Tri phenderfyniad cyfeiriad cyn rhoi synwyryddion IoT y tu ôl i VPN

Mae tri chyfeiriad yn cymysgu ym mhob cynllun IoT-dros-VPN, ac nid ydynt yr un math o benderfyniad. Un yw sut mae gweithredwr o bell yn dod o hyd i bwynt terfyn y twnnel, un yw sut mae’r safle’n profi mai’r safle yw ef, ac un yw ble mae gwasanaeth y synhwyrydd yn gwrando mewn gwirionedd. Atebwch nhw yn y drefn honno a bydd y dyluniad yn syrthio allan fwy neu lai. Atebwch nhw fel un cwestiwn ac fe gewch eich hun yn neilltuo cyfeiriadau cyhoeddus i ddyfeisiau na fuont erioed angen un. Mae synhwyrydd y tu ôl i dwnnel safle allan yn cyrraedd gweithredwr awdurdodedig heb unrhyw reol i mewn yn pwyntio at y synhwyrydd o gwbl.

Dechreuwch gyda phwy sy’n cychwyn

Pwy sy’n deialu sy’n penderfynu bron popeth i lawr y llwybr. Pan fydd y safle’n deialu allan i hyb, nid oes angen unrhyw gyrhaeddiad i mewn ar y safle, ac mae’r hyb angen enw neu gyfeiriad y gall y safle ei ddatrys. Mae’r un dewis hwnnw’n tynnu’r rhan fwyaf o’r ddadl cyfeirio cyhoeddus statig cyn iddi ddechrau.

Yna mae’r tair rôl yn gwahanu’n lân, a’r tabl isod yw ffurf fyrraf y penderfyniad.

Mae gan bob rhes berchennog gwahanol, a dyna’r pwynt go iawn. Mae’r hyb yn perthyn i bwy bynnag sy’n rhedeg y gwasanaeth VPN, cymar y safle i’r tîm rhwydwaith, a chyfeiriad y synhwyrydd i bwy bynnag sy’n berchen ar y ddyfais.

Mae cyfeiriad yr hyb yn gychwyn, nid yn gyrchfan

Mae enw sy’n datrys i gyfeiriad cyhoeddus a gynhelir yn ddigon i’r hyb. Gall cofnod DNS ddilyn y pwynt terfyn pan fydd yn symud, heb olygu pob cyfluniad safle â llaw. Yr hyn nad yw DNS yn ei wneud yw creu cyrhaeddiad na diweddaru cleient sy’n cadw’r hen ateb, ac mae’r rheini’n broblemau ar wahân gyda ffyrdd ar wahân o’u trwsio.

Os ydych yn rhedeg twneli safle-i-safle heb hyb, mae’r un rhesymeg yn dal mewn siâp gwahanol: mae angen pwynt terfyn y gellir ei gyrraedd ar un ochr, neu mae’r ddwy ochr yn deialu trydydd parti. Mae rhywun yn dal i orfod berchen ar y cyfeiriad hwnnw a’i adnewyddiadau.

Mae cymar y safle yn hunaniaeth â rhagddodiad ynghlwm

Hunaniaeth yw’r cymar yn gyntaf a rhagddodiad yn ail. Yn nhermau WireGuard mae’r cymar yn dal pâr o allweddi ac mae cofnod AllowedIPs yr hyb yn rhwymo’r allwedd honno i ragddodiad y safle. Yn nhermau IKEv2 mae tystysgrif neu allwedd a rennir ymlaen llaw yn adnabod y safle ac mae ei ddetholwyr traffig yn dweud beth y caiff ei gario. Mae newid naill hanner ar ei ben ei hun yn torri’r trefniant, a dyna pam na ddylid byth trin newid cyfeiriad fel newid hunaniaeth.

Cadwch berchnogaeth yr allwedd neu’r dystysgrif gyda’r safle yn hytrach na chyda gweithredwr yr hyb, fel nad yw newid darparwr yn dod yn newid hunaniaeth.

Y rhagddodiad yw’r rhan y mae pobl yn anghofio ei chynllunio. Mae’n rhaid i’r hyb gysylltu is-rwydwaith y synhwyrydd â’r cymar cywir, ac mae angen llwybr ar gleient y gweithredwr ar ei gyfer; mae llwybr sy’n bodoli ar y cleient yn unig yn anfon traffig i dwnnel sy’n ei ollwng yn dawel. Ysgrifennwch y rhagddodiad yng nghofnod y safle wrth ochr olion bysedd yr allwedd, fel na all porth newydd ddod i fyny â chwmpas gwahanol yn ddiarwybod.

Mae cyfeiriad y synhwyrydd yn perthyn i’r rhaglen

Mae cyfeiriad preifat o gynllun y safle yn ddigon, a’r hyn sydd ei angen yw sefydlogrwydd yn hytrach na chyrhaeddiad cyhoeddus: cadwfa DHCP, aseiniad statig, neu enw ym mharth y safle ei hun. Os na ellir ail-rifo’r ddyfais, mae cyfieithu ar borth y safle yn ateb dilys cyn belled ag y bydd y cyfieithu’n cael ei ddogfennu a’r traffig dychwelyd yn ei ddilyn.

Un arfer arall sy’n werth ei gadw: peidiwch byth â gludo cyfeiriad cyhoeddus yr hyb i faes nesaf-neidio ar westeiwr y synhwyrydd. Mae’r VPN yn gosod ei lwybr ei hun, ac mae cyffyrddiad Ethernet cyffredin â phwynt terfyn cyhoeddus yn ffuglen sy’n cynhyrchu cyfluniad sy’n edrych yn gredadwy.

Yr atebion yw’r hanner sy’n cael ei hepgor. Mae’n rhaid i’r ddyfais anfon ei hateb yn ôl tuag at y twnnel, naill ai drwy lwybr i gleient y gweithredwr neu drwy’r un porth a gyfieithodd y cais. Mae synhwyrydd â’r porth diofyn anghywir yn derbyn y cais ac yn ateb i ddim, ac mae y nodiadau anfon ymlaen yn egluro pam mae cyrraedd a llwybreiddio ateb yn ddau ofyniad yn hytrach nag un.

Penderfynwch, yna ysgrifennwch y ffin

Ysgrifennwch y ffin mynediad i lawr cyn i unrhyw un gysylltu. Cyfyngwch y porth i’r segment IoT ac i’r gwasanaethau penodol sydd eu hangen ar y gweithredwr, oherwydd mae llwybr sy’n gweithio’n tueddu i ddod yn fynediad cyffredinol drwy ddamwain. Cadwch fonitro darllen-yn-unig ac awdurdod cyflunio fel rolau ar wahân gyda hunaniaethau ar wahân, ac enwch y person sy’n tynnu mynediad pan ddaw’r contract i ben.

Mae cymeradwyaeth yn perthyn i berchennog y rhwydwaith, ac nid yw bod mewn DMZ yn bolisi mynediad.

Mae’r prawf ar ôl defnyddio’n ddiflas ac yn bendant: un cais o fewn y rhagddodiad a ganiateir sy’n llwyddo, cyfrifydd sy’n cynyddu ar y porth, ac un ymgais fwriadol y tu allan i’r rhagddodiad sy’n methu.