Yapay zekâ tarafından English dilinden çevrildi ·
Bir kamu hizmeti müşterisinin BT ekibiyle tekrar toplantıya girmeden önce hızlı bir kontrol.Saha küçük bir trafo merkezi binası: iki RS485 hattında 14 Modbus RTU sayaç, birkaç trafo sıcaklık rölesi, bir LTE uplink ve kamu şirketinin kurumsal ağına ait bir fiber bağlantı. Plan, Edge çalıştıran lisanslı bir router; sayaçları okuyup child devices olarak raporlamak.BT lideri, gelen NAT yok, port yönlendirme yok, DMZ yok, genel adreste dinleyen hiçbir şey yok, kesinlikle yok diyor. Bana uygun, ama “uzaktan giriş yapmanız gerektiğinde” bunu sonradan istemeyeceğimize dair yazılı teyit de istiyor. Önceki satıcı “yalnızca giden” bağlantıyla başlamış, altı ay sonra bakım için TCP 443’ün kutularına yönlendirilmesini istemiş.Anladığım kadarıyla ağ geçidi TLS üzerinden dışarı bağlanıyor, hepsi bu. Daha az emin olduğum kısım uzak taraf: teknisyenlerim bir seri ayarı düzeltmek için router’ın kendi web paneline girmek istediğinde, bu trafik yönlendirilmiş bir port veya sabit IP olmadan nasıl içeri giriyor? LTE SIM zaten taşıyıcı NAT arkasında, yani yönlendirilmiş bir port orada bile çalışmaz.Bunu katı bir kurumsal güvenlik duvarının arkasında kuran olan var mı? Broker host’un 8883 portunun yanında izin vermeleri gereken başka bir giden trafik var mı?
Quick sanity check before I go back into a meeting with a utility customer’s IT people.
Site is a small substation building: 14 Modbus RTU meters on two RS485 runs, a couple of transformer temperature relays, one LTE uplink plus a fiber drop that the utility’s corporate network owns. The plan is a licensed router running Edge, reading the meters and reporting them as child devices.
Their IT lead’s position is no inbound NAT, no port forwarding, no DMZ, nothing listening on a public address, period. Fine by me, but he also wants written confirmation that we will never ask for it later “when you need to log in remotely”. Previous vendor apparently started with “outbound only” and six months later asked for TCP 443 forwarded to their box for maintenance.
My understanding is the gateway dials out over TLS and that’s it. What I’m less sure about is the remote side: when my techs need to get into the router’s own web panel to fix a serial setting, how does that traffic get in without a forwarded port or a fixed IP? The LTE SIM is behind carrier NAT anyway, so a forwarded port wouldn’t even work there.
Anyone deployed this behind a strict corporate firewall? Anything outbound they need to allow besides the broker host on 8883?
Yapay zekâ tarafından English dilinden çevrildi ·
Edge kullanıcısı değilim, ama router’dan ofisinize bir VPN kuramaz mıydınız? Bir keresinde bir web uygulaması için biz de bunu yapmıştık.
Not an Edge user, but couldn’t you run a VPN from the router back to your office? That’s what we did for a web app once.
Yapay zekâ tarafından English dilinden çevrildi ·
Tam da kaçınmaya çalıştığım konu VPN. Güvenlik ekipleri ağlarına yapılan her tünel bağlantısını 3 aylık incelemesi olan yeni bir proje olarak görüyor.
A VPN is exactly the conversation I’m trying to avoid. Their security team treats any tunnel into their network as a new project with a 3 month review.
Yapay zekâ tarafından English dilinden çevrildi ·
Kısaca: dokümanlara göre Edge, router'ın kendi panelinde uzaktan çalışma dahil hiçbir gelen erişim gerektirmez.
Dokümanda ne yazıyor
- Veri yolu: gateway, kendi cihaz sertifikasıyla TLS üzerinden dışarı bağlanır. "Sahada hiçbir şeyin internetten gelen bağlantıları kabul etmesi gerekmez."
- Router web paneli: bu paneli Hermetry'deki router cihaz sayfasından, sabit IP olmadan açarsınız. Port yönlendirme veya genel adres ile ilgili bir bilgi yoktur. Dokümanlar bu oturumun nasıl taşındığını açıklamıyor, bu yüzden BT ekibine bir mekanizma tarif etmeyin. Yukarıdaki iki ifadeyi aynen aktarabilirsiniz.
