Þrjár vistfangsákvarðanir áður en IoT-skynjarar fara bak við VPN
Þrjú vistföng sinna þremur hlutverkum: hið opinbera stöð, staðfesta jafningi svæðisins og einkavistfang skynjarans. Skipuleggðu hvert þeirra áður en þú úthlutar nokkru opinberu.
Þrjú vistföng flækjast í hverri IoT-yfir-VPN áætlun, og þau eru ekki sams konar ákvörðun. Eitt er hvernig fjartengdur stjórnandi finnur endapunkt göngunnar, annað er hvernig svæðið sannar að það sé svæðið, og þriðja er hvar þjónusta skynjarans hlustar í raun. Svaraðu þeim í þessari röð og hönnunin kemur að mestu af sjálfu sér. Svaraðu þeim sem einni spurningu og þú endar á að úthluta opinberum vistföngum til tækja sem þurftu þess aldrei. Skynjari bak við útleiðargöngu svæðisins er aðgengilegur fyrir heimildum stjórnanda án nokkurrar innkomandi reglu sem bendir á skynjarann.
Byrjaðu á því hver hefur frumkvæðið
Hver hringir ræður næstum öllu sem á eftir kemur. Þegar svæðið hringir í stöð þarf svæðið enga innkomandi aðgengileika, og stöðin þarf nafn eða vistfang sem svæðið getur leyst. Þessi eina ákvörðun fjarlægir mestan hluta umræðunnar um kyrrstætt opinbert vistfangaúthlutun áður en hún hefst.
Hlutverkin þrjú aðskiljast þá hreint, og taflan hér að neðan er stysta mynd ákvörðunarinnar.
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
Hver röð hefur annan eiganda, og það er raunverulegi punkturinn. Stöðin tilheyrir þeim sem rekur VPN-þjónustuna, jafningi svæðisins netteyminu, og vistfang skynjarans þeim sem á tækið.
Vistfang stöðvarinnar er ræsing, ekki áfangastaður
Nafn sem leysist í viðhaldið opinbert vistfang nægir fyrir stöðina. DNS-færsla getur fylgt endapunktinum þegar hann flyst, án þess að breyta hverri stillingu svæðisins í höndunum. Það sem DNS gerir ekki er að búa til aðgengileika eða endurnýja biðlara sem skyggir gamla svarið, og það eru aðskilin vandamál með aðskildum lausnum.
Ef þú rekur göngur svæðis-til-svæðis án stöðvar gildir sama rökfræði í annarri mynd: önnur hliðin þarf aðgengilegan endapunkt, eða báðar hliðar hringja í þriðja aðila. Einhver verður samt að eiga það vistfang og endurnýjanir þess.
Jafningi svæðisins er auðkenni með forskeyti tengdu
Jafninginn er fyrst auðkenni og síðan forskeyti. Í skilmálum WireGuard heldur jafninginn lyklapari og færsla AllowedIPs stöðvarinnar bindur þann lykil við forskeyti svæðisins. Í skilmálum IKEv2 auðkennir vottorð eða fyrirfram deildur lykill svæðið og umferðarvalar þess segja hvað það má bera. Að breyta aðeins annarri helmingnum brýtur fyrirkomulagið, og þess vegna má aldrei meðhöndla vistfangsbreytingu sem auðkennisbreytingu.
Haltu eignarrétti lykilsins eða vottorðsins hjá svæðinu frekar en hjá stöðvarstjórnandanum, svo þjónustuveitendaskipti verði ekki auðkennisskipti.
Forskeytið er sá hluti sem fólk gleymir að skipuleggja. Stöðin verður að tengja undirnet skynjarans rétta jafningjanum, og biðlari stjórnandans þarf leið að því; leið sem er aðeins til á biðlaranum sendir umferð inn í göngu sem sleppir henni hljóðlega. Skrifaðu forskeytið í færslu svæðisins við hlið lykilfingrafarsins, svo skiptihlið geti ekki birst með aðra umfjöllun án þess að nokkur taki eftir því.
Vistfang skynjarans tilheyrir forritinu
Einkavistfang úr áætlun svæðisins nægir, og það sem það þarf er stöðugleiki frekar en opinber aðgengileiki: DHCP-frátekt, kyrrstæð úthlutun eða nafn í eigin svæði svæðisins. Ef ekki er hægt að endurnúmera tækið er þýðing á hliði svæðisins gildilegt svar svo framarlega sem þýðingin er skjalfest og bakstreymisumferð fylgir henni.
Ein venja í viðbót sem er þess virði að halda: límdu aldrei opinbert vistfang stöðvarinnar í reit fyrir næsta stökk á hýsli skynjarans. VPN-ið setur upp sína eigin leið, og venjuleg Ethernet-nálægð við opinberan endapunkt er skáldskapur sem framleiðir sannfærandi útlits stillingu.
Svörin eru sá helmingur sem sleppt er. Tækið verður að senda svarið sitt aftur í átt að göngunni, annaðhvort um leið að biðlara stjórnandans eða um sama hliðið og þýddi beiðnina. Skynjari með rangt sjálfgefið hlið tekur beiðnina og svarar út í tómið, og athugasemdirnar um áframsendingu útskýra hvers vegna koma og leiðsvörun eru tvær kröfur en ekki ein.
Ákveddu, og skrifaðu síðan mörkin
Skrifaðu aðgangsmörkin niður áður en einhver tengist. Takmarkaðu hliðið við IoT-hlutann og við tilteknu þjónustuna sem stjórnandinn þarf, því leið sem virkar hefur tilhneigingu til að verða almennur aðgangur fyrir slysni. Haltu lestrar-eingöngu eftirliti og stillingarvaldi sem aðskildum hlutverkum með aðskildum auðkennum, og nefndu þann einstakling sem fjarlægir aðgang þegar samningurinn rennur út.
Samþykkið tilheyrir eiganda netsins, og það að vera í DMZ er ekki aðgangsstefna.
Prófið eftir uppsetningu er dauflegt og afgerandi: ein beiðni innan leyfða forskeytisins sem tekst, teljari sem hækkar á hliðinu, og ein viljandi tilraun utan forskeytisins sem mistekst.