Tak-VPN oor 4G: hou identiteit stabiel wanneer die IP skuif

Begin by die tak self, op die 4G-router se WAN-statusbladsy. As die adres wat jy sien in die draer se private reeks eerder as 'n openbare een lê, sal geen poortaanstuur op daardie boks ooit die hub laat inbel nie, en moet die tonnel van die tak af uitwaarts gebou word. Daardie enkele waarneming bepaal die ontwerp. Die res van die werk is om seker te maak die hub herken die tak aan iets beters as 'n adres wat elke paar uur verander.

Waar die tonnel moet begin

Kontroleer die adres teen die gedeelde adresruimte wat draers vir hul eie NAT gebruik, 100.64.0.0/10, en teen die gewone private reekse. As jy een van dié op 'n mobiele opstroom sien, beteken dit gewoonlik dat draergraad-NAT tussen die tak en die internet sit, en inkomende verbindings is teen geen prys beskikbaar wat die tak kan betaal nie. Wanneer die WAN-adres openbaar maar veranderlik is, het jy 'n ander, makliker probleem.

Dinamiese DNS help net in die tweede geval. Dit gee 'n veranderende openbare adres 'n stabiele naam om na te skakel, en dit kan nie 'n kartering skep wat die draer nooit verskaf het nie. Dit is steeds die moeite werd om vir die openbare geval op te stel, want dit verwyder die een handmatige stap in 'n hernommering. Wat dit nie moet word nie, is die antwoord vir 'n tak wat die draer nooit bereikbaar gemaak het nie.

Skei die adres wat jy skakel van die identiteit wat jy pas

Die hub het 'n stabiele ding nodig waarby dit gevind kan word, 'n goedgekeurde vaste adres of 'n onderhoude hostnaam. Die tak het 'n stabiele manier nodig om herken te word, en in IKEv2 is dit die identiteitsvrag wat dit tydens verifikasie aanbied, onafhanklik van die bronadres wat sy pakkette toevallig dra. 'n String soos @branch-a.vpn.example werk as daardie identiteit selfs terwyl die mobiele adres elke uur verander.

Daardie string word teen beleid gepas, nie deur DNS opgelos nie, so moenie verwag dat 'n opsoeking by tonnelopstelling plaasvind nie. Die hub se konfigurasie moet die verwagte identiteit eksplisiet noem, en met sertifikaatverifikasie moet die identiteit ook ooreenstem met wat die sertifikaat werklik beweer.

Om enige identiteit te aanvaar omdat die bronadres geloofwaardig lyk, is die foutmodus om te vermy. Op 'n responder beteken dit om enige eweknie te aanvaar, met 'n identiteitswildcard en 'n gedeelde geheim, wat 'n string eerder as 'n toestel verifieer.

Skryf die hub-kant as 'n benoemde eweknie

In strongSwan-terme is die responder-kant 'n verbinding met right=%any, wat 'n eweknie van enige bronadres aanvaar, plus [email protected], wat vaspen wat daardie eweknie moet voorgee om te wees. Voeg rightsubnet=10.20.0.0/16 by vir die tak-LAN's, auto=add sodat die verbinding gelaai word sonder om geskakel te word, dpd_delay=30s vir lewendigheid, en mobike=yes sodat 'n adresverandering geabsorbeer kan word eerder as om as 'n nuwe eweknie behandel te word.

Ander verskaffers druk dieselfde objekte onder ander name uit, gewoonlik 'n dinamiese of takkantoor-eweknietipe met 'n identiteitsveld en 'n beskermde subnetveld. Vul albei in; 'n generiese dinamiese merkie is nie 'n versoenbaarheidsplan nie.

Hou die tak as die inisieerder

Op die tak geld die spieëlbeeld: left=%defaultroute sodat die plaaslike mobiele adres gebruik word soos dit tans is, [email protected] om die identiteit aan te bied, right=hub.example.com vir die stabiele hub-naam, en auto=start sodat die tonnel sonder 'n mens opkom. Wanneer die mobiele skakel weer verbind, herinisieer die tak en die hub pas dieselfde identiteit teen dieselfde beleidsobjek.

Laat IKE op UDP 500, NAT-deurgang op UDP 4500, en die ingekapselde ESP wat volg, aan beide kante toe. Laat dit dan toegelaat: 'n reël wat net gedurende kantoorure oopgaan, sal soos 'n onreëlmatige tonnel lyk.

Toets die adresverandering, nie net die eerste handdruk nie

Bring die tonnel op, bevestig dit, en dwing die tak dan na 'n nuwe adres deur mobiele data of vliegtuigmodus vir 'n minuut om te skakel. Kyk na die sekuriteitsassosiasie-lys op die hub en kontroleer dat die eweknie-adres verander het terwyl die identiteit nie het nie. 'n Tonnel wat net werk tot die eerste hertoewysing deur die draer, is glad nie getoets nie.

Kontroleer dan die beskermde subnette afsonderlik. 'n Gevestigde SA sê die eweknieë het geverifieer; dit sê nie die hub het 'n roete na die tak-LAN nie, of dat die tak verkeer van die hub se kant aanvaar nie. Lees die roetetabel en die firewall-beleid afsonderlik, en stuur dan 'n ping vanaf 'n gasheer eerder as vanaf die poort, want die poort is die minste verteenwoordigende toestel op enige netwerk.

'n Stabiele identiteit maak die tak 'n beleidsobjek wat die hub kan benoem. Dit maak nie 'n draer-NAT-adres bereikbaar nie, en dit gee nie die res van die organisasie toegang tot die tak op sigself nie.