VPN de sucursal en 4G: mantén a identidade estable cando cambia a IP

Comeza pola propia sucursal, na páxina de estado WAN do router 4G. Se o enderezo que ves está no rango privado do operador en lugar dun público, ningunha redirección de portos nese equipo permitirá xamais que o concentrador marque cara a dentro, e o túnel ten que construírse cara a fóra desde a sucursal. Esa única observación decide o deseño. O resto do traballo consiste en asegurar que o concentrador recoñece a sucursal por algo mellor que un enderezo que cambia cada poucas horas.

Onde ten que comezar o túnel

Comproba o enderezo contra o espazo de enderezos compartido que os operadores usan para o seu propio NAT, 100.64.0.0/10, e contra os rangos privados habituais. Ver un deles nunha ligazón móbil adoita significar que hai NAT de operador entre a sucursal e internet, e que as conexións entrantes non están dispoñibles a ningún prezo que a sucursal poida pagar. Cando o enderezo WAN é público pero cambia, tes outro problema máis doado.

O DNS dinámico só axuda no segundo caso. Dálle a un enderezo público cambiante un nome estable ao que marcar, e non pode crear unha asignación que o operador nunca forneceu. Aínda así paga a pena configuralo para o caso público, porque elimina o único paso manual dunha renumeración. No que non debe converterse é na resposta para unha sucursal que o operador nunca fixo alcanzable.

Separa o enderezo ao que marcas da identidade que emparellas

O concentrador necesita algo estable no que ser atopado, un enderezo fixo aprobado ou un nome de host mantido. A sucursal necesita unha forma estable de ser recoñecida, e en IKEv2 iso é a carga útil de identidade que presenta durante a autenticación, independentemente do enderezo de orixe que leven os seus paquetes. Unha cadea como @branch-a.vpn.example funciona como esa identidade mesmo mentres o enderezo móbil cambia cada hora.

Esa cadea emparéllase contra a política, non se resolve por DNS, así que non esperes unha consulta ao establecer o túnel. A configuración do concentrador ten que nomear explicitamente a identidade esperada, e coa autenticación por certificado a identidade tamén ten que coincidir co que o certificado afirma realmente.

Aceptar calquera identidade porque o enderezo de orixe parece plausible é o modo de fallo que hai que evitar. Nun respondedor iso significa aceptar calquera par, cun comodín de identidade e un segredo compartido, o que autentica unha cadea en lugar dun dispositivo.

Escribe o lado do concentrador como un par nomeado

En termos de strongSwan, o lado do respondedor é unha conexión con right=%any, que acepta un par desde calquera enderezo de orixe, máis [email protected], que fixa o que ese par debe declarar ser. Engade rightsubnet=10.20.0.0/16 para as LAN da sucursal, auto=add para que a conexión se cargue sen marcarse, dpd_delay=30s para a vitalidade e mobike=yes para que un cambio de enderezo se absorba en lugar de tratarse como un par novo.

Outros fabricantes expresan os mesmos obxectos con nomes distintos, normalmente un tipo de par dinámico ou de sucursal cun campo de identidade e un campo de subrede protexida. Enche ambos; unha caixa xenérica de dinámico non é un plan de compatibilidade.

Mantén a sucursal como iniciador

Na sucursal aplícase a imaxe especular: left=%defaultroute para que se use o enderezo móbil local tal como está agora, [email protected] para presentar a identidade, right=hub.example.com para o nome estable do concentrador e auto=start para que o túnel suba sen unha persoa. Cando a ligazón móbil se reconecta, a sucursal volve iniciar e o concentrador emparella a mesma identidade contra o mesmo obxecto de política.

Permite IKE en UDP 500, o paso por NAT en UDP 4500 e o ESP encapsulado que segue, en ambos os lados. Logo déixaos permitidos: unha regra que só se abre en horario laboral parecerá un túnel intermitente.

Proba o cambio de enderezo, non só o primeiro aperto de mans

Levanta o túnel, confírmao e despois forza a sucursal a un enderezo novo activando e desactivando os datos móbiles ou o modo avión durante un minuto. Observa a lista de asociacións de seguridade no concentrador e comproba que o enderezo do par cambiou mentres a identidade non. Un túnel que só funciona ata a primeira reasignación do operador non se probou en absoluto.

Despois comproba as subredes protexidas por separado. Unha SA establecida di que os pares se autenticaron; non di que o concentrador teña unha ruta á LAN da sucursal nin que a sucursal acepte tráfico do lado do concentrador. Le a táboa de encamiñamento e a política da devasa por separado e despois envía un ping desde un host en lugar de desde a porta de enlace, xa que a porta de enlace é o dispositivo menos representativo de calquera rede.

Unha identidade estable converte a sucursal nun obxecto de política que o concentrador pode nomear. Non fai alcanzable un enderezo de NAT de operador nin dá por si soa ao resto da organización acceso á sucursal.