IoT мэдрэгчийг VPN-ийн ард байрлуулахаас өмнөх гурван хаягийн шийдвэр
Гурван хаяг гурван үүрэг гүйцэтгэдэг: нийтийн зангилаа, баталгаажсан сайтын хос болон мэдрэгчийн хувийн хаяг. Ямар нэг нийтийг хуваарилахаас өмнө тус бүрийг төлөвлө.
IoT-ийг VPN-ээр холбох аливаа төлөвлөгөөнд гурван хаяг орооцолддог бөгөөд тэдгээр нь ижил төрлийн шийдвэр биш. Нэг нь алсын оператор туннелийн төгсгөлийн цэгийг хэрхэн олдог, нөгөө нь сайт өөрөө тухайн сайт гэдгээ хэрхэн нотолдог, гурав дахь нь мэдрэгчийн үйлчилгээ үнэхээр хаана сонсдог. Тэдэнд энэ дарааллаар хариулбал загвар ихэвчлэн өөрөө гарч ирнэ. Тэдэнд нэг асуулт гэж хариулбал хэзээ ч хэрэггүй байсан төхөөрөмжүүдэд нийтийн хаяг өгөх байдалд хүрнэ. Гарч буй сайтын туннелийн ард байгаа мэдрэгч нь мэдрэгч рүү чиглэсэн нэг ч орж ирэх дүрэмгүйгээр эрх бүхий операторт хүрэх боломжтой.
Хэн эхлүүлж байгаагаас эхэл
Хэн дууддаг нь дараах бараг бүхнийг тодорхойлдог. Сайт зангилаа руу дуудах үед сайтад орж ирэх хүртээмж шаардлагагүй бөгөөд зангилаанд сайт шийдэж чадах нэр эсвэл хаяг хэрэгтэй. Энэ ганц сонголт статик нийтийн хаяглалтын маргааны ихэнхийг эхлэхээс өмнө арилгадаг.
Дараа нь гурван үүрэг цэвэрхэн салж, доорх хүснэгт нь шийдвэрийн хамгийн богино хэлбэр юм.
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
Мөр бүр өөр эзэнтэй бөгөөд энэ л жинхэнэ учир. Зангилаа нь VPN үйлчилгээг ажиллуулдаг хүнийх, сайтын хос нь сүлжээний багийнх, мэдрэгчийн хаяг нь төхөөрөмжийг эзэмшдэг хүнийх.
Зангилааны хаяг бол эхлүүлэлт, очих газар биш
Нийтийн хаяг руу шийдэгддэг нэр зангилаанд хангалттай. DNS бичлэг төгсгөлийн цэг шилжихэд түүнийг дагаж чадна, сайт бүрийн тохиргоог гараар засварлахгүйгээр. DNS-ийн хийдэггүй зүйл бол хүртээмж бий болгох эсвэл хуучин хариултыг кэшлэдэг клиентийг шинэчлэх бөгөөд эдгээр нь тусдаа асуудал, тусдаа шийдэлтэй.
Хэрэв зангилаагүйгээр сайт хоорондын туннель ажиллуулж байгаа бол ижил логик өөр хэлбэрээр үйлчилнэ: нэг талд хүрч болох төгсгөлийн цэг хэрэгтэй, эсвэл хоёр тал гуравдагч тал руу дуудна. Хэн нэгэн тэр хаяг болон түүний сунгалтыг эзэмших ёстой хэвээр.
Сайтын хос бол угтвар хавсаргасан таних тэмдэг
Хос нь эхлээд таних тэмдэг, дараа нь угтвар. WireGuard-ийн утгаар хос нь түлхүүрийн хосыг барьдаг бөгөөд зангилааны AllowedIPs бичлэг тэр түлхүүрийг сайтын угтвартай холбодог. IKEv2-ийн утгаар гэрчилгээ эсвэл урьдчилан хуваалцсан түлхүүр сайтыг таньж, түүний траффикийн сонгогчид юу зөөж болохыг хэлнэ. Зөвхөн нэг хагасыг өөрчлөх нь зохицуулалтыг эвддэг тул хаягийн өөрчлөлтийг хэзээ ч таних тэмдгийн өөрчлөлт гэж үзэж болохгүй.
