VPN de sucursal per 4G: mantén la identitat estable quan la IP es mou

Comença per la mateixa sucursal, a la pàgina d'estat WAN del router 4G. Si l'adreça que veus cau dins del rang privat de l'operador en lloc d'un de públic, cap redirecció de ports en aquest equip no permetrà mai que el hub hi marqui, i el túnel s'ha de construir cap enfora des de la sucursal. Aquesta única observació decideix el disseny. La resta de la feina és assegurar que el hub reconegui la sucursal per alguna cosa millor que una adreça que canvia cada poques hores.

On ha de començar el túnel

Comprova l'adreça contra l'espai d'adreces compartit que els operadors fan servir per al seu propi NAT, 100.64.0.0/10, i contra els rangs privats habituals. Veure'n un en un enllaç mòbil normalment vol dir que hi ha NAT d'operador entre la sucursal i internet, i les connexions entrants no estan disponibles a cap preu que la sucursal pugui pagar. Quan l'adreça WAN és pública però canvia, tens un problema diferent i més fàcil.

El DNS dinàmic només ajuda en el segon cas. Dona a una adreça pública canviant un nom estable on marcar, i no pot crear una assignació que l'operador no hagi proporcionat mai. Val la pena configurar-lo igualment per al cas públic, perquè elimina l'únic pas manual d'una renumeració. El que no ha de convertir-se és en la resposta per a una sucursal que l'operador no ha fet mai accessible.

Separa l'adreça on marques de la identitat que coincideixes

El hub necessita una cosa estable on ser trobat, una adreça fixa aprovada o un nom d'amfitrió mantingut. La sucursal necessita una manera estable de ser reconeguda, i en IKEv2 això és la càrrega d'identitat que presenta durant l'autenticació, independent de l'adreça d'origen que portin els seus paquets. Una cadena com @branch-a.vpn.example funciona com aquesta identitat fins i tot mentre l'adreça mòbil canvia cada hora.

Aquesta cadena es compara amb la política, no es resol per DNS, així que no esperis cap consulta en establir el túnel. La configuració del hub ha de nomenar explícitament la identitat esperada, i amb autenticació per certificat la identitat també ha de coincidir amb el que el certificat afirma realment.

Acceptar qualsevol identitat perquè l'adreça d'origen sembla plausible és el mode de fallada que cal evitar. En un respondedor això vol dir acceptar qualsevol igual, amb un comodí d'identitat i un secret compartit, cosa que autentica una cadena i no un dispositiu.

Escriu el costat del hub com un igual nomenat

En termes de strongSwan, el costat del respondedor és una connexió amb right=%any, que accepta un igual de qualsevol adreça d'origen, més [email protected], que fixa què ha de declarar ser aquest igual. Afegeix rightsubnet=10.20.0.0/16 per a les LAN de la sucursal, auto=add perquè la connexió es carregui sense marcar, dpd_delay=30s per a la vivacitat i mobike=yes perquè un canvi d'adreça s'absorbeixi en lloc de tractar-se com un igual nou.

Altres fabricants expressen els mateixos objectes amb noms diferents, normalment un tipus d'igual dinàmic o de sucursal amb un camp d'identitat i un camp de subxarxa protegida. Omple'ls tots dos; una casella genèrica de dinàmic no és un pla de compatibilitat.

Mantén la sucursal com a iniciador

A la sucursal s'aplica la imatge mirall: left=%defaultroute perquè s'usi l'adreça mòbil local tal com és ara, [email protected] per presentar la identitat, right=hub.example.com per al nom estable del hub, i auto=start perquè el túnel pugi sense cap persona. Quan l'enllaç mòbil es reconnecta, la sucursal torna a iniciar i el hub compara la mateixa identitat amb el mateix objecte de política.

Permet IKE a UDP 500, el pas per NAT a UDP 4500 i l'ESP encapsulat que segueix, als dos costats. Després deixa'ls permesos: una regla que només s'obre en hores de feina semblarà un túnel intermitent.

Prova el canvi d'adreça, no només la primera encaixada de mans

Aixeca el túnel, confirma'l, i després força la sucursal a una adreça nova activant i desactivant les dades mòbils o el mode avió durant un minut. Observa la llista d'associacions de seguretat al hub i comprova que l'adreça de l'igual ha canviat mentre la identitat no. Un túnel que només funciona fins a la primera reassignació de l'operador no s'ha provat gens.

Després comprova les subxarxes protegides per separat. Una SA establerta diu que els iguals s'han autenticat; no diu que el hub tingui una ruta cap a la LAN de la sucursal ni que la sucursal accepti trànsit del costat del hub. Llegeix la taula d'encaminament i la política del tallafoc per separat, i després envia un ping des d'un amfitrió i no des de la porta d'enllaç, ja que la porta d'enllaç és el dispositiu menys representatiu de qualsevol xarxa.

Una identitat estable converteix la sucursal en un objecte de política que el hub pot nomenar. No fa accessible una adreça de NAT d'operador, ni dona per si sola a la resta de l'organització accés a la sucursal.