Dräi Adressentscheedungen, ier Dir IoT-Sensoren hannert engem VPN setzt
Dräi Adressen erfëllen dräi Aufgaben: den ëffentlechen Hub, dee authentifizéierte Standort-Peer an déi privat Adress vum Sensor. Plangt jiddwereng, ier Dir eppes Ëffentleches vergitt.
Dräi Adressen verwéckelen sech an all IoT-iwwer-VPN-Plang, an et sinn net déi selwecht Aart Entscheedung. Eng ass, wéi en entfernten Bedreiwer den Tunnelendpunkt fënnt, eng ass, wéi de Standort beweist, datt et de Standort ass, an eng ass, wou den Dienst vum Sensor tatsächlech lauschtert. Äntwert se an där Rei a kritt sech den Design meeschtens vu selwer. Äntwert se als eng eenzeg Fro an Dir landt beim Zouweise vun ëffentlechen Adressen un Apparater, déi ni eng gebraucht hunn. E Sensor hannert engem erausgoenden Standorttunnel ass fir en autoriséierte Bedreiwer erreechbar, ouni datt eng erakommend Regel op de Sensor weist.
Fänkt domat un, wien initiéiert
Wien urufft, bestëmmt bal alles duerno. Wann de Standort bei en Hub urufft, brauch de Standort keng erakommend Erreechbarkeet, an den Hub brauch en Numm oder eng Adress, déi de Standort opléise kann. Dee eenzelen Choix hëlt de gréissten Deel vun der Diskussioun iwwer statesch ëffentlech Adresséierung ewech, ier se ufänkt.
Déi dräi Rollen trenne sech dann propper, an d’Tabell hei drënner ass déi kierzt Form vun der Entscheedung.
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
All Zeil huet en aneren Eegentemer, an dat ass de richtege Punkt. Den Hub gehéiert deem, deen den VPN-Dienst bedreift, de Standort-Peer dem Netzwierkteam, an d’Sensoradress deem, deen den Apparat huet.
D’Hub-Adress ass Bootstrap, keen Zil
En Numm, dee sech op eng ënnerhalen ëffentlech Adress opléist, genuch fir den Hub. En DNS-Andrag kann dem Endpunkt nogoen, wann en sech beweegt, ouni all Standortkonfiguratioun vun Hand ze änneren. Wat DNS net mécht, ass Erreechbarkeet schafen oder e Client aktualiséieren, deen déi al Äntwert cachet, an dat sinn getrennt Problemer mat getrennte Léisungen.
Wann Dir Standort-zu-Standort-Tunnelen ouni Hub bedreift, gëllt déiselwecht Logik an enger anerer Form: eng Säit brauch en erreechbaren Endpunkt, oder béid Säiten ruffen eng drëtt Partei un. Een muss déi Adress an hir Erneierungen nach ëmmer besëtzen.
De Standort-Peer ass eng Identitéit mat engem ugehaangene Präfix
De Peer ass fir d’éischt eng Identitéit an zweetens e Präfix. An de WireGuard-Begrëffer hält de Peer e Schlësselpaar an den AllowedIPs-Andrag vum Hub bënnt dëse Schlëssel un de Präfix vum Standort. An den IKEv2-Begrëffer identifizéiert en Zertifika oder e virbedeeelte Schlëssel de Standort, an seng Traffic-Selektoren soen, wat en droe kann. Nëmmen déi eng Halschent z’änneren, brécht d’Arrangement, an dofir däerf eng Adressännerung ni als Identitéitsännerung behandelt ginn.
Halt d’Eegentum um Schlëssel oder Zertifika beim Standort amplaz beim Hub-Bedreiwer, sou datt en Ubiddertwiessel keen Identitéitswiessel gëtt.
De Präfix ass den Deel, deen d’Leit vergiessen ze plangen. Den Hub muss d’Sensor-Subnetz dem richtegen Peer zouuerdnen, an de Client vum Bedreiwer brauch eng Route dohinner; eng Route, déi nëmmen um Client existéiert, schéckt Traffic an en Tunnel, deen en stëll verwerft. Schreift de Präfix an den Standort-Andrag nieft dem Schlësselofdrock, sou datt en Ersatz-Gateway net onbemierkt mat enger anerer Deckung kann opkommen.
D’Sensoradress gehéiert zur Applikatioun
Eng privat Adress aus dem Plang vum Standort ass genuch, an wat se brauch, ass Stabilitéit amplaz ëffentlech Erreechbarkeet: eng DHCP-Reservatioun, eng statesch Zouweisung oder en Numm an der eegener Zone vum Standort. Wann den Apparat net ëmnummeréiert ka ginn, ass Iwwersetzung um Standort-Gateway eng legitim Äntwert, soulaang d’Iwwersetzung dokumentéiert ass an den Zrécktrafik hir follegt.
Nach eng Gewunnecht, déi et wäert ass ze halen: pecht ni d’ëffentlech Hub-Adress an en Nächst-Hop-Feld um Host vum Sensor. D’VPN installéiert hire eegene Wee, an eng gewéinlech Ethernet-Nopeschschaft zu engem ëffentlechen Endpunkt ass eng Fiktioun, déi iwwerzeegend ausgesinn Konfiguratioun produzéiert.
D’Äntwerten sinn déi Halschent, déi iwwersprangen gëtt. Den Apparat muss seng Äntwert zréck Richtung Tunnel schécken, entweder iwwer eng Route zum Client vum Bedreiwer oder iwwer deeselwechte Gateway, deen d’Ufro iwwersat huet. E Sensor mat dem falschen Standard-Gateway hëlt d’Ufro un an äntwert an d’Näischt, an d’Notizen iwwer d’Weiderleeden erkläre firwat Ukommen an Äntwert-Routing zwee Ufuerderunge sinn an net eng.
Entscheet, an da schreift d’Grenz
Schreift d’Zougriffsgrenz op, ier sech een verbënnt. Beschränkt de Gateway op den IoT-Segment an op déi spezifesch Diensten, déi de Bedreiwer brauch, well eng funktionéierend Route gär ouni Absicht zum allgemengen Zougang gëtt. Halt d’Noriichte-nëmme-Überwaachung an d’Konfiguratiounsbefugniss als getrennte Rollen mat getrennten Identitéiten, an nennt d’Persoun, déi den Zougang ewechhëlt, wann de Kontrakt eriwwer ass.
D’Genehmegung gehéiert dem Netzwierkbesëtzer, an an enger DMZ ze sinn ass keng Zougangspolitik.
Den Test no der Ausrollung ass langweileg an entscheedend: eng Ufro bannent dem erlaabte Präfix, déi geléngt, en Zähler, deen um Gateway klëmmt, an een bewossten Versuch ausserhalb vum Präfix, dee feelt.