VPN பின்னால் IoT உணரிகள் வைப்பதற்கு முன் மூன்று முகவரி முடிவுகள்
மூன்று முகவரிகள் மூன்று பணிகளைச் செய்கின்றன: பொது மையம், சான்றளிக்கப்பட்ட தளத் துணை மற்றும் உணரியின் தனிப்பட்ட முகவரி. எதையும் பொதுவாக ஒதுக்கும் முன் ஒவ்வொன்றையும் திட்டமிடுங்கள்.
ஒவ்வொரு IoT-VPN திட்டத்திலும் மூன்று முகவரிகள் சிக்கலாகின்றன, அவை ஒரே வகையான முடிவு அல்ல. ஒன்று தொலை இயக்குபவர் சுரங்கப்பாதையின் முடிவுப் புள்ளியை எவ்வாறு கண்டுபிடிக்கிறார் என்பது, மற்றொன்று தளம் தானே தளம் என்பதை எவ்வாறு நிரூபிக்கிறது என்பது, மூன்றாவது உணரியின் சேவை உண்மையில் எங்கே கேட்கிறது என்பது. அதே வரிசையில் பதிலளியுங்கள், வடிவமைப்பு பெரும்பாலும் தானாகவே வரும். ஒரே கேள்வியாக பதிலளித்தால், ஒருபோதும் தேவைப்படாத சாதனங்களுக்கு பொது முகவரிகளை ஒதுக்கும் நிலைக்கு வருவீர்கள். வெளிச்செல்லும் தளச் சுரங்கப்பாதையின் பின்னால் உள்ள உணரி, உணரியை நோக்கிச் செல்லும் எந்த உள்வரும் விதியும் இல்லாமல் அதிகாரம் பெற்ற இயக்குபவருக்கு அணுகக்கூடியது.
யார் தொடங்குகிறார் என்பதில் தொடங்குங்கள்
யார் அழைக்கிறார் என்பது பிற்பகுதியில் கிட்டத்தட்ட அனைத்தையும் தீர்மானிக்கிறது. தளம் மையத்தை அழைக்கும்போது, தளத்திற்கு உள்வரும் அணுகல் தேவை இல்லை, மையத்திற்கு தளம் தீர்க்கக்கூடிய பெயர் அல்லது முகவரி தேவை. அந்த ஒரு தேர்வே நிலையான பொது முகவரி விவாதத்தின் பெரும்பகுதியைத் தொடங்கும் முன்பே நீக்குகிறது.
பின்னர் மூன்று பங்குகளும் தெளிவாகப் பிரிகின்றன, கீழேயுள்ள அட்டவணை முடிவின் மிகச் சுருக்கமான வடிவம்.
| Decision | What you are actually choosing | Usual default |
|---|---|---|
| Hub endpoint | How the tunnel service is published | A DNS name, no inbound rule toward the site |
| Site peer | How the site proves its identity and which prefixes it carries | One key pair or certificate per site, prefix in the tunnel config |
| Sensor service | How the application is addressed inside the site | A stable private address from the site plan |
ஒவ்வொரு வரிசைக்கும் வேறு உரிமையாளர் உள்ளார், அதுவே உண்மையான விஷயம். மையம் VPN சேவையை நடத்துபவரின், தளத் துணை வலையமைப்புக் குழுவின், உணரியின் முகவரி சாதனத்தை உடையவரின்.
மையத்தின் முகவரி தொடக்கம், இலக்கு அல்ல
பராமரிக்கப்படும் பொது முகவரிக்குத் தீர்க்கப்படும் பெயர் மையத்திற்குப் போதும். DNS பதிவு முடிவுப் புள்ளி நகரும் போது அதைப் பின்தொடரலாம், ஒவ்வொரு தள அமைப்பையும் கைமுறையாகத் திருத்தாமல். DNS செய்யாதது அணுகலை உருவாக்குவதோ பழைய பதிலை தற்காலிகச் சேமிப்பில் வைத்திருக்கும் வாடிக்கையாளரைப் புதுப்பிப்பதோ ஆகும், அவை வெவ்வேறு சிக்கல்கள் வெவ்வேறு தீர்வுகளுடன்.
மையம் இல்லாமல் தள-க்கு-தள சுரங்கப்பாதைகளை இயக்கினால், அதே தர்க்கம் வேறு வடிவில் பொருந்தும்: ஒரு பக்கம் அணுகக்கூடிய முடிவுப் புள்ளி தேவை, அல்லது இரு பக்கமும் மூன்றாம் தரப்பை அழைக்கின்றன. அந்த முகவரியையும் அதன் புதுப்பித்தல்களையும் யாராவது இன்னும் வைத்திருக்க வேண்டும்.
தளத் துணை என்பது முன்னொட்டு இணைக்கப்பட்ட அடையாளம்
துணை முதலில் அடையாளம், பின்னர் முன்னொட்டு. WireGuard சொற்களில் துணை ஒரு திறவிச் சோடியை வைத்திருக்கிறது, மையத்தின் AllowedIPs பதிவு அந்தத் திறவியை தளத்தின் முன்னொட்டுடன் இணைக்கிறது. IKEv2 சொற்களில் சான்றிதழ் அல்லது முன்கூட்டியே பங்கிடப்பட்ட திறவி தளத்தை அடையாளம் காட்டுகிறது, அதன் போக்குவரத்துத் தேர்விகள் என்ன எடுத்துச் செல்லலாம் எனக் கூறுகின்றன. ஒரு பாதியை மட்டும் மாற்றினால் ஏற்பாடு உடைகிறது, எனவே முகவரி மாற்றம் ஒருபோதும் அடையாள மாற்றமாகக் கருதப்படக்கூடாது.
