Filiale-VPN oer 4G: hâld de identiteit stabyl as de IP ferskoot

Begjin by de filiale sels, op 'e WAN-statuspagina fan 'e 4G-router. As it adres dat jo sjogge yn it privee-berik fan 'e oanbieder leit yn stee fan in iepenbier, sil gjin porttrochstjoering op dy bak de hub ea nei binnen litte, en moat de tunnel fan 'e filiale ôf nei bûten ta boud wurde. Dy iene observaasje bepaalt it ûntwerp. De rest fan it wurk is derfoar soargje dat de hub de filiale weromken oan eat better as in adres dat elke pear oeren feroaret.

Wêr't de tunnel begjinne moat

Kontrolearje it adres tsjin 'e dielde adresromte dy't oanbieders foar har eigen NAT brûke, 100.64.0.0/10, en tsjin 'e gewoane privee-berikken. Ien fan dy op in mobyl uplink sjen betsjut meastentiids dat NAT op oanbiedernivo tusken de filiale en it ynternet sit, en ynkommende ferbiningen binne net beskikber foar hokker priis de filiale ek betelje kin. As it WAN-adres iepenbier is mar feroaret, hast in oar, makliker probleem.

Dynamyske DNS helpt allinnich yn it twadde gefal. It jout in feroarjend iepenbier adres in stabile namme om te beljen, en it kin gjin mapping meitsje dy't de oanbieder nea jûn hat. It is dochs de muoite wurdich om it foar it iepenbiere gefal te konfigurearjen, want it hellet de iene hânmjittige stap by in wernûmering fuort. Wat it net wurde moat, is it antwurd foar in filiale dy't de oanbieder nea berikber makke hat.

Skied it adres dat jo belje fan 'e identiteit dy't jo ferlykje

De hub hat eat stabyls nedich om by fûn te wurden, in goedkard fêst adres of in ûnderholden hostnamme. De filiale hat in stabile wize nedich om werkenne te wurden, en yn IKEv2 is dat de identiteitslading dy't it by autentikaasje presintearret, ûnôfhinklik fan it boarneadres dat syn pakketten tafallich drage. In tekenrige lykas @branch-a.vpn.example wurket as dy identiteit sels wylst it mobyle adres elk oere feroaret.

Dy tekenrige wurdt tsjin belied ferlike, net fia DNS oplost, dus ferwachtsje gjin opsocht by it opsetten fan 'e tunnel. De konfiguraasje fan 'e hub moat de ferwachte identiteit eksplisyt neame, en by sertifikaatautentikaasje moat de identiteit ek oerienkomme mei wat it sertifikaat eins beweart.

Elke identiteit akseptearje om't it boarneadres leaudber liket, is de flatermodus dy't foarkommen wurde moat. Op in responder betsjut dat elke peer akseptearje, mei in identiteitswildcard en in dield geheim, wat in tekenrige autentisearret yn stee fan in apparaat.

Skriuw de hubkant as in neamde peer

Yn strongSwan-termen is de responder-kant in ferbining mei right=%any, dy't in peer fan hokker boarneadres dan ek akseptearret, plus [email protected], dat fêstpintet wa't dy peer him foar jaan moat. Foegje rightsubnet=10.20.0.0/16 ta foar de LAN's fan 'e filiale, auto=add sadat de ferbining lade wurdt sûnder te beljen, dpd_delay=30s foar libbenskrêft, en mobike=yes sadat in adresferoaring opnommen wurde kin yn stee fan as in nije peer behannele te wurden.

Oare fabrikanten uterje deselde objekten ûnder oare nammen, meast in dynamysk peer- of filiaalkantoartype mei in identiteitsfjild en in beskerme subnetfjild. Folje beide yn; in generike dynamyske kontrôleboks is gjin kompatibiliteitsplan.

Hâld de filiale as inisjator

Op 'e filiale jildt it spegelbyld: left=%defaultroute sadat it lokale mobyle adres brûkt wurdt sa't it no is, [email protected] om de identiteit te presintearjen, right=hub.example.com foar de stabile hubnamme, en auto=start sadat de tunnel omheech komt sûnder in minske. As de mobyle ferbining wer ferbynt, inisjearret de filiale op 'e nij en ferliket de hub deselde identiteit tsjin itselde beliedsobjekt.

Stean IKE ta op UDP 500, NAT-trochgong op UDP 4500, en de ynkapsulearre ESP dy't folget, oan beide kanten. Lit se dan tastien: in regel dy't allinnich ûnder kantoaroeren iepenet, sil as in ûnregelmjittige tunnel lykje.

Test de adresferoaring, net allinnich de earste hânskudder

Bring de tunnel omheech, befêstigje him, en twing de filiale dan nei in nij adres troch mobyle data of fleanmodus in minút oan en út te setten. Sjoch nei de list fan feiligensassosjaasjes op 'e hub en kontrolearje dat it peeradres feroare is wylst de identiteit dat net is. In tunnel dy't allinnich oant de earste opnij tawizing fan 'e oanbieder wurket, is hielendal net test.

Kontrolearje dan de beskerme subnets apart. In fêstige SA seit dat de peers har autentisearre hawwe; it seit net dat de hub in rûte nei it LAN fan 'e filiale hat of dat de filiale ferkear fan 'e hubkant akseptearret. Lês de rûtetabel en it firewallbelied apart, en stjoer dan in ping fan in host yn stee fan fan 'e gateway, want de gateway is it minst represintative apparaat op elk netwurk.

In stabile identiteit makket de filiale ta in beliedsobjekt dat de hub neame kin. It makket in carrier-NAT-adres net berikber, en it jout de rest fan 'e organisaasje net fan sels tagong ta de filiale.