Түлхүүр эсвэл гэрчилгээний эзэмшлийг зангилааны операторт биш, сайтад байлга, ингэснээр үйлчилгээ үзүүлэгчийн өөрчлөлт таних тэмдгийн өөрчлөлт болохгүй.
Угтвар бол хүмүүс төлөвлөхөө мартдаг хэсэг. Зангилаа нь мэдрэгчийн дэд сүлжээг зөв хостой холбох ёстой бөгөөд операторын клиентэд түүн рүү чиглэсэн маршрут хэрэгтэй; зөвхөн клиент дээр байдаг маршрут траффикийг чимээгүй хаядаг туннель руу илгээдэг. Угтварыг түлхүүрийн хурууны хээний хажууд сайтын бичлэгт бич, солигдсон гарц өөр хамрах хүрээтэйгээр анзааралгүй гарч ирэхгүйн тулд.
Мэдрэгчийн хаяг нь програмынх
Сайтын төлөвлөгөөнөөс хувийн хаяг хангалттай бөгөөд түүнд нийтийн хүртээмж биш, тогтвортой байдал хэрэгтэй: DHCP нөөцлөлт, статик хуваарилалт эсвэл сайтын өөрийн бүс дэх нэр. Хэрэв төхөөрөмжийг дахин дугаарлах боломжгүй бол сайтын гарц дээрх хөрвүүлэлт нь хууль ёсны хариулт бөгөөд хөрвүүлэлт баримтлагдсан, буцах траффик түүнийг дагаж байх нөхцөлтэй.
Хадгалах нэг зуршил: нийтийн зангилааны хаягийг мэдрэгчийн хост дээрх дараагийн үсрэлтийн талбарт хэзээ ч нааж болохгүй. VPN өөрийн замыг суулгадаг бөгөөд нийтийн төгсгөлийн цэг рүү энгийн Ethernet хөршлөл нь итгэл үнэмшилтэй харагдах тохиргоо үүсгэдэг зохиомол зүйл юм.
Хариултууд бол алгасагддаг тал. Төхөөрөмж хариултаа туннель рүү буцааж илгээх ёстой, эсвэл операторын клиент рүү маршрутаар, эсвэл хүсэлтийг хөрвүүлсэн тэр гарцаар. Буруу өгөгдмөл гарцтай мэдрэгч хүсэлтийг хүлээн авч хоосон руу хариулдаг бөгөөд дамжуулалтын тэмдэглэл ирэлт ба хариултын маршрутлалт нэг биш хоёр шаардлага гэдгийг тайлбарладаг.
Шийд, дараа нь хилийг бич
Хэн нэгэн холбогдохын өмнө хандалтын хил хязгаарыг бич. Гарцыг IoT сегмент болон операторт хэрэгтэй тодорхой үйлчилгээгээр хязгаарла, учир нь ажиллаж буй маршрут санамсаргүйгээр ерөнхий хандалт болох хандлагатай. Зөвхөн унших хяналт ба тохиргооны эрхийг тусдаа таних тэмдэг бүхий тусдаа үүрэг болгон барьж, гэрээ дуусахад хандалтыг хасдаг хүнийг нэрлэ.
Зөвшөөрөл нь сүлжээний эзэмшигчид хамаарах бөгөөд DMZ-д байх нь хандалтын бодлого биш.
Байршуулалтын дараах шалгалт уйтгартай боловч шийдвэрлэхүйц: зөвшөөрөгдсөн угтварын доторх нэг хүсэлт амжилттай болж, гарц дээр тоолуур өсч, угтвараас гадна нэг зориудын оролдлого бүтэлгүйтнэ.