ფილიალის VPN 4G-ზე: შეინარჩუნეთ იდენტობა სტაბილური, როცა IP იცვლება

დაიწყეთ თავად ფილიალიდან, 4G როუტერის WAN სტატუსის გვერდზე. თუ თქვენ მიერ ნანახი მისამართი ოპერატორის კერძო დიაპაზონშია და არა საჯაროში, ამ მოწყობილობაზე პორტის არც ერთი გადამისამართება არასოდეს მისცემს ჰაბს შიგნით დარეკვის საშუალებას და გვირაბი ფილიალიდან გარეთ უნდა აშენდეს. სწორედ ეს ერთი დაკვირვება წყვეტს დიზაინს. დანარჩენი სამუშაოა დარწმუნდეთ, რომ ჰაბი ფილიალს ცნობს იმაზე უკეთესი რამით, ვიდრე მისამართი, რომელიც ყოველ რამდენიმე საათში იცვლება.

საიდან უნდა დაიწყოს გვირაბი

შეამოწმეთ მისამართი ოპერატორების მიერ საკუთარი NAT-ისთვის გამოყენებულ საერთო მისამართთა სივრცესთან, 100.64.0.0/10, და ჩვეულებრივ კერძო დიაპაზონებთან. მათგან ერთის დანახვა მობილურ არხზე ჩვეულებრივ ნიშნავს, რომ ოპერატორის დონის NAT დგას ფილიალსა და ინტერნეტს შორის და შემომავალი კავშირები მიუწვდომელია ნებისმიერ ფასად, რომლის გადახდაც ფილიალს შეუძლია. როცა WAN მისამართი საჯაროა, მაგრამ იცვლება, სხვა, უფრო იოლი პრობლემა გაქვთ.

დინამიური DNS მხოლოდ მეორე შემთხვევაში ეხმარება. ის ცვალებად საჯარო მისამართს აძლევს სტაბილურ სახელს დასარეკად და ვერ შექმნის იმ დაკავშირებას, რომელიც ოპერატორს არასოდეს მიუცია. მაინც ღირს მისი კონფიგურაცია საჯარო შემთხვევისთვის, რადგან აშორებს გადანომვრის დროს ერთადერთ ხელით შესრულებულ ნაბიჯს. რადაც ის არ უნდა იქცეს, ეს არის პასუხი ფილიალისთვის, რომელიც ოპერატორს არასოდეს გაუხდია მისაწვდომი.

გამოყავით დასარეკი მისამართი იმ იდენტობისგან, რომელსაც ადარებთ

ჰაბს სჭირდება სტაბილური რამ, სადაც მისი პოვნა შეიძლება: დამტკიცებული ფიქსირებული მისამართი ან მხარდაჭერილი ჰოსტის სახელი. ფილიალს სჭირდება ამოცნობის სტაბილური გზა და IKEv2-ში ეს არის იდენტობის დატვირთვა, რომელსაც ის ავთენტიფიკაციის დროს წარადგენს, დამოუკიდებლად იმ წყაროს მისამართისგან, რომელსაც მისი პაკეტები შემთხვევით ატარებენ. @branch-a.vpn.example-ის მსგავსი სტრიქონი მუშაობს როგორც ეს იდენტობა მაშინაც, როცა მობილური მისამართი ყოველ საათში იცვლება.

ეს სტრიქონი პოლიტიკას ედარება და არ იხსნება DNS-ით, ამიტომ გვირაბის აწყობისას ძებნას ნუ ელოდებით. ჰაბის კონფიგურაციამ უნდა დაასახელოს მოსალოდნელი იდენტობა ცალსახად, ხოლო სერტიფიკატით ავთენტიფიკაციისას იდენტობა უნდა შეესაბამებოდეს იმასაც, რასაც სერტიფიკატი რეალურად აცხადებს.

ნებისმიერი იდენტობის მიღება იმიტომ, რომ წყაროს მისამართი დამაჯერებლად გამოიყურება, არის ის მარცხის რეჟიმი, რომელიც უნდა მოირიდოთ. პასუხისმგებელ მხარეს ეს ნიშნავს ნებისმიერი პარტნიორის მიღებას იდენტობის ველური ბარათით და საერთო საიდუმლოთი, რაც ავთენტიფიცირებს სტრიქონს და არა მოწყობილობას.

