IoT сенсорлорун VPN артына коюудан мурун үч дарек чечими
Үч дарек үч ролду аткарат: ачык хаб, тастыкталган сайт жуптугу жана сенсордун жеке дареги. Каалаган ачык нерсени бөлүштүрүүдөн мурун ар бирин пландаштырыңыз.
Ар бир IoT-VPN планында үч дарек аралашат жана алар бирдей типтеги чечим эмес. Бири алыскы оператордун туннелдин акыркы чекитин кантип табаары, экинчиси сайттын өзү сайт экенин кантип далилдеши, үчүнчүсү сенсордун кызматы чындыгында кайда угаары. Ошол тартипте жооп бериңиз, долбоор дээрлик өзү чыгат. Аларга бир суроо катары жооп берсеңиз, эч качан керектелбеген түзмөктөргө ачык даректерди ыйгарууга келесиз. Чыгуучу сайт туннелинин артындагы сенсор сенсорго багытталган кирүү эрежесиз эле ыйгарым укуктуу операторго жеткиликтүү.
Ким баштайт дегенден баштаңыз
Ким чалат, кийинкинин дээрлик баарын аныктайт. Сайт хабга чалганда, сайтка кирүү жеткиликтүүлүгү керек эмес, ал эми хабга сайт чече алган ат же дарек керек. Ушул бир тандоо статикалык ачык даректөө талашын көбүн башталганга чейин эле жоёт.
Андан кийин үч роль таза бөлүнөт жана төмөнкү таблица чечимдин эң кыска формасы.
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
Ар бир саптын ээси башка жана чыныгы маселе ушунда. Хаб VPN кызматын жүргүзгөн адамга, сайт жуптугу тармак тобуна, ал эми сенсордун дареги түзмөктү ээлеген адамга таандык.
Хаб дареги — ишке кирүү, багыт эмес
Колдоого алынган ачык дарекке чечилген ат хабга жетиштүү. DNS жазуусу акыркы чекит жылганда аны ээрчий алат, ар бир сайт конфигурациясын кол менен оңдоосуз. DNS жасабаган нерсе — жеткиликтүүлүк түзүү же эски жоопту кэштеген клиентти жаңыртуу, жана булар өзүнчө маселелер өзүнчө чечимдер менен.
Эгер хабсыз сайт-сайт туннелдерин жүргүзсөңүз, ошол логика башка формада колдонот: бир тарапка жеткиликтүү акыркы чекит керек, же эки тарап тең үчүнчү тарапка чалат. Бирөө баары бир ошол дарекке жана анын жаңыртууларына ээ болушу керек.
Сайт жуптугу — тиркелген префикси бар инсандык
Жуптук адегенде инсандык, анан префикс. WireGuard боюнча жуптук ачкыч жуптугун кармайт жана хабдын AllowedIPs жазуусу ошол ачкычты сайттын префиксине байланыштырат. IKEv2 боюнча сертификат же алдын ала бөлүшүлгөн ачкыч сайтты аныктайт, ал эми анын трафик селекторлору эмнени ташый алаарын айтат. Бир гана жарымын өзгөртүү тартипти бузат, ошондуктан дарек өзгөрүүсүн эч качан инсандык өзгөрүүсү катары кароого болбойт.
Ачкычтын же сертификаттын ээлигин хаб операторунда эмес, сайтта кармаңыз, провайдер алмашуусу инсандык алмашуусуна айланбашы үчүн.
Префикс — адамдар пландаштырууну унуткан бөлүк. Хаб сенсордун кошумча тармагын туура жуптукка байланыштырышы керек, ал эми оператордун клиентине ага маршрут керек; клиентте гана бар маршрут трафикти үнсүз таштаган туннелге жиберет. Префиксти ачкычтын манжа изинин жанындагы сайт жазуусуна жазыңыз, алмаштырылган шлюз байкалбастан башка камтуу менен чыга албашы үчүн.
Сенсордун дареги колдонмого таандык
Сайттын планындагы жеке дарек жетиштүү жана ага ачык жеткиликтүүлүк эмес, туруктуулук керек: DHCP резервдөө, статикалык ыйгаруу же сайттын өз аймагындагы ат. Эгер түзмөктү кайра номерлөө мүмкүн болбосо, сайт шлюзиндеги котормо мыйзамдуу жооп, котормо документтелген жана кайтаруу трафиги ага ээрчиген шартта.
Дагы бир адатты сактаган жөн: хабдын ачык дарегин сенсордун хостундагы кийинки секирүү талаасына эч качан чаптабаңыз. VPN өз жолун орнотот, ал эми ачык акыркы чекитке кадимки Ethernet коңшулугу ишенимдүү көрүнгөн конфигурация жараткан ойдон чыгарылган нерсе.
Жооптор — өткөрүп жиберилүүчү жарым. Түзмөк өз жообун туннелге карай кайра жибериши керек, же оператордун клиентине маршрут аркылуу, же сурамды которгон ошол эле шлюз аркылуу. Туура эмес демейки шлюзи бар сенсор сурамды кабыл алып, эч жакка жооп берет, ал эми жиберүү боюнча эскертүүлөр келүү жана жоопту маршруттоо эмнеге бир эмес, эки талап экенин түшүндүрөт.
Чечим кабыл алыңыз, анан чекти жазыңыз
Кимдир бирөө туташканга чейин жеткиликтүүлүк чегин жазыңыз. Шлюзди IoT сегменти жана операторго керек болгон конкреттүү кызматтар менен чектеңиз, анткени иштеген маршрут кокустан жалпы жеткиликтүүлүккө айланат. Окуу гана мониторингин жана конфигурация бийлигин өзүнчө инсандыктары бар өзүнчө ролдор катары кармаңыз жана келишим бүткөндө жеткиликтүүлүктү алып салган адамдын атын жазыңыз.
Бекитүү тармактын ээсине таандык, ал эми DMZде болуу жеткиликтүүлүк саясаты эмес.
Орнотуудан кийинки сынак тажатма жана чечүүчү: уруксат берилген префиктин ичиндеги бир сурам ийгиликтүү аткарылат, шлюзде эсептегич өсөт, ал эми префикстен тышкары бир атайын аракет ийгиликсиз болот.