Vous devez installer le plugin platformio sous VScodium (ou VScode si vous tenez aux spyware microsoft), en suivant le guide de Tasmota.

Activé MQTT TLS dans les headers Tasmota

Editer le fichier `user_config_override.h` pour y ajouter les lignes :

// FORCE ADDING TLS SUPPORT
#ifndef USE_MQTT_TLS 
#define USE_MQTT_TLS                             // Use TLS for MQTT connection (+34.5k code, +7.0k mem and +4.8k additional during connection handshake)
#define MQTT_TLS_ENABLED       true              // [SetOption103] Enable TLS mode (requires TLS version)
#endif

Vous pouvez y ajouter sans problème vos autres module dans ce fichier si vous avez besoin d’un support d’écran spécial, d’une sonde spécifique etc.

Pré-remplir les données wifi et MQTT

Si vous comptez avoir pas mal d’esp32 ou esp8266 dans votre domotique, je vous conseille aussi de setter les paramètres MQTT et wifi de votre réseau avec ces paramètres :

// -- Setup your own Wifi settings  ---------------
#undef  STA_SSID1
#define STA_SSID1         "votre wifi"             // [Ssid1] Wifi SSID

#undef  STA_PASS1
#define STA_PASS1         "mot de passe"     // [Password1] Wifi password

// -- Setup your own MQTT settings  ---------------
#undef  MQTT_HOST
#define MQTT_HOST         "votre jeedom ou homeassistant" // [MqttHost]

#undef  MQTT_PORT
#define MQTT_PORT         8883                   // [MqttPort] MQTT port (10123 on CloudMQTT)

#undef  MQTT_USER
#define MQTT_USER         "tasmota"         // [MqttUser] Optional user

#undef  MQTT_PASS
#define MQTT_PASS         "mot de passe mqtt dédié pour vos tasmota"         // [MqttPassword] Optional password

#define MQTT_FULLTOPIC    "ip/room/%topic%/%prefix%/"  // mon exemple d'arborescence

Actuellement, il y a quand même la commande suivante à taper dans la console pour un certificat auto-signé qui est à faire comme expliqué dans l’article sur Tasmota MQTT : « SetOption132 1 »

L’article MQTTS sous Tasmota esp8266 possible ? est apparu en premier sur Mon linux.

Explication du prefix dans Tasmota

%prefix%
Tasmota uses 3 prefixes for forming a FullTopic:

• cmnd – prefix to issue commands; ask for status
• stat – reports back status or configuration message
• tele – reports telemetry info at specified intervals

The order of %prefix% and %topic% doesn’t matter, unless you have enabled Auto-discovery for Home Assistant (SetOption19). Enabling this option re-formats the FullTopic to required order.

Using the tokens the following example topics can be made:

• FullTopic %prefix%/%topic%/ default
• FullTopic tasmota/%topic%/%prefix%/
• FullTopic tasmota/bedroom/%topic%/%prefix%/
• FullTopic penthouse/bedroom1/bathroom2/%topic%/%prefix%/
• FullTopic %prefix%/home/cellar/%topic%/

Dans jeedom détection automatique des commandes info avec leur nom via cela dans jmqtt : exemple le nom POWER est pris pour stat/ip/espcam-laser/POWER

Une explication complète de la gestion d’arborescence MQTT pour Tasmota est expliquée sur le site officiel.

Configurer Tasmota pour joindre Mosquitto en MQTTS

Pour configurer MQTTS sur un ESP32 déjà configuré sur votre wifi, vous devez indiquer plusieurs champs dans le menu Configuration > Configure MQTT

• le DNS ou IP de votre serveur MQTT (Jeedom)
• le port MQTTS 8883 (et pas MQTT 1883)
• Cocher la case « MQTT TLS »
• laisser le client
• Indiqué l’utilisateur / mot de passe que vous avez configuré dans Mosquitto
• Indiquez le Topic, un nom reconnaissable
• Pour le Full Topic, veuillez à bien utiliser %topic% et %prefix%, je vous donne un exemple suivant mon arborescence protocole/piece/nom/#

Une fois sauvegardé, vos allez voir dans la Console que votre ESP32 ne peut joindre votre serveur Mosquitto. C’est normal : de base Tasmota ne fait confiance qu’aux certificats d’autorité de certification (CA) et pas aux certificats auto-signé. Plus d’informations dans la documentation.

