IoT сенсорларын VPN артына қою алдындағы үш мекенжай шешімі
Үш мекенжай үш рөл атқарады: ашық хаб, расталған сайт жұбы және сенсордың жеке мекенжайы. Кез келген ашық нәрсені бөлмес бұрын әрқайсысын жоспарлаңыз.
Әр IoT-VPN жоспарында үш мекенжай шатасады және олар бір типтегі шешім емес. Біреуі қашықтағы оператордың туннельдің соңғы нүктесін қалай табатыны, екіншісі сайттың өзі сайт екенін қалай дәлелдейтіні, үшіншісі сенсор қызметінің шын мәнінде қайда тыңдайтыны. Оларға осы ретпен жауап берсеңіз, дизайн көбіне өзі шығады. Оларға бір сұрақ ретінде жауап берсеңіз, ешқашан қажет болмаған құрылғыларға ашық мекенжайлар тағайындауға келесіз. Шығыс сайт туннелінің артындағы сенсор сенсорға бағытталған кіріс ережесінсіз-ақ уәкілетті операторға қолжетімді.
Кім бастайтынынан бастаңыз
Кім қоңырау шалатыны кейінгінің барлығын дерлік анықтайды. Сайт хабқа қоңырау шалғанда, сайтқа кіріс қолжетімділігі қажет емес, ал хабқа сайт шеше алатын атау немесе мекенжай қажет. Осы бір таңдау статикалық ашық мекенжайлау туралы даудың көбін басталмай тұрып жояды.
Содан кейін үш рөл таза бөлінеді және төмендегі кесте шешімнің ең қысқа түрі.
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
Әр жолдың иесі бөлек және нақты мәселе осында. Хаб VPN қызметін жүргізетін адамға, сайт жұбы желі тобына, ал сенсордың мекенжайы құрылғыны иеленетін адамға тиесілі.
Хаб мекенжайы — іске қосу, меже емес
Қолдау көрсетілетін ашық мекенжайға шешілетін атау хаб үшін жеткілікті. DNS жазбасы соңғы нүкте ауысқанда оны қадағалай алады, әр сайт конфигурациясын қолмен өңдеусіз. DNS жасамайтыны — қолжетімділік жасау немесе ескі жауапты кэштеген клиентті жаңарту, және бұлар бөлек мәселелер және бөлек шешімдер.
Егер хабы жоқ сайт-сайт туннельдерін жүргізсеңіз, сол логика басқа түрде қолданылады: бір жаққа қолжетімді соңғы нүкте керек, немесе екі жақ та үшінші жаққа қоңырау шалады. Біреу бәрібір сол мекенжайға және оның жаңартуларына ие болуы керек.
Сайт жұбы — тіркелген префиксі бар бірегейлік
Жұп алдымен бірегейлік, содан кейін префикс. WireGuard тұрғысынан жұп кілт жұбын ұстайды және хабтың AllowedIPs жазбасы сол кілтті сайт префиксіне байланыстырады. IKEv2 тұрғысынан сертификат немесе алдын ала ортақ кілт сайтты сәйкестендіреді, ал оның трафик селекторлары нені тасымалдай алатынын айтады. Тек бір жартысын өзгерту тәртіпті бұзады, сондықтан мекенжай өзгерісін ешқашан бірегейлік өзгерісі ретінде қарастырмау керек.
Кілт немесе сертификат иелігін хаб операторында емес, сайтта ұстаңыз, провайдер ауысуы бірегейлік ауысуына айналмасын.
Префикс — адамдар жоспарлауды ұмытатын бөлік. Хаб сенсордың қосалқы желісін дұрыс жұппен байланыстыруы керек, ал оператордың клиентіне оған маршрут қажет; тек клиентте бар маршрут трафикті оны үнсіз тастайтын туннельге жібереді. Префиксті кілт саусақ ізінің жанындағы сайт жазбасына жазыңыз, ауыстырылған шлюз байқаусызда басқа қамтумен шыға алмауы үшін.
Сенсордың мекенжайы қолданбаға тиесілі
Сайт жоспарындағы жеке мекенжай жеткілікті, және оған ашық қолжетімділік емес, тұрақтылық қажет: DHCP брондауы, статикалық тағайындау немесе сайттың өз аймағындағы атау. Егер құрылғыны қайта нөмірлеу мүмкін болмаса, сайт шлюзіндегі трансляция — заңды жауап, трансляция құжатталған және қайтару трафигі оны ұстанатын болса.
Тағы бір әдетті сақтаған жөн: хабтың ашық мекенжайын сенсор хостының келесі секіріс өрісіне ешқашан қоймаңыз. VPN өз жолын орнатады, ал ашық соңғы нүктеге қарапайым Ethernet көршілестігі сенімді көрінетін конфигурация тудыратын фантастика.
Жауаптар — өткізіп жіберілетін жарты. Құрылғы өз жауабын туннельге қарай кері жіберуі керек, не оператордың клиентіне маршрут арқылы, не сұранысты аударған сол шлюз арқылы. Қате әдепкі шлюзі бар сенсор сұранысты қабылдап, ешқайда жауап береді, ал жіберу жазбалары келу мен жауапты маршруттаудың неге бір емес, екі талап екенін түсіндіреді.
Шешім қабылдаңыз, содан кейін шекараны жазыңыз
Кімде-кім қосылмай тұрып, қолжетімділік шекарасын жазыңыз. Шлюзді IoT сегментімен және операторға қажет нақты қызметтермен шектеңіз, өйткені жұмыс істеп тұрған маршрут кездейсоқ жалпы қолжетімділікке айналуға бейім. Тек оқуға арналған мониторинг пен конфигурация өкілеттігін бөлек бірегейліктері бар бөлек рөлдер ретінде ұстаңыз және шарт біткенде қолжетімділікті алып тастайтын адамды атаңыз.
Бекіту желі иесіне тиесілі, ал DMZ-де болу қолжетімділік саясаты емес.
Орналастырудан кейінгі сынақ жалықтырарлық және шешуші: рұқсат етілген префикстің ішіндегі бір сұраныс сәтті орындалады, шлюзде санауыш өседі, ал префикстен тыс бір әдейі әрекет сәтсіз аяқталады.