Mosquitto broker LAN dışından erişime kapatınca Home Assistant HAJS Bridge kopuyor, TLS'yi nasıl kuruyorsunuz?

Evdeki setup'ım şöyle: Raspberry Pi 4 üzerinde Mosquitto 2.0.18 çalışıyor, Home Assistant ise ayrı bir mini PC'de container olarak duruyor. Hafta sonu dışarıdan erişim için 1883 portunu port forward'lemiştim, sonra loglarda aynı IP'den günde 40-50 civarı başarısız CONNECT denemesi gördüm ve hemen kapattım. Şimdi sadece LAN içinden bağlanıyorum, 5-6 ESPHome node ve 2 tane Zigbee2MQTT bridge sorunsuz çalışıyor. Ama telefondan dışarıdan MQTT'ye erişmek istediğimde takılıyorum. Cloudflare Tunnel denedim fakat MQTT'nin TCP tabanlı olması yüzünden HTTP tunnel içinden geçmiyor pratikte, websocket listener açıp bir workaround kurabilirim gibi duruyor ama o zaman client tarafında da websocket transport gerekiyor, ESPHome'lar da dahil her şeyi değiştirmem gerekir gibi. Alternatif olarak WireGuard ile Tailscale arasında kaldım; Tailscale'in subnet routerı cep telefonunda NAT arkasında sorun çıkarmıyor der ama lokal kontrol tarafında hassasım, tüm trafiği üçüncü parti koordinasyon sunucusundan geçen bir çözüm beni biraz tedirgin ediyor. TLS'ye gelince Let's Encrypt sertifikasını Mosquittoda denedim ama internal IP ile hostname eşleşmeyince client'lar handshake'de reddediyor. Siz dışarıdan MQTT erişimini nasıl çözüyorsunuz subnet router mı yoksa self-signed CA mı yolunuzdan geçti?

Çalışır da @bahce_robotu ben olsam WireGuard kurardım hiç port açmadan

@burcu_yildirim73 yazdı (#3):
Çalışır da @bahce_robotu ben olsam WireGuard kurardım hiç port açmadan

Bence de WireGuard daha makul, müşteriye de "modeminde port açkayacaksın" diyince adam rahat ediyof valla. O 40-50 CONNECT denemesi de cabzsı

@burcu_yildirim73 yazdı (#3):
Çalışır da @bahce_robotu ben olsam WireGuard kurardım hiç port açmadan

@burcu_yildirim73 haklısın 8883'ü açsan da o tarayıcı botlar onu

@pil_kurdu97 ben telefona CA sertifikasını import edip 8883'ü denedim valla kurulumdan sonrası pratikti. WireGuard da mantıklı ama sertifika yolu da iş görüyor.

@yeni_lehimci yazdı (#6):
@pil_kurdu97 ben telefona CA sertifikasını import edip 8883'ü denedim valla kurulumdan sonrası pratikti. WireGuard da mantıklı ama sertifika yolu da iş görüyor.

@yeni_lehimci telefona CA import edip 8883 denemen iyiymiş, tam kafamda soru buydu; iOS'ta o sistem sertifikası ayarı biraz meşakkatli di mi?

@pil_kurdu97 yazdı (#7):
@yeni_lehimci telefona CA import edip 8883 denemen iyiymiş, tam kafamda soru buydu; iOS'ta o sistem sertifikası ayarı biraz meşakkatli di mi?

@pil_kurdu97 iOS'ta CA'ı yüklemek yetmiyor Settings > General > About > Certificate Trust Settingsten toggle açmazsan uygulamalar sertifikaya güvenmiyor orada takılırsın