Adar VPN 4G-n: mantendu identitatea egonkor IP aldatzen denean

Hasi adarrean bertan, 4G routerraren WAN egoera orrian. Ikusten duzun helbidea operadorearen barruti pribatuan badago, publikoan beharrean, kaxa horretako portu birbideratze batek ere ez dio hub-ari inoiz barrurantz deituko utziko, eta tunela adarretik kanpora eraiki beharko da. Behaketa bakar horrek erabakitzen du diseinua. Gainerako lana hub-ak adarra ordu gutxiro aldatzen den helbide bat baino zerbait hobeagatik ezagutzen duela ziurtatzea da.

Tunelak non hasi behar duen

Egiaztatu helbidea operadoreek beren NAT-rako erabiltzen duten helbide espazio partekatuaren aurka, 100.64.0.0/10, eta barruti pribatu arrunten aurka. Horietako bat uplink mugikorrean ikusteak normalean esan nahi du operadore mailako NAT-a adarraren eta interneten artean dagoela, eta sarrerako konexioak ez daudela erabilgarri adarrak ordain dezakeen inolako preziotan. WAN helbidea publikoa baina aldatzen denean, beste arazo errazago bat duzu.

DNS dinamikoak bigarren kasuan bakarrik laguntzen du. Aldatzen ari den helbide publikoari deitzeko izen egonkor bat ematen dio, eta operadoreak inoiz eman ez zuen mapaketa bat sortu ezin du. Hala ere, merezi du kasu publikoan konfiguratzeak, zenbakitze berri batean eskuzko urrats bakarra kentzen baitu. Bihurtu behar ez dena operadoreak inoiz irisgarri egin ez zuen adar baterako erantzuna da.

Bereizi deitzen duzun helbidea eta parekatzen duzun identitatea

Hub-ak zerbait egonkor behar du aurkitua izateko, onartutako helbide finko bat edo mantendutako ostalari izen bat. Adarrak ezagutua izateko modu egonkor bat behar du, eta IKEv2-n hori autentifikazioan aurkezten duen identitate karga da, bere paketeek kasualitatez daramaten iturburu helbideaz independente. @branch-a.vpn.example bezalako kate batek identitate hori gisa funtzionatzen du helbide mugikorra orduro aldatzen den bitartean ere.

Kate hori politikaren aurka parekatzen da, ez da DNS bidez ebazten, beraz ez espero bilaketarik tunela ezartzean. Hub-aren konfigurazioak espero den identitatea espresuki izendatu behar du, eta ziurtagirien autentifikazioarekin identitateak ziurtagiriak benetan dioenarekin bat etorri behar du.

Iturburu helbidea sinesgarria dirudielako edozein identitate onartzea saihestu beharreko hutsegite modua da. Erantzule batean horrek edozein parekide onartzea esan nahi du, identitate komodin batekin eta sekretu partekatu batekin, eta horrek kate bat autentifikatzen du, ez gailu bat.

Idatzi hub aldean izendatutako parekide gisa

strongSwan terminologian erantzule aldea right=%any duen konexio bat da, edozein iturburu helbideren parekidea onartzen duena, gehi [email protected], parekide horrek zer dela dioen finkatzen duena. Gehitu rightsubnet=10.20.0.0/16 adarraren LANetarako, auto=add konexioa deitu gabe kargatzeko, dpd_delay=30s bizitasunerako, eta mobike=yes helbide aldaketa parekide berri gisa tratatu beharrean xurga dadin.

Beste fabrikatzaileek objektu berberak beste izen batzuekin adierazten dituzte, normalean parekide dinamiko edo sukurtsal mota bat, identitate eremuarekin eta azpisare babestu eremuarekin. Bete biak; dinamiko lauki generiko bat ez da bateragarritasun plan bat.

Mantendu adarra ekile gisa

Adarrean ispilu irudia aplikatzen da: left=%defaultroute tokiko helbide mugikorra orain dagoen moduan erabil dadin, [email protected] identitatea aurkezteko, right=hub.example.com hub izen egonkorrerako, eta auto=start tunela gizakirik gabe igo dadin. Esteka mugikorra berriz konektatzen denean, adarrak berriz ekiten du eta hub-ak identitate bera politika objektu berberaren aurka parekatzen du.

Baimendu IKE UDP 500-en, NAT zeharkatzea UDP 4500-en, eta ondoren datorren ESP kapsulatua, bi aldeetan. Gero utzi baimenduta: lan ordutegian soilik irekitzen den arau bat tunel etena bezala ikusiko da.

Probatu helbide aldaketa, ez soilik lehen esku-ukipena

Igo tunela, berretsi, eta gero behartu adarra helbide berri batera, datu mugikorrak edo hegazkin modua minutu batez piztu eta itzaliz. Begiratu segurtasun elkarte zerrenda hub-ean eta egiaztatu parekidearen helbidea aldatu zela eta identitatea ez. Operadorearen lehen berresleitzapenera arte soilik funtzionatzen duen tunel bat ez da inola ere probatu.

Gero egiaztatu azpisare babestuak bereizita. Ezarritako SA batek parekideek autentifikatu zutela dio; ez du esaten hub-ak adarraren LANera bide bat duenik edo adarrak hub aldeko trafikoa onartzen duenik. Irakurri bideratze taula eta suebaki politika bereizita, eta gero bidali ping ostalari batetik atebideatik baino, atebidea baita edozein saretan ordezkaritzarik gutxien duen gailua.

Identitate egonkor batek adarra hub-ak izenda dezakeen politika objektu bihurtzen du. Ez du operadore NAT helbide bat irisgarri egiten, eta ez dio erakundearen gainerakoari adarrera sarbiderik ematen berez.