4G-യിൽ ബ്രാഞ്ച് VPN: IP മാറുമ്പോൾ ഐഡന്റിറ്റി സ്ഥിരമായി നിലനിർത്തുക

ബ്രാഞ്ചിൽ നിന്നുതന്നെ തുടങ്ങുക, 4G റൂട്ടറിന്റെ WAN സ്റ്റേറ്റസ് പേജിൽ. നിങ്ങൾ കാണുന്ന വിലാസം പൊതു ശ്രേണിയിലല്ലാതെ ഓപ്പറേറ്ററുടെ സ്വകാര്യ ശ്രേണിയിലാണെങ്കിൽ, ആ ഉപകരണത്തിലെ ഒരു പോർട്ട് ഫോർവേഡിംഗും ഹബ്ബിന് ഉള്ളിലേക്ക് ഡയൽ ചെയ്യാൻ അനുവദിക്കില്ല, ടണൽ ബ്രാഞ്ചിൽ നിന്ന് പുറത്തേക്ക് നിർമ്മിക്കണം. ആ ഒരു നിരീക്ഷണമാണ് രൂപകൽപ്പന തീരുമാനിക്കുന്നത്. ബാക്കി ജോലി, ഏതാനും മണിക്കൂറുകൾ കൂടുമ്പോൾ മാറുന്ന വിലാസത്തേക്കാൾ മികച്ച എന്തെങ്കിലും ഉപയോഗിച്ച് ഹബ്ബ് ബ്രാഞ്ചിനെ തിരിച്ചറിയുന്നുവെന്ന് ഉറപ്പാക്കുകയാണ്.

ടണൽ എവിടെ നിന്ന് ആരംഭിക്കണം

ഓപ്പറേറ്റർമാർ അവരുടെ NAT-നായി ഉപയോഗിക്കുന്ന പങ്കിട്ട വിലാസ സ്ഥലം, 100.64.0.0/10, സാധാരണ സ്വകാര്യ ശ്രേണികൾ എന്നിവയ്ക്കെതിരെ വിലാസം പരിശോധിക്കുക. മൊബൈൽ അപ്ലിങ്കിൽ അവയിലൊന്ന് കാണുന്നത് സാധാരണയായി ഓപ്പറേറ്റർ തലത്തിലുള്ള NAT ബ്രാഞ്ചും ഇന്റർനെറ്റും ഇടയിൽ ഉണ്ടെന്നും, ബ്രാഞ്ചിന് നൽകാൻ കഴിയുന്ന ഒരു വിലയ്ക്കും ഇൻബൗണ്ട് കണക്ഷനുകൾ ലഭ്യമല്ലെന്നും അർത്ഥമാക്കുന്നു. WAN വിലാസം പൊതുവാണെങ്കിലും മാറുന്നുവെങ്കിൽ, നിങ്ങൾക്ക് മറ്റൊരു, എളുപ്പമുള്ള പ്രശ്നമാണ്.

ഡൈനാമിക് DNS സഹായിക്കുന്നത് രണ്ടാമത്തെ കേസിൽ മാത്രമാണ്. മാറുന്ന പൊതു വിലാസത്തിന് ഡയൽ ചെയ്യാൻ സ്ഥിരമായ ഒരു പേര് നൽകുന്നു, ഓപ്പറേറ്റർ ഒരിക്കലും നൽകാത്ത ഒരു മാപ്പിംഗ് സൃഷ്ടിക്കാൻ അതിന് കഴിയില്ല. പൊതു കേസിനായി അത് കോൺഫിഗർ ചെയ്യുന്നത് വിലമതിക്കുന്നു, കാരണം പുനർസംഖ്യയിൽ ഏകമാത്ര മാനുവൽ ഘട്ടം അത് ഒഴിവാക്കുന്നു. അത് ആകരുതാത്തത്, ഓപ്പറേറ്റർ ഒരിക്കലും എത്തിച്ചേരാവുന്നതാക്കാത്ത ബ്രാഞ്ചിനുള്ള ഉത്തരമായിത്തീരുന്നതാണ്.

