Yapay zekâ tarafından English dilinden çevrildi ·
Merhaba herkese, tamamen yeni başlayan biriyim, uzun yazı için özür dilerim.Evin çevresinde 5 ESP32’m var (iki sıcaklık/nem sensörü, garaj kapısı için bir reed anahtarı, kazanın altında bir su kaçağı sensörü ve elektrik sayacının LED’ini okuyan bir sensör). Hepsi MQTT üzerinden Hermetry hesabıma veri gönderiyor ve bu çok iyi çalışıyor. Ama ucuz IoT cihazlarının ev ağlarına sızmak için kullanıldığına dair korkunç hikayeler okuyorum; eşim evden çalışıyor ve aynı Wi-Fi’de bir iş bilgisayarı kullanıyor, bu yüzden bunları ayırmak istiyorum.Yönlendiricim bir TP-Link Archer AX55 (internet sağlayıcısının verdiği modem, modem modunda). “Guest Network” adında bir ağı var ve “Allow guests to see each other and access my local network” adlı bir seçeneği var; ayrıca eski bir Raspberry Pi 3’üm de var, işe yararsa.Emin olmadığım noktalar:1. ESP’leri misafir ağına alırsam Hermetry’ye yine ulaşabilecekler mi? Herhangi bir port yönlendirmem gerekiyor mu? 2. Her şeyi kilitlemek için Hermetry tarafında değiştirmem gereken bir şey var mı? 3. ESP’lerden birinde yapılandırma için küçük bir web sayfası var (sayaç olanında). Telefonumdan buna erişimi kaybedecek miyim?Dün gece sıcaklık sensörlerinden birini test için misafir Wi-Fi’ye taşıdım, o zamandan beri hiçbir şey göndermiyor; bir şeyi bozmuş olmalıyım.
Hi all, total beginner here so apologies for the long post.
I’ve got 5 ESP32s around the house (two temp/humidity, a garage door reed switch, a water leak sensor under the boiler and one reading the electricity meter LED). They all report to my Hermetry account over MQTT and it’s been great. But I keep reading horror stories about cheap IoT stuff being used to get into home networks, and my wife works from home with a work laptop on the same Wi-Fi, so I’d like to separate them.
My router is a TP-Link Archer AX55 (ISP supplied one is in modem mode). It has a “Guest Network” with an option called “Allow guests to see each other and access my local network”, and I also have an old Raspberry Pi 3 lying around if that helps.
What I’m not sure about:
1. If I put the ESPs on the guest network, will they still reach Hermetry? Do I need to forward any ports? 2. Is there anything on the Hermetry side I should change to lock it down? 3. One ESP has a little web page for config (the meter one). Will I lose access to that from my phone?
I tried moving one of the temperature sensors to the guest Wi-Fi last night as a test and it hasn’t sent anything since, so I’ve clearly broken something.
Yapay zekâ tarafından English dilinden çevrildi ·
AX55 ağ başına güvenlik duvarı kuralları ayarlamanıza izin veriyor mu, yoksa yalnızca misafir ağı açma/kapama izolasyon anahtarı mı var?
Does the AX55 let you set firewall rules per network, or only the guest on/off isolation switch?
Yapay zekâ tarafından English dilinden çevrildi ·
Gördüğüm kadarıyla yalnızca izolasyon anahtarı var, bir de bant genişliği sınırı. Düzgün bir kural yok.
Only the isolation switch as far as I can see, plus a bandwidth limit. No proper rules.
Yapay zekâ tarafından English dilinden çevrildi ·
Broker’ın misafir ağı üzerinden onlara ulaşması gerektiği için, sanırım yönlendiricide 8883 portunu ESP’lere yönlendirmeniz gerekecek?
I think you’ll need to forward 8883 on the router to the ESPs, since the broker has to get to them through the guest network?