Il est prévu dans Tasmota de faire confiance la première fois uniquement à un certificat auto-signé. Si celui-ci change par la suite, Tasmota refusera de s’y connecter! Très pratique dans notre cas, car toujours faire confiance à un certificat non signé quelconque, ce serait une passoire pour du main in the middle.

Pour activer cela, il faut activer l’option suivante via la console :

SetOption132 1

Erreur possible

Si une erreur dans les logs de ce type, c’est une erreur TCP de connexion, vérifier que ce n’est pas un problème de firewall : MQT: TLS connection error: -1002]

L’article Tasmota et MQTT – MQTTS est apparu en premier sur Mon linux.

• L’identification du serveur et la sécurisation du flux
• L’identification du client
• L’authentification du client

Vous devez faire le bon compromis entre sécurité et flexibilité. Il ne faut pas forcément pousser le bouton à fond pour tous les cas de figures.

Génération des clés et certificats

Pour MQTTS, 2 options s’offre à vous comme pour un serveur HTTPS :

• générer vos certificats auto-signé
• via une autorité de certification

Dans mon cas ce n’est que du local, ce sera donc de l’auto-signé.

Je génère toujours les clés et certificats sur ma machine perso et ensuite je copie les certificats/clés sur le serveur et les clients, afin de les archiver. C’est donc à faire dans un dossier à garder sous Linux ou en WSL sous Windows.

Veillez bien à remplacer les DNS suivants par votre domaine externe pointant sur votre serveur ainsi que votre DNS interne ou IP interne pour joindre votre serveur MQTT (dans mon cas installé sur mon serveur Jeedom) : DNS:jeedom.YOURDOMAIN.TLD,DNS:jeedom.home

mkdir ca broker clients

#CA
openssl genrsa -out ca/ca.key 2048
openssl req -new -x509 -days 9999 -subj "/C=BE/CN=MQTT-CA/O=home" -key ca/ca.key -out ca/ca.crt

#broker
openssl genrsa -out broker/mosquitto.key 2048
openssl req -new -subj "/C=BE/O=home/CN=MQTT-mosquitto" -key broker/mosquitto.key -out broker/mosquitto.csr
openssl x509 -req -extfile <(printf "subjectAltName = DNS:jeedom.YOURDOMAIN.TLD,DNS:jeedom.home,DNS:localhost,IP:127.0.0.1,IP:::1") -in broker/mosquitto.csr
 -CA ca/ca.crt -CAkey ca/ca.key -CAcreateserial -out broker/mosquitto.crt -days 9999 -sha256
 
#client (facultatif) si on souhaite une authentification par certificat du client au lieu de password
openssl genrsa -out clients/local-tasmotas.key 2048
openssl req -new -subj "/C=BE/O=home/CN=MQTT-client-tasmotas" -key clients/local-tasmotas.key -out clients/local-tasmotas.csr
openssl x509 -req -in clients/local-tasmotas.csr -CA ca/ca.crt -CAkey ca/ca.key -CAcreateserial -out clients/local-tasmotas.crt -days 9999 -sha256

MQTTS côté broker Mosquitto

Les certificats et clés privées doivent être archivés, ils ne le sont pas dans le backup Jeedom.

La configuration de base du fichier Debian est : /etc/mosquitto/mosquitto.conf

# Place your local configuration in /etc/mosquitto/conf.d/
#
# A full description of the configuration file is at
# /usr/share/doc/mosquitto/examples/mosquitto.conf.example

pid_file /var/run/mosquitto.pid

persistence true
persistence_location /var/lib/mosquitto/

log_dest file /var/log/mosquitto/mosquitto.log

include_dir /etc/mosquitto/conf.d

C’est conseillé d’utiliser un fichier dans conf.d : dans mon cas sous Jeedom avec l’installation du plugin jMQTT, le fichier suivant est créé et sera utilisé : /etc/mosquitto/conf.d/jMQTT.conf

