VPN cangen ar 4G: cadw'r hunaniaeth yn sefydlog pan fo'r IP yn symud

Dechreuwch yn y gangen ei hun, ar dudalen statws WAN y llwybrydd 4G. Os yw'r cyfeiriad a welwch yn gorwedd yn ystod preifat y cludwr yn hytrach nag un cyhoeddus, ni fydd unrhyw anfon porth ar y blwch hwnnw byth yn gadael i'r canol ddeialu i mewn, a rhaid adeiladu'r tiwnel tuag allan o'r gangen. Mae'r un arsylwad hwnnw yn penderfynu'r dyluniad. Gweddill y gwaith yw sicrhau bod y canol yn adnabod y gangen drwy rywbeth gwell na chyfeiriad sy'n newid bob ychydig oriau.

Ble mae'r tiwnel yn gorfod dechrau

Gwiriwch y cyfeiriad yn erbyn y gofod cyfeiriad a rennir y mae cludwyr yn ei ddefnyddio ar gyfer eu NAT eu hunain, 100.64.0.0/10, ac yn erbyn ystodau preifat cyffredin. Mae gweld un ohonynt ar gyswllt symudol fel rheol yn golygu bod NAT ar lefel cludwr rhwng y gangen a'r rhyngrwyd, ac nad yw cysylltiadau sy'n dod i mewn ar gael am unrhyw bris y gall y gangen ei dalu. Pan fo'r cyfeiriad WAN yn gyhoeddus ond yn newid, mae gennych broblem wahanol, hawsach.

Dim ond yn yr ail achos y mae DNS deinamig yn helpu. Mae'n rhoi enw sefydlog i gyfeiriad cyhoeddus sy'n newid i'w ddeialu, ac ni all greu mapio na wnaeth y cludwr ei ddarparu erioed. Mae'n dal yn werth ei ffurfweddu ar gyfer yr achos cyhoeddus, oherwydd mae'n dileu'r un cam â llaw mewn ailrifo. Yr hyn na ddylai ddod yn ateb yw cangen na wnaeth y cludwr hi byth yn gyrraeddadwy.

Gwahaniad rhwng y cyfeiriad rydych yn ei ddeialu a'r hunaniaeth rydych yn ei chyfateb

Mae angen peth sefydlog ar y canol i gael ei ddarganfod wrtho, cyfeiriad sefydlog cymeradwy neu enw gwesteiwr a gynhelir. Mae angen ffordd sefydlog ar y gangen i gael ei hadnabod, ac yn IKEv2 sef llwyth tâl hunaniaeth y mae'n ei chyflwyno yn ystod dilysu, yn annibynnol ar y cyfeiriad ffynhonnell y mae ei phecynnau'n digwydd ei gario. Mae llinyn fel @branch-a.vpn.example yn gweithio fel y hunaniaeth honno hyd yn oed tra bo'r cyfeiriad symudol yn newid bob awr.

Cyfatebir y llinyn hwnnw yn erbyn polisi, nid ei ddatrys drwy DNS, felly peidiwch â disgwyl i chwiliad ddigwydd wrth osod y tiwnel. Rhaid i ffurfweddiad y canol enwi'r hunaniaeth ddisgwyliedig yn benodol, ac gyda dilysu tystysgrif rhaid i'r hunaniaeth hefyd gyd-fynd â'r hyn y mae'r dystysgrif yn ei honni mewn gwirionedd.

Derbyn unrhyw hunaniaeth oherwydd bod y cyfeiriad ffynhonnell yn edrych yn gredadwy yw'r modd methu i'w osgoi. Ar atebydd mae hynny'n golygu derbyn unrhyw bartner, gyda cherdyn gwyllt hunaniaeth a chyfrinach a rennir, sy'n dilysu llinyn yn hytrach na dyfais.

Ysgrifennwch ochr y canol fel partner a enwir

Yn nhermau strongSwan, ochr yr atebydd yw cyswllt gyda right=%any, sy'n derbyn partner o unrhyw gyfeiriad ffynhonnell, ynghyd â [email protected], sy'n pinio beth y mae'n rhaid i'r partner hwnnw honni bod. Ychwanegwch rightsubnet=10.20.0.0/16 ar gyfer LANs y gangen, auto=add fel bod y cyswllt yn cael ei lwytho heb ei ddeialu, dpd_delay=30s ar gyfer bywiogrwydd, a mobike=yes fel y gellir amsugno newid cyfeiriad yn hytrach na'i drin fel partner newydd.

Mae gwerthwyr eraill yn mynegi yr un gwrthrychau o dan enwau gwahanol, fel rheol math o bartner deinamig neu bartner swyddfa gangen gyda maes hunaniaeth a maes is-rwydwaith gwarchodedig. Llenwch y ddau; nid yw blwch ticio deinamig cyffredinol yn gynllun cydnawsedd.

Cadw'r gangen yn gychwynnydd

Ar y gangen mae'r ddelwedd drych yn berthnasol: left=%defaultroute fel y defnyddir y cyfeiriad symudol lleol fel y mae ar hyn o bryd, [email protected] i gyflwyno'r hunaniaeth, right=hub.example.com ar gyfer enw sefydlog y canol, ac auto=start fel bod y tiwnel yn codi heb ddyn. Pan fydd y cyswllt symudol yn ailgysylltu, mae'r gangen yn ailgychwyn ac mae'r canol yn cyfateb yr un hunaniaeth yn erbyn yr un gwrthrych polisi.

Caniatéwch IKE ar UDP 500, trawstoriad NAT ar UDP 4500, a'r ESP amgapsiwledig sy'n dilyn, ar y ddwy ochr. Yna gadewch nhw'n ganiataol: bydd rheol sy'n agor yn ystod oriau gwaith yn unig yn edrych fel tiwnel ysbeidiol.

Profwch y newid cyfeiriad, nid y cydlawyllaw cyntaf yn unig

Codwch y tiwnel, cadarnhewch ef, yna gorfodwch y gangen i gyfeiriad newydd drwy doglo data symudol neu fodd awyren am funud. Gwyliwch y rhestr cymdeithasau diogelwch ar y canol a gwiriwch fod cyfeiriad y partner wedi newid tra nad yw'r hunaniaeth wedi newid. Nid yw tiwnel sy'n gweithio hyd at ailaseiniad cyntaf y cludwr wedi cael ei brofi o gwbl.

Yna gwiriwch yr is-rwydweithiau gwarchodedig ar wahân. Mae SA sefydledig yn dweud bod y partneriaid wedi dilysu; nid yw'n dweud bod gan y canol lwybr i LAN y gangen na bod y gangen yn derbyn traffig o ochr y canol. Darllenwch y tabl llwybro a pholisi'r mur tân ar wahân, yna anfonwch ping o westeiwr yn hytrach nag o'r porth, gan mai'r porth yw'r ddyfais leiaf gynrychioliadol ar unrhyw rwydwaith.

Mae hunaniaeth sefydlog yn troi'r gangen yn wrthrych polisi y gall y canol ei enwi. Nid yw'n gwneud cyfeiriad NAT cludwr yn gyrraeddadwy, ac nid yw ohoni ei hun yn rhoi mynediad i weddill y sefydliad at y gangen.