Haarakonttorin VPN 4G:ssä: pidä identiteetti vakaana, kun IP vaihtuu

Aloita itse haarasta, 4G-reitittimen WAN-tilasivulta. Jos näkemäsi osoite on operaattorin yksityisessä alueessa eikä julkisessa, mikään portinohjaus siinä laatikossa ei koskaan päästä keskitintä soittamaan sisään, ja tunneli on rakennettava haarasta ulospäin. Tämä yksi havainto ratkaisee suunnittelun. Loput työstä on varmistaa, että keskitin tunnistaa haaran jollakin paremmalla kuin osoitteella, joka vaihtuu muutaman tunnin välein.

Mistä tunnelin on alettava

Tarkista osoite operaattoreiden omaan NAT:iin käyttämää jaettua osoiteavaruutta, 100.64.0.0/10, ja tavallisia yksityisiä alueita vastaan. Yhden niistä näkeminen mobiilissa ylälinkissä tarkoittaa yleensä, että operaattoritason NAT on haaran ja internetin välissä, eikä saapuvia yhteyksiä ole saatavilla millään hinnalla, jonka haara voi maksaa. Kun WAN-osoite on julkinen mutta vaihtuu, sinulla on toinen, helpompi ongelma.

Dynaaminen DNS auttaa vain toisessa tapauksessa. Se antaa vaihtuvalle julkiselle osoitteelle vakaan nimen, johon soittaa, eikä voi luoda mappausta, jota operaattori ei koskaan antanut. Julkiseen tapaukseen se kannattaa silti määrittää, koska se poistaa uudelleennumeroinnin ainoan manuaalisen vaiheen. Se ei kuitenkaan saa muuttua vastaukseksi haaralle, jota operaattori ei koskaan tehnyt tavoitettavaksi.

Erota soitettava osoite ja sovitettava identiteetti

Keskitin tarvitsee vakaan asian, josta se löytyy: hyväksytyn kiinteän osoitteen tai ylläpidetyn isäntänimen. Haara tarvitsee vakaan tavan tulla tunnistetuksi, ja IKEv2:ssa se on identiteettihyötykuorma, jonka se esittää todennuksen aikana, riippumatta lähdeosoitteesta, jota sen paketit sattuvat kantamaan. Merkkijono kuten @branch-a.vpn.example toimii tänä identiteettinä, vaikka mobiiliosoite vaihtuisi tunneittain.

Tuo merkkijono sovitetaan käytäntöön, ei ratkaista DNS:n kautta, joten älä odota hakua tunnelia pystytettäessä. Keskitinlaitteen kokoonpanon on nimettävä odotettu identiteetti nimenomaisesti, ja varmenne todentamisessa identiteetin on myös vastattava sitä, mitä varmenne todella väittää.

Minkä tahansa identiteetin hyväksyminen siksi, että lähdeosoite näyttää uskottavalta, on se epäonnistumistapa, jota on vältettävä. Vastaajassa se tarkoittaa minkä tahansa vertaislaitteen hyväksymistä identiteettijokerilla ja jaetulla salaisuudella, mikä todentaa merkkijonon eikä laitetta.

Kirjoita keskitinpuoli nimettynä vertaisena

strongSwanin termein vastaajapuoli on yhteys, jossa on right=%any, joka hyväksyy vertaisen mistä tahansa lähdeosoitteesta, sekä [email protected], joka kiinnittää sen, millaisena tuon vertaisen on esiinnyttävä. Lisää rightsubnet=10.20.0.0/16 haaran LAN-verkoille, auto=add jotta yhteys latautuu ilman soittoa, dpd_delay=30s elävyydelle ja mobike=yes jotta osoitteen vaihto voidaan imeä sen sijaan, että se kohdeltaisiin uutena vertaisena.

Muut valmistajat ilmaisevat samat oliot eri nimillä, yleensä dynaamisen tai sivukonttorin vertaistyypin, jossa on identiteettikenttä ja suojatun aliverkon kenttä. Täytä molemmat; yleinen dynaaminen valintaruutu ei ole yhteensopivuussuunnitelma.

Pidä haara aloittajana

Haarassa pätee peilikuva: left=%defaultroute jotta paikallista mobiiliosoitetta käytetään sellaisena kuin se nyt on, [email protected] identiteetin esittämiseksi, right=hub.example.com vakaan keskitinnimen vuoksi ja auto=start jotta tunneli nousee ilman ihmistä. Kun mobiililinkki yhdistyy uudelleen, haara aloittaa uudelleen ja keskitin sovittaa saman identiteetin samaan käytäntöobjektiin.

Salli IKE UDP 500:ssa, NAT:n läpikulku UDP 4500:ssa ja sitä seuraava kapseloitu ESP molemmilla puolilla. Jätä ne sitten sallituiksi: sääntö, joka avautuu vain työaikana, näyttää katkonaiselta tunnelilta.

Testaa osoitteen vaihto, älä vain ensimmäistä kättelyä

Nosta tunneli, vahvista se ja pakota sitten haara uuteen osoitteeseen kytkemällä mobiilidata tai lentotila päälle ja pois minuutiksi. Seuraa keskitinlaitteen tietoturvayhdistelmien luetteloa ja tarkista, että vertaisen osoite muuttui mutta identiteetti ei. Tunneli, joka toimii vain operaattorin ensimmäiseen uudelleenjakoon asti, ei ole lainkaan testattu.

Tarkista sitten suojatut aliverkot erikseen. Vakiintunut SA sanoo, että vertaiset todennettiin; se ei sano, että keskitinlaitteella on reitti haaran LAN-verkkoon tai että haara hyväksyy liikennettä keskitinlaitteen puolelta. Lue reititystaulu ja palomuurikäytäntö erikseen ja lähetä sitten ping isäntäkoneesta eikä yhdyskäytävästä, koska yhdyskäytävä on vähiten edustava laite missä tahansa verkossa.

Vakaa identiteetti tekee haarasta käytäntöobjektin, jonka keskitin voi nimetä. Se ei tee operaattorin NAT-osoitteesta tavoitettavaa eikä anna organisaation muulle osalle pääsyä haaraan itsessään.