Fióktelepi VPN 4G-n: tartsd stabilan az identitást, amikor az IP változik

Kezdd magánál a fióktelepnél, a 4G-s router WAN-állapot oldalán. Ha a látott cím a szolgáltató privát tartományában van, nem nyilvánosban, akkor azon a dobozon semmilyen porttovábbítás nem engedi majd, hogy a hub befelé tárcsázzon, és az alagutat a fiókteleptől kifelé kell építeni. Ez az egyetlen megfigyelés dönti el a tervezést. A munka többi része annak biztosítása, hogy a hub valami jobbról ismerje fel a fióktelepet, mint egy cím, amely pár óránként változik.

Hol kell az alagútnak kezdődnie

Ellenőrizd a címet a szolgáltatók saját NAT-jukhoz használt megosztott címtartománya, 100.64.0.0/10, és a szokásos privát tartományok ellen. Ha ezek egyikét látod egy mobil uplinken, az általában azt jelenti, hogy szolgáltatói szintű NAT áll a fióktelep és az internet között, és a bejövő kapcsolatok nem érhetők el semmilyen áron, amit a fióktelep meg tud fizetni. Ha a WAN-cím nyilvános, de változik, más, könnyebb problémád van.

A dinamikus DNS csak a második esetben segít. Stabil nevet ad a változó nyilvános címnek, amelyre tárcsázni lehet, és nem tud olyan leképezést létrehozni, amelyet a szolgáltató soha nem adott. A nyilvános esethez mégis érdemes beállítani, mert eltávolítja az újraszámozás egyetlen kézi lépését. Amivé nem szabad válnia, az a válasz egy olyan fióktelep számára, amelyet a szolgáltató soha nem tett elérhetővé.

Válaszd szét a tárcsázott címet és az egyeztetett identitást

A hubnak kell valami stabil, ahol megtalálható: jóváhagyott fix cím vagy karbantartott hostnév. A fióktelepnek stabil módra van szüksége az azonosításhoz, és az IKEv2-ben ez az az identitás-hasznos teher, amelyet a hitelesítés során bemutat, függetlenül a forráscímtől, amelyet a csomagjai éppen hordoznak. Egy @branch-a.vpn.example szerű karakterlánc akkor is működik identitásként, ha a mobil cím óránként változik.

Ezt a karakterláncot a házirendhez illesztik, nem DNS-en keresztül oldják fel, ezért ne számíts keresésre az alagút felállításakor. A hub konfigurációjának kifejezetten meg kell neveznie a várt identitást, és tanúsítványos hitelesítésnél az identitásnak egyeznie kell azzal is, amit a tanúsítvány valójában állít.

Bármilyen identitás elfogadása azért, mert a forráscím hihetőnek tűnik, az az a hibaüzemmód, amelyet el kell kerülni. Egy válaszadón ez azt jelenti, hogy bármilyen partnert elfogadunk identitás-helyettesítővel és közös titokkal, ami egy karakterláncot hitelesít, nem egy eszközt.

Írd meg a hub oldalát megnevezett partnerként

strongSwan kifejezésekkel a válaszadó oldal egy kapcsolat right=%any beállítással, amely bármilyen forráscímről elfogad partnert, valamint [email protected], amely rögzíti, minek kell a partnernek vallania magát. Add hozzá a rightsubnet=10.20.0.0/16-et a fióktelep LAN-jaihoz, a auto=add-öt, hogy a kapcsolat tárcsázás nélkül betöltődjön, a dpd_delay=30s-ot az életképességhez, és a mobike=yes-et, hogy a címváltozás felszívódjon, ne pedig új partnerként kezeljék.

Más gyártók ugyanazokat az objektumokat más neveken fejezik ki, általában dinamikus vagy fiókiroda-partner típussal, identitásmezővel és védett alhálózati mezővel. Töltsd ki mindkettőt; egy általános dinamikus jelölőnégyzet nem kompatibilitási terv.

Tartsd a fióktelepet kezdeményezőnek

A fióktelepen a tükörkép érvényes: left=%defaultroute, hogy a helyi mobil címet úgy használja, ahogy éppen van, [email protected] az identitás bemutatásához, right=hub.example.com a stabil hubnévhez, és auto=start, hogy az alagút ember nélkül feljöjjön. Amikor a mobil link újra csatlakozik, a fióktelep újra kezdeményez, és a hub ugyanazt az identitást egyezteti ugyanazzal a házirend-objektummal.

Engedélyezd az IKE-et UDP 500-on, a NAT-átjárást UDP 4500-on és az azt követő beágyazott ESP-t mindkét oldalon. Utána hagyd engedélyezve: a csak munkaidőben nyíló szabály szakaszos alagútnak fog látszani.

A címváltozást teszteld, ne csak az első kézfogást

Hozd fel az alagutat, erősítsd meg, majd kényszerítsd a fióktelepet új címre a mobiladat vagy a repülőgép mód egyperces ki- és bekapcsolásával. Figyeld a hub biztonsági társításainak listáját, és ellenőrizd, hogy a partner címe megváltozott, az identitás viszont nem. Egy alagút, amely csak a szolgáltató első újrakiosztásáig működik, egyáltalán nincs tesztelve.

Ezután ellenőrizd a védett alhálózatokat külön. Egy létrejött SA azt mondja, hogy a partnerek hitelesítették egymást; nem mondja, hogy a hubnak van útvonala a fióktelep LAN-jához, vagy hogy a fióktelep elfogad forgalmat a hub oldaláról. Olvasd el külön az útvonaltáblát és a tűzfal-házirendet, majd küldj pinget hostból, ne az átjáróból, mert az átjáró a legkevésbé reprezentatív eszköz bármely hálózaton.

A stabil identitás házirend-objektummá teszi a fióktelepet, amelyet a hub meg tud nevezni. Nem teszi elérhetővé a szolgáltatói NAT-címet, és önmagában nem ad a szervezet többi részének hozzáférést a fióktelephez.