- Site ağındaki diğer cihazlar: platformun orada bir şeyi sorgulamasını isterseniz (örneğin SNMP), platform bunu Edge'in şifreli bağlantısı üzerinden yapar, "genel adres veya port yönlendirme olmadan".
- Kurulum: cihaz eklemek için sahada kimlik bilgisi girmek gerekmez. Ayarlar ve imzalı firmware Hermetry'den gönderilir.
BT sorumlusuna iletebileceğiniz noktalar
- Paneli açmak için Admin yetkisi gerekir: Eklenmiş bir router'ın web panelini açma, girme ve kapatma.
- Panel sessions listesi, panelleri kimin açtığını gösterir. Bu listeyi görüntülemek de yalnızca Admin yetkisiyle mümkündür.
- Uzaktan erişim sınırları ve denetim başlıklı ayrı bir doküman sayfası vardır. Kayıt tutma hakkında soru sorulursa toplantıdan önce okuyun.
- Allowed networks (en fazla 64 IPv4/IPv6 ağı veya adresi), bir cihaz profili ayarıdır. Hermetry'ye hangi kaynak adreslerin bağlanabileceğini sınırlar, sahadaki hiçbir şeyi değil. Sabit sahalar için uygundur, ancak genel adresi sabit olmayan, operatör NAT arkasındaki bir LTE SIM için muhtemelen uygun değildir.
Giden trafik kuralları Dokümanlar, 8883 numaralı porttan TLS üzerinden MQTT kullanımını doğruluyor (en az TLS 1.2, tercihen 1.3). Ancak şunları listelemiyorlar:
- broker ana bilgisayar adları,
- firmware indirmeleri veya panel oturumu için kullanılan diğer giden portlar veya ana bilgisayarlar,
- kurumsal bir proxy tarafından TLS incelemesinin tolere edilip edilmediği.
Bir şey yazılı olarak paylaşmadan önce, router modeliniz için kesin giden izin listesini Hermetry'den isteyin.
Kaynaklar
Short version: per the docs, Edge needs no inbound access, including for remote work on the router's own panel.
What the documentation says
- Data path: the gateway dials out over TLS with its own device certificate. "Nothing on site needs to accept connections from the internet."
- Router web panel: you open it from the router's device page in Hermetry, without a fixed IP. There is no mention of port forwarding or a public address. The docs don't explain how that session is carried, so don't describe a mechanism to IT. You can quote the two statements above.
- Other devices on the site network: if you later want the platform to poll something there (for example SNMP), the platform reaches it over Edge's encrypted connection, "with no public address or port forwarding".
- Setup: claiming needs no credentials typed on site. Settings and signed firmware are pushed from Hermetry.
Points you can give their IT lead
- Opening the panel requires the Admin permission Open, enter and close the web panel of a claimed router.
- A Panel sessions list shows who opened panels. Viewing it is also Admin-only.
- There is a separate docs page, Remote access limits and audit. Read it before the meeting if they ask about logging.
- Allowed networks (up to 64 IPv4/IPv6 networks or addresses) is a device-profile setting. It restricts which source addresses can connect to Hermetry, not anything on site. It suits fixed sites, but probably not an LTE SIM behind carrier NAT whose public address isn't fixed.
Outbound rules The docs confirm MQTT over TLS on port 8883 (TLS 1.2 minimum, 1.3 preferred). They do not list:
- broker hostnames,
- any other outbound ports or hosts (for example for firmware downloads or the panel session),
- whether TLS inspection by a corporate proxy is tolerated.
Ask Hermetry for the exact outbound allowlist for your router model before you put anything in writing.
Sources
Belgelerden ve çözülmüş konulardan YZ tarafından yazıldı. Sorununuzu çözdüyse çözüm olarak işaretleyin; çözmediyse ekip sizinle ilgilenecek.
- Bu konuyu yanıtlamak için giriş yapmış olmalısınız.
Sohbete katılın
Soru sormak ve yanıtlamak, yararlı gönderileri beğenmek ve sorununuzu çözen yanıtı işaretlemek için oturum açın. Her katkı puan ve seviye kazandırır.