4G üzərində filial VPN-i: IP dəyişəndə kimliyi sabit saxla

Filialın özündən başla, 4G router-in WAN status səhifəsində. Gördüyün ünvan operatorun öz NAT-ı üçün istifadə etdiyi özəl aralıqdadırsa, açıq aralıqda deyilsə, o qutu üzərində heç bir port yönləndirməsi hub-un daxilə zəng etməsinə imkan verməyəcək və tunel filialdan bayıra doğru qurulmalı olacaq. Bu tək müşahidə dizaynı müəyyən edir. İşin qalanı hub-un filialı bir neçə saatdan bir dəyişən ünvandan daha yaxşı bir şeylə tanımasını təmin etməkdir.

Tunelin haradan başlamalı olduğu

Ünvanı operatorların öz NAT-ları üçün istifadə etdiyi ortaq ünvan məkanına, 100.64.0.0/10, və adi özəl aralıqlara qarşı yoxla. Mobil yuxarı xəttdə bunlardan birini görmək adətən operator səviyyəli NAT-ın filialla internet arasında dayandığını və daxil olan bağlantıların filialın ödəyə biləcəyi heç bir qiymətə mövcud olmadığını bildirir. WAN ünvanı açıq olduqda lakin dəyişdikdə isə başqa, daha asan bir problemin olur.

Dinamik DNS yalnız ikinci halda kömək edir. Dəyişən açıq ünvana yığılmaq üçün sabit ad verir və operatorun heç vaxt vermədiyi xəritələnməni yarada bilməz. Açıq hal üçün yenə də konfiqurasiya etməyə dəyər, çünki yenidən nömrələmədə yeganə əl ilə addımı aradan qaldırır. Olmamalı olduğu şey isə operatorun əvvəlcədən əlçatan etmədiyi filial üçün cavab olmaqdır.

Yığıldığın ünvanı uyğunlaşdırdığın kimlikdən ayır

Hub-un tapılacağı sabit bir şeyə ehtiyacı var: təsdiqlənmiş sabit ünvan və ya saxlanılan host adı. Filialın tanınmaq üçün sabit üsula ehtiyacı var və IKEv2-də bu, autentifikasiya zamanı təqdim etdiyi kimlik yüküdür, paketlərinin təsadüfən daşıdığı mənbə ünvanından asılı olmayaraq. @branch-a.vpn.example kimi bir sətir mobil ünvan saatda bir dəyişsə belə həmin kimlik kimi işləyir.

Bu sətir siyasətlə uyğunlaşdırılır, DNS ilə həll olunmur, ona görə tunel qurularkən axtarış gözləmə. Hub-un konfiqurasiyası gözlənilən kimliyi açıq şəkildə adlandırmalıdır və sertifikat autentifikasiyası ilə kimlik həm də sertifikatın həqiqətən təsdiqlədiyi şeylə üst-üstə düşməlidir.

Mənbə ünvanı inandırıcı göründüyü üçün istənilən kimliyi qəbul etmək qaçınılmalı olan uğursuzluq modelidir. Cavab verən tərəfdə bu, kimlik üzərində vəhşi kart və ortaq sirrlə istənilən həmyaşıdı qəbul etmək deməkdir ki, bu da cihazı deyil, sətri autentifikasiya edir.

Hub tərəfini adlandırılmış həmyaşıd kimi yaz

strongSwan dilində cavab verən tərəf right=%any olan bir bağlantıdır ki, istənilən mənbə ünvanından həmyaşıd qəbul edir, üstəgəl [email protected] ki, həmin həmyaşıdın kimi təqdim etməli olduğunu bərkidir. Filial LAN-ları üçün rightsubnet=10.20.0.0/16, bağlantının yığılmadan yüklənməsi üçün auto=add, canlılıq üçün dpd_delay=30s və ünvan dəyişikliyinin yeni həmyaşıd kimi deyil, udulması üçün mobike=yes əlavə et.

Digər istehsalçılar eyni obyektləri başqa adlarla ifadə edir, adətən kimlik sahəsi və qorunan subnet sahəsi olan dinamik və ya filial ofisi həmyaşıd növü ilə. İkisini də doldur; ümumi dinamik işarə qutusu uyğunluq planı deyil.

Filialı başladıcı olaraq saxla

Filialda güzgü obrazı tətbiq olunur: yerli mobil ünvanın hazırkı kimi istifadəsi üçün left=%defaultroute, kimliyi təqdim etmək üçün [email protected], sabit hub adı üçün right=hub.example.com və tunelin insansız qalxması üçün auto=start. Mobil xətt yenidən qoşulduqda filial yenidən başladır və hub eyni kimliyi eyni siyasət obyektinə qarşı uyğunlaşdırır.

Hər iki tərəfdə UDP 500 üzərində IKE, UDP 4500 üzərində NAT keçidi və ardınca gələn inkapsulyasiya olunmuş ESP-yə icazə ver. Sonra onları icazəli burax: yalnız iş saatlarında açılan qayda fasiləli tunel kimi görünəcək.

Ünvan dəyişikliyini sına, yalnız ilk əl sıxışmasını deyil

Tuneli qaldır, təsdiqlə, sonra mobil məlumatı və ya təyyarə rejimini bir dəqiqə açıb-bağlayaraq filialı yeni ünvana məcbur et. Hub-dakı təhlükəsizlik assosiasiyası siyahısına bax və həmyaşıd ünvanının dəyişdiyini, kimliyin isə dəyişmədiyini yoxla. Yalnız operatorun ilk yenidən təyinatına qədər işləyən tunel ümumiyyətlə sınanmamışdır.

Sonra qorunan subnetləri ayrıca yoxla. Qurulmuş SA həmyaşıdların autentifikasiya olduğunu deyir; hub-un filial LAN-ına marşrutu olduğunu və ya filialın hub tərəfindən gələn trafiki qəbul etdiyini demir. Marşrut cədvəlini və firewall siyasətini ayrıca oxu, sonra ping-i şlüz yerinə hostdan göndər, çünki şlüz istənilən şəbəkədə ən az təmsilçi cihazdır.

Sabit kimlik filialı hub-un adlandıra biləcəyi siyasət obyektinə çevirir. Operator NAT ünvanını əlçatan etmir və təşkilatın qalanına filiala girişi özlüyündə vermir.