VPN υποκαταστήματος σε 4G: κρατήστε σταθερή την ταυτότητα όταν αλλάζει η IP

Ξεκινήστε από το ίδιο το υποκατάστημα, στη σελίδα κατάστασης WAN του δρομολογητή 4G. Αν η διεύθυνση που βλέπετε βρίσκεται στο ιδιωτικό εύρος του παρόχου αντί σε δημόσιο, καμία προώθηση θύρας σε αυτό το μηχάνημα δεν θα αφήσει ποτέ τον κόμβο να καλέσει προς τα μέσα, και η σήραγγα πρέπει να χτιστεί προς τα έξω από το υποκατάστημα. Αυτή η μία παρατήρηση καθορίζει τον σχεδιασμό. Η υπόλοιπη δουλειά είναι να διασφαλιστεί ότι ο κόμβος αναγνωρίζει το υποκατάστημα με κάτι καλύτερο από μια διεύθυνση που αλλάζει κάθε λίγες ώρες.

Από πού πρέπει να ξεκινά η σήραγγα

Ελέγξτε τη διεύθυνση απέναντι στον κοινόχρηστο χώρο διευθύνσεων που χρησιμοποιούν οι πάροχοι για το δικό τους NAT, 100.64.0.0/10, και απέναντι στα συνηθισμένα ιδιωτικά εύρη. Το να δείτε ένα από αυτά σε κινητό uplink συνήθως σημαίνει ότι το NAT παρόχου βρίσκεται ανάμεσα στο υποκατάστημα και το διαδίκτυο, και οι εισερχόμενες συνδέσεις δεν είναι διαθέσιμες σε καμία τιμή που μπορεί να πληρώσει το υποκατάστημα. Όταν η διεύθυνση WAN είναι δημόσια αλλά αλλάζει, έχετε άλλο, ευκολότερο πρόβλημα.

Το δυναμικό DNS βοηθά μόνο στη δεύτερη περίπτωση. Δίνει σε μια μεταβαλλόμενη δημόσια διεύθυνση ένα σταθερό όνομα για κλήση, και δεν μπορεί να δημιουργήσει μια αντιστοίχιση που ο πάροχος δεν έδωσε ποτέ. Αξίζει ωστόσο να ρυθμιστεί για τη δημόσια περίπτωση, γιατί αφαιρεί το μοναδικό χειροκίνητο βήμα σε μια επαναρίθμηση. Αυτό που δεν πρέπει να γίνει είναι η απάντηση για ένα υποκατάστημα που ο πάροχος δεν έκανε ποτέ προσβάσιμο.

Διαχωρίστε τη διεύθυνση που καλείτε από την ταυτότητα που αντιστοιχίζετε

Ο κόμβος χρειάζεται ένα σταθερό σημείο όπου μπορεί να βρεθεί, μια εγκεκριμένη σταθερή διεύθυνση ή ένα συντηρούμενο όνομα κεντρικού υπολογιστή. Το υποκατάστημα χρειάζεται έναν σταθερό τρόπο να αναγνωρίζεται, και στο IKEv2 αυτό είναι το ωφέλιμο φορτίο ταυτότητας που παρουσιάζει κατά τον έλεγχο ταυτότητας, ανεξάρτητα από τη διεύθυνση προέλευσης που τυχαίνει να φέρουν τα πακέτα του. Ένα αλφαριθμητικό όπως το @branch-a.vpn.example λειτουργεί ως αυτή η ταυτότητα ακόμη και όταν η κινητή διεύθυνση αλλάζει κάθε ώρα.

Αυτό το αλφαριθμητικό αντιστοιχίζεται με την πολιτική, δεν επιλύεται μέσω DNS, οπότε μην περιμένετε αναζήτηση κατά τη δημιουργία της σήραγγας. Η διαμόρφωση του κόμβου πρέπει να ονομάζει ρητά την αναμενόμενη ταυτότητα, και με έλεγχο ταυτότητας πιστοποιητικού η ταυτότητα πρέπει επίσης να ταιριάζει με αυτό που πραγματικά βεβαιώνει το πιστοποιητικό.

Το να δέχεστε οποιαδήποτε ταυτότητα επειδή η διεύθυνση προέλευσης φαίνεται εύλογη είναι ο τρόπος αποτυχίας που πρέπει να αποφεύγεται. Σε έναν responder αυτό σημαίνει αποδοχή οποιουδήποτε peer, με μπαλαντέρ ταυτότητας και κοινό μυστικό, το οποίο επαληθεύει ένα αλφαριθμητικό και όχι μια συσκευή.