Copie des fichiers nécessaires du broker sur le serveur Jeedom :

scp ca/ca.crt broker/mosquitto.crt broker/mosquitto.key jeedom:
ssh jeedom
sudo mv ca.crt mosquitto.crt mosquitto.key /etc/mosquitto/certs/
ls -l /etc/mosquitto/certs

Editer via l’interface web la configuration du fichier jMQTT.conf ou via vim /etc/mosquitto/conf.d/jMQTT.conf

• on laisse les connexions en clair du port 1883 provenant de localhost uniquement (127.0.0.1), plus d’accès en clair depuis l’extérieur (sert pour jeedom se connecter au broker Mosquitto)
• on active le port TLS 8883 sur toutes les interfaces

# jMQTT Mosquitto configuration file
listener 1883 127.0.0.1
allow_anonymous true

# jMQTTS
listener 8883 0.0.0.0
protocol mqtt
cafile /etc/mosquitto/certs/ca.crt
certfile /etc/mosquitto/certs/mosquitto.crt
keyfile /etc/mosquitto/certs/mosquitto.key

# Only allow clients with a valid certificat (false to only trus the broker and not the clients)
require_certificate true

Rédémarrez le service et vérifier que le port 8883 est ouvert pour tous et 1883 n’est plus accessible que par 127.0.0.1 :

sudo systemctl restart mosquitto.service
sudo ss -tlpn | egrep '(1883|8883)'
LISTEN    0         100                0.0.0.0:8883             0.0.0.0:*        users:(("mosquitto",pid=14185,fd=6))
LISTEN    0         100              127.0.0.1:1883             0.0.0.0:*        users:(("mosquitto",pid=14185,fd=5))

A ce moment là, le trafic entre nos clients et notre serveur est sécurisé. Mais n’importe quel client peut se connecter à notre serveur sans mot de passe!

Basé sur la documentation jMQTT officielle, d’autres informations et erreurs courantes sont disponibles sur ce blog.

Authentification

Mes clients étant des ESP32 qui disposent de Wifi ou mon pc avec MQTT explorer pour le debug, tout en local, une authentification par mot de passe est suffisante. Je distingue les clients IoT avec un seul mot de passe et mes 2 pc avec chacun un mot de passe différent.

Pour un serveur MQTTS publique, l’authentification des clients par certificat est recommandé

1. Créer les fichiers de mot de passe : mosquitto_passwd -c <password file> <username>
   sudo mosquitto_passwd -c /etc/mosquitto/distant.passwd tasmota
2. Configurer le broker avec la ligne : password_file <path to the configuration file>
3. Ajout d’un second utilisateur sudo mosquitto_passwd /etc/mosquitto/distant.passwd hp
4. Redémarrer : sudo systemctl restart mosquitto.service

Le fichier /etc/mosquitto/conf.d/jMQTT.conf

per_listener_settings true

# jMQTT Mosquitto configuration file
listener 1883 127.0.0.1
allow_anonymous true

# jMQTTS
listener 8883 0.0.0.0
protocol mqtt
cafile /etc/mosquitto/certs/ca.crt
certfile /etc/mosquitto/certs/mosquitto.crt
keyfile /etc/mosquitto/certs/mosquitto.key
allow_anonymous false
persistence false
require_certificate false
password_file /etc/mosquitto/distant.passwd

Si vous préférez utiliser un mot de passe pour Jeedom en local, selon si le plugin vous l’impose, vous pouvez le faire :

per_listener_settings true

# jMQTT Mosquitto configuration file
listener 1883 127.0.0.1
allow_anonymous false
persistence false
password_file /etc/mosquitto/local.passwd

# jMQTTS
listener 8883 0.0.0.0
protocol mqtt
cafile /etc/mosquitto/certs/ca.crt
certfile /etc/mosquitto/certs/mosquitto.crt
keyfile /etc/mosquitto/certs/mosquitto.key
allow_anonymous false
persistence false
require_certificate false
password_file /etc/mosquitto/distant.passwd

source

L’article MQTTS sécuriser Mosquitto MQTT est apparu en premier sur Mon linux.

