4G पर ब्रांच VPN: IP बदलने पर भी पहचान स्थिर रखें

ब्रांच से ही शुरू करें, 4G राउटर के WAN स्थिति पृष्ठ पर। अगर आपको दिखने वाला पता सार्वजनिक रेंज के बजाय ऑपरेटर की निजी रेंज में है, तो उस बॉक्स पर कोई भी पोर्ट फ़ॉरवर्ड हब को कभी अंदर डायल नहीं करने देगा, और टनल ब्रांच से बाहर की ओर बनानी होगी। यही एक अवलोकन डिज़ाइन तय करता है। बाकी काम यह सुनिश्चित करना है कि हब ब्रांच को हर कुछ घंटों में बदलने वाले पते से बेहतर किसी चीज़ से पहचाने।

टनल कहाँ से शुरू होनी चाहिए

पते को उस साझा पता स्थान के सामने जाँचें जो ऑपरेटर अपने NAT के लिए उपयोग करते हैं, 100.64.0.0/10, और सामान्य निजी रेंजों के सामने भी। मोबाइल अपलिंक पर उनमें से कोई एक दिखना आम तौर पर मतलब है कि ऑपरेटर-स्तरीय NAT ब्रांच और इंटरनेट के बीच बैठा है, और आने वाले कनेक्शन ऐसी किसी भी कीमत पर उपलब्ध नहीं हैं जो ब्रांच चुका सके। जब WAN पता सार्वजनिक हो पर बदलता हो, तो आपकी समस्या दूसरी और आसान है।

डायनामिक DNS केवल दूसरे मामले में मदद करता है। यह बदलते सार्वजनिक पते को डायल करने के लिए स्थिर नाम देता है, और ऐसी मैपिंग नहीं बना सकता जो ऑपरेटर ने कभी दी ही न हो। सार्वजनिक मामले के लिए इसे कॉन्फ़िगर करना फिर भी उचित है, क्योंकि यह पुनःसंख्या में एकमात्र हाथ से किया जाने वाला चरण हटा देता है। इसे उस ब्रांच का उत्तर नहीं बनना चाहिए जिसे ऑपरेटर ने कभी पहुँच-योग्य नहीं बनाया।

जिस पते पर आप डायल करते हैं और जिस पहचान का मिलान करते हैं, उन्हें अलग रखें

हब को एक स्थिर चीज़ चाहिए जिस पर वह मिल सके, स्वीकृत निश्चित पता या बनाए रखा गया होस्टनाम। ब्रांच को पहचाने जाने का स्थिर तरीका चाहिए, और IKEv2 में वही पहचान पेलोड है जो वह प्रमाणीकरण के दौरान प्रस्तुत करती है, चाहे उसके पैकेट जो भी स्रोत पता ले जाएँ। @branch-a.vpn.example जैसी स्ट्रिंग उस पहचान के रूप में काम करती है, भले ही मोबाइल पता हर घंटे बदले।

उस स्ट्रिंग का मिलान नीति से होता है, DNS से हल नहीं किया जाता, इसलिए टनल सेटअप पर किसी लुकअप की अपेक्षा न करें। हब के कॉन्फ़िगरेशन में अपेक्षित पहचान स्पष्ट रूप से नामित होनी चाहिए, और प्रमाणपत्र प्रमाणीकरण के साथ पहचान को उससे भी मेल खाना चाहिए जो प्रमाणपत्र वास्तव में दावा करता है।

केवल इसलिए कोई भी पहचान स्वीकार करना कि स्रोत पता विश्वसनीय लगता है, वही विफलता-विधि है जिससे बचना है। एक रिस्पॉन्डर पर इसका अर्थ है पहचान वाइल्डकार्ड और साझा रहस्य के साथ कोई भी पीयर स्वीकार करना, जो उपकरण के बजाय स्ट्रिंग का प्रमाणन करता है।

हब पक्ष को नामित पीयर के रूप में लिखें

strongSwan की शब्दावली में रिस्पॉन्डर पक्ष एक कनेक्शन है जिसमें right=%any है, जो किसी भी स्रोत पते से पीयर स्वीकार करता है, साथ में [email protected], जो तय करता है कि उस पीयर को स्वयं को क्या बताना होगा। ब्रांच LAN के लिए rightsubnet=10.20.0.0/16 जोड़ें, कनेक्शन को डायल किए बिना लोड होने के लिए auto=add, जीवंतता के लिए dpd_delay=30s, और पता परिवर्तन को नया पीयर मानने के बजाय समाहित करने के लिए mobike=yes।

अन्य विक्रेता उन्हीं वस्तुओं को भिन्न नामों से व्यक्त करते हैं, आम तौर पर पहचान फ़ील्ड और संरक्षित सबनेट फ़ील्ड वाला डायनामिक या शाखा-कार्यालय पीयर प्रकार। दोनों भरें; सामान्य डायनामिक चेकबॉक्स कोई संगतता योजना नहीं है।

ब्रांच को आरंभकर्ता बनाए रखें

ब्रांच पर दर्पण प्रतिबिंब लागू होता है: स्थानीय मोबाइल पता जैसा अभी है वैसे ही उपयोग होने के लिए left=%defaultroute, पहचान प्रस्तुत करने के लिए [email protected], स्थिर हब नाम के लिए right=hub.example.com, और बिना किसी मनुष्य के टनल ऊपर आने के लिए auto=start। जब मोबाइल लिंक फिर से जुड़ता है, ब्रांच पुनः आरंभ करती है और हब वही पहचान उसी नीति ऑब्जेक्ट के सामने मिलाता है।

दोनों तरफ़ UDP 500 पर IKE, UDP 4500 पर NAT ट्रैवर्सल, और उसके बाद आने वाला एनकैप्सुलेटेड ESP अनुमत करें। फिर उन्हें अनुमत छोड़ दें: केवल कार्यालय समय में खुलने वाला नियम रुक-रुक कर चलने वाली टनल जैसा दिखेगा।

पता परिवर्तन जाँचें, केवल पहला हैंडशेक नहीं

टनल ऊपर लाएँ, उसकी पुष्टि करें, फिर एक मिनट के लिए मोबाइल डेटा या हवाई जहाज़ मोड टॉगल करके ब्रांच को नए पते पर मजबूर करें। हब पर सुरक्षा संबद्धता सूची देखें और जाँचें कि पीयर पता बदला जबकि पहचान नहीं बदली। जो टनल केवल ऑपरेटर के पहले पुनःआवंटन तक चलती है, उसकी जाँच ही नहीं हुई।

फिर संरक्षित सबनेट अलग से जाँचें। स्थापित SA कहता है कि पीयर प्रमाणित हुए; यह नहीं कहता कि हब के पास ब्रांच LAN तक मार्ग है या ब्रांच हब पक्ष से ट्रैफ़िक स्वीकार करती है। राउटिंग तालिका और फ़ायरवॉल नीति अलग-अलग पढ़ें, फिर गेटवे से नहीं बल्कि होस्ट से ping भेजें, क्योंकि गेटवे किसी भी नेटवर्क का सबसे कम प्रतिनिधित्व करने वाला उपकरण है।

स्थिर पहचान ब्रांच को ऐसी नीति वस्तु बना देती है जिसे हब नाम दे सके। यह ऑपरेटर-NAT पते को पहुँच-योग्य नहीं बनाती, और अपने आप संगठन के बाकी हिस्से को ब्रांच तक पहुँच नहीं देती।