திறவி அல்லது சான்றிதழின் உரிமையை மைய இயக்குபவரிடம் அல்ல, தளத்திடம் வைத்திருங்கள், வழங்குநர் மாற்றம் அடையாள மாற்றமாகாதபடி.
முன்னொட்டு மக்கள் திட்டமிட மறக்கும் பகுதி. மையம் உணரியின் துணைவலையை சரியான துணையுடன் இணைக்க வேண்டும், இயக்குபவரின் வாடிக்கையாளருக்கு அங்கு செல்லும் வழி தேவை; வாடிக்கையாளரில் மட்டும் இருக்கும் வழி போக்குவரத்தை அமைதியாக வீசும் சுரங்கப்பாதைக்கு அனுப்புகிறது. திறவியின் விரல்ரேகைக்கு அருகில் தளப் பதிவில் முன்னொட்டை எழுதுங்கள், மாற்றப்பட்ட நுழைவாயில் கவனிக்கப்படாமல் வேறு பரப்பளவுடன் வராதபடி.
உணரியின் முகவரி பயன்பாட்டுக்கானது
தளத்தின் திட்டத்திலிருந்து தனிப்பட்ட முகவரி போதும், அதற்குத் தேவை பொது அணுகல் அல்ல, நிலைத்தன்மை: DHCP ஒதுக்கீடு, நிலையான ஒதுக்கீடு, அல்லது தளத்தின் சொந்த மண்டலத்தில் ஒரு பெயர். சாதனத்தை மறுஎண்ணிட முடியாவிட்டால், தள நுழைவாயிலில் மொழிபெயர்ப்பு செல்லுபடியாகும் பதில், மொழிபெயர்ப்பு ஆவணப்படுத்தப்பட்டு திரும்பும் போக்குவரத்து அதைப் பின்பற்றும் வரை.
கடைப்பிடிக்கத் தகுந்த மற்றொரு பழக்கம்: உணரியின் புரவலனில் அடுத்த-தாவல் புலத்தில் பொது மைய முகவரியை ஒருபோதும் ஒட்ட வேண்டாம். VPN தனது சொந்த பாதையை நிறுவுகிறது, பொது முடிவுப் புள்ளியுடனான சாதாரண ஈதர்நெட் அண்டைமை நம்பத்தகுந்த தோற்றமுடைய அமைப்பை உருவாக்கும் ஒரு கற்பனை.
பதில்களே தவிர்க்கப்படும் பாதி. சாதனம் தனது பதிலைச் சுரங்கப்பாதை நோக்கித் திருப்பி அனுப்ப வேண்டும், ஒன்று இயக்குபவரின் வாடிக்கையாளருக்கான வழி வழியாக அல்லது கோரிக்கையை மொழிபெயர்த்த அதே நுழைவாயில் வழியாக. தவறான இயல்புநிலை நுழைவாயில் கொண்ட உணரி கோரிக்கையை ஏற்று வெறுமையில் பதிலளிக்கிறது, முன்னனுப்பல் குறிப்புகள் வருகையும் பதில் வழிமாற்றமும் ஒன்றல்ல இரண்டு தேவைகள் ஏன் என விளக்குகின்றன.
முடிவு செய்யுங்கள், பின்னர் எல்லையை எழுதுங்கள்
யாரும் இணைவதற்கு முன் அணுகல் எல்லையை எழுதுங்கள். நுழைவாயிலை IoT பிரிவுக்கும் இயக்குபவருக்குத் தேவையான குறிப்பிட்ட சேவைகளுக்கும் மட்டுப்படுத்துங்கள், ஏனெனில் வேலை செய்யும் வழி தற்செயலாகப் பொது அணுகலாக மாறும். படிக்க-மட்டும் கண்காணிப்பையும் அமைப்பு அதிகாரத்தையும் வெவ்வேறு அடையாளங்கள் கொண்ட தனிப் பங்குகளாக வைத்திருங்கள், ஒப்பந்தம் முடிந்ததும் அணுகலை நீக்கும் நபரின் பெயரைக் குறிப்பிடுங்கள்.
அனுமதி வலையமைப்பு உரிமையாளருக்கானது, DMZ இல் இருப்பது அணுகல் கொள்கை அல்ல.
பயன்பாட்டுக்குப் பிந்தைய சோதனை சலிப்பானதும் தீர்க்கமானதும்: அனுமதிக்கப்பட்ட முன்னொட்டுக்குள் ஒரு கோரிக்கை வெற்றி பெறுகிறது, நுழைவாயிலில் ஒரு கணக்கி அதிகரிக்கிறது, முன்னொட்டுக்கு வெளியே ஒரு வேண்டுமென்ற முயற்சி தோல்வியடைகிறது.