ثلاثة قرارات بشأن العناوين قبل وضع مستشعرات إنترنت الأشياء خلف شبكة VPN
ثلاثة عناوين تؤدي ثلاث وظائف: المركز العام، ونظير الموقع الموثق، والعنوان الخاص بالمستشعر. خطط لكل منها قبل تخصيص أي عنوان عام.
تتشابك ثلاثة عناوين في كل خطة تربط إنترنت الأشياء بشبكة VPN، وهي ليست من نوع القرار نفسه. أحدها هو كيف يجد المشغل البعيد نهاية النفق، وآخر هو كيف يثبت الموقع أنه هو الموقع، والثالث هو أين تسمع خدمة المستشعر فعليا. أجب عنها بهذا الترتيب وسيظهر التصميم تقريبا من تلقاء نفسه. أجب عنها كسؤال واحد فتنتهي بتخصيص عناوين عامة لأجهزة لم تكن تحتاج إليها أبدا. المستشعر الموجود خلف نفق موقع صادر يمكن للمشغل المصرح له الوصول إليه دون أي قاعدة واردة تشير إلى المستشعر إطلاقا.
ابدأ بمن يبدأ الاتصال
من يتصل هو ما يحدد كل شيء لاحقا تقريبا. عندما يتصل الموقع بمركز، لا يحتاج الموقع إلى أي وصول وارد، ويحتاج المركز إلى اسم أو عنوان يستطيع الموقع حله. هذا الاختيار الواحد يزيل معظم الجدل حول العنونة العامة الثابتة قبل أن يبدأ.
تنفصل الأدوار الثلاثة عندئذ بوضوح، والجدول أدناه هو أقصر صيغة للقرار.
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
لكل صف مالك مختلف، وهذه هي النقطة الحقيقية. المركز يخص من يدير خدمة VPN، ونظير الموقع يخص فريق الشبكة، وعنوان المستشعر يخص من يملك الجهاز.
عنوان المركز للتهيئة وليس غاية
يكفي للمركز اسم يحل إلى عنوان عام تتم صيانته. يمكن لسجل DNS أن يتبع النهاية عندما تنتقل، دون تحرير كل إعدادات المواقع يدويا. ما لا يفعله DNS هو إنشاء الوصول أو تحديث عميل يخزن الجواب القديم، وهاتان مشكلتان منفصلتان بحلول منفصلة.
إذا كنت تشغل أنفاقا من موقع إلى موقع دون مركز، فالمنطق نفسه ينطبق بشكل مختلف: يحتاج أحد الطرفين إلى نهاية يمكن الوصول إليها، أو يتصل الطرفان بطرف ثالث. وسيظل شخص ما مسؤولا عن ذلك العنوان وعن تجديده.
نظير الموقع هوية وبادئة ملحقة
النظير هوية أولا وبادئة ثانيا. بمصطلحات WireGuard يحمل النظير زوج مفاتيح، ومدخل AllowedIPs في المركز يربط ذلك المفتاح ببادئة الموقع. وبمصطلحات IKEv2 تعرف شهادة أو مفتاح مشترك مسبقا الموقع، وتقول محددات حركته ما يجوز له حمله. تغيير أي نصف وحده يفسد الترتيب، ولهذا يجب ألا يعامل تغيير العنوان أبدا كتغيير هوية.
أبق ملكية المفتاح أو الشهادة مع الموقع لا مع مشغل المركز، حتى لا يصبح تغيير المزود تغييرا للهوية.
البادئة هي الجزء الذي ينسى الناس التخطيط له. على المركز ربط شبكة المستشعر الفرعية بالنظير الصحيح، ويحتاج عميل المشغل إلى مسار إليها؛ والمسار الموجود على العميل وحده يرسل الحركة إلى نفق يسقطها بهدوء. اكتب البادئة في سجل الموقع بجوار بصمة المفتاح، حتى لا تظهر بوابة بديلة بتغطية مختلفة دون أن يلاحظ أحد.
عنوان المستشعر يخص التطبيق
يكفي عنوان خاص من خطة الموقع، وما يحتاجه هو الاستقرار لا الوصول العام: حجز DHCP، أو تخصيص ثابت، أو اسم في منطقة الموقع نفسها. وإذا تعذر إعادة ترقيم الجهاز، فالترجمة على بوابة الموقع جواب مشروع ما دامت الترجمة موثقة وحركة العودة تتبعها.
عادات أخرى تستحق البقاء: لا تلصق عنوان المركز العام أبدا في حقل القفزة التالية على مضيف المستشعر. فشبكة VPN تثبت مسارها الخاص، والجوار الإيثرنتي العادي بنهاية عامة وهم ينتج إعدادات تبدو مقنعة.
الردود هي النصف الذي يتجاهله الناس. على الجهاز أن يرسل جوابه عائدا نحو النفق، إما عبر مسار إلى عميل المشغل أو عبر البوابة نفسها التي ترجمت الطلب. والمستشعر ذو البوابة الافتراضية الخاطئة يقبل الطلب ويجيب في الفراغ، بينما تشرح ملاحظات التمرير لماذا يعد توجيه الوصول والرد مطلبين لا مطلبا واحدا.
قرر ثم اكتب الحدود
اكتب حدود الوصول قبل أن يتصل أحد. قيد البوابة بشريحة إنترنت الأشياء وبالخدمات المحددة التي يحتاجها المشغل، لأن المسار العامل يميل إلى أن يصبح وصولا عاما بالخطأ. أبق المراقبة للقراءة فقط وصلاحية الإعداد كدورين منفصلين بهويتين منفصلتين، وسم الشخص الذي يزيل الوصول عند انتهاء العقد.
الموافقة تخص مالك الشبكة، والوجود في منطقة منزوعة السلاح ليس سياسة وصول.
الاختبار بعد النشر ممل وحاسم: طلب واحد داخل البادئة المسموح بها ينجح، وعداد يزداد على البوابة، ومحاولة متعمدة واحدة خارج البادئة تفشل.