, askıya alınmış bir kuruluşun cihazı ve iptal edilmiş bir kimlik bilgisi girişte reddedilir ve açık oturumlar hemen sona erer. |
| Cihaz başına bir kimlik bilgisi | Her cihazın en fazla bir etkin kimlik bilgisi vardır. Gizli anahtarlar bir kez gösterilir ve yalnızca özeti saklanır. |
| Sertifikalar | Sunulan istemci sertifikası her zaman karar verir; parolaya geri dönüş yoktur. Bkz. Cihaz sertifika yetkilisi. |
Cihaz destekliyorsa X.509 sertifikalarını, ardından MQTT temel kimlik doğrulamasını, son olarak erişim belirteçlerini kullanın. Bilen personel ayrıldığında gizli anahtarları yenileyin. Bkz. Cihaz kimlik bilgileri.
Hız sınırları
Hız sınırları, kuruluşunuzu ve platformu bozuk veya ele geçirilmiş bir cihazdan korur:
| Sınır | Varsayılan | Sınır aşılınca |
|---|---|---|
| Cihaz başına telemetri iletileri | Saniyede 10, dakikada 300 | Onaylanır ve atılır |
| Cihaz başına telemetri noktaları | Saniyede 200, dakikada 6.000 | Onaylanır ve atılır |
| Cihaz başına öznitelik güncellemeleri | Saniyede 5, dakikada 60 | Onaylanır ve atılır |
| İleti boyutu | 64 KiB, en fazla 1.000 anahtar-değer noktası | Tamamı atılır |
| Tüm kuruluş | Planınıza göre | Onaylanır ve atılır; HTTP 429 |
Sınırını sürekli aşan bir cihazın (bir dakikalık payının üç katından fazla verisi bir dakika içinde atılan) oturumu kapatılır. Sahipler ve yöneticiler cihaz başına saatte bir bildirim alır. Cihaz başına değerler profilin Sınırlar bölümünde ayarlanır; kuruluşun oranları Planlar ve IoT eklentisi sayfasındadır.
Cihaz adresleri
Hermetry, bir cihazın bağlandığı adresi cihazda göstermek ve incelemeleri desteklemek için kaydeder. Cihaz adresleri bağlantı günlüğünde 30 gün tutulur ve hiçbir zaman dışa aktarmanın parçası olmaz.
Bir profil için sertleştirme kontrol listesi
- Düz MQTT: Yalnızca TLS (port 8883).
- URL’de belirteç: kapalı.
- TLS olmadan izin verilen komutlar: boş.
- İzin verilen kimlik doğrulama: yalnızca cihazlarınızın kullandığı tür; lisanslı cihazlar için X.509.
- İzin verilen ağlar: sabitse sitenin genel adresi veya aralığı.
- Sınırlar: cihazın gerçekte gönderdiği değere indirin, böylece bir arıza hemen görünür.
- Engellenen cihaz girişleri için denetim günlüğünü izleyin (örneğin
iot_gateway.auth_blocked).