Филиален VPN през 4G: запазете идентичността, когато IP се мести

Започнете от самия филиал, на страницата за WAN статус на 4G рутера. Ако адресът, който виждате, е в частния диапазон на оператора, а не в публичен, никое пренасочване на порт на това устройство никога няма да позволи на хъба да се свърже входящо и тунелът трябва да бъде изграден навън от филиала. Това единствено наблюдение определя дизайна. Останалото е да се уверите, че хъбът разпознава филиала по нещо по-добро от адрес, който се сменя на всеки няколко часа.

Откъде трябва да започва тунелът

Проверете адреса срещу споделеното адресно пространство, което операторите използват за собствения си NAT, 100.64.0.0/10, и срещу обичайните частни диапазони. Виждането на един от тях на мобилна връзка обикновено означава, че NAT на операторско ниво стои между филиала и интернет и входящите връзки не са налични на никаква цена, която филиалът може да плати. Когато WAN адресът е публичен, но се променя, имате друг, по-лесен проблем.

Динамичният DNS помага само във втория случай. Той дава на променящия се публичен адрес стабилно име за набиране и не може да създаде преобразуване, което операторът никога не е предоставил. Все пак си струва да се настрои за публичния случай, защото премахва единствената ръчна стъпка при преномериране. Това, в което не бива да се превръща, е отговорът за филиал, който операторът никога не е направил достъпен.

Разделете адреса, който набирате, от идентичността, която съпоставяте

Хъбът се нуждае от стабилно нещо, на което да бъде намерен — одобрен фиксиран адрес или поддържано име на хост. Филиалът се нуждае от стабилен начин да бъде разпознат, а в IKEv2 това е полезният товар с идентичност, който той представя при удостоверяване, независимо от адреса на източника, който пакетите му носят. Низ като @branch-a.vpn.example работи като тази идентичност дори докато мобилният адрес се сменя на всеки час.

Този низ се съпоставя със политика, а не се разрешава чрез DNS, така че не очаквайте търсене при установяване на тунела. Конфигурацията на хъба трябва изрично да назове очакваната идентичност, а при удостоверяване със сертификат идентичността трябва да съответства и на това, което сертификатът действително твърди.

Приемането на произволна идентичност, защото адресът на източника изглежда правдоподобен, е режимът на отказ, който трябва да се избягва. На страната на отговарящия това означава приемане на произволен партньор, с шаблон за идентичност и споделена тайна, което удостоверява низ, а не устройство.

Напишете страната на хъба като именуван партньор

В термините на strongSwan страната на отговарящия е връзка с right=%any, която приема партньор от произволен адрес на източника, плюс [email protected], което закрепва какъв трябва да се представя този партньор. Добавете rightsubnet=10.20.0.0/16 за LAN мрежите на филиала, auto=add, за да се зареди връзката без набиране, dpd_delay=30s за живот и mobike=yes, за да може смяната на адрес да се поеме, вместо да се третира като нов партньор.

Други производители изразяват същите обекти под различни имена, обикновено тип динамичен партньор или партньор за клон с поле за идентичност и поле за защитена подмрежа. Попълнете и двете; обща отметка за динамичен режим не е план за съвместимост.

Оставете филиала като инициатор

При филиала важи огледалното изображение: left=%defaultroute, за да се използва локалният мобилен адрес такъв, какъвто е в момента, [email protected] за представяне на идентичността, right=hub.example.com за стабилното име на хъба и auto=start, за да се вдигне тунелът без човек. Когато мобилната връзка се свърже отново, филиалът инициира наново и хъбът съпоставя същата идентичност със същия обект на политиката.

Разрешете IKE на UDP 500, преминаване през NAT на UDP 4500 и инкапсулирания ESP след това, от двете страни. След това ги оставете разрешени: правило, което се отваря само в работно време, ще изглежда като прекъсващ тунел.

Тествайте смяната на адреса, а не само първото ръкостискане

Вдигнете тунела, потвърдете го, след което принудете филиала на нов адрес, като включите и изключите мобилни данни или самолетен режим за минута. Наблюдавайте списъка със защитни асоциации на хъба и проверете, че адресът на партньора се е променил, а идентичността — не. Тунел, който работи само до първото преназначаване от оператора, изобщо не е тестван.

След това проверете защитените подмрежи отделно. Установена SA казва, че партньорите са се удостоверили; тя не казва, че хъбът има маршрут до LAN мрежата на филиала или че филиалът приема трафик от страната на хъба. Прочетете таблицата за маршрутизация и политиката на защитната стена отделно, след което изпратете ping от хост, а не от шлюза, защото шлюзът е най-малко представителното устройство във всяка мрежа.

Стабилната идентичност превръща филиала в обект на политика, който хъбът може да назове. Тя не прави адреса на операторския NAT достъпен и сама по себе си не дава на останалата част от организацията достъп до филиала.