დაწერეთ ჰაბის მხარე როგორც დასახელებული პარტნიორი

strongSwan-ის ტერმინებით პასუხისმგებელი მხარე არის კავშირი right=%any-ით, რომელიც იღებს პარტნიორს ნებისმიერი წყაროს მისამართიდან, პლუს [email protected], რომელიც ამაგრებს, თუ როგორ უნდა წარმოაჩინოს თავი ამ პარტნიორმა. დაამატეთ rightsubnet=10.20.0.0/16 ფილიალის LAN-ებისთვის, auto=add, რომ კავშირი ჩაიტვირთოს დარეკვის გარეშე, dpd_delay=30s სიცოცხლისუნარიანობისთვის და mobike=yes, რომ მისამართის ცვლილება შეიწოვოს და არ ჩაითვალოს ახალ პარტნიორად.

სხვა მწარმოებლები იმავე ობიექტებს სხვა სახელებით გამოხატავენ, ჩვეულებრივ დინამიური ან ფილიალის პარტნიორის ტიპით, იდენტობის ველითა და დაცული ქვექსელის ველით. შეავსეთ ორივე; ზოგადი დინამიური მოსანიშნი უჯრა თავსებადობის გეგმა არ არის.

დატოვეთ ფილიალი ინიციატორად

ფილიალზე მოქმედებს სარკისებური გამოსახულება: left=%defaultroute, რომ ლოკალური მობილური მისამართი გამოყენებულ იქნას როგორც არის, [email protected] იდენტობის წარსადგენად, right=hub.example.com სტაბილური ჰაბის სახელისთვის და auto=start, რომ გვირაბი ადამიანის გარეშე ამოვიდეს. როცა მობილური კავშირი ხელახლა დაუკავშირდება, ფილიალი ხელახლა იწყებს და ჰაბი იმავე იდენტობას იმავე პოლიტიკის ობიექტს ადარებს.

დაუშვით IKE UDP 500-ზე, NAT-ის გავლა UDP 4500-ზე და მის შემდეგ შემდგარი ინკაფსულირებული ESP ორივე მხარეს. შემდეგ დატოვეთ ისინი ნებადართული: წესი, რომელიც მხოლოდ სამუშაო საათებში იხსნება, წყვეტილი გვირაბის შთაბეჭდილებას დატოვებს.

გამოსცადეთ მისამართის ცვლილება და არა მხოლოდ პირველი ხელის ჩამორთმევა

ამოიყვანეთ გვირაბი, დაადასტურეთ, შემდეგ აიძულეთ ფილიალი ახალ მისამართზე ერთი წუთით მობილური მონაცემების ან თვითმფრინავის რეჟიმის ჩართვა-გამორთვით. დააკვირდით ჰაბზე უსაფრთხოების ასოციაციების სიას და შეამოწმეთ, რომ პარტნიორის მისამართი შეიცვალა, იდენტობა კი არა. გვირაბი, რომელიც მხოლოდ ოპერატორის პირველ გადანაწილებამდე მუშაობს, საერთოდ არ არის გამოცდილი.

შემდეგ ცალკე შეამოწმეთ დაცული ქვექსელები. დამყარებული SA ამბობს, რომ პარტნიორები ავთენტიფიცირდნენ; ის არ ამბობს, რომ ჰაბს აქვს მარშრუტი ფილიალის LAN-თან ან რომ ფილიალი ჰაბის მხრიდან ტრაფიკს იღებს. ცალ-ცალკე წაიკითხეთ მარშრუტიზაციის ცხრილი და ქსელური დაცვის პოლიტიკა, შემდეგ ping გაგზავნეთ ჰოსტიდან და არა კარიბჭიდან, რადგან კარიბჭე ნებისმიერ ქსელში ყველაზე ნაკლებად წარმომადგენელი მოწყობილობაა.

სტაბილური იდენტობა ფილიალს აქცევს პოლიტიკის ობიექტად, რომელსაც ჰაბი შეძლებს დაასახელოს. ის არ ხდის ოპერატორის NAT მისამართს მისაწვდომს და თავისთავად არ აძლევს ორგანიზაციის დანარჩენ ნაწილს ფილიალზე წვდომას.