Déployer MQpanel sur un site industriel
L'architecture réseau idéale pour raccorder vos machines à MQpanel : raccordement direct ou architecture segmentée OT/IT, un unique flux sortant chiffré, cohabitation avec les boîtiers de télémaintenance des constructeurs et conformité au Règlement Machines et au Cyber Resilience Act.
Le principe : un seul flux, toujours sortant
MQpanel ne demande jamais d'ouvrir le réseau de l'usine. Ce sont vos équipements qui initient la connexion vers le broker, dans un tunnel TLS, et le broker ne peut répondre qu'aux équipements déjà connectés. Le site reste fermé à tout flux entrant : pas de redirection de port, pas d'adresse IP publique, pas de VPN permanent à maintenir.
Zéro port entrant
Aucune règle NAT ni redirection de port. Le pare-feu du site refuse tout ce qui vient d'Internet, MQpanel compris.
Un seul port sortant
Une règle unique suffit : TCP 8883 (MQTT over TLS) vers mqpanel.com, depuis la seule adresse de la passerelle.
Une identité par équipement
Chaque passerelle ou automate reçoit ses propres identifiants et ses propres droits (ACL) : rien n'est partagé, tout est révocable individuellement.
Deux architectures possibles
MQpanel s'adapte à votre contexte : un équipement peut publier directement vers la plateforme, ou passer par une architecture industrielle segmentée, inspirée du modèle « zones et conduits » de l'IEC 62443.
1. Raccordement direct
L'automate ou le capteur embarque un client MQTT et publie directement vers MQpanel, sans passerelle ni pare-feu dédié. La connexion reste sortante et chiffrée, avec des identifiants propres à l'équipement.
2. Architecture segmentée
Les machines restent sur un réseau OT isolé ; seule une passerelle sort, à travers le pare-feu, et uniquement vers MQpanel. C'est l'architecture à retenir pour une machine mise sur le marché ou un site de production : elle respecte le Règlement Machines (UE) 2023/1230.
Architecture segmentée : le rôle de chaque zone
Zone machine (OT)
Capteurs, automates, IHM et variateurs. Ce réseau n'a aucun accès direct à Internet : il ne parle qu'à la passerelle. Les fonctions de sécurité (arrêt d'urgence, verrouillages) restent exclusivement locales, dans l'automate.
Passerelle MQTT (le conduit)
Point de sortie unique : elle lit les variables utiles (Modbus TCP, OPC UA, S7…), les publie en MQTT chiffré et conserve un tampon local si la liaison Internet tombe. C'est le seul équipement à déclarer dans le pare-feu.
Pare-feu OT / IT
Il sépare l'atelier du réseau bureautique et d'Internet. Une seule règle sortante vers mqpanel.com ; tout le reste est refusé par défaut, dans les deux sens.
Cloud MQpanel
Broker, stockage, dashboards et IA hébergés en France. Chaque compte est isolé ; les utilisateurs y accèdent depuis un navigateur, sans jamais se connecter au réseau de l'usine.
La matrice des flux à déclarer
Voici l'intégralité des flux nécessaires. Transmettez ce tableau à votre service informatique ou à votre intégrateur : il suffit à paramétrer le pare-feu.
| Source | Destination | Port / protocole | Sens | Usage |
|---|---|---|---|---|
| Passerelle ou automate | mqpanel.com | TCP 8883 · MQTT over TLS | Sortant | Télémétrie, alarmes et commandes autorisées par les ACL |
| Passerelle (variante) | mqtt.mqpanel.com | TCP 8084 · MQTT over WebSocket TLS | Sortant | Seulement si la passerelle ne sait pas faire de MQTT sur TCP |
| Postes utilisateurs | *.mqpanel.com | TCP 443 · HTTPS | Sortant | Interface web et API |
| Postes utilisateurs | mqtt.mqpanel.com | TCP 8084 · WSS | Sortant | Mise à jour temps réel des dashboards |
| Internet | Réseau de l'usine | — | Entrant | Aucun flux requis : tout refuser |
Filtrez par nom de domaine
Si votre pare-feu le permet, autorisez la destination par son nom (FQDN) plutôt que par adresse IP : l'adresse des serveurs MQpanel peut évoluer, le nom de domaine reste.Cohabitation avec les boîtiers de télémaintenance
Les constructeurs de machines livrent souvent leurs équipements avec un boîtier de télémaintenance, fréquemment un routeur ETIC Telecom (gamme RAS), pour diagnostiquer et reprogrammer l'automate à distance. MQpanel est entièrement compatible avec cette architecture : le boîtier route simplement un flux de plus, et les deux usages restent indépendants.
