Kolm aadressiotsust enne IoT-andurite VPN-i taha panekut
Kolm aadressi täidavad kolme rolli: avalik jaotur, autenditud saidi võrdne ja anduri privaatne aadress. Planeerige igaüht enne, kui midagi avalikku eraldate.
Kolm aadressi lähevad igas IoT-üle-VPN-i plaanis sassi ja need ei ole sama liiki otsus. Üks on see, kuidas kaugoperaator leiab tunnelilõpu, teine on see, kuidas sait tõestab, et ta on sait, ja kolmas on see, kus anduri teenus tegelikult kuulab. Vastake neile selles järjekorras ja disain tuleb enamasti ise välja. Vastake neile ühe küsimusena ja jõuate selleni, et määrate avalikke aadresse seadmetele, mis ei vajanud neid kunagi. Väljuva saiditunneli taga olev andur on volitatud operaatorile kättesaadav ilma ühegi sissetuleva reeglita, mis andurile osutab.
Alustage sellest, kes algatab
Kes valib, määrab peaaegu kõik edasise. Kui sait valib jaoturi, ei vaja sait sissetulevat kättesaadavust ja jaotur vajab nime või aadressi, mille sait suudab lahendada. See üks valik kõrvaldab suurema osa staatilise avaliku adresseerimise vaidlusest enne selle algust.
Kolm rolli eralduvad seejärel puhtalt ja allolev tabel on otsuse lühim vorm.
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
Igal real on erinev omanik ja see on tegelik mõte. Jaotur kuulub sellele, kes VPN-teenust haldab, saidi võrdne võrgumeeskonnale ja anduri aadress sellele, kes seadet omab.
Jaoturi aadress on alglaadimine, mitte sihtkoht
Nimi, mis lahendub hooldatud avalikuks aadressiks, on jaoturi jaoks piisav. DNS-kirje saab lõpp-punkti liikudes järgida, ilma et iga saidi konfiguratsiooni käsitsi muudetaks. Mida DNS ei tee, on kättesaadavuse loomine või vana vastust vahemällu hoidva kliendi värskendamine, ja need on eraldi probleemid eraldi lahendustega.
Kui haldad sait-sait-tunneleid ilma jaoturita, kehtib sama loogika teisel kujul: üks pool vajab kättesaadavat lõpp-punkti või mõlemad pooled valivad kolmanda osapoole. Keegi peab ikkagi selle aadressi ja selle uuendused omama.
Saidi võrdne on identiteet, millele on eesliide külge pandud
Võrdne on esmalt identiteet ja teiseks eesliide. WireGuardi mõistes hoiab võrdne võtmepaari ja jaoturi AllowedIPs kirje seob selle võtme saidi eesliitega. IKEv2 mõistes identifitseerib sait sertifikaat või eeljagatud võti ning selle liiklusvalijad ütlevad, mida see kanda võib. Ainult ühe poole muutmine rikub korralduse, mistõttu ei tohi aadressi muutust kunagi käsitleda identiteedi muutusena.
Hoidke võtme või sertifikaadi omandiõigus saidi juures, mitte jaoturi operaatori juures, et teenusepakkuja vahetus ei muutuks identiteedi vahetuseks.
Eesliide on osa, mille planeerimise inimesed unustavad. Jaotur peab siduma anduri alamvõrgu õige võrdsega ja operaatori klient vajab sinna marsruuti; marsruut, mis eksisteerib ainult kliendil, saadab liikluse tunnelisse, mis selle vaikselt maha viskab. Kirjutage eesliide saidi kirjesse võtme sõrmejälje kõrvale, et asenduslüüs ei saaks märkamatult erineva kattuvusega üles tulla.
Anduri aadress kuulub rakendusele
Saiti plaanist pärit privaatne aadress on piisav ja see vajab stabiilsust, mitte avalikku kättesaadavust: DHCP reserveeringut, staatilist määramist või nime saidi enda tsoonis. Kui seadet ei saa ümber nummerdada, on tõlkimine saidi lüüsil õiguspärane vastus seni, kuni tõlge on dokumenteeritud ja tagasiliiklus seda järgib.
Veel üks harjumus, mida tasub hoida: ärge kunagi kleepige jaoturi avalikku aadressi anduri hosti järgmise hüppe väljale. VPN paigaldab oma tee ja tavaline Etherneti naabrus avaliku lõpp-punktiga on fiktsioon, mis tekitab veenvalt näiva konfiguratsiooni.
Vastused on see pool, mis vahele jääb. Seade peab saatma oma vastuse tagasi tunneli suunas, kas marsruudi kaudu operaatori kliendini või sama lüüsi kaudu, mis päringu tõlkis. Vale vaikelüüsiga andur võtab päringu vastu ja vastab tühjusesse, ja edastamise märkmed selgitavad, miks saabumine ja vastuse marsruutimine on kaks nõuet, mitte üks.
Otsustage, seejärel kirjutage piir
Kirjutage juurdepääsupiir enne, kui keegi ühendub. Piirake lüüs IoT-segmendiga ja konkreetsete teenustega, mida operaator vajab, sest töötav marsruut kipub kogemata üldiseks juurdepääsuks muutuma. Hoidke ainult lugemiseks mõeldud jälgimine ja konfiguratsiooniõigus eraldi rollidena eraldi identiteetidega ning nimetage inimene, kes juurdepääsu lepingu lõppedes eemaldab.
Kinnitus kuulub võrgu omanikule ja DMZ-is olemine ei ole juurdepääsupoliitika.
Kasutuselevõtu järgne test on igav ja lõplik: üks lubatud eesliite sees olev päring, mis õnnestub, lüüsil suurenev loendur ja üks tahtlik katse väljaspool eesliidet, mis ebaõnnestub.