Yapay zekâ tarafından English dilinden çevrildi ·
Yönlendirme gerekmiyor, cihazlar her zaman dışarıya bağlantı başlatır. Ben de tesis yönetimiyim, BT uzmanı değilim; ancak geçen yıl otelimizde BT yüklenicimiz tüm oda sensörlerini ve kazan ağ geçidini ayrı bir SSID’ye aldığında bunu yaşadım ve bu süreçten çok şey öğrendim.Sensörlerin dışarıya giden ihtiyaçları:
TCP 8883 MQTT over TLS to the device host on your Connection details card
TCP 443 only if any of them use the HTTPS device API
UDP 53 DNS (they connect by host name, TLS needs the name)
UDP 123 NTP, the ESP needs real time to check the server certificateIçeriye gelen trafik yok. AX55 misafir ağında “birbirini görsün ve yerel ağıma erişsin” seçeneği KAPALI olduğunda hemen hemen doğru yapılandırmayı elde edersiniz: ESP’ler internete erişebilir ama dizüstü bilgisayara erişemez.Test sensörünüz için tahminim: ya ana makineyi çözümleyemiyor (bazı misafir ağları tuhaf DNS adresleri dağıtır) ya da zamanı alamıyor. Bizde tam olarak böyle oldu; yeni SSID’de NTP engellendiği için ESP’ler TLS bağlantısında başarısız oluyordu. Mümkünse seri çıktıyı izleyin.Hermetry tarafında cihaz profilinizi açın ve cihaz taşıma güvenliği sayfasındaki sertleştirme listesini kontrol edin: düz MQTT kapalı (yalnızca TLS, 8883 portu), URL’deki token kapalı, TLS olmadan izin verilen komutlar boş. Ayrıca en fazla 64 ağ veya adres alabilen bir İzin verilen ağlar alanı var; bu listenin dışındaki cihazlar reddedilir. Evinizin sabit bir genel IP adresi varsa onu buraya yazabilirsiniz, böylece karttan kopyalanan bir token başka hiçbir yerde işe yaramaz.Sayaç sayfanız için: izolasyon açıkken, ana Wi-Fi’deki telefonunuz ona erişemez. Bu tür işler için bir dizüstü bilgisayarı cihaz SSID’sinde tuttuk.
No forwarding needed, the devices always call out. I’m a facilities guy too, not IT, but I went through this at our hotel last year when our IT contractor put all the room sensors and the boiler gateway on a separate SSID, and I learned a lot from that.
What the sensors need outbound:
TCP 8883 MQTT over TLS to the device host on your Connection details card
TCP 443 only if any of them use the HTTPS device API
UDP 53 DNS (they connect by host name, TLS needs the name)
UDP 123 NTP, the ESP needs real time to check the server certificateNothing inbound. On the AX55 guest network with “see each other and access my local network” switched OFF you get roughly the right thing: the ESPs can reach the internet but not the laptop.
My bet for your test sensor: either it can’t resolve the host (some guest networks hand out odd DNS), or it can’t get time. Ours did exactly that, the ESPs sat there failing TLS because NTP was blocked on the new SSID. Watch the serial output if you can.
On the Hermetry side, open your device profile and check the hardening list on the device transport security page: plain MQTT off (TLS only, port 8883), token in the URL off, commands allowed without TLS empty. There is also an Allowed networks field (up to 64 networks or addresses); devices outside it are refused. If your home has a fixed public IP you can put it there, so a token copied off a board is useless anywhere else.
For your meter page: with isolation on, your phone on the main Wi-Fi won’t reach it. We kept one laptop on the device SSID for that kind of thing.
Yapay zekâ tarafından English dilinden çevrildi ·
Meğer sorun buymuş. Misafir ağı yönlendiriciyi DNS olarak sorunsuz veriyor, ama sketch’im bir firewall’un engellediği sabit kodlu bir NTP IP’si kullanıyordu; bu yüzden saat hiç ayarlanmadı ve TLS başarısız oldu. Bunu pool.ntp.org olarak değiştirdim ve sensör geri geldi. Beşi de şu an misafir ağında, izolasyon kapalı ve iş dizüstü bilgisayarı onları göremiyor.Port yönlendirmesine dokunmadım, Kevin, yine de teşekkürler.
That was it. Guest network hands out the router as DNS fine, but my sketch was using a hardcoded NTP IP that a firewall blocked, so the clock never set and TLS failed. Switched it to pool.ntp.org and the sensor came back. All five are on the guest network now, isolation off, and the work laptop can’t see them.
Didn’t touch the port forwarding, Kevin, thanks anyway.
Yapay zekâ tarafından English dilinden çevrildi ·
Ev bağlantısında İzin verilen ağlar ayarıyla dikkatli olun. Çoğu İngiliz internet sağlayıcısı genel IP adresinizi zaman zaman değiştirir ve bu değiştiği gün her sensör reddedilir (CONNACK 5; neden yalnızca cihazın Log sekmesinde görünür). Bunu yalnızca sabit IP için ödeme yapıyorsanız kullanın.
Careful with Allowed networks on a home connection. Most UK ISPs change your public IP now and then, and the day it changes every sensor gets refused (CONNACK 5, the reason only shows on the device Log tab). Only use it if you pay for a static IP.
- Bu konuyu yanıtlamak için giriş yapmış olmalısınız.
Sohbete katılın
Soru sormak ve yanıtlamak, yararlı gönderileri beğenmek ve sorununuzu çözen yanıtı işaretlemek için oturum açın. Her katkı puan ve seviye kazandırır.