Helbide-erabaki hiru IoT sentsoreak VPN baten atzean jarri aurretik
Hiru helbidek hiru zeregin betetzen dituzte: hub publikoa, egiaztatutako gunearen parekidea eta sentsorearen helbide pribatua. Plangaitzazu bakoitza zerbait publikoa esleitu aurretik.
Hiru helbide nahasten dira IoT VPN bidezko plan guztietan, eta ez dira erabaki mota bera. Bat operadore urrunak tunelaren muturra nola aurkitzen duen da, beste bat guneak gunea dela nola frogatzen duen, eta hirugarrena sentsorearen zerbitzuak benetan non entzuten duen. Erantzun horien ordenan eta diseinua ia berez ateratzen da. Erantzun galdera bakartzat eta inoiz behar izan ez zuten gailuei helbide publikoak esleitzen amaituko duzu. Irteerako gune-tunel baten atzean dagoen sentsorea baimendutako operadore batentzat irisgarria da, sentsoreari seinalatzen dion sarrerako errulerik gabe.
Hasi nor den hasten
Nork markatzen duen ia gainerako guztia zehazten du. Guneak hub batera markatzen duenean, guneak ez du sarrerako irisgarritasunik behar, eta hubak guneak ebatz dezakeen izen edo helbide bat behar du. Aukera bakar horrek helbideratze publiko estatikoaren inguruko eztabaidaren zati handiena kentzen du hasi aurretik.
Hiru rolek garbi bereizten dira gero, eta beheko taula erabakiaren forma laburrena da.
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
Errenkada bakoitzak jabe desberdin bat du, eta hori da benetako puntua. Huba VPN zerbitzua kudeatzen duenarena da, gunearen parekidea sare-taldearena, eta sentsorearen helbidea gailua duenarena.
Hubaren helbidea abiapuntua da, ez helmuga
Mantentzen den helbide publiko batera ebazten duen izen bat nahikoa da hubarentzat. DNS erregistro batek muturra jarrai dezake hura mugitzen denean, gune-konfigurazio bakoitza eskuz editatu gabe. DNSak egiten ez duena irisgarritasuna sortzea edo erantzun zaharra cachean duen bezeroa freskatzea da, eta horiek arazo bereiziak dira konponbide bereiziekin.
Hubik gabeko gune-arteko tunelak exekutatzen badituzu, logika bera beste forma batean balio du: alde batek mutur irisgarri bat behar du, edo bi aldeek hirugarren bat markatzen dute. Norbait oraindik helbide horren eta haren berritzeen jabe izan behar da.
Gunearen parekidea aurrizki bat duen identitatea da
Parekidea identitatea da lehenik eta aurrizkia bigarren. WireGuard-en terminoetan parekideak gako-pare bat dauka eta hubaren AllowedIPs sarrerak gako hori gunearen aurrizkiari lotzen dio. IKEv2ren terminoetan ziurtagiri batek edo aldez aurretik partekatutako gako batek gunea identifikatzen du eta haren trafiko-hautatzaileek zer eraman dezakeen esaten dute. Erdia bakarrik aldatzeak antolaketa hausten du, eta horregatik helbide-aldaketa ez da inoiz identitate-aldaketatzat hartu behar.
Mantendu gakoaren edo ziurtagiriaren jabetza gunean, ez hubaren operadorearengan, hornitzaile-aldaketa identitate-aldaketa bihur ez dadin.
Aurrizkia jendeak planifikatzeari uzten dion zatia da. Hubak sentsorearen azpisarea parekide zuzenarekin lotu behar du, eta operadorearen bezeroak horrako ibilbide bat behar du; bezeroan soilik dagoen ibilbide batek isilka botatzen duen tunel batera bidaltzen du trafikoa. Idatzi aurrizkia guneko erregistroan gakoaren hatz-markaren ondoan, ordezko ateak estaldura desberdinarekin nabaritu gabe ager ez dadin.
Sentsorearen helbidea aplikazioarena da
Gunearen planean dagoen helbide pribatu bat nahikoa da, eta behar duena egonkortasuna da, ez irisgarritasun publikoa: DHCP erreserba bat, esleipen estatiko bat edo gunearen beraren zonean izen bat. Gailua birzenbakiratu ezin bada, gunearen atean egindako itzulpena erantzun zilegia da, baldin eta itzulpena dokumentatuta badago eta itzulera-trafikoak jarraitzen badio.
Mantentzeak merezi duen beste ohitura bat: ez itsatsi inoiz hubaren helbide publikoa sentsorearen ostalariaren hurrengo jauziaren eremuan. VPNak bere bidea instalatzen du, eta mutur publiko baterako ohiko Ethernet auzotasuna konfigurazio sinesgarri itxurakoa sortzen duen fikzioa da.
Erantzunak saltatzen den erdia dira. Gailuak bere erantzuna tunelera itzuli behar du, bai operadorearen bezeroarekiko ibilbide baten bidez, bai eskaera itzuli zuen ate beraren bidez. Ate lehenetsi okerra duen sentsore batek eskaera onartu eta ezer inori erantzuten dio, eta birbidaltze-oharrek azaltzen dute zergatik diren iristea eta erantzunaren bideratzea bi baldintza, bat ez.
Erabaki, eta gero idatzi muga
Idatzi sarbide-muga inor konektatu aurretik. Murriztu atea IoT segmentura eta operadoreak behar dituen zerbitzu zehatzetara, funtzionatzen duen ibilbidea oharkabean sarbide orokor bihurtu ohi baita. Mantendu irakurtzeko soilik den monitorizazioa eta konfigurazio-ahala rol bereizi gisa identitate bereiziekin, eta izenda ezazu kontratua amaitzean sarbidea kentzen duen pertsona.
Onespena sarearen jabearena da, eta DMZ batean egotea ez da sarbide-politika bat.
Hedapenaren ondorengo proba aspergarria eta erabakigarria da: baimendutako aurrizkiaren barruan arrakasta duen eskaera bat, atean handitzen den kontagailu bat, eta aurrizkitik kanpo nahita egindako saiakera bat huts egiten duena.