Filial-VPN iwwer 4G: d'Identitéit stabil halen, wann d'IP sech beweegt

Fänk bei der Filial selwer un, op der WAN-Status-Säit vum 4G-Router. Wann d'Adress, déi Dir gesitt, am private Beräich vum Bedreiwer läit an net an engem ëffentlechen, da wäert keng Portweiderleitung op där Këscht den Hub jeemools erlaaben, bannen ze ruffen, an den Tunnel muss vun der Filial no baussen opgebaut ginn. Dee eenzege Beobachtung entscheet den Design. De Rescht vun der Aarbecht ass sécherzestellen, datt den Hub d'Filial un eppes Besseres erkennt wéi un enger Adress, déi all puer Stonnen ännert.

Wou den Tunnel muss ufänken

Kontrolléiert d'Adress géint de gedeelte Adressraum, deen d'Bedreiwer fir hiren eegenen NAT benotzen, 100.64.0.0/10, an géint déi üblech privat Beräicher. Eng dovun op engem mobilen Uplink ze gesinn heescht normalerweis, datt NAT op Bedreiwer-Niveau tëscht der Filial an dem Internet sëtzt, an datt erakommend Verbindungen zu kengem Präis ze kréien sinn, deen d'Filial bezuele kann. Wann d'WAN-Adress ëffentlech ass, awer sech ännert, hutt Dir en anert, méi einfacht Problem.

Dynamesch DNS hëlleft nëmmen am zweete Fall. Et gëtt enger ännender ëffentlecher Adress en stabelen Numm fir unzeruffen, an et kann eng Zouschreiwung net erstellen, déi de Bedreiwer ni ginn huet. Et ass awer nach ëmmer wäert, et fir den ëffentleche Fall ze konfiguréieren, well et deen eenzege manuelle Schrëtt bei enger Ëmnummeréierung ewech hëlt. Wat et net däerf ginn, ass d'Äntwert fir eng Filial, déi de Bedreiwer ni erreechbar gemaach huet.

Trennt d'Adress, déi Dir urufft, vun der Identitéit, déi Dir vergläicht

Den Hub brauch eppes stabilt, wou en ze fannen ass, eng genehmegt fix Adress oder en ënnerhalenen Hostnumm. D'Filial brauch eng stabil Manéier, erkannt ze ginn, an an IKEv2 ass dat d'Identitéitsnotzlaascht, déi se bei der Authentifizéierung presentéiert, onofhängeg vun der Quelladress, déi hir Paketen zoufälleg droen. E String wéi @branch-a.vpn.example funktionéiert als déi Identitéit, och wann d'mobil Adress all Stonn ännert.

Dee String gëtt géint d'Politik verglach, net iwwer DNS opgeléist, also erwaart keng Nofro beim Opbau vum Tunnel. D'Konfiguratioun vum Hub muss déi erwaart Identitéit ausdrécklech nennen, a mat Zertifikatsauthentifizéierung muss d'Identitéit och zu deem passen, wat den Zertifikat tatsächlech behaapt.

Eng Identitéit akzeptéieren, well d'Quelladress plausibel ausgesäit, ass dee Feelmode, deen ee vermeide muss. Op engem Responder heescht dat, all Peer ze akzeptéieren, mat enger Identitéits-Wildcard an engem gedeelte Geheimnis, wat e String authentifizéiert an net en Apparat.

Schreift d'Hubsäit als engen namentleche Peer

A strongSwan-Begrëffer ass d'Respondersäit eng Verbindung mat right=%any, déi e Peer vun enger Quelladress akzeptéiert, plus [email protected], dat festhält, als wat dee Peer sech muss ausginn. Füügt rightsubnet=10.20.0.0/16 fir d'LANe vun der Filial bäi, auto=add sou datt d'Verbindung geluede gëtt, ouni ugeruff ze ginn, dpd_delay=30s fir d'Liewendegkeet, an mobike=yes sou datt eng Adressännerung absorbéiert gëtt, amplaz als neie Peer behandelt ze ginn.

Aner Hiersteller drécken déiselwecht Objeten ënner aneren Nimm aus, meeschtens en dynameschen oder Filialbüro-Peertyp mat engem Identitéitsfeld an engem Feld fir de geschützten Ënnersubnetz. Fëllt béides aus; eng generesch dynamesch Këscht ass kee Kompatibilitéitsplang.

Halt d'Filial als Initiator

Op der Filial gëllt d'Spigelbild: left=%defaultroute sou datt déi lokal mobil Adress esou benotzt gëtt, wéi se just ass, [email protected] fir d'Identitéit ze presentéieren, right=hub.example.com fir den stabelen Hubnumm, an auto=start sou datt den Tunnel ouni Mënsch eropkënnt. Wann de mobil Link sech erëm verbënnt, initiéiert d'Filial erëm an den Hub vergläicht déiselwecht Identitéit mat demselwechte Politiksobjekt.

Erlaabt IKE op UDP 500, NAT-Duerchgang op UDP 4500 an déi enkapselte ESP déi duerno kënnt, op béide Säiten. Loosst se duerno erlaabt: eng Regel, déi nëmmen an de Bürosstonnen opgeet, wäert wéi en ënnerbrache Tunnel ausgesinn.

Test d'Adressännerung, net just den éischten Handshake

Setzt den Tunnel erop, bestätegt en, an zwéngt duerno d'Filial op eng nei Adress, andeems Dir mobil Donnéeën oder Fluchmodus eng Minutt un an aus schalt. Kuckt op d'Lëscht vun de Sécherheetsassociatiounen um Hub a kontrolléiert, datt d'Peeradress sech geännert huet, während d'Identitéit sech net geännert huet. En Tunnel, deen nëmmen bis zur éischter Neizouweisung vum Bedreiwer funktionéiert, ass guer net getest.

Da kontrolléiert d'geschützt Ënnersubnetzer getrennt. Eng etabléiert SA seet, datt d'Peere sech authentifizéiert hunn; se seet net, datt den Hub eng Route an d'LAN vun der Filial huet oder datt d'Filial Verkéier vun der Hubsäit akzeptéiert. Liest d'Routentabelle an d'Firewallpolitik getrennt, a schéckt duerno e Ping vun engem Host amplaz vum Gateway, well de Gateway den am mannsten representative Gerät an engem Netzwierk ass.

Eng stabil Identitéit mécht d'Filial zu engem Politiksobjekt, dat den Hub nenne kann. Se mécht eng Carrier-NAT-Adress net erreechbar, an se gëtt dem Rescht vun der Organisatioun net vu sech aus Zougang zu der Filial.