Три одлуке о адресама пре него што ставите IoT сензоре иза VPN-а
Три адресе обављају три посла: јавно чвориште, аутентификовани пар места и приватна адреса сензора. Планирајте сваку пре него што доделите било шта јавно.
Три адресе се запетљавају у сваком IoT-преко-VPN плану и оне нису иста врста одлуке. Једна је како удаљени оператер проналази крајњу тачку тунела, једна је како место доказује да јесте место, а једна је где услуга сензора заиста слуша. Одговорите на њих тим редом и дизајн углавном испадне сам. Одговорите на њих као на једно питање и завршићете тако што додељујете јавне адресе уређајима којима никада нису биле потребне. Сензор иза одлазног тунела места доступан је овлашћеном оператеру без иједног улазног правила усмереног на сензор.
Почните с тим ко иницира
Ко позива одређује готово све даље. Када место позива чвориште, месту не треба улазна доступност, а чворишту треба име или адреса коју место може да разреши. Тај један избор уклања већину расправе о статичком јавном адресирању пре него што почне.
Три улоге се затим чисто раздвајају, а табела испод је најкраћи облик одлуке.
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
Сваки ред има другог власника и то је права поента. Чвориште припада ономе ко води VPN услугу, пар места мрежном тиму, а адреса сензора ономе ко поседује уређај.
Адреса чворишта је покретање, а не одредиште
Име које се разрешава на одржавану јавну адресу довољно је за чвориште. DNS запис може да прати крајњу тачку када се премести, без ручног уређивања сваке конфигурације места. Оно што DNS не чини јесте стварање доступности или освежавање клијента који кешира стари одговор, а то су одвојени проблеми са одвојеним решењима.
Ако водите тунеле место-до-места без чворишта, иста логика важи у другом облику: једна страна треба доступну крајњу тачку, или обе стране позивају трећу страну. Неко и даље мора да поседује ту адресу и њена обнављања.
Пар места је идентитет са придруженим префиксом
Пар је прво идентитет, а друго префикс. У терминима WireGuard-а пар држи пар кључева, а запис AllowedIPs чворишта везује тај кључ за префикс места. У терминима IKEv2 сертификат или унапред дељени кључ идентификује место, а његови селектори саобраћаја говоре шта сме да носи. Промена само једне половине квари распоред, због чега се промена адресе никада не сме третирати као промена идентитета.
Држите власништво над кључем или сертификатом код места, а не код оператера чворишта, како промена провајдера не би постала промена идентитета.
Префикс је део који људи забораве да планирају. Чвориште мора да повеже подмрежу сензора са правим паром, а клијенту оператера треба рута до ње; рута која постоји само на клијенту шаље саобраћај у тунел који га тихо одбацује. Упишите префикс у запис места поред отиска кључа, како заменско чвориште не би непримерено наступило с другачијом покривеношћу.
Адреса сензора припада апликацији
Приватна адреса из плана места је довољна, а потребна јој је стабилност, а не јавна доступност: DHCP резервација, статичка додела или име у сопственој зони места. Ако се уређај не може пренумерисати, превођење на чворишту места је легитиман одговор све док је превођење документовано и повратни саобраћај га следи.
Још једна навика коју вреди задржати: никада не лепите јавну адресу чворишта у поље следећег скока на домаћину сензора. VPN поставља своју путању, а обична Ethernet суседност са јавном крајњом тачком је фикција која производи убедљиво изгледајућу конфигурацију.
Одговори су половина која се прескаче. Уређај мора да пошаље свој одговор назад према тунелу, или рутом до клијента оператера или кроз исто чвориште које је превело захтев. Сензор са погрешним подразумеваним чвориштем прихвата захтев и одговара у ништа, а белешке о прослеђивању објашњавају зашто су долазак и рутирање одговора два захтева, а не један.
Одлучите, па запишите границу
Запишите границу приступа пре него што се било ко повеже. Ограничите чвориште на IoT сегмент и на конкретне услуге које оператеру требају, јер радна рута с временом случајно постане општи приступ. Држите надзор само за читање и овлашћење за конфигурацију као одвојене улоге с одвојеним идентитетима и именујте особу која уклања приступ када уговор истекне.
Одобрење припада власнику мреже, а бити у DMZ-у није политика приступа.
Тест после постављања је досадан и коначан: један захтев унутар дозвољеног префикса који успе, бројач који се повећа на чворишту и један намеран покушај изван префикса који не успе.