Maamuzi matatu ya anwani kabla ya kuweka sensor za IoT nyuma ya VPN

Anwani tatu huchanganyikana katika kila mpango wa IoT kupitia VPN, na si uamuzi wa aina moja. Moja ni jinsi opereta wa mbali anavyopata ncha ya handaki, moja ni jinsi tovuti inavyothibitisha kuwa ni tovuti, na moja ni mahali ambapo huduma ya sensor husikiliza kwa kweli. Zijibu kwa mpangilio huo na muundo huja wenyewe kwa kiasi kikubwa. Zijibu kama swali moja na utaishia kugawa anwani za umma kwa vifaa ambavyo havikuwahi kuhitaji moja. Sensor iliyo nyuma ya handaki la tovuti linalotoka inafikiwa na opereta aliyeidhinishwa bila kanuni yoyote ya kuingia inayoelekeza kwa sensor.

Anza na nani anaanzisha

Nani anapiga simu huamua karibu kila kitu kinachofuata. Tovuti inapopiga simu kwa kitovu, tovuti haihitaji ufikivu wa kuingia, na kitovu kinahitaji jina au anwani ambayo tovuti inaweza kuitatua. Uchaguzi huo mmoja huondoa sehemu kubwa ya mjadala wa anwani za umma zisizobadilika kabla ya kuanza.

Majukumu matatu kisha hutenganishwa kwa usafi, na jedwali lililo chini ni muundo mfupi zaidi wa uamuzi.

Kila mstari una mmiliki tofauti, na hilo ndilo jambo la kweli. Kitovu ni cha yule anayeendesha huduma ya VPN, mwenza wa tovuti ni wa timu ya mtandao, na anwani ya sensor ni ya yule anayemiliki kifaa.

Anwani ya kitovu ni mwanzo, si mahali pa kwenda

Jina linalotatuliwa hadi anwani ya umma inayotunzwa linatosha kwa kitovu. Rekodi ya DNS inaweza kufuata ncha wakati inapohama, bila kuhariri kila mpangilio wa tovuti kwa mkono. Ambacho DNS haifanyi ni kuunda ufikivu au kuonyesha upya mteja anayehifadhi jibu la zamani, na hayo ni matatizo tofauti yenye suluhisho tofauti.

Ikiwa unaendesha handaki za tovuti-kwa-tovuti bila kitovu, mantiki hiyo hiyo inatumika kwa namna nyingine: upande mmoja unahitaji ncha inayofikiwa, au pande zote mbili zinapiga simu kwa upande wa tatu. Mtu bado anapaswa kumiliki anwani hiyo na uhuishaji wake.

Mwenza wa tovuti ni utambulisho ulio na kiambishi mbele

Mwenza ni utambulisho kwanza na kiambishi baadaye. Katika istilahi za WireGuard mwenza anashikilia jozi ya funguo na ingizo la AllowedIPs la kitovu linafunga ufunguo huo na kiambishi cha tovuti. Katika istilahi za IKEv2 cheti au ufunguo ulioshirikiwa mapema hutambua tovuti, na vichaguzi vyake vya trafiki vinasema inachoweza kubeba. Kubadilisha nusu moja tu huvunja mpangilio, ndiyo sababu mabadiliko ya anwani hayapaswi kuchukuliwa kama mabadiliko ya utambulisho.

Weka umiliki wa ufunguo au cheti kwa tovuti badala ya kwa opereta wa kitovu, ili mabadiliko ya mtoa huduma yasibadilishe utambulisho.

Kiambishi ni sehemu ambayo watu husahau kuipanga. Kitovu lazima kiunganishe subnet ya sensor na mwenza sahihi, na mteja wa opereta anahitaji njia kuelekea humo; njia iliyopo kwa mteja pekee hutuma trafiki kwenye handaki linaloitupa kimya kimya. Andika kiambishi kwenye rekodi ya tovuti kando ya alama ya kidole ya ufunguo, ili lango lililobadilishwa lisiweze kuonekana na mfuniko tofauti bila mtu yeyote kugundua.

Anwani ya sensor ni ya programu

Anwani ya faragha kutoka mpango wa tovuti inatosha, na inachohitaji ni uthabiti badala ya ufikivu wa umma: uhifadhi wa DHCP, ugawaji thabiti, au jina katika eneo la tovuti yenyewe. Ikiwa kifaa hakiwezi kupewa namba upya, tafsiri kwenye lango la tovuti ni jibu halali mradi tafsiri imeandikwa na trafiki ya kurudi inaifuata.

Tabia nyingine inayofaa kuwekwa: usibandike kamwe anwani ya umma ya kitovu kwenye uwanja wa hatua inayofuata kwenye mwenyeji wa sensor. VPN inaweka njia yake yenyewe, na ujirani wa kawaida wa Ethernet na ncha ya umma ni hadithi ya kubuni inayozalisha mpangilio unaoonekana wa kusadikisha.

Majibu ni nusu ambayo hurukwa. Kifaa kinapaswa kutuma jibu lake kurudi kuelekea handaki, ama kwa njia kuelekea mteja wa opereta au kwa lango lile lile lililotafsiri ombi. Sensor iliyo na lango la chaguo-msingi lisilo sahihi inakubali ombi na kujibu kwenye utupu, na madokezo ya upelekaji yanaeleza kwa nini kuwasili na uelekezaji wa jibu ni mahitaji mawili na si moja.

Amua, kisha andika mpaka

Andika mpaka wa ufikiaji kabla ya mtu yeyote kuunganisha. Weka lango kwa sehemu ya IoT na kwa huduma mahususi ambazo opereta anahitaji, kwa sababu njia inayofanya kazi huwa na tabia ya kuwa ufikiaji wa jumla kwa bahati mbaya. Weka ufuatiliaji wa kusoma tu na mamlaka ya mpangilio kama majukumu tofauti yenye utambulisho tofauti, na taja mtu anayeondoa ufikiaji mkataba unapoisha.

Idhini ni ya mmiliki wa mtandao, na kuwa katika DMZ si sera ya ufikiaji.

Jaribio la baada ya kupelekwa ni la kuchosha na la kuamua: ombi moja ndani ya kiambishi kilichoruhusiwa linalofaulu, kihesabu kinachoongezeka kwenye lango, na jaribio moja la kukusudia nje ya kiambishi linaloshindwa.