Մասնաճյուղի VPN 4G ցանցում. պահեք ինքնությունը կայուն, երբ IP-ն տեղաշարժվում է

Սկսեք հենց մասնաճյուղից՝ 4G երթուղիչի WAN կարգավիճակի էջում։ Եթե ձեր տեսած հասցեն գտնվում է օպերատորի մասնավոր տիրույթում, այլ ոչ հանրայինում, ապա այդ սարքի վրա ոչ մի պորտի փոխանցում երբեք թույլ չի տա հանգույցին ներս զանգահարել, և թունելը պետք է կառուցվի մասնաճյուղից դեպի դուրս։ Այդ մեկ դիտարկումը որոշում է նախագիծը։ Մնացած աշխատանքը համոզվելն է, որ հանգույցը ճանաչում է մասնաճյուղին ավելի լավ բանով, քան մի հասցե, որը փոխվում է ամեն մի քանի ժամը մեկ։

Որտեղից պետք է սկսվի թունելը

Ստուգեք հասցեն այն ընդհանուր հասցեային տարածության դեմ, որը օպերատորներն օգտագործում են իրենց NAT-ի համար, 100.64.0.0/10, և սովորական մասնավոր տիրույթների դեմ։ Դրանցից մեկը բջջային վերին կապում տեսնելը սովորաբար նշանակում է, որ օպերատորի մակարդակի NAT-ը գտնվում է մասնաճյուղի և ինտերնետի միջև, և մուտքային միացումները հասանելի չեն ոչ մի գնով, որը մասնաճյուղը կարող է վճարել։ Երբ WAN հասցեն հանրային է, բայց փոխվում է, դուք ունեք այլ՝ ավելի հեշտ խնդիր։

Դինամիկ DNS-ը օգնում է միայն երկրորդ դեպքում։ Այն փոփոխվող հանրային հասցեին տալիս է կայուն անուն՝ զանգահարելու համար, և չի կարող ստեղծել այնպիսի քարտեզագրում, որը օպերատորը երբեք չի տրամադրել։ Այնուամենայնիվ արժե այն կարգավորել հանրային դեպքի համար, որովհետև այն հեռացնում է վերահամարակալման միակ ձեռքով քայլը։ Այն, ինչի այն չպետք է վերածվի, պատասխանն է այնպիսի մասնաճյուղի համար, որը օպերատորը երբեք հասանելի չի դարձրել։

Անջատեք զանգահարվող հասցեն այն ինքնությունից, որը համադրում եք

Հանգույցին պետք է կայուն բան՝ գտնվելու համար, հաստատված ֆիքսված հասցե կամ պահպանվող հոսթի անուն։ Մասնաճյուղին պետք է ճանաչվելու կայուն եղանակ, և IKEv2-ում դա ինքնության բեռն է, որը նա ներկայացնում է նույնականացման ընթացքում՝ անկախ այն աղբյուր հասցեից, որը նրա փաթեթները պատահաբար կրում են։ @branch-a.vpn.example-ի նման տողը գործում է որպես այդ ինքնությունը նույնիսկ այն ժամանակ, երբ բջջային հասցեն փոխվում է ամեն ժամ։

Այդ տողը համադրվում է քաղաքականության հետ, ոչ թե լուծվում DNS-ով, ուստի չսպասեք որոնում թունելի տեղադրման պահին։ Հանգույցի կազմաձևը պետք է հստակորեն անվանի սպասվող ինքնությունը, և վկայագրով նույնականացման դեպքում ինքնությունը պետք է նաև համապատասխանի այն բանին, ինչը վկայագիրն իրականում հաստատում է։

Ցանկացած ինքնություն ընդունելը, որովհետև աղբյուր հասցեն հավանական է թվում, այն ձախողման եղանակն է, որից պետք է խուսափել։ Պատասխանողի կողմում դա նշանակում է ընդունել ցանկացած զուգընկերոջ՝ ինքնության վայրի քարտով և ընդհանուր գաղտնիքով, ինչը նույնականացնում է տող, ոչ թե սարք։

