Երեք որոշում հասցեների մասին՝ նախքան IoT սենսորները VPN-ի հետևում տեղադրելը
Երեք հասցե երեք դեր ունեն՝ հանրային հանգույցը, նույնականացված կայքի զույգը և սենսորի մասնավոր հասցեն։ Նախապես պլանավորեք յուրաքանչյուրը՝ նախքան որևէ հանրային բան հատկացնելը։
Երեք հասցե խճճվում են IoT-ը VPN-ով միացնելու յուրաքանչյուր ծրագրում, և դրանք նույն տեսակի որոշում չեն։ Առաջինը այն է, թե ինչպես է հեռավոր օպերատորը գտնում թունելի վերջնակետը, երկրորդը՝ ինչպես է կայքն ապացուցում, որ հենց ինքն է կայքը, և երրորդը՝ թե որտեղ է իրականում լսում սենսորի ծառայությունը։ Պատասխանեք դրանց այդ հերթականությամբ, և նախագիծը գրեթե ինքնըստինքյան դուրս կգա։ Պատասխանեք որպես մեկ հարց, և դուք կհայտնվեք այն սարքերին հանրային հասցեներ հատկացնելիս, որոնք երբեք դրա կարիքը չեն ունեցել։ Ելքային կայքի թունելի հետևում գտնվող սենսորը հասանելի է լիազորված օպերատորին՝ առանց սենսորին ուղղված որևէ մուտքային կանոնի։
Սկսեք նրանից, թե ով է սկսում
Թե ով է զանգահարում, որոշում է գրեթե ամեն ինչ հետագայում։ Երբ կայքը զանգահարում է հանգույցին, կայքին մուտքային հասանելիություն պետք չէ, իսկ հանգույցին անհրաժեշտ է անուն կամ հասցե, որը կայքը կարող է լուծել։ Այդ մեկ ընտրությունը վերացնում է ստատիկ հանրային հասցեավորման վեճի մեծ մասը՝ նախքան այն կսկսվի։
Այնուհետև երեք դերերը հստակ բաժանվում են, և ներքևի աղյուսակը որոշման ամենակարճ ձևն է։
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
Յուրաքանչյուր տող ունի տարբեր սեփականատեր, և դա է իրական կետը։ Հանգույցը պատկանում է նրան, ով վարում է VPN ծառայությունը, կայքի զույգը՝ ցանցային թիմին, իսկ սենսորի հասցեն՝ սարքը տիրողին։
Հանգույցի հասցեն մեկնարկ է, ոչ թե նպատակակետ
Պահպանվող հանրային հասցեի լուծվող անունը բավարար է հանգույցի համար։ DNS գրառումը կարող է հետևել վերջնակետին, երբ այն տեղափոխվում է, առանց ձեռքով յուրաքանչյուր կայքի կազմաձևը խմբագրելու։ Այն, ինչ DNS-ը չի անում, հասանելիություն ստեղծելը կամ հին պատասխանը քեշավորող հաճախորդին թարմացնելն է, և դրանք առանձին խնդիրներ են առանձին լուծումներով։
Եթե վարում եք կայք-կայք թունելներ առանց հանգույցի, նույն տրամաբանությունը գործում է այլ ձևով՝ մի կողմին պետք է հասանելի վերջնակետ, կամ երկու կողմերն էլ զանգահարում են երրորդ կողմին։ Ինչ-որ մեկը դեռ պետք է տիրի այդ հասցեին և դրա երկարաձգումներին։
Կայքի զույգը նույնականություն է՝ կցված նախածանցով
Զույգը նախ նույնականություն է, ապա՝ նախածանց։ WireGuard-ի առումով զույգը պահում է բանալիների զույգ, և հանգույցի AllowedIPs գրառումը կապում է այդ բանալին կայքի նախածանցին։ IKEv2-ի առումով վկայագիրը կամ նախապես համօգտագործված բանալին նույնականացնում է կայքը, և նրա երթևեկության ընտրիչները ասում են, թե ինչ կարող է կրել։ Միայն մի կեսը փոխելը կոտրում է դասավորությունը, և դրա համար հասցեի փոփոխությունը երբեք չպետք է դիտարկվի որպես նույնականության փոփոխություն։
