4G арқылы филиал VPN: IP өзгергенде сәйкестікті тұрақты ұстаңыз

Филиалдың өзінен бастаңыз, 4G роутерінің WAN күй бетінде. Егер көріп отырған мекенжайыңыз оператордың жеке диапазонында болса, қоғамдық емес, онда сол құрылғыдағы ешбір порт бағыттауы хабқа ішке қоңырау шалуға мүмкіндік бермейді және туннель филиалдан сыртқа қарай салынуы керек. Осы бір байқау дизайнды анықтайды. Қалған жұмыс — хаб филиалды бірнеше сағат сайын өзгеретін мекенжайдан жақсырақ нәрсемен танитынына көз жеткізу.

Туннель қайдан басталуы керек

Мекенжайды операторлар өз NAT-тары үшін пайдаланатын ортақ мекенжай кеңістігімен, 100.64.0.0/10, және кәдімгі жеке диапазондармен салыстырыңыз. Мобильді желіде солардың біреуін көру әдетте оператор деңгейіндегі NAT филиал мен интернет арасында тұрғанын және кіріс қосылымдары филиал төлей алатын ешқандай бағаға қолжетімсіз екенін білдіреді. WAN мекенжайы қоғамдық болып, бірақ өзгеріп тұрса, сізде басқа, жеңілірек мәселе бар.

Динамикалық DNS тек екінші жағдайда көмектеседі. Ол өзгермелі қоғамдық мекенжайға қоңырау шалу үшін тұрақты атау береді және оператор ешқашан бермеген сәйкестендіруді жасай алмайды. Қоғамдық жағдай үшін оны баптаған жөн, себебі ол қайта нөмірлеудегі жалғыз қолмен жасалатын қадамды алып тастайды. Ол болмауға тиіс нәрсе — оператор ешқашан қолжетімді етпеген филиал үшін жауап.

Қоңырау шалатын мекенжайды салыстыратын сәйкестіктен бөліңіз

Хабқа табылатын тұрақты нәрсе керек: бекітілген тұрақты мекенжай немесе қолдау көрсетілетін хост атауы. Филиалға танылудың тұрақты жолы керек, ал IKEv2-де бұл — аутентификация кезінде ұсынатын сәйкестік жүктемесі, оның пакеттері кездейсоқ алып жүретін бастапқы мекенжайға тәуелсіз. @branch-a.vpn.example сияқты жол осы сәйкестік ретінде жұмыс істейді, тіпті мобильді мекенжай сағат сайын өзгерсе де.

Бұл жол саясатпен салыстырылады, DNS арқылы шешілмейді, сондықтан туннель орнатылғанда іздеу болады деп күтпеңіз. Хаб конфигурациясы күтілетін сәйкестікті анық атауы керек, ал сертификатпен аутентификация кезінде сәйкестік сертификат шын мәнінде растайтын нәрсеге де сәйкес келуі керек.

Бастапқы мекенжай сенімді көрінгендіктен кез келген сәйкестікті қабылдау — бұл аулақ болу керек ақау режимі. Жауап беруші жағында бұл сәйкестіктің жабайы картасы мен ортақ құпиясымен кез келген серіктесті қабылдауды білдіреді, ал бұл құрылғыны емес, жолды аутентификациялайды.

Хаб жағын аталған серіктес ретінде жазыңыз

strongSwan терминдерінде жауап беруші жағы — right=%any бар қосылым, ол кез келген бастапқы мекенжайдан серіктесті қабылдайды, қоса [email protected], ол сол серіктестің өзін кім деп жариялауы керектігін бекітеді. Филиалдың LAN-дары үшін rightsubnet=10.20.0.0/16, қосылым қоңыраусыз жүктелуі үшін auto=add, тіршілік үшін dpd_delay=30s және мекенжай өзгерісі жаңа серіктес ретінде қаралмай сіңірілуі үшін mobike=yes қосыңыз.

Басқа өндірушілер сол нысандарды басқа атаулармен білдіреді, әдетте сәйкестік өрісі мен қорғалған ішкі желі өрісі бар динамикалық немесе филиалдық серіктес түрі. Екеуін де толтырыңыз; жалпы динамикалық құсбелгі үйлесімділік жоспары емес.

Филиалды бастаушы етіп ұстаңыз

Филиалда айна бейнесі қолданылады: жергілікті мобильді мекенжай қазіргі күйінде пайдаланылуы үшін left=%defaultroute, сәйкестікті ұсыну үшін [email protected], тұрақты хаб атауы үшін right=hub.example.com және туннель адамсыз көтерілуі үшін auto=start. Мобильді байланыс қайта қосылғанда, филиал қайта бастайды және хаб сол сәйкестікті сол саясат нысанымен салыстырады.

Екі жақта да UDP 500-де IKE, UDP 4500-де NAT өтуі және одан кейінгі инкапсуляцияланған ESP рұқсат етілсін. Содан кейін оларды рұқсат етілген күйде қалдырыңыз: тек жұмыс уақытында ашылатын ереже үзілісті туннель сияқты көрінеді.

Мекенжай өзгерісін сынаңыз, тек бірінші қол алысуды емес

Туннельді көтеріңіз, растаңыз, содан кейін бір минутқа мобильді деректерді немесе ұшақ режимін қосып-өшіріп, филиалды жаңа мекенжайға мәжбүрлеңіз. Хабтағы қауіпсіздік бірлестіктерінің тізімін бақылап, серіктес мекенжайы өзгергенін, ал сәйкестік өзгермегенін тексеріңіз. Тек оператордың бірінші қайта бөлуіне дейін жұмыс істейтін туннель мүлдем сыналмаған.

Содан кейін қорғалған ішкі желілерді бөлек тексеріңіз. Орнатылған SA серіктестердің аутентификацияланғанын айтады; ол хабтың филиалдың LAN-ына маршруты бар екенін немесе филиалдың хаб жағынан трафикті қабылдайтынын айтпайды. Маршруттау кестесі мен брандмауэр саясатын бөлек оқыңыз, содан кейін ping-ді шлюзден емес, хосттан жіберіңіз, өйткені шлюз кез келген желідегі ең аз өкілдік ететін құрылғы.

Тұрақты сәйкестік филиалды хаб атай алатын саясат нысанына айналдырады. Ол оператор NAT мекенжайын қолжетімді етпейді және өздігінен ұйымның қалған бөлігіне филиалға қатынас бермейді.