Огранок VPN на 4G: одржете го идентитетот стабилен кога IP-то се менува

Започнете од самиот огранок, на страницата за WAN статус на 4G рутерот. Ако адресата што ја гледате е во приватниот опсег на операторот, а не во јавен, ниту едно пренасочување на порта на тој уред никогаш нема да му дозволи на концентраторот да ѕвони навнатре, и тунелот мора да се гради нанадвор од огранокот. Тоа едно набљудување го одредува дизајнот. Остатокот од работата е да се осигура дека концентраторот го препознава огранокот по нешто подобро од адреса што се менува на секои неколку часа.

Каде мора да започне тунелот

Проверете ја адресата наспроти заедничкиот адресен простор што операторите го користат за сопствениот NAT, 100.64.0.0/10, и наспроти вообичаените приватни опсези. Гледањето на еден од нив на мобилен нагорен канал обично значи дека NAT на ниво на оператор стои помеѓу огранокот и интернетот, и дојдовните врски не се достапни по ниту една цена што огранокот може да ја плати. Кога WAN адресата е јавна но се менува, имате друг, полесен проблем.

Динамичниот DNS помага само во вториот случај. На адреса што се менува и е јавна и дава стабилно име за ѕвонење, и не може да создаде мапирање што операторот никогаш не го дал. Сепак вреди да се конфигурира за јавниот случај, бидејќи го отстранува единствениот рачен чекор при пренумерирање. Она во што не смее да се претвори е одговорот за огранок што операторот никогаш не го направил достапен.

Одделете ја адресата на која ѕвоните од идентитетот што го совпаѓате

На концентраторот му треба нешто стабилно каде што може да се најде: одобрена фиксна адреса или одржувано име на домаќин. На огранокот му треба стабилен начин да биде препознаен, а во IKEv2 тоа е идентитетскиот товар што го презентира при автентикација, независно од изворната адреса што неговите пакети случајно ја носат. Низа како @branch-a.vpn.example функционира како тој идентитет дури и кога мобилната адреса се менува на секој час.

Таа низа се совпаѓа со политика, а не се решава преку DNS, па не очекувајте пребарување при поставување на тунелот. Конфигурацијата на концентраторот мора експлицитно да го именува очекуваниот идентитет, а при автентикација со сертификат идентитетот мора да се совпаѓа и со она што сертификатот навистина го тврди.

Прифаќањето на кој било идентитет затоа што изворната адреса изгледа веродостојно е режимот на грешка што треба да се избегне. На страната на одговарачот тоа значи прифаќање на кој било партнер, со џокер за идентитет и заедничка тајна, што автентицира низа, а не уред.

Напишете ја страната на концентраторот како именуван партнер

Во термини на strongSwan страната на одговарачот е врска со right=%any, која прифаќа партнер од која било изворна адреса, плус [email protected], кој закачува како тој партнер мора да се претстави. Додајте rightsubnet=10.20.0.0/16 за LAN мрежите на огранокот, auto=add за врската да се вчита без ѕвонење, dpd_delay=30s за животност и mobike=yes за промената на адресата да се апсорбира наместо да се третира како нов партнер.

Други производители ги изразуваат истите објекти под други имиња, обично тип на динамичен партнер или партнер за огранок со поле за идентитет и поле за заштитена подмрежа. Пополнете ги двете; општа динамична квадратче не е план за компатибилност.

Задржете го огранокот како иницијатор

На огранокот важи огледалната слика: left=%defaultroute за локалната мобилна адреса да се користи каква што е сега, [email protected] за презентирање на идентитетот, right=hub.example.com за стабилното име на концентраторот и auto=start за тунелот да се крене без човек. Кога мобилната врска повторно ќе се поврзе, огранокот повторно иницира и концентраторот го совпаѓа истиот идентитет со истиот објект на политика.

Дозволете IKE на UDP 500, поминување на NAT на UDP 4500 и инкапсулираниот ESP што следи, на двете страни. Потоа оставете ги дозволени: правило што се отвора само во работно време ќе изгледа како прекинат тунел.

Тестирајте ја промената на адресата, не само првото ракување

Кренете го тунелот, потврдете го, потоа принудете го огранокот на нова адреса со вклучување и исклучување на мобилни податоци или авионски режим една минута. Гледајте ја листата на безбедносни асоцијации на концентраторот и проверете дали адресата на партнерот се променила, а идентитетот не. Тунел што работи само до првото прераспределување од операторот воопшто не е тестиран.

Потоа проверете ги заштитените подмрежи одделно. Воспоставена SA вели дека партнерите се автентицирале; таа не вели дека концентраторот има рута до LAN-от на огранокот или дека огранокот прифаќа сообраќај од страната на концентраторот. Прочитајте ја табелата за рутирање и политиката на огнениот ѕид одделно, потоа испратете ping од домаќин, а не од портата, бидејќи портата е најмалку репрезентативниот уред во секоја мрежа.

Стабилниот идентитет го претвора огранокот во објект на политика што концентраторот може да го именува. Тој не ја прави адресата на операторскиот NAT достапна и сам по себе не и дава пристап на остатокот од организацијата до огранокот.