നിങ്ങൾ ഡയൽ ചെയ്യുന്ന വിലാസവും നിങ്ങൾ പൊരുത്തപ്പെടുത്തുന്ന ഐഡന്റിറ്റിയും വേർതിരിക്കുക

ഹബ്ബിന് കണ്ടെത്താനാകുന്ന സ്ഥിരമായ എന്തെങ്കിലും ആവശ്യമാണ്: അനുവദിച്ച നിശ്ചിത വിലാസം അല്ലെങ്കിൽ പരിപാലിക്കുന്ന ഹോസ്റ്റ്നെയിം. ബ്രാഞ്ചിന് തിരിച്ചറിയപ്പെടാനുള്ള സ്ഥിരമായ മാർഗം ആവശ്യമാണ്, IKEv2-ൽ അത് പ്രാമാണീകരണ വേളയിൽ അത് അവതരിപ്പിക്കുന്ന ഐഡന്റിറ്റി പേലോഡാണ്, അതിന്റെ പാക്കറ്റുകൾ യാദൃശ്ചികമായി വഹിക്കുന്ന ഉറവിട വിലാസത്തിൽ നിന്ന് സ്വതന്ത്രമാണ്. @branch-a.vpn.example പോലുള്ള ഒരു സ്ട്രിംഗ് മൊബൈൽ വിലാസം ഓരോ മണിക്കൂറിലും മാറിയാലും ആ ഐഡന്റിറ്റിയായി പ്രവർത്തിക്കുന്നു.

ആ സ്ട്രിംഗ് നയവുമായി പൊരുത്തപ്പെടുത്തുന്നു, DNS വഴി പരിഹരിക്കുന്നില്ല, അതിനാൽ ടണൽ ക്രമീകരണത്തിൽ ഒരു ലുക്കപ്പ് സംഭവിക്കുമെന്ന് പ്രതീക്ഷിക്കരുത്. ഹബ്ബിന്റെ കോൺഫിഗറേഷൻ പ്രതീക്ഷിത ഐഡന്റിറ്റി വ്യക്തമായി പേര് നൽകണം, സർട്ടിഫിക്കറ്റ് പ്രാമാണീകരണത്തിൽ ഐഡന്റിറ്റി സർട്ടിഫിക്കറ്റ് യഥാർത്ഥത്തിൽ പറയുന്നതുമായി പൊരുത്തപ്പെടണം.

ഉറവിട വിലാസം വിശ്വസനീയമായി തോന്നുന്നതിനാൽ ഏതെങ്കിലും ഐഡന്റിറ്റി സ്വീകരിക്കുന്നതാണ് ഒഴിവാക്കേണ്ട പരാജയ രീതി. ഒരു പ്രതികരണകാരനിൽ അതിന്റെ അർത്ഥം ഐഡന്റിറ്റി വൈൽഡ്കാർഡും പങ്കിട്ട രഹസ്യവും ഉപയോഗിച്ച് ഏതെങ്കിലും പിയർ സ്വീകരിക്കുകയാണ്, അത് ഉപകരണത്തെയല്ല, സ്ട്രിംഗിനെ പ്രാമാണീകരിക്കുന്നു.

ഹബ്ബ് വശം പേരുള്ള പിയർ ആയി എഴുതുക

strongSwan പദങ്ങളിൽ പ്രതികരണകാരൻ വശം right=%any ഉള്ള ഒരു കണക്ഷനാണ്, അത് ഏതെങ്കിലും ഉറവിട വിലാസത്തിൽ നിന്ന് പിയർ സ്വീകരിക്കുന്നു, കൂടാതെ [email protected], അത് ആ പിയർ എന്തായി അവകാശപ്പെടണമെന്ന് പിൻ ചെയ്യുന്നു. ബ്രാഞ്ചിന്റെ LAN-കൾക്ക് rightsubnet=10.20.0.0/16, കണക്ഷൻ ഡയൽ ചെയ്യാതെ ലോഡ് ചെയ്യാൻ auto=add, സജീവതയ്ക്ക് dpd_delay=30s, വിലാസ മാറ്റം പുതിയ പിയർ ആയി കണക്കാക്കാതെ ആഗിരണം ചെയ്യാൻ mobike=yes ചേർക്കുക.

മറ്റ് വിൽപ്പനക്കാർ അതേ വസ്തുക്കൾ വേറെ പേരുകളിൽ പ്രകടിപ്പിക്കുന്നു, സാധാരണയായി ഐഡന്റിറ്റി ഫീൽഡും സംരക്ഷിത സബ്നെറ്റ് ഫീൽഡും ഉള്ള ഡൈനാമിക് അല്ലെങ്കിൽ ബ്രാഞ്ച് ഓഫീസ് പിയർ തരം. രണ്ടും പൂരിപ്പിക്കുക; ഒരു സാധാരണ ഡൈനാമിക് ചെക്ക്ബോക്സ് അനുയോജ്യതാ പദ്ധതിയല്ല.

