4G аркылуу филиал VPN: IP өзгөргөндө идентификацияны туруктуу кармаңыз

Филиалдын өзүнөн баштаңыз, 4G роутеринин WAN абал барагында. Эгер көрүп жаткан дарегиңиз оператордун жеке диапазонунда болсо, коомдук эмес, анда ал түзмөктөгү эч бир порт багыттоо хабга ичке чалууга жол бербейт жана туннелди филиалдан сыртка карай куруу керек. Ошол бир байкоо долбоорду аныктайт. Калган иш — хаб филиалды бир нече саат сайын өзгөрүүчү даректен жакшыраак нерсе менен тааныйарына ынануу.

Туннел кайдан башталышы керек

Даректи операторлор өз NAT үчүн колдонгон жалпы дарек мейкиндиги, 100.64.0.0/10, жана кадимки жеке диапазондор менен салыштырыңыз. Мобилдик линияда алардын бири көрүнсө, адатта оператор деңгээлиндеги NAT филиал менен интернеттин ортосунда турат жана кирүүчү байланыштар филиал төлөй алган эч кандай баага жеткиликсиз дегенди билдирет. WAN дареги коомдук болуп, бирок өзгөрүп турса, сизде башка, жеңилирээк маселе бар.

Динамикалык DNS экинчи учурда гана жардам берет. Ал өзгөрмө коомдук дарекке чалуу үчүн туруктуу ат берет жана оператор эч качан бербеген картаны түзө албайт. Коомдук учур үчүн аны жөндөө керек, анткени кайра номерлөөдөгү жалгыз кол менен жасалуучу кадамды алып салат. Ал болбошу керек нерсе — оператор эч качан жеткиликтүү кылбаган филиал үчүн жооп.

Чалуучу даректи салыштыруучу идентификациядан бөлүңүз

Хабга табылуучу туруктуу нерсе керек: бекитилген туруктуу дарек же тейленүүчү хост аты. Филиалга таанылуунун туруктуу жолу керек, ал эми IKEv2де бул — аутентификация учурунда сунуш кылган идентификация жүгү, анын пакеттери кокустан алып жүргөн булак дарегине көз каранды эмес. @branch-a.vpn.example сыяктуу сап ошол идентификация катары иштейт, мобилдик дарек саат сайын өзгөрсө да.

Бул сап саясат менен салыштырылат, DNS аркылуу чечилбейт, ошондуктан туннел орнотууда издөө болот деп күтпөңүз. Хабдын конфигурациясы күтүлгөн идентификацияны ачык аташы керек, ал эми сертификат менен аутентификациядоо кезинде идентификация сертификат чындыгында ырастаган нерсеге да туура келиши керек.

Булак дареги ишенимдүү көрүнгөндүктөн каалаган идентификацияны кабыл алуу — бул болтурбоо керек болгон ириңдоо режими. Жооп берүүчү тарапта бул идентификациянын жапайы картасы жана жалпы сыры менен каалаган өнөктөштү кабыл алууну билдирет, ал түзмөктү эмес, сапты аутентификациялайт.

Хаб тарабын аталган өнөктөш катары жазыңыз

strongSwan терминдеринде жооп берүүчү тарап — right=%any бар байланыш, ал каалаган булак дарегинен өнөктөштү кабыл алат, кошумча [email protected], ал ошол өнөктөштүн өзүн ким деп жарыялоосун бекитет. Филиалдын LANдары үчүн rightsubnet=10.20.0.0/16, байланыш чалуусуз жүктөлүшү үчүн auto=add, жашоо үчүн dpd_delay=30s жана дарек өзгөрүүсү жаңы өнөктөш катары каралбастан сиңирилиши үчүн mobike=yes кошуңуз.

Башка өндүрүүчүлөр ошол эле объектилерди башка аттар менен туюндурат, адатта идентификация талаасы жана корголгон ички тармак талаасы бар динамикалык же филиалдык өнөктөш түрү. Экөөнү тең толтуруңуз; жалпы динамикалык белги кутучасы шайкештик планы эмес.

Филиалды баштоочу кылып кармаңыз

Филиалда күзгү образы колдонулат: жергиликтүү мобилдик дарек азыркыдай колдонулушу үчүн left=%defaultroute, идентификацияны сунуштоо үчүн [email protected], туруктуу хаб аты үчүн right=hub.example.com жана туннел адамсыз көтөрүлүшү үчүн auto=start. Мобилдик байланыш кайра туташканда, филиал кайра баштайт жана хаб ошол эле идентификацияны ошол эле саясат объектиси менен салыштырат.

Эки тарапта тең UDP 500дө IKE, UDP 4500дө NAT өтүүсү жана андан кийинки инкапсуляцияланган ESP уруксат берилсин. Анан аларды уруксат берилген бойдон калтырыңыз: иш убактысында гана ачылган эреже үзгүлтүктүү туннелдей көрүнөт.

Дарек өзгөрүүсүн сынаңыз, биринчи кол алышууну гана эмес

Туннелди көтөрүңүз, ырастаңыз, анан бир мүнөткө мобилдик маалыматты же учак режимин күйгүзүп-өчүрүп филиалды жаңы дарекке мажбурлаңыз. Хабдагы коопсуздук бирикмелеринин тизмесин байкап, өнөктөштүн дареги өзгөргөнүн, идентификация өзгөрбөгөнүн текшериңиз. Оператордун биринчи кайра бөлүштүрүүсүнө чейин гана иштеген туннел такыр сыналган эмес.

Анан корголгон ички тармактарды өзүнчө текшериңиз. Орнотулган SA өнөктөштөр аутентификацияланганын айтат; ал хабдын филиалдын LANына маршруту бар экенин же филиал хаб тарабынан трафикти кабыл аларын айтпайт. Маршруттоо таблицасын жана брандмауэр саясатын өзүнчө окуңуз, анан pingди шлюзден эмес, хосттон жөнөтүңүз, анткени шлюз ар кандай тармактагы эң аз өкүлчүлүк кылган түзмөк.

Туруктуу идентификация филиалды хаб атай алган саясат объектисине айландырат. Ал оператордун NAT дарегин жеткиликтүү кылбайт жана өзү менен эле уюмдун калган бөлүгүнө филиалга кирүү бербейт.