Harukontori VPN 4G-s: hoia identiteet stabiilne, kui IP muutub

Alusta harukontorist endast, 4G-ruuteri WAN-olekulehelt. Kui nähtav aadress on operaatori privaatses vahemikus, mitte avalikus, ei lase ükski pordisuunamine sellel seadmel jaoturil kunagi sisse helistada ja tunnel tuleb ehitada harust väljapoole. See üks tähelepanek määrab disaini. Ülejäänud töö on veenduda, et jaotur tunneb haru ära millegi parema järgi kui aadress, mis muutub iga paari tunni tagant.

Kust tunnel peab algama

Kontrolli aadressi operaatorite enda NAT-i jaoks kasutatava jagatud aadressiruumi, 100.64.0.0/10, ja tavaliste privaatsete vahemike vastu. Ühe nende nägemine mobiilsel ühendusel tähendab tavaliselt, et operaatoritasandi NAT seisab haru ja interneti vahel ning sissetulevad ühendused ei ole saadaval ühegi hinnaga, mida haru suudab maksta. Kui WAN-aadress on avalik, aga muutub, on sul teine, lihtsam probleem.

Dünaamiline DNS aitab ainult teisel juhul. See annab muutuvale avalikule aadressile stabiilse nime, millele helistada, ega suuda luua vastendust, mida operaator kunagi ei andnud. Avaliku juhtumi jaoks tasub see siiski seadistada, sest eemaldab ümbernummerdamisel ainsa käsitsi tehtava sammu. See ei tohi aga muutuda vastuseks harule, mille operaator ei teinud kunagi kättesaadavaks.

Eralda aadress, millele helistad, identiteedist, mida sobitad

Jaotur vajab stabiilset asja, millelt teda leida, kinnitatud püsiaadressi või hooldatud hostinime. Haru vajab stabiilset viisi, kuidas teda ära tuntakse, ja IKEv2-s on see identiteedi kandev osa, mille ta autentimise ajal esitab, sõltumata lähteaadressist, mida tema paketid juhtumisi kannavad. String nagu @branch-a.vpn.example toimib selle identiteedina ka siis, kui mobiilne aadress muutub iga tund.

Seda stringi sobitatakse poliitikaga, mitte ei lahendata DNS-i kaudu, seega ära oota päringut tunneli loomisel. Jaoturi konfiguratsioon peab oodatava identiteedi selgesõnaliselt nimetama ja sertifikaadi autentimise korral peab identiteet ka ühtima sellega, mida sertifikaat tegelikult väidab.

Mis tahes identiteedi aktsepteerimine seetõttu, et lähteaadress tundub usutav, on tõrkemuster, mida tuleb vältida. Vastaja poolel tähendab see mis tahes partneri aktsepteerimist identiteedi metamärgi ja jagatud saladusega, mis autendib stringi, mitte seadet.

Kirjuta jaoturi pool nimetatud partnerina

strongSwani mõistes on vastaja pool ühendus parameetriga right=%any, mis võtab partneri vastu mis tahes lähteaadressilt, pluss [email protected], mis kinnitab, kellena see partner peab end esitlema. Lisa rightsubnet=10.20.0.0/16 haru LAN-ide jaoks, auto=add, et ühendus laaditaks ilma valimiseta, dpd_delay=30s elujõulisuse jaoks ja mobike=yes, et aadressimuutust saaks neelata, mitte käsitleda uue partnerina.

Teised tootjad väljendavad samu objekte teiste nimedega, tavaliselt dünaamilise partneri või harukontori partneri tüübiga, millel on identiteediväli ja kaitstud alavõrgu väli. Täida mõlemad; üldine dünaamiline märkeruut ei ole ühilduvuskava.

Hoia haru algatajana

Harul kehtib peegelpilt: left=%defaultroute, et kasutada kohalikku mobiilset aadressi sellisena, nagu see praegu on, [email protected] identiteedi esitamiseks, right=hub.example.com stabiilse jaoturi nime jaoks ja auto=start, et tunnel tõuseks ilma inimeseta. Kui mobiililink uuesti ühendub, algatab haru uuesti ja jaotur sobitab sama identiteeti sama poliitikaobjektiga.

Luba IKE UDP 500-l, NAT-i läbimine UDP 4500-l ja sellele järgnev kapseldatud ESP mõlemal poolel. Seejärel jäta need lubatuks: reegel, mis avaneb ainult tööajal, näeb välja katkendliku tunnelina.

Testi aadressimuutust, mitte ainult esimest käepigistust

Tõsta tunnel üles, kinnita see, seejärel sunni haru uuele aadressile, lülitades mobiilset andmesidet või lennurežiimi minutiks sisse ja välja. Jälgi jaoturi turvaassotsiatsioonide loendit ja kontrolli, et partneri aadress muutus, identiteet aga mitte. Tunnel, mis töötab ainult kuni operaatori esimese ümberjagamiseni, ei ole üldse testitud.

Seejärel kontrolli kaitstud alavõrke eraldi. Loodud SA ütleb, et partnerid autentisid end; see ei ütle, et jaoturil on marsruut haru LAN-i või et haru võtab vastu liiklust jaoturi poolelt. Loe marsruutimistabelit ja tulemüüri poliitikat eraldi, seejärel saada ping hostist, mitte lüüsist, sest lüüs on iga võrgu kõige vähem esinduslik seade.

Stabiilne identiteet muudab haru poliitikaobjektiks, mille jaotur saab nimetada. See ei tee operaatori NAT-aadressi kättesaadavaks ega anna organisatsiooni ülejäänud osale iseenesest harule juurdepääsu.