VPN شعبه روی 4G: هنگامی که IP جابه‌جا می‌شود هویت را پایدار نگه دارید

از خود شعبه شروع کنید، در صفحه وضعیت WAN روتر 4G. اگر آدرسی که می‌بینید در محدوده خصوصی اپراتور باشد نه در یک محدوده عمومی، هیچ ارسال پورتی روی آن دستگاه هرگز اجازه نمی‌دهد هاب به داخل زنگ بزند، و تونل باید از شعبه به بیرون ساخته شود. همین یک مشاهده طراحی را تعیین می‌کند. بقیه کار این است که مطمئن شوید هاب شعبه را با چیزی بهتر از آدرسی که هر چند ساعت تغییر می‌کند می‌شناسد.

تونل باید از کجا شروع شود

آدرس را با فضای آدرس مشترکی که اپراتورها برای NAT خودشان استفاده می‌کنند، 100.64.0.0/10، و با محدوده‌های خصوصی معمول بسنجید. دیدن یکی از آن‌ها روی یک لینک سیار معمولاً یعنی NAT در سطح اپراتور بین شعبه و اینترنت قرار دارد و اتصال‌های ورودی به هیچ قیمتی که شعبه بتواند بپردازد در دسترس نیستند. وقتی آدرس WAN عمومی است اما تغییر می‌کند، مشکل دیگری و آسان‌تر دارید.

DNS پویا فقط در حالت دوم کمک می‌کند. به یک آدرس عمومی متغیر یک نام پایدار برای زنگ زدن می‌دهد و نمی‌تواند نگاشتی بسازد که اپراتور هرگز فراهم نکرده است. با این حال ارزش دارد برای حالت عمومی پیکربندی شود، چون تنها گام دستی در شماره‌گذاری مجدد را حذف می‌کند. آنچه نباید بشود، پاسخ برای شعبه‌ای است که اپراتور هرگز آن را قابل دسترس نکرده است.

آدرسی که به آن زنگ می‌زنید را از هویتی که تطبیق می‌دهید جدا کنید

هاب به چیزی پایدار نیاز دارد که در آن پیدا شود، یک آدرس ثابت تأییدشده یا یک نام میزبان نگهداری‌شده. شعبه به روشی پایدار برای شناخته شدن نیاز دارد، و در IKEv2 این همان بار هویت است که هنگام احراز هویت ارائه می‌دهد، مستقل از آدرس مبدئی که بسته‌هایش تصادفاً حمل می‌کنند. رشته‌ای مانند @branch-a.vpn.example حتی وقتی آدرس سیار هر ساعت تغییر می‌کند به‌عنوان آن هویت کار می‌کند.

آن رشته با سیاست تطبیق داده می‌شود، نه از طریق DNS حل می‌شود، پس انتظار جست‌وجو هنگام برپایی تونل را نداشته باشید. پیکربندی هاب باید هویت مورد انتظار را صریحاً نام ببرد، و با احراز هویت گواهی، هویت باید با آنچه گواهی واقعاً ادعا می‌کند هم‌راستا باشد.

پذیرش هر هویتی چون آدرس مبدأ قابل قبول به نظر می‌رسد همان حالت شکستی است که باید از آن پرهیز کرد. در یک پاسخ‌دهنده این یعنی پذیرش هر همتایی، با یک نویسه جایگزین هویت و یک راز مشترک، که یک رشته را احراز می‌کند نه یک دستگاه را.

طرف هاب را به‌عنوان یک همتای نام‌دار بنویسید

در اصطلاح strongSwan طرف پاسخ‌دهنده یک اتصال با right=%any است که همتایی از هر آدرس مبدأ می‌پذیرد، به‌علاوه [email protected] که تثبیت می‌کند آن همتا باید خود را چه چیزی معرفی کند. rightsubnet=10.20.0.0/16 را برای LANهای شعبه اضافه کنید، auto=add تا اتصال بدون زنگ زدن بارگذاری شود، dpd_delay=30s برای زنده‌بودن، و mobike=yes تا تغییر آدرس جذب شود نه آنکه همتای جدید تلقی شود.

فروشندگان دیگر همان اشیا را با نام‌های متفاوت بیان می‌کنند، معمولاً نوع همتای پویا یا همتای دفتر شعبه با یک فیلد هویت و یک فیلد زیرشبکه محافظت‌شده. هر دو را پر کنید؛ یک کادر تیک عمومی پویا برنامه سازگاری نیست.

شعبه را آغازگر نگه دارید

در شعبه تصویر آینه‌ای اعمال می‌شود: left=%defaultroute تا آدرس سیار محلی همان‌گونه که اکنون هست استفاده شود، [email protected] برای ارائه هویت، right=hub.example.com برای نام پایدار هاب، و auto=start تا تونل بدون انسان بالا بیاید. وقتی لینک سیار دوباره وصل می‌شود، شعبه دوباره آغاز می‌کند و هاب همان هویت را با همان شیء سیاست تطبیق می‌دهد.

IKE روی UDP 500، عبور از NAT روی UDP 4500، و ESP کپسوله‌شده‌ای که پس از آن می‌آید را در هر دو طرف مجاز کنید. سپس آن‌ها را مجاز بگذارید: قاعده‌ای که فقط در ساعات کاری باز می‌شود شبیه تونلی متناوب خواهد بود.

تغییر آدرس را آزمایش کنید، نه فقط اولین دست‌دهی

تونل را بالا بیاورید، تأییدش کنید، سپس شعبه را با روشن و خاموش کردن داده سیار یا حالت هواپیما به مدت یک دقیقه به آدرس جدیدی مجبور کنید. فهرست انجمن‌های امنیتی روی هاب را تماشا کنید و بررسی کنید که آدرس همتا عوض شده و هویت نه. تونلی که فقط تا اولین بازتخصیص اپراتور کار می‌کند اصلاً آزمایش نشده است.

سپس زیرشبکه‌های محافظت‌شده را جداگانه بررسی کنید. یک SA برقرارشده می‌گوید همتاها احراز هویت شدند؛ نمی‌گوید هاب مسیری به LAN شعبه دارد یا شعبه ترافیک از سمت هاب را می‌پذیرد. جدول مسیریابی و سیاست دیوار آتش را جداگانه بخوانید، سپس ping را از یک میزبان بفرستید نه از دروازه، چون دروازه کم‌ترین نمایندگی را در هر شبکه دارد.

هویت پایدار شعبه را به شیء سیاستی تبدیل می‌کند که هاب می‌تواند نامش را ببرد. این کار آدرس NAT اپراتور را قابل دسترس نمی‌کند و به‌خودی‌خود به بقیه سازمان دسترسی به شعبه نمی‌دهد.