VPN cabang di 4G: jaga identitas tetap stabil saat IP berpindah

Mulailah dari cabang itu sendiri, di halaman status WAN router 4G. Jika alamat yang Anda lihat berada di rentang privat operator, bukan rentang publik, tidak ada penerusan port di perangkat itu yang akan pernah membuat hub bisa menelepon masuk, dan terowongan harus dibangun keluar dari cabang. Satu pengamatan itu menentukan desainnya. Sisa pekerjaannya adalah memastikan hub mengenali cabang melalui sesuatu yang lebih baik daripada alamat yang berubah setiap beberapa jam.

Dari mana terowongan harus dimulai

Periksa alamat itu terhadap ruang alamat bersama yang dipakai operator untuk NAT mereka sendiri, 100.64.0.0/10, dan terhadap rentang privat biasa. Melihat salah satunya di uplink seluler biasanya berarti NAT tingkat operator berada di antara cabang dan internet, dan koneksi masuk tidak tersedia dengan harga berapa pun yang bisa dibayar cabang. Bila alamat WAN publik tetapi berubah, Anda punya masalah lain yang lebih mudah.

DNS dinamis hanya membantu pada kasus kedua. Ia memberi nama stabil untuk dihubungi pada alamat publik yang berubah, dan tidak dapat membuat pemetaan yang tidak pernah disediakan operator. Tetap layak dikonfigurasi untuk kasus publik, karena menghapus satu-satunya langkah manual dalam penomoran ulang. Yang tidak boleh terjadi adalah ia menjadi jawaban bagi cabang yang sejak awal tidak pernah dibuat dapat dijangkau oleh operator.

Pisahkan alamat yang Anda hubungi dari identitas yang Anda cocokkan

Hub memerlukan sesuatu yang stabil untuk ditemukan, alamat tetap yang disetujui atau nama host yang dipelihara. Cabang memerlukan cara stabil untuk dikenali, dan dalam IKEv2 itu adalah muatan identitas yang disajikannya saat autentikasi, terlepas dari alamat sumber yang kebetulan dibawa paketnya. String seperti @branch-a.vpn.example berfungsi sebagai identitas itu bahkan saat alamat seluler berubah tiap jam.

String itu dicocokkan dengan kebijakan, bukan diselesaikan lewat DNS, jadi jangan mengharapkan pencarian saat penyiapan terowongan. Konfigurasi hub harus menyebutkan identitas yang diharapkan secara eksplisit, dan dengan autentikasi sertifikat identitas juga harus sesuai dengan apa yang sebenarnya dinyatakan sertifikat.

Menerima identitas apa pun karena alamat sumber tampak masuk akal adalah mode kegagalan yang harus dihindari. Pada responder itu berarti menerima peer mana pun, dengan kartu liar identitas dan rahasia bersama, yang mengautentikasi string, bukan perangkat.

Tulis sisi hub sebagai peer bernama

Dalam istilah strongSwan, sisi responder adalah koneksi dengan right=%any, yang menerima peer dari alamat sumber mana pun, ditambah [email protected], yang mematok apa yang harus diklaim peer itu. Tambahkan rightsubnet=10.20.0.0/16 untuk LAN cabang, auto=add agar koneksi dimuat tanpa dihubungi, dpd_delay=30s untuk keaktifan, dan mobike=yes agar perubahan alamat dapat diserap alih-alih diperlakukan sebagai peer baru.

Vendor lain mengungkapkan objek yang sama dengan nama berbeda, biasanya tipe peer dinamis atau kantor cabang dengan bidang identitas dan bidang subnet terlindungi. Isi keduanya; kotak centang dinamis generik bukan rencana kompatibilitas.

Pertahankan cabang sebagai pemrakarsa

Di cabang berlaku bayangan cermin: left=%defaultroute agar alamat seluler lokal dipakai sebagaimana adanya sekarang, [email protected] untuk menyajikan identitas, right=hub.example.com untuk nama hub yang stabil, dan auto=start agar terowongan naik tanpa manusia. Saat tautan seluler tersambung lagi, cabang memulai ulang dan hub mencocokkan identitas yang sama dengan objek kebijakan yang sama.

Izinkan IKE pada UDP 500, lintasan NAT pada UDP 4500, dan ESP terbungkus yang mengikutinya, di kedua sisi. Lalu biarkan tetap diizinkan: aturan yang hanya terbuka selama jam kerja akan tampak seperti terowongan yang terputus-putus.

Uji perubahan alamat, bukan hanya jabat tangan pertama

Naikkan terowongan, konfirmasikan, lalu paksa cabang ke alamat baru dengan menyalakan dan mematikan data seluler atau mode pesawat selama satu menit. Amati daftar asosiasi keamanan di hub dan periksa bahwa alamat peer berubah sementara identitasnya tidak. Terowongan yang hanya bekerja sampai penugasan ulang pertama oleh operator sama sekali belum diuji.

Lalu periksa subnet terlindungi secara terpisah. SA yang terbentuk mengatakan peer sudah terautentikasi; itu tidak mengatakan hub punya rute ke LAN cabang atau bahwa cabang menerima lalu lintas dari sisi hub. Baca tabel perutean dan kebijakan firewall secara terpisah, lalu kirim ping dari host, bukan dari gateway, karena gateway adalah perangkat yang paling tidak mewakili di jaringan mana pun.

Identitas yang stabil mengubah cabang menjadi objek kebijakan yang bisa dinamai hub. Itu tidak membuat alamat NAT operator dapat dijangkau, dan tidak dengan sendirinya memberi sisa organisasi akses ke cabang.