Yapay zekâ tarafından English dilinden çevrildi ·
O zaman misafir ağı olmaz. Bunu kız kardeşimin pastanesi ve iki kafesi için yaptım, hepsi Ubiquiti, yani kabaca senin kurulumunla aynı:”store-iot” adında yeni bir SSID oluştur, WPA2 PSK kullan, buna kendi VLAN’ını ata (diyelim 30), sensörlerin birbiriyle konuşmaması için client isolation’ı aç ve güvenlik duvarı kurallarında bu VLAN’a yalnızca dışarı çıkışa izin ver: DNS, NTP ve Hermetry broker’ına TCP 8883 (bir şey HTTPS kullanıyorsa 443 de). VLAN 30’dan diğer tüm iç ağlara erişimi engelle. Denetçinin görmek istediği bu ve mağaza başına bir öğleden sonra sürer.Bunun için Pi eklemezdim. Pi, cihazların kendi başlarına internete çıkamadığı durumlarda (BLE, Modbus, Zigbee) ve bir ağ geçidi olarak onlar adına raporlama yapması gerektiğinde değerlidir. ESP32’lerin zaten kendi başlarına TLS kullanıyor; Pi ise sadece arka ofiste bozulabilecek bir SD kart ekler.Hermetry tarafında iki ucuz ek: buzdolabı profilinde Allowed networks alanına her mağazanın genel IP adresini gir, böylece çalınan bir token başka yerden işe yaramaz. Ayrıca Plain MQTT’nin kapalı olduğunu kontrol et; 8883’te yalnızca TLS varsayılandır, ama IT arkadaşın test sırasında açmış olabilir. Kontrol listesi Device transport security sayfasının sonunda.
Then guest is out. I did this for my sister’s bakery and two cafes, all Ubiquiti, so roughly your setup:
Make a new SSID “store-iot” with WPA2 PSK, tag it to its own VLAN (say 30), turn on client isolation so sensors can’t talk to each other, and in the firewall rules allow that VLAN only outbound: DNS, NTP, and TCP 8883 to the Hermetry broker (443 too if anything uses HTTPS). Block VLAN 30 to every other internal network. That’s what the auditor wants to see, and it’s one afternoon per store.
I wouldn’t add a Pi for this. A Pi is worth it when your devices can’t reach the internet themselves (BLE, Modbus, Zigbee) and something has to report for them as a gateway. Your ESP32s already do TLS on their own, a Pi just adds an SD card that can die in the back office.
On the Hermetry side two cheap extras: on the fridge profile set Allowed networks to each store’s public IP, so a stolen token is useless from anywhere else. And check Plain MQTT is off, TLS only on 8883 is the default but your IT guy may have turned it on while testing. Checklist at the bottom of Device transport security.