Filiāles VPN 4G tīklā: saglabājiet identitāti stabilu, kad IP mainās

Sāciet ar pašu filiāli, 4G maršrutētāja WAN statusa lapā. Ja redzamā adrese atrodas operatora privātajā diapazonā, nevis publiskajā, neviena porta pāradresācija šajā ierīcē nekad neļaus centrmezglam zvanīt uz iekšu, un tunelis ir jābūvē no filiāles uz āru. Šis viens novērojums nosaka dizainu. Pārējais darbs ir pārliecināties, ka centrmezgls atpazīst filiāli pēc kaut kā labāka nekā adrese, kas mainās ik pēc dažām stundām.

Kur tunelim jāsākas

Pārbaudiet adresi pret koplietojamo adrešu telpu, ko operatori izmanto savam NAT, 100.64.0.0/10, un pret parastajiem privātajiem diapazoniem. Ja mobilajā līnijā redzat kādu no tiem, tas parasti nozīmē, ka operatora līmeņa NAT atrodas starp filiāli un internetu, un ienākošie savienojumi nav pieejami par nekādu cenu, ko filiāle var samaksāt. Ja WAN adrese ir publiska, bet mainās, jums ir cita, vieglāka problēma.

Dinamiskais DNS palīdz tikai otrajā gadījumā. Tas piešķir mainīgai publiskajai adresei stabilu vārdu, uz kuru zvanīt, un nevar izveidot kartējumu, ko operators nekad nav sniedzis. Publiskajā gadījumā to tomēr ir vērts konfigurēt, jo tas novērš vienīgo manuālo soli pārnumurēšanā. Par ko tam nevajadzētu kļūt, ir atbilde filiālei, ko operators nekad nav padarījis sasniedzamu.

Atdaliet adresi, uz kuru zvanāt, no identitātes, kuru saskaņojat

Centrmezglam vajag kaut ko stabilu, kur to atrast: apstiprinātu fiksētu adresi vai uzturētu resursdatora nosaukumu. Filiālei vajag stabilu veidu, kā tikt atpazītai, un IKEv2 tas ir identitātes kravnesība, ko tā uzrāda autentifikācijas laikā, neatkarīgi no avota adreses, ko tās paketes nejauši nes. Virkne kā @branch-a.vpn.example darbojas kā šī identitāte arī tad, kad mobilā adrese mainās ik stundu.

Šī virkne tiek saskaņota ar politiku, nevis atrisināta ar DNS, tāpēc negaidiet meklēšanu tuneļa iestatīšanas laikā. Centrmezgla konfigurācijai skaidri jānosauc gaidāmā identitāte, un ar sertifikātu autentifikāciju identitātei jāatbilst arī tam, ko sertifikāts faktiski apgalvo.

Pieņemt jebkuru identitāti tāpēc, ka avota adrese izskatās ticama, ir tas kļūmes režīms, no kura jāizvairās. Atbildētāja pusē tas nozīmē pieņemt jebkuru partneri ar identitātes aizstājējzīmi un koplietotu noslēpumu, kas autentificē virkni, nevis ierīci.

Rakstiet centrmezgla pusi kā nosauktu partneri

strongSwan izteiksmē atbildētāja puse ir savienojums ar right=%any, kas pieņem partneri no jebkuras avota adreses, plus [email protected], kas piespraud, kā šim partnerim jāpiesakās. Pievienojiet rightsubnet=10.20.0.0/16 filiāles LAN tīkliem, auto=add lai savienojums ielādētos bez zvana, dpd_delay=30s dzīvotspējai un mobike=yes lai adreses maiņa tiktu absorbēta, nevis uzskatīta par jaunu partneri.

Citi ražotāji izsaka tos pašus objektus citos nosaukumos, parasti dinamiska vai filiāles biroja partnera tips ar identitātes lauku un aizsargātā apakštīkla lauku. Aizpildiet abus; vispārīga dinamiska izvēles rūtiņa nav savietojamības plāns.

Saglabājiet filiāli kā uzsācēju

Filiālē darbojas spoguļattēls: left=%defaultroute lai vietējā mobilā adrese tiktu izmantota tāda, kāda tā ir tagad, [email protected] identitātes uzrādīšanai, right=hub.example.com stabilajam centrmezgla nosaukumam un auto=start lai tunelis paceltos bez cilvēka. Kad mobilā saite atkal pieslēdzas, filiāle atkārtoti uzsāk, un centrmezgls saskaņo to pašu identitāti ar to pašu politikas objektu.

Atļaujiet IKE uz UDP 500, NAT šķērsošanu uz UDP 4500 un tam sekojošo iekapsulēto ESP abās pusēs. Pēc tam atstājiet tos atļautus: noteikums, kas atveras tikai darba laikā, izskatīsies kā pārtraukts tunelis.

Pārbaudiet adreses maiņu, ne tikai pirmo rokasspiedienu

Paceliet tuneli, apstipriniet to, pēc tam uz minūti pārslēdziet mobilos datus vai lidojuma režīmu un piespiediet filiāli pāriet uz jaunu adresi. Vērojiet drošības asociāciju sarakstu centrmezglā un pārbaudiet, ka partnera adrese mainījās, bet identitāte ne. Tunelis, kas darbojas tikai līdz operatora pirmajai pārdalei, nemaz nav pārbaudīts.

Pēc tam pārbaudiet aizsargātos apakštīklus atsevišķi. Izveidota SA saka, ka partneri autentificējās; tā nesaka, ka centrmezglam ir maršruts uz filiāles LAN vai ka filiāle pieņem satiksmi no centrmezgla puses. Lasi maršrutēšanas tabulu un ugunsmūra politiku atsevišķi, pēc tam sūti ping no resursdatora, nevis no vārtejas, jo vārteja ir vismazāk reprezentatīvā ierīce jebkurā tīklā.

Stabila identitāte pārvērš filiāli politikas objektā, ko centrmezgls var nosaukt. Tā nepadara operatora NAT adresi sasniedzamu un pati par sevi nepiešķir pārējai organizācijai piekļuvi filiālei.