Voici quelques bases d’explications, que vous pouvez compléter avec la documentation officielle du protocole.

architecture de communication de MQTT

Nous avons un broker, celui qui passe les messages.
Des clients Publisher vont envoyer des messages avec un nom appelé Topic
Des clients Subscriber vont recevoir des messages s’ils sont abonnés à ce Topic

architecture du protocole MQTT

C’est organisé en Topic / sujets

On peut faire un topic racine : toto
Et des sous topic :

• toto/test1/o1
• toto/test1/o2
• toto/test2/o1
• toto/test2/o2
• toto/test3

On peut souscrire à plusieurs Topic via toto/* ou toto/#
Il n’est pas possible de mettre # pour la racine

On peut s’inscrire à plusieurs sous Topic via le + : toto/+/o1

MQTT Broker

Le plus utilisé : Mosquitto. Il est open-source et simple de configuration.

Organisation des Topic Jeedom

Il faut vous organiser à l’avance pour l’arborescence des topic qui seront utilisé chez vous. Voici ce que j’ai organisé chez moi pour les niveaux :

1. mettre le protocole passerelle
2. mettre la pièce ou une référence à la pièce
3. mettre le device
4. mettre les topics du device

Cela permet par exemple de matcher tous les objets du bureau quelque soit son protocole!

• MQTT direct : ip/piece/device/xxx
  • si plusieurs composant pour un seul objet, mettre cet objet devant le device : ip/display-rdc/matrixled-temp/xxx et ip/display-rdc/matrixled-spotify/xxx par exemple
• modbus2mqtt : modbus/rdc/device/xxx
• zigbee2mqtt : zigbee/bureau/device/xxx
• zwaveJS : zwave/bureau/device/xxx

clients

• Windows : MQTT Explorer permet le MQTT en clair, en MQTTS avec certificat serveur uniquement ou avec la pair de certificat/clé client
• Android j’en cherche encore un bon pour le debug

L’article MQTT broker est apparu en premier sur Mon linux.

• Vert pour disponible avec une intensité faible
• Orange clair pour occupé
• Rouge pour ne pas déranger ou lors d’un appel

En plus de cela, le bandeau LED s’éteint lorsque le statut est absent ou hors connexion.

Comme je l’avais dit dans l’article précédent, il faut veiller à avoir un statut de présence dans le bureau, afin de gérer le bandeau LED uniquement lorsque l’on est en télétravail.

Création d’un widget de présence bureau et scénario Teams

Vous créez un simple virtuel. Dans mon cas c’est un tag NFC qui est utilisé, mais un simple bouton suffit également.

Le scénario est utilisé sur évènement de nos 2 infos du virtuel Teams :

1. La condition primaire permet d’exécuter le script que lorsque l’on est présent :

#[bureau][tag bureau][présence bureau]# == 1

2. Un point important ici est l’utilisation de trigger() pour exécuter des actions différentes en fonction d’un mixte entre statut et activité par rapport à ce que teams nous envoie. Dans ce cas-ci je fais appel au scénario de gestion du bandeau LED en lui donnant la couleur rouge et l’intensité 100 (de 0 à 254). Le bandeau faisant 50cm pas besoin

( (trigger(#[bureau][teams mode][status]#) OU trigger(#[bureau][tag bureau][présence bureau]#) ) ET (#[bureau][teams mode][status]# == "Au téléphone" OU #[bureau][teams mode][status]# == "Ne pas déranger" OU #[bureau][teams mode][status]# == "En présentation" OU #[bureau][teams mode][status]# == "En réunion") ) OU (trigger(#[bureau][teams mode][activity]#) AND #[bureau][teams mode][activity]# == "En appel")

3. Dans l’autre cas, on évalue pour l’état occupé ou focusing de mettre en orange

(trigger(#[bureau][teams mode][status]#) OU trigger(#[bureau][tag bureau][présence bureau]#) ) ET (#[bureau][teams mode][status]# == "Occupé" OU #[bureau][teams mode][status]# == "Focusing")

4. Dans le dernier cas, on évalue pour l’état disponible pour mettre en vert :

( (trigger(#[bureau][teams mode][status]#) OU  trigger(#[bureau][tag bureau][présence bureau]#)) ET #[bureau][teams mode][status]# == "Disponible" ) OU (trigger(#[bureau][teams mode][activity]#) AND #[bureau][teams mode][activity]# == "Plus en appel")

5. Lorsque l’on est plus présent et que le bandeau est allumé, on l’étein

trigger(#[bureau][tag bureau][présence bureau]#) ET #[bureau][ruban led occupation][Etat]# == 1

Scenario de gestion de couleur

J’ai préféré séparer l’appel direct au bandeau led afin de pouvoir l’utiliser pour autre chose, genre une alerte etc

L’article Signaler son statut Teams via des LED RGB est apparu en premier sur Mon linux.