Բանալու կամ վկայագրի սեփականությունը պահեք կայքի մոտ, ոչ թե հանգույցի օպերատորի, որպեսզի մատակարարի փոփոխությունը չդառնա նույնականության փոփոխություն։
Նախածանցը այն մասն է, որը մարդիկ մոռանում են պլանավորել։ Հանգույցը պետք է սենսորի ենթացանցը կապի ճիշտ զույգին, և օպերատորի հաճախորդին դրան ուղղված երթուղի է պետք՝ միայն հաճախորդի վրա գոյություն ունեցող երթուղին երթևեկությունն ուղարկում է թունել, որը լուռ գցում է այն։ Գրեք նախածանցը կայքի գրառման մեջ՝ բանալու մատնահետքի կողքին, որպեսզի փոխարինող մուտքը չկարողանա աննկատ հայտնվել այլ ծածկույթով։
Սենսորի հասցեն պատկանում է հավելվածին
Կայքի պլանից մասնավոր հասցեն բավարար է, և նրան պետք է կայունություն, ոչ թե հանրային հասանելիություն՝ DHCP ամրագրում, ստատիկ հատկացում կամ անուն կայքի սեփական գոտում։ Եթե սարքը հնարավոր չէ վերահամարակալել, կայքի մուտքի վրա թարգմանությունը օրինական պատասխան է, քանի դեռ թարգմանությունը փաստաթղթավորված է, և վերադարձի երթևեկությունը հետևում է դրան։
Եւս մեկ սովորություն, որ արժե պահել՝ երբեք մի կպցրեք հանգույցի հանրային հասցեն սենսորի հոսթի հաջորդ թռիչքի դաշտում։ VPN-ը տեղադրում է իր ուղին, և հանրային վերջնակետի հետ սովորական Ethernet հարևանությունը ֆիկցիա է, որը ստեղծում է համոզիչ տեսք ունեցող կազմաձև։
Պատասխաններն այն կեսն են, որը բաց է թողնվում։ Սարքը պետք է իր պատասխանը հետ ուղարկի դեպի թունել՝ կամ երթուղով դեպի օպերատորի հաճախորդը, կամ այն նույն մուտքով, որը թարգմանել է հարցումը։ Սխալ լռելյայն մուտքով սենսորը ընդունում է հարցումը և պատասխանում դատարկության մեջ, և փոխանցման նշումները բացատրում են, թե ինչու ժամանումը և պատասխանի երթուղավորումը երկու պահանջ են, ոչ թե մեկ։
Որոշեք, ապա գրեք սահմանը
Գրեք մուտքի սահմանը նախքան որևէ մեկը կմիանա։ Սահմանափակեք մուտքը IoT հատվածով և այն կոնկրետ ծառայություններով, որոնք անհրաժեշտ են օպերատորին, քանի որ աշխատող երթուղին հակված է պատահաբար դառնալ ընդհանուր մուտք։ Պահեք միայն կարդալու մոնիտորինգը և կազմաձևի լիազորությունը որպես առանձին դերեր՝ առանձին նույնականություններով, և նշեք այն մարդուն, ով հեռացնում է մուտքը պայմանագրի ավարտին։
Հաստատումը պատկանում է ցանցի սեփականատիրոջը, և DMZ-ում լինելը մուտքի քաղաքականություն չէ։
Տեղակայումից հետո փորձարկումը ձանձրալի է և վճռական՝ թույլատրված նախածանցի ներսում մեկ հարցում, որը հաջողվում է, մուտքի վրա աճող հաշվիչ, և նախածանցից դուրս մեկ դիտավորյալ փորձ, որը ձախողվում է։