VPN de sucursal en 4G: mantén la identidad estable cuando cambia la IP

Empieza por la propia sucursal, en la página de estado WAN del router 4G. Si la dirección que ves está en el rango privado del operador en lugar de uno público, ninguna redirección de puertos en ese equipo permitirá jamás que el concentrador marque hacia dentro, y el túnel tiene que construirse hacia fuera desde la sucursal. Esa única observación decide el diseño. El resto del trabajo consiste en asegurarse de que el concentrador reconoce la sucursal por algo mejor que una dirección que cambia cada pocas horas.

Dónde tiene que empezar el túnel

Comprueba la dirección contra el espacio de direcciones compartido que los operadores usan para su propio NAT, 100.64.0.0/10, y contra los rangos privados habituales. Ver una de ellas en un enlace móvil suele significar que hay NAT de operador entre la sucursal e internet, y que las conexiones entrantes no están disponibles a ningún precio que la sucursal pueda pagar. Cuando la dirección WAN es pública pero cambia, tienes otro problema más fácil.

El DNS dinámico solo ayuda en el segundo caso. Da a una dirección pública cambiante un nombre estable al que marcar, y no puede crear una asignación que el operador nunca proporcionó. Aun así merece la pena configurarlo para el caso público, porque elimina el único paso manual de una renumeración. En lo que no debe convertirse es en la respuesta para una sucursal que el operador nunca hizo alcanzable.

Separa la dirección a la que marcas de la identidad que emparejas

El concentrador necesita algo estable en lo que ser encontrado, una dirección fija aprobada o un nombre de host mantenido. La sucursal necesita una forma estable de ser reconocida, y en IKEv2 eso es la carga útil de identidad que presenta durante la autenticación, independientemente de la dirección de origen que lleven sus paquetes. Una cadena como @branch-a.vpn.example funciona como esa identidad incluso mientras la dirección móvil cambia cada hora.

Esa cadena se empareja contra la política, no se resuelve por DNS, así que no esperes una consulta al establecer el túnel. La configuración del concentrador tiene que nombrar explícitamente la identidad esperada, y con autenticación por certificado la identidad también tiene que coincidir con lo que el certificado afirma realmente.

Aceptar cualquier identidad porque la dirección de origen parece plausible es el modo de fallo que hay que evitar. En un respondedor eso significa aceptar cualquier par, con un comodín de identidad y un secreto compartido, lo que autentica una cadena en lugar de un dispositivo.

Escribe el lado del concentrador como un par nombrado

En términos de strongSwan, el lado del respondedor es una conexión con right=%any, que acepta un par desde cualquier dirección de origen, más [email protected], que fija lo que ese par debe declarar ser. Añade rightsubnet=10.20.0.0/16 para las LAN de la sucursal, auto=add para que la conexión se cargue sin marcarse, dpd_delay=30s para la vitalidad y mobike=yes para que un cambio de dirección se absorba en lugar de tratarse como un par nuevo.

Otros fabricantes expresan los mismos objetos con nombres distintos, normalmente un tipo de par dinámico o de sucursal con un campo de identidad y un campo de subred protegida. Rellena ambos; una casilla genérica de dinámico no es un plan de compatibilidad.

Mantén la sucursal como iniciador

En la sucursal se aplica la imagen especular: left=%defaultroute para que se use la dirección móvil local tal como está ahora, [email protected] para presentar la identidad, right=hub.example.com para el nombre estable del concentrador y auto=start para que el túnel suba sin una persona. Cuando el enlace móvil se reconecta, la sucursal vuelve a iniciar y el concentrador empareja la misma identidad contra el mismo objeto de política.

Permite IKE en UDP 500, el paso por NAT en UDP 4500 y el ESP encapsulado que sigue, en ambos lados. Luego déjalos permitidos: una regla que solo se abre en horario laboral parecerá un túnel intermitente.

Prueba el cambio de dirección, no solo el primer apretón de manos

Levanta el túnel, confírmalo y luego fuerza la sucursal a una dirección nueva activando y desactivando los datos móviles o el modo avión durante un minuto. Observa la lista de asociaciones de seguridad en el concentrador y comprueba que la dirección del par cambió mientras la identidad no. Un túnel que solo funciona hasta la primera reasignación del operador no se ha probado en absoluto.

Después comprueba las subredes protegidas por separado. Una SA establecida dice que los pares se autenticaron; no dice que el concentrador tenga una ruta a la LAN de la sucursal ni que la sucursal acepte tráfico del lado del concentrador. Lee la tabla de enrutamiento y la política del cortafuegos por separado y luego envía un ping desde un host en lugar de desde la puerta de enlace, ya que la puerta de enlace es el dispositivo menos representativo de cualquier red.

Una identidad estable convierte la sucursal en un objeto de política que el concentrador puede nombrar. No hace alcanzable una dirección de NAT de operador ni da por sí sola al resto de la organización acceso a la sucursal.