Le but est de récupérer le statut Teams via sa machine windows afin de le mettre à jour sur sa domotique Jeedom. Cela permet de faire des scénarios pour les lumières, le chauffage, etc.

Le script d’origine est fait pour homeAssitant par EBOOZ. Je l’ai modifié afin de le rendre compatible avec Jeedom, gérer les caractères « spéciaux » en UTF8 sous powershell, par spéciaux on entend simplement les caractères accentués de la langue française… Pas mal de modifications de variables pour rendre ce script multilingue également. J’ai revu la partie installation pour la rendre plus générique, celle d’origine étant plus hasardeuse en fonction du répertoire courant.

La configuration du virtuel

Création d’un virtuel pour gérer l’état du statut et de l’activité :

Une fois créé, enregistrez pour obtenir les 2 ID utilisés par le script.

Récupération de l’url API via l’onglet équipement :

Vous avez récupéré l’url ainsi que l’apikey (grisé sur l’image).

Le script TeamsStatus

Le TeamsStatus est composé d’un script powershell, d’un fichier de configuration et du binaire nssm.exe qui permet de créer facilement un service sous Windows pour un script.

Il peut également service à faire un update manuel, utilise en cas de test :

C:\Scripts\Get-TeamsStatus.ps1 Occupé

Installation du script

Récupérez le projet git via un fichier zip ou un git clone :

git clone https://github.com/belgotux/TeamsStatus.git

Copiez le fichier Settings de votre langue :

cp Settings-fr.ps1 Settings.local.ps1

• Remplacez <Insert token> avec le token Jeedom que vous avez généré
• Remplacez <UserName> avec le nom d’utilisateur local de la machine qui est logué dans Teams et que vous voulez monitorer
• Remplacez <Jeedom URL> avec l’URL de votre serveur Jeedom
• Remplacez <ID> de statut par l’ID du virtuel que vous avez créé
• Remplacez <ID> d’activité par l’ID du virtuel que vous avez créé

Installez le script avec l’invite de commande admin PowerShell :

New-Item -Path "c:\Scripts\" -ItemType Directory
Copy-Item -Path .\nssm.exe -Destination "c:\Scripts\"
Copy-Item -Path .\Settings.local.ps1 -Destination "c:\Scripts\"
Copy-Item -Path .\Get-TeamsStatus.ps1 -Destination "c:\Scripts\"
Set-ExecutionPolicy -ExecutionPolicy RemoteSigned
Unblock-File c:\Scripts\Settings.local.ps1
Unblock-File c:\Scripts\Get-TeamsStatus.ps1
Start-Process -FilePath "c:\Scripts\nssm.exe" -ArgumentList 'install "Microsoft Teams Status Monitor" "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" "-command "& { . C:\Scripts\Get-TeamsStatus.ps1 }"" ' -NoNewWindow -Wait
Start-Service -Name "Microsoft Teams Status Monitor"

Après avoir exécuter ces commandes, démarrez l’application teams pour voir si le statut remonte bien dans votre domotique Jeedom.

Widget Jeedom

Vous devriez obtenir ce widget dans votre Domotique Jeedom, avec votre status selon votre état, en ligne, occupé, hors connexion :

Maintenant à vous de voir ce que vous voulez en faire dans vos scénarios! Piloter un éclairage, le chauffage, un bandeau led, etc!

Attention que ce statut est remonter dans Jeedom où que vous soyez! Pensez à l’associer dans vos scénarios avec un statut de présence à la maison. Pour éviter d’allumer votre chauffage quand vous êtes en présentiel au bureau

L’article Obtenir son statut Teams dans sa domotique Jeedom est apparu en premier sur Mon linux.