Kolme osoitepäätöstä ennen kuin laitat IoT-anturit VPN:n taakse
Kolme osoitetta hoitaa kolme tehtävää: julkinen keskitin, todennettu sivuston vertais ja anturin yksityinen osoite. Suunnittele jokainen ennen kuin jaat mitään julkista.
Kolme osoitetta sotkeutuvat jokaiseen IoT-yli-VPN-suunnitelmaan, eivätkä ne ole samanlaisia päätöksiä. Yksi on se, miten etäoperaattori löytää tunnelin päätepisteen, toinen on se, miten sivusto todistaa olevansa sivusto, ja kolmas on se, missä anturin palvelu todella kuuntelee. Vastaa niihin siinä järjestyksessä, niin suunnittelu syntyy melkein itsestään. Vastaa niihin yhtenä kysymyksenä, niin päädyt jakamaan julkisia osoitteita laitteille, jotka eivät koskaan tarvinneet sellaista. Lähtevän sivustotunnelin takana oleva anturi on valtuutetun operaattorin tavoitettavissa ilman yhtään saapuvaa sääntöä, joka osoittaisi anturiin.
Aloita siitä, kuka aloittaa
Kuka soittaa, määrää melkein kaiken myöhemmän. Kun sivusto soittaa keskitintä kohti, sivusto ei tarvitse saapuvaa tavoitettavuutta, ja keskitin tarvitsee nimen tai osoitteen, jonka sivusto voi ratkaista. Tämä yksi valinta poistaa suurimman osan staattisen julkisen osoitteistuksen väittelystä ennen kuin se alkaa.
Kolme roolia erottuvat sitten puhtaasti, ja alla oleva taulukko on päätöksen lyhin muoto.
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
Jokaisella rivillä on eri omistaja, ja se on varsinainen pointti. Keskitin kuuluu sille, joka pyörittää VPN-palvelua, sivuston vertais verkkotiimille ja anturin osoite sille, joka omistaa laitteen.
Keskitinosoite on käynnistys, ei kohde
Nimi, joka ratkeaa ylläpidettyyn julkiseen osoitteeseen, riittää keskitimelle. DNS-tietue voi seurata päätepistettä, kun se siirtyy, ilman että jokaista sivuston kokoonpanoa muokataan käsin. Mitä DNS ei tee, on tavoitettavuuden luominen tai vanhan vastauksen välimuistiin tallentaneen asiakkaan päivittäminen, ja ne ovat erillisiä ongelmia erillisine korjauksineen.
Jos ajat sivusto-sivusto-tunneleita ilman keskitintä, sama logiikka pätee eri muodossa: toinen puoli tarvitsee tavoitettavan päätepisteen tai molemmat puolet soittavat kolmatta osapuolta. Jonkun on silti omistettava tuo osoite ja sen uusinnat.
Sivuston vertais on identiteetti, johon etuliite on liitetty
Vertais on ensin identiteetti ja toiseksi etuliite. WireGuardin termein vertaisella on avainpari ja keskitimen AllowedIPs-tietue sitoo avaimen sivuston etuliitteeseen. IKEv2:n termein varmente tai ennalta jaettu avain tunnistaa sivuston, ja sen liikennevalitsimet kertovat, mitä se saa kuljettaa. Vain toisen puolen muuttaminen rikkoo järjestelyn, minkä vuoksi osoitteen muutosta ei koskaan pidä käsitellä identiteetin muutoksena.
Pidä avaimen tai varmenteen omistus sivustolla eikä keskitimen operaattorilla, jotta palveluntarjoajan vaihto ei muutu identiteetin vaihdoksi.
Etuliite on se osa, jonka ihmiset unohtavat suunnitella. Keskitimen on yhdistettävä anturin aliverkko oikeaan vertaiseen, ja operaattorin asiakas tarvitsee reitin sinne; reitti, joka on vain asiakkaalla, lähettää liikennettä tunneliin, joka pudottaa sen hiljaa. Kirjoita etuliite sivuston tietueeseen avaimen sormenjäljen viereen, ettei korvaava yhdyskäytävä voi nousta esiin erilaisella kattavuudella huomaamatta.
Anturin osoite kuuluu sovellukselle
Yksityinen osoite sivuston suunnitelmasta riittää, ja se tarvitsee vakautta julkisen tavoitettavuuden sijaan: DHCP-varauksen, staattisen määrityksen tai nimen sivuston omassa vyöhykkeessä. Jos laitetta ei voi numeroida uudelleen, käännös sivuston yhdyskäytävässä on laillinen vastaus, kunhan käännös on dokumentoitu ja paluuliikenne seuraa sitä.
Vielä yksi tapa, joka kannattaa pitää: älä koskaan liitä keskitimen julkista osoitetta anturin isäntäkoneen seuraavan hypyn kenttään. VPN asentaa oman polkunsa, ja tavallinen Ethernet-naapuruus julkiseen päätepisteeseen on fiktio, joka tuottaa vakuuttavan näköistä kokoonpanoa.
Vastaukset ovat se puoli, joka ohitetaan. Laitteen on lähetettävä vastauksensa takaisin tunnelia kohti, joko reittiä operaattorin asiakkaalle tai saman yhdyskäytävän kautta, joka käänsi pyynnön. Anturi, jolla on väärä oletusyhdyskäytävä, ottaa pyynnön vastaan ja vastaa tyhjyyteen, ja edelleenlähetyksen muistiinpanot selittävät, miksi saapuminen ja vastauksen reititys ovat kaksi vaatimusta eikä yksi.
Päätä ja kirjoita sitten raja
Kirjoita pääsyraja ennen kuin kukaan yhdistää. Rajoita yhdyskäytävä IoT-segmenttiin ja niihin palveluihin, joita operaattori tarvitsee, koska toimiva reitti muuttuu helposti vahingossa yleiseksi pääsyksi. Pidä vain luku -valvonta ja kokoonpanovalta erillisinä rooleina erillisine identiteetteineen ja nimeä henkilö, joka poistaa pääsyn sopimuksen päättyessä.
Hyväksyntä kuuluu verkon omistajalle, eikä DMZ:ssä oleminen ole pääsykäytäntö.
Käyttöönoton jälkeinen testi on tylsä ja ratkaiseva: yksi sallitun etuliitteen sisällä oleva pyyntö, joka onnistuu, yhdyskäytävällä kasvava laskuri ja yksi tahallinen yritys etuliitteen ulkopuolella, joka epäonnistuu.