Tri odločitve o naslovih, preden postavite senzorje IoT za VPN
Trije naslovi opravijo tri naloge: javno vozlišče, overjeni partner mesta in zasebni naslov senzorja. Načrtujte vsakega, preden dodelite kar koli javnega.
Trije naslovi se zapletejo v vsak načrt IoT prek VPN in niso ista vrsta odločitve. Eden je, kako oddaljeni operater najde končno točko tunela, drugi je, kako mesto dokaže, da je mesto, in tretji je, kje storitev senzorja v resnici posluša. Odgovorite v tem vrstnem redu in načrt večinoma izpade sam. Odgovorite kot na eno vprašanje in končali boste pri dodeljevanju javnih naslovov napravam, ki jih nikoli niso potrebovale. Senzor za odhodnim tunelom mesta je dosegljiv pooblaščenemu operaterju brez enega samega dohodnega pravila, usmerjenega na senzor.
Začnite s tem, kdo začne
Kdo kliče, odloči skoraj vse nadaljnje. Ko mesto kliče vozlišče, mesto ne potrebuje dohodne dosegljivosti, vozlišče pa potrebuje ime ali naslov, ki ga mesto lahko razreši. Ta ena izbira odstrani večino razprave o statičnem javnem naslavljanju, preden se začne.
Tri vloge se nato čisto ločijo, tabela spodaj pa je najkrajša oblika odločitve.
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
Vsaka vrstica ima drugega lastnika in to je prava poanta. Vozlišče pripada tistemu, ki upravlja storitev VPN, partner mesta mrežni ekipi, naslov senzorja pa tistemu, ki ima napravo.
Naslov vozlišča je zagon, ne cilj
Ime, ki se razreši v vzdrževan javni naslov, vozlišču zadošča. Zapis DNS lahko sledi končni točki, ko se premakne, brez ročnega urejanja vsake konfiguracije mesta. Česa DNS ne naredi, je ustvarjanje dosegljivosti ali osvežitev odjemalca, ki shranjuje stari odgovor, in to so ločene težave z ločenimi rešitvami.
Če upravljate tunele mesto-na-mesto brez vozlišča, velja ista logika v drugi obliki: ena stran potrebuje dosegljivo končno točko ali obe strani kličeta tretjo stran. Nekdo mora še vedno imeti ta naslov in njegove podaljšave.
Partner mesta je identiteta s pritrjeno predpono
Partner je najprej identiteta in drugič predpona. V izrazih WireGuarda ima partner par ključev, zapis AllowedIPs vozlišča pa veže ta ključ na predpono mesta. V izrazih IKEv2 potrdilo ali vnaprej deljen ključ identificira mesto, njegovi izbirniki prometa pa povedo, kaj lahko prenaša. Sprememba samo ene polovice pokvari ureditev, zato spremembe naslova nikoli ne smemo obravnavati kot spremembo identitete.
Lastništvo ključa ali potrdila držite pri mestu in ne pri upravljavcu vozlišča, da sprememba ponudnika ne postane sprememba identitete.
Predpona je del, ki ga ljudje pozabijo načrtovati. Vozlišče mora povezati podomrežje senzorja s pravim partnerjem, odjemalec operaterja pa potrebuje pot do njega; pot, ki obstaja samo na odjemalcu, pošilja promet v tunel, ki ga tiho zavrže. Zapišite predpono v zapis mesta ob prstnem odtisu ključa, da se nadomestni prehod ne more pojaviti z drugačno pokritostjo, ne da bi kdo opazil.
Naslov senzorja pripada aplikaciji
Zasebni naslov iz načrta mesta zadošča, potrebuje pa stabilnost in ne javne dosegljivosti: rezervacijo DHCP, statično dodelitev ali ime v lastni coni mesta. Če naprave ni mogoče preštevilčiti, je prevajanje na prehodu mesta legitimna rešitev, dokler je prevajanje dokumentirano in povratni promet mu sledi.
Še ena navada, ki se je vredno držati: nikoli ne prilepite javnega naslova vozlišča v polje naslednjega skoka na gostitelju senzorja. VPN namesti svojo pot, običajno sosedstvo Ethernet z javno končno točko pa je fikcija, ki ustvari prepričljivo videz konfiguracije.
Odgovori so polovica, ki se izpusti. Naprava mora poslati svoj odgovor nazaj proti tunelu, bodisi po poti do odjemalca operaterja bodisi skozi isti prehod, ki je prevedel zahtevo. Senzor z napačnim privzetim prehodom zahtevo sprejme in odgovori v prazno, opombe o posredovanju pa pojasnijo, zakaj sta prihod in usmerjanje odgovora dve zahtevi in ne ena.
Odločite in nato zapišite mejo
Zapišite mejo dostopa, preden se kdo poveže. Omejite prehod na segment IoT in na določene storitve, ki jih operater potrebuje, ker delujoča pot rada po nesreči postane splošen dostop. Vzdržujte spremljanje samo za branje in konfiguracijsko pooblastilo kot ločeni vlogi z ločenimi identitetami ter navedite osebo, ki odstrani dostop, ko se pogodba konča.
Odobritev pripada lastniku omrežja, in biti v DMZ ni politika dostopa.
Preizkus po uvedbi je dolgočasen in odločilen: ena zahteva znotraj dovoljene predpone, ki uspe, števec, ki se na prehodu poveča, in en nameren poskus zunaj predpone, ki spodleti.