Yapay zekâ tarafından English dilinden çevrildi ·
Merhaba, ben küçük bir market zincirinde (5 mağaza) veri analistiyim; yaz aylarında tek BT uzmanımız ayrıldı ve sensör projesi artık bana kaldı. Temel bir soruysa özür dilerim.Her mağazada 6 ila 10 ESP32 buzdolabı/dondurucu sıcaklık sensörü ve bir kapı sayacı var; hepsi MQTT üzerinden Hermetry’ye veri gönderiyor. Şu anda bunlar kasalar ve ofis bilgisayarlarıyla aynı Wi-Fi ağında, çünkü kurulumları böyle yapılmış. Kart ödemeleri denetçimiz bunu işaretledi.Bana önerilen seçenekler: (1) misafir Wi-Fi’sine almak, (2) ayrı bir VLAN oluşturmak, (3) her mağazaya bir Raspberry Pi koyup sensörlerin yalnızca Pi ile konuşması. Hangisini seçeceğimi yeterince bilmiyorum. Sen ne yapardın? Yönlendiriciler Ubiquiti, mağaza başına bir AP var.
Hi, I’m a data analyst at a small grocery chain (5 stores), our one IT guy left in the summer and now the sensor project is mine. Sorry if this is basic.
Each store has 6 to 10 ESP32 fridge/freezer temperature sensors and a door counter, all sending to Hermetry over MQTT. Right now they are on the same Wi-Fi as the tills and the office PCs, because that’s how they were set up. Our card payment auditor flagged it.
Options people have suggested to me: (1) put them on the guest Wi-Fi, (2) make a separate VLAN, (3) put a Raspberry Pi in each store and have the sensors talk only to the Pi. I don’t know enough to choose. What would you do? The routers are Ubiquiti, one AP per store.
Yapay zekâ tarafından English dilinden çevrildi ·
Misafir Wi-Fi’ı en kolay görünüyor? Zaten kasalarınızdan ayrılmış durumda.
Guest Wi-Fi seems easiest? It’s already separated from your tills.
Yapay zekâ tarafından English dilinden çevrildi ·
Mağazalardaki misafir ağlarında genellikle bir captive portal bulunur veya istemcileri birkaç saat sonra düşürür; ESP32’ler orada takılı kalır. Bunu önceden kontrol edin. Sensörlerin mağazadaki herhangi bir şeyle iletişim kurması gerekiyor mu, yoksa yalnızca internete mi çıkmaları yeterli?
Guest networks in shops often have a captive portal or kick clients after a few hours, the ESP32s will hang there. Check that before. Do the sensors need to talk to anything in the store, or only out to the internet?
Yapay zekâ tarafından English dilinden çevrildi ·
Bildiğim kadarıyla yalnızca Hermetry’ye gidiyor. Yerelde bunları okuyan hiçbir şey yok. Misafir ağında “kabul etmek için tıklayın” sayfası var.
Only out to Hermetry as far as I know. Nothing local reads them. The guest network does have a “click to accept” page.
Yapay zekâ tarafından English dilinden çevrildi ·
O zaman misafir ağı olmaz. Bunu kız kardeşimin pastanesi ve iki kafesi için yaptım, hepsi Ubiquiti, yani kabaca senin kurulumunla aynı:”store-iot” adında yeni bir SSID oluştur, WPA2 PSK kullan, buna kendi VLAN’ını ata (diyelim 30), sensörlerin birbiriyle konuşmaması için client isolation’ı aç ve güvenlik duvarı kurallarında bu VLAN’a yalnızca dışarı çıkışa izin ver: DNS, NTP ve Hermetry broker’ına TCP 8883 (bir şey HTTPS kullanıyorsa 443 de). VLAN 30’dan diğer tüm iç ağlara erişimi engelle. Denetçinin görmek istediği bu ve mağaza başına bir öğleden sonra sürer.Bunun için Pi eklemezdim. Pi, cihazların kendi başlarına internete çıkamadığı durumlarda (BLE, Modbus, Zigbee) ve bir ağ geçidi olarak onlar adına raporlama yapması gerektiğinde değerlidir. ESP32’lerin zaten kendi başlarına TLS kullanıyor; Pi ise sadece arka ofiste bozulabilecek bir SD kart ekler.Hermetry tarafında iki ucuz ek: buzdolabı profilinde Allowed networks alanına her mağazanın genel IP adresini gir, böylece çalınan bir token başka yerden işe yaramaz. Ayrıca Plain MQTT’nin kapalı olduğunu kontrol et; 8883’te yalnızca TLS varsayılandır, ama IT arkadaşın test sırasında açmış olabilir. Kontrol listesi Device transport security sayfasının sonunda.
Then guest is out. I did this for my sister’s bakery and two cafes, all Ubiquiti, so roughly your setup:
Make a new SSID “store-iot” with WPA2 PSK, tag it to its own VLAN (say 30), turn on client isolation so sensors can’t talk to each other, and in the firewall rules allow that VLAN only outbound: DNS, NTP, and TCP 8883 to the Hermetry broker (443 too if anything uses HTTPS). Block VLAN 30 to every other internal network. That’s what the auditor wants to see, and it’s one afternoon per store.
I wouldn’t add a Pi for this. A Pi is worth it when your devices can’t reach the internet themselves (BLE, Modbus, Zigbee) and something has to report for them as a gateway. Your ESP32s already do TLS on their own, a Pi just adds an SD card that can die in the back office.
On the Hermetry side two cheap extras: on the fridge profile set Allowed networks to each store’s public IP, so a stolen token is useless from anywhere else. And check Plain MQTT is off, TLS only on 8883 is the default but your IT guy may have turned it on while testing. Checklist at the bottom of Device transport security.
Yapay zekâ tarafından English dilinden çevrildi ·
İlk mağaza cuma günü VLAN 30 ve izolasyonla tamamlandı; SSID’yi yapılandırma sayfasında değiştirdikten sonra sensörler kendi kendine yeniden bağlandı. Plain MQTT konusunda haklıydınız, açıktı ve iki sensör gerçekten 1883 portunu kullanıyordu. Onları 8883’e taşıdım ve düz MQTT’yi kapattım. İzin verilen ağlar için tüm 5 mağaza IP’sinin tek profilde olması gerekiyordu, bu da sorunsuz çalıştı.
First store done Friday with VLAN 30 and isolation, sensors reconnected on their own after I changed the SSID in their config page. You were right about Plain MQTT, it was on, and two sensors were actually using 1883. Moved them to 8883 and turned it off. Allowed networks needed all 5 store IPs on the one profile, that worked fine.
Yapay zekâ tarafından English dilinden çevrildi ·
ESP32 firmware’i 8.8.8.8 gibi sabit kodlanmış bir DNS kullanıyorsa, buna da izin ver; yoksa taşınmadan sonra bağlantı kuramazlar ve güvenlik duvarının sorunsuz olduğuna yemin edersin.
If the ESP32 firmware uses a hardcoded DNS like 8.8.8.8, allow that too, or they’ll fail after the move and you’ll swear the firewall is fine.
- Bu konuyu yanıtlamak için giriş yapmış olmalısınız.
Sohbete katılın
Soru sormak ve yanıtlamak, yararlı gönderileri beğenmek ve sorununuzu çözen yanıtı işaretlemek için oturum açın. Her katkı puan ve seviye kazandırır.