Deux flux, deux finalités
Le flux MQTT remonte en continu les données de production vers MQpanel. Le tunnel VPN ne s'ouvre qu'à la demande, pour une intervention du constructeur. Couper l'un n'affecte jamais l'autre.
Toujours sortants
Le boîtier et la passerelle initient eux-mêmes leurs connexions : le site n'expose aucun service, ni pour la télémaintenance, ni pour la supervision.
Une seule règle à ajouter (optionnel)
Dans la grande majorité des cas, le boîtier laisse déjà sortir le LAN vers le WAN : il n'y a rien à configurer. Si vous filtrez les flux sortants, autorisez simplement TCP 8883 vers mqpanel.com depuis l'adresse de la passerelle.
Compatible ETIC Telecom et routeurs industriels
MQpanel n'utilise que du MQTT standard sur TLS : il fonctionne derrière les boîtiers ETIC Telecom comme derrière tout routeur industriel capable de laisser passer une connexion TCP sortante (Ethernet, 4G ou Wi-Fi). Rien n'est à installer sur le boîtier, et sa configuration de télémaintenance reste inchangée.La défense en profondeur, de l'automate au cloud
Plusieurs protections indépendantes se cumulent : chaque équipement reste cantonné à son périmètre, sans accès aux autres machines, aux autres comptes ni au réseau de l'usine.
- 1
Segmentation OT
Machines isolées du réseau bureautique et d'Internet.
- 2
Flux sortant unique
Aucun port ouvert côté site, une seule destination autorisée.
- 3
Chiffrement TLS
TLS 1.2 minimum, aucun port MQTT en clair côté MQpanel.
- 4
Identité par équipement
Identifiants uniques, révocables un par un, débit de messages limité.
- 5
Droits par topic (ACL)
Lecture et écriture accordées topic par topic.
- 6
Isolation par compte
Topics et données cloisonnés par client.
- 7
Traçabilité & détection
Connexions et actions journalisées, IA de détection d'anomalies.
Conforme au Règlement Machines et au Cyber Resilience Act
MQpanel respecte les exigences de cybersécurité de ces deux règlements européens.
Mise en service pas à pas
- 1
Recenser les données utiles
Listez les variables à remonter pour chaque machine et choisissez une arborescence de topics du type site/atelier/machine/mesure.
- 2
Créer un appareil par passerelle
Dans MQpanel, créez un appareil par passerelle ou automate et n'accordez que les droits nécessaires : écriture sur ses topics de mesure, lecture seulement si une commande est réellement prévue.
- 3
Vérifier le flux sortant
Si les flux sortants sont filtrés (pare-feu du site ou boîtier de télémaintenance), autorisez TCP 8883 vers mqpanel.com depuis l'adresse de la passerelle. Sinon, il n'y a rien à faire.
- 4
Configurer la passerelle
MQTT over TLS avec vérification du certificat serveur, identifiant client unique, keepalive de 30 à 60 s, message Last Will pour signaler une déconnexion et tampon local en cas de coupure.
- 5
Vérifier puis exploiter
Contrôlez l'arrivée des messages dans MQpanel, puis créez vos dashboards, vos règles de stockage et vos IA de supervision.
- 6
Entretenir dans la durée
Changez le mot de passe d'un appareil après chaque intervention sensible, désactivez immédiatement un équipement retiré et revoyez les droits à chaque évolution de la machine.