Дала құрылғысы, TLS және VPN: қай шекара нені қорғайды

Далалық құрылғы қызметке қосылым ашады және жобалау сұрағы VPN мен TLS арасындағы таңдау ретінде туындайды. Бұл тұжырым дұрыс емес, өйткені екеуі әртүрлі жұмыс атқарады. TLS қолданбаның соңғы нүктесін аутентификациялайды және әңгімені қорғайды; ал VPN қолжетімділікті басқарады және теңдестер арасындағы пакеттерді қорғайды. Қосылымды құрылғыдан сыртқа қарай жүргізіңіз, әр қабаттың өз жауабы бар.

TLS қайда аяқталатынын айта алмасаңыз, қолданбаның шын мәнінде неге сенетінін де айта алмайсыз.

TLS шын мәнінде қайда аяқталатынын табыңыз

Құрылғының қолданбасынан бастап, қол алысуды аяқтайтын процеске дейін қосылымды бақылаңыз. Егер прокси TLS-ті мейнфреймге дейін аяқтаса, қорғалған жол проксиде аяқталады. Қалған секіріске өзінің құжатталған қорғанысы қажет.

Мұны болжаммен ұштан-ұшқа дейін деп атау — жобалау шолуы олқылықты мақұлдайтын жол. Аяқталу нүктесі мен сенім тірегін бір диаграммада сызыңыз.

TLS сұраулар мен жауаптарды екі бағытта тасымалдайды, сондықтан екі бағытты қолданбаға табиғатынан TLS орнына VPN қажет емес. Керісінше де дұрыс: орналастыру сол құрылғыдағы басқа протоколдар үшін әлі де VPN қажет етуі мүмкін.

Құрылғы нені аутентификациялауы керектігін шешіңіз

Сервер идентификациясын тексеруді және болжамды сенім түбірлерін конфигурациялаңыз. Егер әр құрылғы өз идентификациясын дәлелдеуі керек болса, қолдау көрсетілетін клиенттік аутентификация моделін таңдап, әр құрылғы үшін жеке тіркелгі деректерін тіркеңіз. Ортақ тіркелгі деректері бір ұрланған құрылғыны бүкіл парк мәселесіне айналдырады.

Жіберуге дейін кілттерді қорғауды, жаңартуды, кері қайтарып алуды және қалпына келтіруді жоспарлаңыз. Сәтсіз жаңартудан кейін қайта тіркеле алмайтын дала құрылғысы далалық сапарға айналады және бұл шығын жобалауды қол алысудан көбірек қалыптастырады.

Қолдау көрсетілетін кітапхананы және өзекті нұсқаулықтарды пайдаланыңыз. TLS орналастырудың заманауи нұсқаулықтары TLS 1.0 және 1.1 келіссөздеріне тыйым салады, ал ескі жобалау жазбасындағы TLSv1 сілтемесі талап емес.

Қол алысу сәтсіз болса, жабыңыз

Сәтсіз қол алысу немесе идентификация тексерісі үнсіз түрде бастапқы ашық мәтін протоколына қайта оралмауы керек. Бұл қайта оралу — TLS жұмысы жабуы тиіс осалдық. Сәтсіздікті құрылғы операторына және қызметке көрінетін етіңіз, ал сезімтал операциялар үшін қорғалған арнаны талап етіңіз. Содан кейін аутентификацияланған құрылғының не істей алатынын қолданбаның авторизациясы шешсін.

Қосылымның өмірлік циклін, кадрлауды, уақыт шектеулерін және қайта әрекет ету мінезін шарттың бөлігі ретінде айқындаңыз. Шифрлау қайталанатын пәрменді қауіпсіз етпейді, ал белгісіз алдыңғы операциядан кейінгі қайта әрекет қолданба деңгейіндегі жауапты қажет етеді.

Қайта оралу ережесін жазыңыз. «Қол алысу сәтсіз болса, ол TLS-сыз қайта қосылады» — бұл жобалау шешімі және ол айқын болуы керек.

VPN-ге тек орындай алатын жұмысын беріңіз

VPN қолжетімділікті шектеп, пакеттерді өз теңдесіне дейін қорғай алады. TLS қолданбаның таңдалған соңғы нүктемен қатынасын қорғайды. Олардың аяқталу нүктелері өзгеше болуы мүмкін және ешқайсысы соңғы нүктенің сақталған деректерін немесе әкімшілік қолжетімділігін қамтамасыз етпейді.

Бір механизм жылдамырақ деп болжаудың орнына нақты құрылғыда қол алысу құнын, тұрақты хабар алмасуды және қайта қосылуды өлшеңіз. Содан кейін маңызды төрт жағдайды сынаңыз: көзделген алмасу, қате сервер идентификациясы, рұқсат етілмеген құрылғы және белгісіз операциядан кейінгі қайта қосылу. Әр жағдайдың нәтижесін, құрылғы көрсететін қатені қоса, жазып алыңыз.