Գրեք հանգույցի կողմը որպես անվանված զուգընկեր

strongSwan-ի տերմիններով պատասխանողի կողմը միացում է right=%any-ով, որը զուգընկեր է ընդունում ցանկացած աղբյուր հասցեից, գումարած [email protected], որը ամրացնում է, թե ինչ պետք է հայտարարի իրեն այդ զուգընկերը։ Ավելացրեք rightsubnet=10.20.0.0/16 մասնաճյուղի LAN-երի համար, auto=add, որպեսզի միացումը բեռնվի առանց զանգահարելու, dpd_delay=30s կենսունակության համար, և mobike=yes, որպեսզի հասցեի փոփոխությունը ներծծվի, այլ ոչ թե դիտարկվի որպես նոր զուգընկեր։

Այլ արտադրողներ նույն օբյեկտներն արտահայտում են այլ անուններով՝ սովորաբար դինամիկ կամ մասնաճյուղային զուգընկերի տեսակ՝ ինքնության դաշտով և պաշտպանված ենթացանցի դաշտով։ Լրացրեք երկուսն էլ՝ ընդհանուր դինամիկ նշիչը համատեղելիության ծրագիր չէ։

Պահեք մասնաճյուղը որպես սկսող

Մասնաճյուղում գործում է հայելային պատկերը՝ left=%defaultroute, որպեսզի տեղական բջջային հասցեն օգտագործվի այնպես, ինչպես հիմա է, [email protected] ինքնությունը ներկայացնելու համար, right=hub.example.com կայուն հանգույցի անվան համար, և auto=start, որպեսզի թունելը բարձրանա առանց մարդու։ Երբ բջջային կապը նորից միանում է, մասնաճյուղը նորից սկսում է, և հանգույցը համադրում է նույն ինքնությունը նույն քաղաքականության օբյեկտի հետ։

Թույլատրեք IKE-ն UDP 500-ի վրա, NAT-ի անցումը UDP 4500-ի վրա և դրան հաջորդող ինկապսուլացված ESP-ն՝ երկու կողմերում։ Այնուհետև թողեք դրանք թույլատրված՝ մի կանոն, որը բացվում է միայն աշխատանքային ժամերին, ընդհատվող թունելի տպավորություն կթողնի։

Փորձարկեք հասցեի փոփոխությունը, ոչ միայն առաջին ձեռքսեղմումը

Բարձրացրեք թունելը, հաստատեք այն, ապա մեկ րոպեով բջջային տվյալների կամ ինքնաթիռի ռեժիմի միացում-անջատումով ստիպեք մասնաճյուղին անցնել նոր հասցեի։ Դիտեք հանգույցի անվտանգության միավորումների ցանկը և ստուգեք, որ զուգընկերոջ հասցեն փոխվել է, իսկ ինքնությունը՝ ոչ։ Թունելը, որն աշխատում է միայն մինչև օպերատորի առաջին վերաբաշխումը, ընդհանրապես փորձարկված չէ։

Այնուհետև առանձին ստուգեք պաշտպանված ենթացանցերը։ Հաստատված SA-ն ասում է, որ զուգընկերները նույնականացել են՝ այն չի ասում, որ հանգույցն ունի երթուղի դեպի մասնաճյուղի LAN կամ որ մասնաճյուղն ընդունում է երթևեկություն հանգույցի կողմից։ Առանձին կարդացեք երթուղավորման աղյուսակը և հրային պատի քաղաքականությունը, ապա ping ուղարկեք հոսթից, ոչ թե դարպասից, քանի որ դարպասը ցանկացած ցանցում ամենաքիչ ներկայացուցչական սարքն է։

Կայուն ինքնությունը մասնաճյուղը դարձնում է քաղաքականության օբյեկտ, որը հանգույցը կարող է անվանել։ Այն հասանելի չի դարձնում օպերատորի NAT հասցեն և ինքնին կազմակերպության մնացած մասին չի տալիս մուտք դեպի մասնաճյուղ։