VPN pobočky přes 4G: udržte identitu stabilní, když se IP mění

Začněte u samotné pobočky, na stránce stavu WAN routeru 4G. Pokud adresa, kterou vidíte, leží v privátním rozsahu operátora místo ve veřejném, žádné přesměrování portu na tom zařízení nikdy nedovolí hubu zavolat dovnitř a tunel se musí stavět směrem ven z pobočky. Toto jediné pozorování rozhoduje o návrhu. Zbytek práce je zajistit, aby hub rozpoznal pobočku podle něčeho lepšího než adresa, která se mění každých pár hodin.

Kde musí tunel začínat

Zkontrolujte adresu proti sdílenému adresnímu prostoru, který operátoři používají pro svůj vlastní NAT, 100.64.0.0/10, a proti běžným privátním rozsahům. Když na mobilním uplinku vidíte jednu z nich, obvykle to znamená, že mezi pobočkou a internetem stojí NAT na úrovni operátora a příchozí spojení nejsou dostupná za žádnou cenu, kterou pobočka může zaplatit. Když je adresa WAN veřejná, ale mění se, máte jiný, snazší problém.

Dynamický DNS pomáhá jen v druhém případě. Dává měnící se veřejné adrese stabilní jméno, na které lze volat, a nemůže vytvořit mapování, které operátor nikdy neposkytl. I tak se vyplatí ho pro veřejný případ nastavit, protože odstraňuje jediný ruční krok při přečíslování. Čím se ale nesmí stát, je odpověď pro pobočku, kterou operátor nikdy neučinil dostupnou.

Oddělte adresu, na kterou voláte, od identity, kterou porovnáváte

Hub potřebuje stabilní věc, na které ho lze najít: schválenou pevnou adresu nebo udržované jméno hostitele. Pobočka potřebuje stabilní způsob, jak být rozpoznána, a v IKEv2 je to identitní užitečné zatížení, které předkládá při autentizaci, nezávisle na zdrojové adrese, kterou její pakety zrovna nesou. Řetězec jako @branch-a.vpn.example funguje jako tato identita, i když se mobilní adresa mění každou hodinu.

Tento řetězec se porovnává s politikou, neřeší se přes DNS, takže při sestavování tunelu nečekejte žádné vyhledávání. Konfigurace hubu musí očekávanou identitu výslovně pojmenovat a při autentizaci certifikátem se identita musí také shodovat s tím, co certifikát skutečně tvrdí.

Přijímat libovolnou identitu, protože zdrojová adresa vypadá věrohodně, je režim selhání, kterému je třeba se vyhnout. Na straně respondéru to znamená přijímat libovolný protějšek se zástupným znakem identity a sdíleným tajemstvím, což autentizuje řetězec, nikoli zařízení.

Napište stranu hubu jako pojmenovaný protějšek

V terminologii strongSwan je strana respondéru spojení s right=%any, které přijímá protějšek z libovolné zdrojové adresy, plus [email protected], které přišpendlí, čím se tento protějšek musí prohlašovat. Přidejte rightsubnet=10.20.0.0/16 pro LAN pobočky, auto=add, aby se spojení načetlo bez volání, dpd_delay=30s pro životnost a mobike=yes, aby se změna adresy vstřebala, místo aby se považovala za nový protějšek.

Jiní výrobci vyjadřují stejné objekty pod jinými názvy, obvykle typ dynamického protějšku nebo protějšku pobočky s polem identity a polem chráněné podsítě. Vyplňte obojí; obecné zaškrtávací políčko dynamičnosti není plán kompatibility.

Nechte pobočku jako iniciátora

Na pobočce platí zrcadlový obraz: left=%defaultroute, aby se použila místní mobilní adresa tak, jak právě je, [email protected] k předložení identity, right=hub.example.com pro stabilní jméno hubu a auto=start, aby tunel vstal bez člověka. Když se mobilní linka znovu připojí, pobočka znovu iniciuje a hub porovná stejnou identitu se stejným objektem politiky.

Povolte IKE na UDP 500, průchod NAT na UDP 4500 a zapouzdřené ESP, které následuje, na obou stranách. Potom je nechte povolené: pravidlo, které se otevírá jen v pracovní době, bude vypadat jako přerušovaný tunel.

Otestujte změnu adresy, ne jen první handshake

Zvedněte tunel, potvrďte ho, potom donuťte pobočku na novou adresu přepnutím mobilních dat nebo režimu letadla na minutu. Sledujte seznam bezpečnostních asociací na hubu a zkontrolujte, že adresa protějšku se změnila, zatímco identita ne. Tunel, který funguje jen do prvního přeřazení operátorem, není vůbec otestovaný.

Potom zkontrolujte chráněné podsítě zvlášť. Navázaná SA říká, že se protějšky autentizovaly; neříká, že hub má trasu do LAN pobočky nebo že pobočka přijímá provoz ze strany hubu. Přečtěte si směrovací tabulku a politiku firewallu zvlášť, potom pošlete ping z hostitele, ne z brány, protože brána je nejméně reprezentativní zařízení v každé síti.

Stabilní identita mění pobočku v objekt politiky, který hub může pojmenovat. Nezpřístupňuje adresu operátorského NATu a sama o sobě nedává zbytku organizace přístup k pobočce.