Filial-VPN på 4G: hold identiteten stabil, når IP'en flytter

Begynd ved selve filialen, på 4G-routrerens WAN-statusside. Hvis den adresse, du ser, ligger i operatørens private interval i stedet for et offentligt, vil ingen portvideresendelse på den boks nogensinde lade hubben ringe ind, og tunnelen skal bygges udad fra filialen. Den ene observation afgør designet. Resten af arbejdet er at sikre, at hubben genkender filialen på noget bedre end en adresse, der skifter hver par timer.

Hvor tunnelen skal begynde

Kontrollér adressen mod det delte adresseområde, operatørerne bruger til deres egen NAT, 100.64.0.0/10, og mod de almindelige private intervaller. At se en af dem på en mobil uplink betyder normalt, at carrier-grade NAT står mellem filialen og internettet, og at indgående forbindelser ikke er tilgængelige til nogen pris, filialen kan betale. Når WAN-adressen er offentlig, men skifter, har du et andet og lettere problem.

Dynamisk DNS hjælper kun i det andet tilfælde. Det giver en skiftende offentlig adresse et stabilt navn at ringe til, og det kan ikke skabe en mapping, som operatøren aldrig har givet. Det er stadig værd at konfigurere til det offentlige tilfælde, fordi det fjerner det ene manuelle trin ved omnummerering. Hvad det ikke må blive, er svaret for en filial, som operatøren aldrig har gjort tilgængelig.

Adskil den adresse, du ringer til, fra den identitet, du matcher

Hubben har brug for noget stabilt at blive fundet på, en godkendt fast adresse eller et vedligeholdt værtsnavn. Filialen har brug for en stabil måde at blive genkendt på, og i IKEv2 er det den identitetsnyttelast, den fremviser under godkendelsen, uafhængigt af den kildeadresse, dens pakker tilfældigvis bærer. En streng som @branch-a.vpn.example fungerer som den identitet, selv mens den mobile adresse skifter hver time.

Den streng matches mod politik, ikke opløst via DNS, så forvent ikke et opslag ved tunnelopsætningen. Hubbens konfiguration skal navngive den forventede identitet eksplicit, og med certifikatgodkendelse skal identiteten også stemme med, hvad certifikatet faktisk hævder.

At acceptere enhver identitet, fordi kildeadressen ser plausibel ud, er den fejltilstand, der skal undgås. På en responder betyder det at acceptere enhver peer, med et identitetsjokertegn og en delt hemmelighed, hvilket godkender en streng snarere end en enhed.

Skriv hubbens side som en navngivet peer

I strongSwan-termer er respondersiden en forbindelse med right=%any, som accepterer en peer fra enhver kildeadresse, plus [email protected], som fastlåser, hvad den peer skal erklære at være. Tilføj rightsubnet=10.20.0.0/16 for filialens LAN'er, auto=add så forbindelsen indlæses uden at blive ringet op, dpd_delay=30s for livlighed, og mobike=yes så et adressekskift kan absorberes i stedet for at blive behandlet som en ny peer.

Andre leverandører udtrykker de samme objekter under andre navne, normalt en dynamisk peer- eller filialkontortype med et identitetsfelt og et beskyttet subnetfelt. Udfyld begge; et generisk dynamisk afkrydsningsfelt er ikke en kompatibilitetsplan.

Hold filialen som initiativtager

På filialen gælder spejlbilledet: left=%defaultroute så den lokale mobile adresse bruges, som den er nu, [email protected] for at fremvise identiteten, right=hub.example.com for det stabile hubnavn, og auto=start så tunnelen kommer op uden et menneske. Når det mobile link genopretter forbindelsen, tager filialen initiativ igen, og hubben matcher den samme identitet mod det samme politikobjekt.

Tillad IKE på UDP 500, NAT-gennemgang på UDP 4500 og den indkapslede ESP, der følger, i begge ender. Lad dem derefter være tilladte: en regel, der kun åbner i arbejdstiden, vil se ud som en ustabil tunnel.

Test adressekskiftet, ikke bare det første håndtryk

Bring tunnelen op, bekræft den, og tving derefter filialen over på en ny adresse ved at slå mobildata eller flytilstand til og fra i et minut. Hold øje med sikkerhedsassociationslisten på hubben, og kontrollér, at peer-adressen ændrede sig, mens identiteten ikke gjorde. En tunnel, der kun virker indtil operatørens første omtildeling, er slet ikke testet.

Kontrollér derefter de beskyttede subnets separat. En etableret SA siger, at parterne godkendte hinanden; den siger ikke, at hubben har en rute til filialens LAN, eller at filialen accepterer trafik fra hubbens side. Læs routingtabellen og firewallpolitikken hver for sig, og send derefter en ping fra en vært i stedet for fra gatewayen, da gatewayen er den mindst repræsentative enhed på ethvert netværk.

En stabil identitet gør filialen til et politikobjekt, som hubben kan navngive. Det gør ikke en carrier-NAT-adresse tilgængelig, og det giver ikke resten af organisationen adgang til filialen af sig selv.