ബ്രാഞ്ചിനെ ആരംഭകനായി നിലനിർത്തുക

ബ്രാഞ്ചിൽ കണ്ണാടി പ്രതിബിംബം ബാധകമാണ്: പ്രാദേശിക മൊബൈൽ വിലാസം ഇപ്പോൾ ഉള്ളതുപോലെ ഉപയോഗിക്കാൻ left=%defaultroute, ഐഡന്റിറ്റി അവതരിപ്പിക്കാൻ [email protected], സ്ഥിരമായ ഹബ്ബ് പേരിന് right=hub.example.com, മനുഷ്യനില്ലാതെ ടണൽ ഉയരാൻ auto=start. മൊബൈൽ ലിങ്ക് വീണ്ടും ബന്ധിപ്പിക്കുമ്പോൾ, ബ്രാഞ്ച് വീണ്ടും ആരംഭിക്കുന്നു, ഹബ്ബ് അതേ ഐഡന്റിറ്റി അതേ നയ വസ്തുവുമായി പൊരുത്തപ്പെടുത്തുന്നു.

ഇരു വശങ്ങളിലും UDP 500-ൽ IKE, UDP 4500-ൽ NAT ട്രാവേഴ്സൽ, അതിനുശേഷം വരുന്ന എൻകാപ്സുലേറ്റഡ് ESP എന്നിവ അനുവദിക്കുക. പിന്നീട് അവ അനുവദിച്ചിട്ടുതന്നെ വയ്ക്കുക: ഓഫീസ് സമയത്ത് മാത്രം തുറക്കുന്ന ഒരു നിയമം ഇടയ്ക്കിടെ മുറിയുന്ന ടണലായി കാണപ്പെടും.

വിലാസ മാറ്റം പരിശോധിക്കുക, ആദ്യ ഹാൻഡ്ഷേക്ക് മാത്രമല്ല

ടണൽ ഉയർത്തി സ്ഥിരീകരിക്കുക, പിന്നീട് ഒരു മിനിറ്റ് മൊബൈൽ ഡാറ്റയോ എയർപ്ലെയിൻ മോഡോ ടോഗിൾ ചെയ്ത് ബ്രാഞ്ചിനെ പുതിയ വിലാസത്തിലേക്ക് നിർബന്ധിക്കുക. ഹബ്ബിലെ സുരക്ഷാ അസോസിയേഷൻ പട്ടിക നിരീക്ഷിച്ച് പിയർ വിലാസം മാറിയെന്നും ഐഡന്റിറ്റി മാറിയില്ലെന്നും പരിശോധിക്കുക. ഓപ്പറേറ്ററുടെ ആദ്യ പുനർവിഭജനം വരെ മാത്രം പ്രവർത്തിക്കുന്ന ടണൽ പരിശോധിച്ചിട്ടേയില്ല.

പിന്നീട് സംരക്ഷിത സബ്നെറ്റുകൾ വെവ്വേറെ പരിശോധിക്കുക. സ്ഥാപിത SA പിയറുകൾ പ്രാമാണീകരിച്ചുവെന്ന് പറയുന്നു; ഹബ്ബിന് ബ്രാഞ്ച് LAN-ലേക്ക് ഒരു റൂട്ട് ഉണ്ടെന്നോ ബ്രാഞ്ച് ഹബ്ബ് വശത്തുനിന്നുള്ള ട്രാഫിക് സ്വീകരിക്കുന്നുവെന്നോ അത് പറയുന്നില്ല. റൂട്ടിംഗ് ടേബിളും ഫയർവാൾ നയവും വെവ്വേറെ വായിക്കുക, പിന്നീട് ഗേറ്റ്വേയിൽ നിന്നല്ല, ഒരു ഹോസ്റ്റിൽ നിന്ന് ping അയയ്ക്കുക, കാരണം ഏത് നെറ്റ്വർക്കിലും ഏറ്റവും കുറഞ്ഞ പ്രാതിനിധ്യമുള്ള ഉപകരണമാണ് ഗേറ്റ്വേ.

സ്ഥിരമായ ഐഡന്റിറ്റി ബ്രാഞ്ചിനെ ഹബ്ബിന് പേര് നൽകാവുന്ന ഒരു നയ വസ്തുവാക്കി മാറ്റുന്നു. അത് ഓപ്പറേറ്റർ NAT വിലാസം എത്തിച്ചേരാവുന്നതാക്കുന്നില്ല, സ്വയം സംഘടനയുടെ ബാക്കി ഭാഗത്തിന് ബ്രാഞ്ചിലേക്ക് പ്രവേശനം നൽകുന്നുമില്ല.