VPN філіяла праз 4G: захавайце ідэнтычнасць, калі IP змяняецца

Пачніце з самога філіяла, на старонцы стану WAN 4G-роўтэра. Калі адрас, які вы бачыце, знаходзіцца ў прыватным дыяпазоне аператара, а не ў публічным, ні перанакіраванне порта на гэтай прыладзе ніколі не дазволіць хабу датэлефанавацца, і тунель давядзецца будаваць вонкі ад філіяла. Гэта адзінае назіранне вызначае дызайн. Астатняя праца — пераканацца, што хаб распазнае філіял па чымсьці лепшым, чым адрас, які змяняецца кожныя некалькі гадзін.

Дзе павінен пачынацца тунель

Праверце адрас на адпаведнасць агульнай адраснай прасторы, якую аператары выкарыстоўваюць для ўласнага NAT, 100.64.0.0/10, і звычайным прыватным дыяпазонам. Калі вы бачыце адзін з іх на мабільным канале, гэта звычайна азначае, што NAT аператарскага ўзроўню стаіць паміж філіялам і інтэрнэтам, і ўваходныя злучэнні недаступныя ні за якую цану, якую філіял можа заплаціць. Калі адрас WAN публічны, але змяняецца, у вас іншая, больш простая праблема.

Дынамічны DNS дапамагае толькі ў другім выпадку. Ён дае зменліваму публічнаму адрасу стабільнае імя для званка і не можа стварыць адлюстраванне, якога аператар ніколі не даваў. Тым не менш яго варта наладзіць для публічнага выпадку, бо ён прыбірае адзіны ручны крок пры перанумарацыі. Чаго ён не павінен стаць — адказам для філіяла, які аператар ніколі не зрабіў дасяжным.

Аддзяліце адрас, па якім вы званкіце, ад ідэнтычнасці, якую супастаўляеце

Хабу патрэбна стабільнае месца, дзе яго можна знайсці: зацверджаны фіксаваны адрас або імя хоста, якое падтрымліваецца. Філіялу патрэбен стабільны спосаб быць распазнаным, і ў IKEv2 гэта карысная нагрузка ідэнтычнасці, якую ён прад'яўляе падчас аўтэнтыфікацыі, незалежна ад адрасу крыніцы, які выпадкова нясуць яго пакеты. Радок накшталт @branch-a.vpn.example працуе як гэтая ідэнтычнасць, нават калі мабільны адрас змяняецца штогадзіны.

Гэты радок супастаўляецца з палітыкай, а не разглядаецца праз DNS, таму не чакайце пошуку пры ўсталяванні тунеля. Канфігурацыя хаба павінна яўна называць чаканую ідэнтычнасць, а пры аўтэнтыфікацыі сертыфікатамі ідэнтычнасць таксама павінна адпавядаць таму, што сертыфікат фактычна сцвярджае.

Прымаць любую ідэнтычнасць, таму што адрас крыніцы выглядае праўдападобна, — гэта той рэжым адмовы, якога трэба пазбягаць. На баку адказвальніка гэта азначае прымаць любога партнёра, з шаблонам ідэнтычнасці і агульным сакрэтам, што аўтэнтыфікуе радок, а не прыладу.

Напішыце бок хаба як іменаванага партнёра

У тэрмінах strongSwan бок адказвальніка — гэта злучэнне з right=%any, якое прымае партнёра з любога адрасу крыніцы, плюс [email protected], якое замацоўвае, кім гэты партнёр павінен сябе абвяшчаць. Дадайце rightsubnet=10.20.0.0/16 для LAN-аў філіяла, auto=add, каб злучэнне загружалася без званка, dpd_delay=30s для жывучасці і mobike=yes, каб змена адрасу ўсмоктвалася, а не трактавалася як новы партнёр.

Іншыя вытворцы выражаюць тыя ж аб'екты пад рознымі назвамі, звычайна тып дынамічнага партнёра або партнёра філіяла з полем ідэнтычнасці і полем абароненай падсеткі. Запоўніце абодва; агульная галачка дынамічнасці не з'яўляецца планам сумяшчальнасці.

Пакіньце філіял ініцыятарам

На філіяле дзейнічае люстраное адлюстраванне: left=%defaultroute, каб выкарыстоўваўся лакальны мабільны адрас такі, які ён ёсць, [email protected], каб прад'явіць ідэнтычнасць, right=hub.example.com для стабільнага імя хаба і auto=start, каб тунель уздымаўся без чалавека. Калі мабільны канал перападключаецца, філіял паўторна ініцыюе, а хаб супастаўляе тую ж ідэнтычнасць з тым жа аб'ектам палітыкі.

Дазвольце IKE на UDP 500, праходжанне NAT на UDP 4500 і інкапсуляваны ESP, які ідзе за ім, з абодвух бакоў. Затым пакіньце іх дазволенымі: правіла, якое адкрываецца толькі ў працоўныя гадзіны, будзе выглядаць як перарывісты тунель.

Праверце змену адрасу, а не толькі першае рукапоцісканне

Узніміце тунель, пацвердзіце яго, затым прымусьце філіял перайсці на новы адрас, уключыўшы і выключыўшы мабільныя даныя або авіярэжым на хвіліну. Сачыце за спісам асацыяцый бяспекі на хабе і праверце, што адрас партнёра змяніўся, а ідэнтычнасць — не. Тунель, які працуе толькі да першага пераразмеркавання аператарам, зусім не правераны.

Затым праверце абароненыя падсеткі асобна. Усталяваная SA кажа, што партнёры аўтэнтыфікаваліся; яна не кажа, што хаб мае маршрут да LAN філіяла або што філіял прымае трафік з боку хаба. Прачытайце табліцу маршрутызацыі і палітыку брандмаўэра асобна, затым адпраўце ping з хоста, а не з шлюза, бо шлюз — найменш рэпрэзентатыўная прылада ў любой сетцы.

Стабільная ідэнтычнасць ператварае філіял у аб'ект палітыкі, які хаб можа назваць. Яна не робіць адрас NAT аператара дасяжным і сама па сабе не дае астатняй арганізацыі доступу да філіяла.