Filialo VPN per 4G: išlaikykite tapatybę stabilią, kai IP keičiasi

Pradėkite nuo paties filialo, 4G maršrutizatoriaus WAN būsenos puslapyje. Jei matomas adresas yra operatoriaus privačiame diapazone, o ne viešame, jokia prievado peradresavimas tame įrenginyje niekada neleis šerdžiai skambinti į vidų, ir tunelis turi būti statomas iš filialo į išorę. Šis vienas pastebėjimas nulemia projektą. Likęs darbas yra užtikrinti, kad šerdis atpažintų filialą pagal ką nors geresnio nei adresas, kuris keičiasi kas kelias valandas.

Kur tunelis turi prasidėti

Patikrinkite adresą pagal bendrą adresų erdvę, kurią operatoriai naudoja savo NAT, 100.64.0.0/10, ir pagal įprastus privačius diapazonus. Vieną iš jų matant mobilioje linijoje, paprastai tai reiškia, kad operatoriaus lygio NAT yra tarp filialo ir interneto, o įeinančios jungtys nepasiekiamos už jokią kainą, kurią filialas gali sumokėti. Kai WAN adresas yra viešas, bet keičiasi, turite kitą, lengvesnę problemą.

Dinaminis DNS padeda tik antruoju atveju. Jis suteikia kintančiam viešam adresui stabilų vardą, kuriuo galima skambinti, ir negali sukurti susiejimo, kurio operatorius niekada nesuteikė. Vis dėlto verta jį sukonfigūruoti viešuoju atveju, nes jis pašalina vienintelį rankinį veiksmą pernumeruojant. Juo neturi tapti atsakymas filialui, kurio operatorius niekada nepadarė pasiekiamo.

Atskirkite adresą, kuriuo skambinate, nuo tapatybės, kurią sutikrinate

Šerdžiai reikia stabilaus dalyko, per kurį ją būtų galima rasti: patvirtinto fiksuoto adreso arba prižiūrimo pagrindinio kompiuterio vardo. Filialui reikia stabilaus būdo būti atpažintam, o IKEv2 tai yra tapatybės naudingoji apkrova, kurią jis pateikia autentifikacijos metu, nepriklausomai nuo šaltinio adreso, kurį jo paketai atsitiktinai neša. Eilutė kaip @branch-a.vpn.example veikia kaip ta tapatybė net tada, kai mobilusis adresas keičiasi kas valandą.

Ta eilutė lyginama su politika, o ne sprendžiama per DNS, todėl nesitikėkite paieškos nustatant tunelį. Šerdies konfigūracija turi aiškiai įvardyti laukiamą tapatybę, o autentifikuojant sertifikatu tapatybė taip pat turi atitikti tai, ką sertifikatas iš tikrųjų teigia.

Priimti bet kokią tapatybę todėl, kad šaltinio adresas atrodo patikimas, yra tas gedimo režimas, kurio reikia vengti. Atsakiklio pusėje tai reiškia priimti bet kurį partnerį su tapatybės pakaitos simboliu ir bendra paslaptimi, o tai autentifikuoja eilutę, o ne įrenginį.

Šerdies pusę rašykite kaip įvardytą partnerį

strongSwan terminais atsakiklio pusė yra ryšys su right=%any, kuris priima partnerį iš bet kurio šaltinio adreso, plius [email protected], kuris užfiksuoja, kuo tas partneris turi prisistatyti. Pridėkite rightsubnet=10.20.0.0/16 filialo LAN tinklams, auto=add kad ryšys būtų įkeltas neskambinant, dpd_delay=30s gyvybingumui ir mobike=yes kad adreso pasikeitimas būtų sugeriamas, o ne traktuojamas kaip naujas partneris.

Kiti gamintojai tuos pačius objektus išreiškia kitais pavadinimais, paprastai dinaminio arba filialo biuro partnerio tipu su tapatybės lauku ir apsaugoto potinklio lauku. Užpildykite abu; bendras dinaminis žymės langelis nėra suderinamumo planas.

Palikite filialą iniciatoriumi

Filiale galioja veidrodinis atvaizdas: left=%defaultroute kad vietinis mobilusis adresas būtų naudojamas toks, koks dabar yra, [email protected] tapatybei pateikti, right=hub.example.com stabilaus šerdies vardo ir auto=start kad tunelis kiltų be žmogaus. Kai mobilioji linija vėl prisijungia, filialas vėl inicijuoja, o šerdis sutikrina tą pačią tapatybę su tuo pačiu politikos objektu.

Leiskite IKE per UDP 500, NAT praėjimą per UDP 4500 ir po jo einantį inkapsuliuotą ESP abiejose pusėse. Tada palikite juos leistus: taisyklė, kuri atsidaro tik darbo valandomis, atrodys kaip nutrūkstantis tunelis.

Išbandykite adreso pasikeitimą, o ne tik pirmąjį rankos paspaudimą

Pakelkite tunelį, patvirtinkite jį, tada minutei perjunkite mobilųjį ryšį arba lėktuvo režimą ir priverskite filialą naudoti naują adresą. Stebėkite saugos asociacijų sąrašą šerdyje ir patikrinkite, ar partnerio adresas pasikeitė, o tapatybė – ne. Tunelis, kuris veikia tik iki pirmojo operatoriaus perskirstymo, visai neišbandytas.

Tada atskirai patikrinkite apsaugotus potinklius. Nustatyta SA sako, kad partneriai autentifikavosi; ji nesako, kad šerdis turi maršrutą į filialo LAN arba kad filialas priima srautą iš šerdies pusės. Atskirai perskaitykite maršruto lentelę ir ugniasienės politiką, tada siųskite ping iš mazgo, o ne iš tinklų sietuvos, nes sietuva yra mažiausiai reprezentatyvus įrenginys bet kuriame tinkle.

Stabili tapatybė paverčia filialą politikos objektu, kurį šerdis gali įvardyti. Ji nepadaro operatoriaus NAT adreso pasiekiamo ir pati savaime nesuteikia likusiai organizacijai prieigos prie filialo.