VPN brainse ar 4G: coinnigh an fhéiniúlacht cobhsaí nuair a bhogann an IP

Tosaigh ag an mbrainse féin, ar leathanach stádas WAN an ródaire 4G. Má tá an seoladh a fheiceann tú sa raon príobháideach de chuid an oibreora seachas i raon poiblí, ní ligfidh aon aistriú port ar an mbosca sin don mbolg glaoch isteach riamh, agus caithfear an tollán a thógáil amach ón mbrainse. Socraíonn an aon bhreathnóireacht sin an dearadh. Is é an chuid eile den obair a chinntiú go n-aithníonn an bolg an brainse trí rud éigin níos fearr ná seoladh a athraíonn gach cúpla uair an chloig.

Cá gcaithfidh an tollán tosú

Seiceáil an seoladh i gcoinne an spáis seolta roinnte a úsáideann oibreoirí dá NAT féin, 100.64.0.0/10, agus i gcoinne na ngnáth-raonta príobháideacha. De ghnáth ciallaíonn sé sin, má fheiceann tú ceann acu ar uplink soghluaiste, go bhfuil NAT ar leibhéal an oibreora idir an brainse agus an t-idirlíon, agus nach bhfuil naisc isteach ar fáil ar aon phraghas is féidir leis an mbrainse a íoc. Nuair atá an seoladh WAN poiblí ach ag athrú, tá fadhb eile, níos éasca, agat.

Ní chabhraíonn DNS dinimiciúil ach sa dara cás. Tugann sé ainm cobhsaí le glaoch ar sheoladh poiblí atá ag athrú, agus ní féidir leis mapáil a chruthú nár sholáthair an t-oibreoir riamh. Is fiú é a chumrú don chás poiblí mar sin féin, mar baineann sé an t-aon chéim láimhe in athuimhriú. Níor cheart dó éirí ina fhreagra do bhrainse nár dhein an t-oibreoir inrochtana riamh.

Deighil an seoladh a ghlaonn tú ón bhféiniúlacht a mheaitseálann tú

Teastaíonn rud cobhsaí ón mbolg le fáil air, seoladh seasta ceadaithe nó óstainm a chothaítear. Teastaíonn bealach cobhsaí ón mbrainse le haithint, agus in IKEv2 is é sin an t-ualach féiniúlachta a chuireann sé i láthair le linn fíordheimhnithe, beag beann ar an seoladh foinse a iompraíonn a phaicéid. Oibríonn teaghrán mar @branch-a.vpn.example mar an fhéiniúlacht sin fiú agus an seoladh soghluaiste ag athrú gach uair an chloig.

Meaitseáiltear an teaghrán sin le polasaí, ní réitítear trí DNS é, mar sin ná bí ag súil le cuardach ag socrú an tolláin. Caithfidh cumraíocht an bholg an fhéiniúlacht ionchais a ainmniú go sainráite, agus le fíordheimhniú deimhnithe caithfidh an fhéiniúlacht teacht freisin leis an méid a dhearbhaíonn an deimhniú i ndáiríre.

Is é glacadh le haon fhéiniúlacht toisc go bhfuil cuma inchreidte ar an seoladh foinse an mód teipe is ceart a sheachaint. Ar fhreagróir ciallaíonn sé sin glacadh le haon phiara, le cárta fiáin féiniúlachta agus rún roinnte, rud a fhíordheimhníonn teaghrán seachas gléas.

Scríobh taobh an bholg mar phiara ainmnithe

I dtéarmaí strongSwan is nasc é taobh an fhreagróra le right=%any, a ghlacann piara ó aon seoladh foinse, móide [email protected], a phionnálann cad é a chaithfidh an piara sin a mhaíomh. Cuir rightsubnet=10.20.0.0/16 leis do LANanna an bhrainse, auto=add ionas go luchtófar an nasc gan ghlaoch, dpd_delay=30s le haghaidh beoghachta, agus mobike=yes ionas gur féidir athrú seolta a ionsú seachas a láimhseáil mar phiara nua.

Cuireann déantóirí eile na rudaí céanna in iúl faoi ainmneacha éagsúla, de ghnáth cineál piara dinimiciúil nó brainse-oifige le réimse féiniúlachta agus réimse fo-líonra cosanta. Líon isteach an dá cheann; ní plean comhoiriúnachta é bosca seiceála dinimiciúil cineálach.

Coinnigh an brainse mar thionscnóir

Ar an mbrainse tá an íomhá scátháin i bhfeidhm: left=%defaultroute ionas go n-úsáidtear an seoladh soghluaiste áitiúil mar atá sé faoi láthair, [email protected] chun an fhéiniúlacht a chur i láthair, right=hub.example.com d'ainm cobhsaí an bholg, agus auto=start ionas go n-éiríonn an tollán gan duine. Nuair a athcheanglaíonn an nasc soghluaiste, tosaíonn an brainse arís agus meaitseálann an bolg an fhéiniúlacht chéanna i gcoinne an ruda bheartais chéanna.

Ceadaigh IKE ar UDP 500, trasnú NAT ar UDP 4500, agus an ESP ionchochallaithe a leanann, ar an dá thaobh. Ansin fág ceadaithe iad: beidh cuma tolláin threallúsaigh ar riail nach n-osclaíonn ach le linn uaireanta oifige.

Tástáil an t-athrú seolta, ní hamháin an chéad chroitheadh láimhe

Ardaigh an tollán, dearbhaigh é, ansin iallach an brainse ar sheoladh nua trí shonraí soghluaiste nó mód eitleáin a scor agus a athchur ar feadh nóiméid. Féach ar liosta na nasc slándála ar an mbolg agus seiceáil gur athraigh seoladh an phiara agus nár athraigh an fhéiniúlacht. Níor tástáladh tollán nach n-oibríonn ach go dtí chéad athshannadh an oibreora.

Ansin seiceáil na fo-líonraí cosanta ar leithligh. Deir SA bunaithe gur fhíordheimhnigh na piaraí; ní deir sé go bhfuil bealach ag an mbolg chuig LAN an bhrainse ná go nglacann an brainse le trácht ó thaobh an bholg. Léigh an tábla ródaithe agus polasaí an bhalla dóiteáin ar leithligh, ansin seol ping ó óstach seachas ón ngeata, mar is é an geata an gléas is lú ionadaíoch ar aon líonra.

Iompaíonn féiniúlacht chobhsaí an brainse ina rud beartais ar féidir leis an mbolg a ainmniú. Ní dhéanann sé seoladh NAT oibreora inrochtana, agus ní thugann sé rochtain don eagraíocht eile ar an mbrainse as féin.