Tliet deċiżjonijiet dwar l-indirizz qabel ma tqiegħed sensuri IoT wara VPN
Tliet indirizzi għandhom tliet rwoli: l-hub pubbliku, il-pari tas-sit awtentikat u l-indirizz privat tas-sensur. Ippjana kull wieħed qabel ma tassenja xi ħaġa pubblika.
Tliet indirizzi jitħabblu f’kull pjan ta’ IoT fuq VPN, u mhumiex l-istess tip ta’ deċiżjoni. Waħda hija kif operatur remot isib il-punt tat-tarf tal-mina, oħra hija kif is-sit juri li huwa s-sit, u oħra hija fejn is-servizz tas-sensur fil-fatt jisma’. Wieġeb f’dan l-ordni u d-disinn kważi joħroġ waħdu. Wieġeb bħala mistoqsija waħda u tispiċċa tassenja indirizzi pubbliċi lil apparati li qatt ma kellhom bżonnhom. Sensur wara mina tas-sit li toħroġ jintlaħaq minn operatur awtorizzat mingħajr ebda regola tad-dħul li tindika lejn is-sensur.
Ibda b’min jibda
Min iċempel jiddetermina kważi kollox wara. Meta s-sit iċempel lejn hub, is-sit m’għandux bżonn aċċessibilità tad-dħul, u l-hub għandu bżonn isem jew indirizz li s-sit jista’ jsolvi. Dik l-għażla waħda tneħħi l-biċċa l-kbira tad-dibattitu dwar l-indirizzar pubbliku statiku qabel ma jibda.
It-tliet rwoli mbagħad jisseparaw b’mod nadif, u t-tabella hawn taħt hija l-forma l-iqsar tad-deċiżjoni.
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
Kull ringiela għandha sid differenti, u dan huwa l-punt reali. Il-hub jappartjeni lil min imexxi s-servizz VPN, il-pari tas-sit lit-tim tan-netwerk, u l-indirizz tas-sensur lil min jippossjedi l-apparat.
L-indirizz tal-hub huwa bootstrap, mhux destinazzjoni
Isem li jsolvi għal indirizz pubbliku miżmum huwa biżżejjed għall-hub. Rekord DNS jista’ jsegwi l-punt tat-tarf meta jmur, mingħajr ma jeditja kull konfigurazzjoni tas-sit bl-idejn. Dak li DNS ma jagħmilx huwa li joħloq aċċessibilità jew li jaġġorna klijent li jaħżen it-tweġiba l-qadima, u dawn huma problemi separati b’soluzzjonijiet separati.
Jekk tmexxi mini sit-għal-sit mingħajr hub, l-istess loġika tapplika fi forma oħra: naħa waħda teħtieġ punt tat-tarf li jintlaħaq, jew iż-żewġ naħat iċemplu lil parti terza. Xi ħadd xorta jrid jippossjedi dak l-indirizz u l-ġedded tiegħu.
Il-pari tas-sit huwa identità b’prefiss imwaħħal
Il-pari huwa l-ewwel identità u t-tieni prefiss. Fit-termini ta’ WireGuard il-pari jżomm par ċwievet u d-dħul AllowedIPs tal-hub jorbot dak iċ-ċavetta mal-prefiss tas-sit. Fit-termini ta’ IKEv2 ċertifikat jew ċavetta maqsuma minn qabel jidentifika s-sit u l-seletturi tat-traffiku tiegħu jgħidu x’jista’ jġorr. Li tbiddel nofs wieħed biss ikisser l-arranġament, u għalhekk bidla fl-indirizz qatt m’għandha tiġi trattata bħala bidla fl-identità.
Żomm is-sjieda taċ-ċavetta jew taċ-ċertifikat mas-sit minflok mal-operatur tal-hub, sabiex bidla fil-fornitur ma ssirx bidla fl-identità.
Il-prefiss huwa l-parti li n-nies jinsiew jippjanaw. Il-hub irid jassoċja s-subnet tas-sensur mal-pari t-tajjeb, u l-klijent tal-operatur jeħtieġ rotta lejha; rotta li teżisti biss fuq il-klijent tibgħat it-traffiku f’mina li twarrabha bil-kwiet. Ikteb il-prefiss fir-rekord tas-sit ħdejn l-impronta tal-ċavetta, sabiex gateway ta’ sostituzzjoni ma jistax jitla’ b’kopertura differenti mingħajr ma jinduna ħadd.
L-indirizz tas-sensur jappartjeni lill-applikazzjoni
Indirizz privat mill-pjan tas-sit huwa biżżejjed, u dak li jeħtieġ huwa stabbiltà u mhux aċċessibilità pubblika: riżerva DHCP, assenjament statiku jew isem fiż-żona tas-sit stess. Jekk l-apparat ma jistax jiġi nnumerat mill-ġdid, it-traduzzjoni fuq il-gateway tas-sit hija tweġiba leġittima sakemm it-traduzzjoni tkun dokumentata u t-traffiku tar-ritorn isegwiha.
Drawwa oħra li tiswa tinżamm: qatt ma tpejstix l-indirizz pubbliku tal-hub f’qasam tal-pass li jmiss fuq il-host tas-sensur. Il-VPN tinstalla t-triq tagħha, u adjaċenza Ethernet ordinarja ma’ punt tat-tarf pubbliku hija finzjoni li tipproduċi konfigurazzjoni li tidher konvinċenti.
It-tweġibiet huma n-nofs li jiġi mqabbeż. L-apparat irid jibgħat it-tweġiba tiegħu lura lejn il-mina, jew permezz ta’ rotta lejn il-klijent tal-operatur jew permezz tal-istess gateway li ttraduċa t-talba. Sensur bil-gateway default ħażin jaċċetta t-talba u jwieġeb fix-xejn, u in-noti dwar l-għoti jispjegaw għaliex il-wasla u r-rotta tat-tweġiba huma żewġ rekwiżiti u mhux waħda.
Iddeċiedi, imbagħad ikteb il-konfini
Ikteb il-konfini tal-aċċess qabel ma jikkonnettja ħadd. Illimita l-gateway għas-segment IoT u għas-servizzi speċifiċi li jeħtieġ l-operatur, għax rotta li taħdem għandha tendenza li ssir aċċess ġenerali b’inċident. Żomm il-monitoraġġ ta’ qari biss u l-awtorità tal-konfigurazzjoni bħala rwoli separati b’identitajiet separati, u semmi l-persuna li tneħħi l-aċċess meta jintemm il-kuntratt.
L-approvazzjoni tappartjeni lis-sid tan-netwerk, u li tkun f’DMZ mhijiex politika ta’ aċċess.
It-test wara l-implimentazzjoni huwa tedjanti u deċiżiv: talba waħda fil-prefiss permess li tirnexxi, kontatur li jiżdied fuq il-gateway, u tentattiv wieħed intenzjonat barra l-prefiss li jfalli.