Γράψτε την πλευρά του κόμβου ως ονομασμένο peer

Με όρους strongSwan, η πλευρά του responder είναι μια σύνδεση με right=%any, που δέχεται peer από οποιαδήποτε διεύθυνση προέλευσης, συν [email protected], που καρφιτσώνει τι πρέπει να δηλώνει ότι είναι αυτό το peer. Προσθέστε rightsubnet=10.20.0.0/16 για τα LAN του υποκαταστήματος, auto=add ώστε η σύνδεση να φορτώνεται χωρίς κλήση, dpd_delay=30s για ζωτικότητα, και mobike=yes ώστε μια αλλαγή διεύθυνσης να απορροφάται αντί να αντιμετωπίζεται ως νέο peer.

Άλλοι κατασκευαστές εκφράζουν τα ίδια αντικείμενα με άλλα ονόματα, συνήθως τύπο δυναμικού peer ή peer υποκαταστήματος με πεδίο ταυτότητας και πεδίο προστατευμένου υποδικτύου. Συμπληρώστε και τα δύο· ένα γενικό πλαίσιο δυναμικού δεν είναι σχέδιο συμβατότητας.

Κρατήστε το υποκατάστημα ως εκκινούντα

Στο υποκατάστημα ισχύει το κατοπτρικό είδωλο: left=%defaultroute ώστε να χρησιμοποιείται η τοπική κινητή διεύθυνση όπως είναι τώρα, [email protected] για να παρουσιάζεται η ταυτότητα, right=hub.example.com για το σταθερό όνομα του κόμβου, και auto=start ώστε η σήραγγα να σηκώνεται χωρίς άνθρωπο. Όταν η κινητή ζεύξη επανασυνδεθεί, το υποκατάστημα εκκινεί ξανά και ο κόμβος αντιστοιχίζει την ίδια ταυτότητα με το ίδιο αντικείμενο πολιτικής.

Επιτρέψτε IKE στο UDP 500, διέλευση NAT στο UDP 4500 και το ενθυλακωμένο ESP που ακολουθεί, και στις δύο πλευρές. Μετά αφήστε τα επιτρεπόμενα: ένας κανόνας που ανοίγει μόνο τις εργάσιμες ώρες θα μοιάζει με διακοπτόμενη σήραγγα.

Δοκιμάστε την αλλαγή διεύθυνσης, όχι μόνο την πρώτη χειραψία

Σηκώστε τη σήραγγα, επιβεβαιώστε την, και μετά αναγκάστε το υποκατάστημα σε νέα διεύθυνση εναλλάσσοντας δεδομένα κινητής ή λειτουργία πτήσης για ένα λεπτό. Παρακολουθήστε τη λίστα συσχετίσεων ασφαλείας στον κόμβο και ελέγξτε ότι η διεύθυνση του peer άλλαξε ενώ η ταυτότητα όχι. Μια σήραγγα που λειτουργεί μόνο μέχρι την πρώτη ανακατανομή του παρόχου δεν έχει δοκιμαστεί καθόλου.

Μετά ελέγξτε τα προστατευμένα υποδίκτυα ξεχωριστά. Μια εδραιωμένη SA λέει ότι τα peers πιστοποιήθηκαν· δεν λέει ότι ο κόμβος έχει διαδρομή προς το LAN του υποκαταστήματος ή ότι το υποκατάστημα δέχεται κίνηση από την πλευρά του κόμβου. Διαβάστε τον πίνακα δρομολόγησης και την πολιτική του τείχους προστασίας ξεχωριστά, και μετά στείλτε ping από κεντρικό υπολογιστή και όχι από την πύλη, αφού η πύλη είναι η λιγότερο αντιπροσωπευτική συσκευή σε κάθε δίκτυο.

Μια σταθερή ταυτότητα μετατρέπει το υποκατάστημα σε αντικείμενο πολιτικής που ο κόμβος μπορεί να ονομάσει. Δεν κάνει μια διεύθυνση NAT παρόχου προσβάσιμη, και δεν παραχωρεί από μόνη της στην υπόλοιπη οργάνωση πρόσβαση στο υποκατάστημα.