Útibú VPN á 4G: haltu auðkenninu stöðugu þegar IP færist

Byrjaðu á útibúinu sjálfu, á WAN-stöðusíðu 4G-beinisins. Ef vistfangið sem þú sérð er í einkaneti fjarskiptafyrirtækisins frekar en opinberu neti, mun engin gáttavörpun á þeim búnaði nokkurn tíma leyfa hubnum að hringja inn, og göngin verða að byggja út frá útibúinu. Þessi eina athugun ræður hönnuninni. Restin af vinnunni er að tryggja að hubinn þekki útibúið af einhverju betra en vistfangi sem breytist á nokkurra klukkustunda fresti.

Hvar göngin verða að byrja

Athugaðu vistfangið á móti sameiginlega vistfangasvæðinu sem fjarskiptafyrirtæki nota fyrir sitt eigið NAT, 100.64.0.0/10, og á móti venjulegum einkanetum. Að sjá eitt þeirra á farsímaupphleðslu þýðir venjulega að NAT á stigi fjarskiptafyrirtækis situr milli útibúsins og internetsins, og innkomandi tengingar eru ekki í boði á neinu verði sem útibúið getur borgað. Þegar WAN-vistfangið er opinbert en breytist hefurðu annað og auðveldara vandamál.

Kvikt DNS hjálpar aðeins í seinna tilvikinu. Það gefur breytilegu opinberu vistfangi stöðugt nafn til að hringja í, og það getur ekki búið til vörpun sem fjarskiptafyrirtækið gaf aldrei. Það er samt þess virði að stilla það fyrir opinbera tilvikið, því það fjarlægir eina handvirka skrefið við endurnúmeringu. Það sem það má ekki verða er svarið fyrir útibú sem fjarskiptafyrirtækið gerði aldrei aðgengilegt.

Aðskildu vistfangið sem þú hringir í frá auðkenninu sem þú passar

Hubinn þarf eitthvað stöðugt til að finnast á, samþykkt fast vistfang eða viðhaldið hýsilnafn. Útibúið þarf stöðuga leið til að vera þekkt, og í IKEv2 er það auðkennisbyrðin sem það leggur fram við sannvottun, óháð upprunavistfanginu sem pakkarnir þess bera fyrir tilviljun. Strengur eins og @branch-a.vpn.example virkar sem þetta auðkenni jafnvel þótt farsímavistfangið breytist á hverri klukkustund.

Sá strengur er borinn saman við stefnu, ekki leystur í gegnum DNS, svo ekki búast við uppflettingu við uppsetningu ganganna. Stilling hubins verður að nefna væntanlegt auðkenni skýrt, og með vottorðasannvottun verður auðkennið einnig að passa við það sem vottorðið fullyrðir í raun.

Að samþykkja hvaða auðkenni sem er af því að upprunavistfangið virðist trúlegt er það bilanatilfelli sem forðast á. Á svaranda þýðir það að samþykkja hvaða jafningja sem er, með auðkennisjoker og sameiginlegu leyndarmáli, sem sannvottar streng en ekki tæki.

Skrifaðu hubhliðina sem nefndan jafningja

Í hugtökum strongSwan er svarandahliðin tenging með right=%any, sem samþykkir jafningja frá hvaða upprunavistfangi sem er, auk [email protected], sem festir hvað sá jafningi verður að segjast vera. Bættu við rightsubnet=10.20.0.0/16 fyrir LAN-net útibúsins, auto=add svo tengingin hleðst án þess að hringt sé, dpd_delay=30s fyrir lífskraft og mobike=yes svo hægt sé að gleypa vistfangabreytingu í stað þess að meðhöndla hana sem nýjan jafningja.

Aðrir framleiðendur tjá sömu hluti undir öðrum nöfnum, venjulega kvik eða útibúsjafningjategund með auðkennisreit og reit fyrir verndað undirnet. Fylltu út bæði; almennur kvikreitur er ekki samhæfingaráætlun.

Haltu útibúinu sem frumkvöðlinum

Á útibúinu gildir spegilmyndin: left=%defaultroute svo staðbundið farsímavistfang sé notað eins og það er núna, [email protected] til að leggja fram auðkennið, right=hub.example.com fyrir stöðuga hubnafnið, og auto=start svo göngin rísi án manns. Þegar farsímatenglin tengist aftur hefur útibúið frumkvæði að nýju og hubinn passar sama auðkenni á móti sama stefnuhluti.

Leyfðu IKE á UDP 500, NAT-far á UDP 4500 og umvafða ESP sem fylgir, á báðum hliðum. Láttu þau svo vera leyfð: regla sem opnast aðeins á skrifstofutíma mun líta út eins og slitrótt göng.

Prófaðu vistfangabreytinguna, ekki bara fyrsta handabandið

Ræstu göngin, staðfestu þau, og þvingaðu svo útibúið yfir á nýtt vistfang með því að kveikja og slökkva á farsímagögnum eða flugvélaham í eina mínútu. Fylgstu með öryggissamtengdum á hubnum og athugaðu að jafningjavistfangið breyttist en auðkennið ekki. Göng sem virka aðeins þar til fjarskiptafyrirtækið úthlutar í fyrsta sinn eru alls ekki prófuð.

Athugaðu svo vernduðu undirnetin sérstaklega. Uppsett SA segir að jafningjarnir hafi sannvottast; það segir ekki að hubinn hafi leið að LAN-netinu útibúsins eða að útibúið samþykki umferð frá hubhliðinni. Lestu beiningatöfluna og eldveggjarstefnuna sérstaklega, og sendu svo ping frá hýsli frekar en frá gáttinni, því gáttin er minnst dæmigerða tækið í hvaða neti sem er.

Stöðugt auðkenni gerir útibúið að stefnuhluti sem hubinn getur nefnt. Það gerir NAT-vistfang fjarskiptafyrirtækis ekki aðgengilegt, og það veitir sjálft hinum hluta fyrirtækisins ekki aðgang að útibúinu.