4G дээрх салбарын VPN: IP солигдоход таних мэдээллийг тогтвортой барих

Салбараас эхэл, 4G чиглүүлэгчийн WAN төлөвийн хуудсанд. Хэрэв таны харж буй хаяг нийтэд нээлттэй бус операторын хувийн мужид байвал, тэр төхөөрөмж дээрх ямар ч портын дамжуулалт хабд дотогш залгах боломж өгөхгүй бөгөөд туннелийг салбараас гадагш барих ёстой. Тэр нэг ажиглалт загварыг тодорхойлно. Үлдсэн ажил бол хаб салбарыг хэдэн цаг тутам өөрчлөгддөг хаягаас илүү зүйлээр танихыг баталгаажуулах юм.

Туннель хаанаас эхлэх ёстой

Хаягийг операторууд өөрсдийн NAT-д ашигладаг хуваалцсан хаягийн орон зай, 100.64.0.0/10, болон ердийн хувийн мужид тулгаж шалга. Хөдөлгөөнт холбоос дээр тэдгээрийн аль нэгийг харвал ихэвчлэн операторын түвшний NAT салбар ба интернетийн хооронд байгаа бөгөөд ирж буй холболтууд салбарын төлж чадах ямар ч үнээр боломжгүй гэсэн үг. WAN хаяг нийтэд нээлттэй боловч өөрчлөгдөж байвал та өөр, хөнгөн асуудалтай байна.

Динамик DNS зөвхөн хоёр дахь тохиолдолд тусална. Энэ нь өөрчлөгдөж буй нийтэд нээлттэй хаягт залгах тогтвортой нэр өгдөг бөгөөд операторын хэзээ ч өгөөгүй зураглалыг үүсгэж чадахгүй. Нийтэд нээлттэй тохиолдолд үүнийг тохируулах нь зүйтэй, учир нь дахин дугаарлалтын цорын ганц гар аргын алхмыг арилгадаг. Энэ нь болох ёсгүй зүйл бол оператор хэзээ ч хүртээмжтэй болгоогүй салбарт өгөх хариулт юм.

Залгах хаягийг тааруулах таних мэдээллээс тусгаарла

Хабд олдох тогтвортой зүйл хэрэгтэй: зөвшөөрөгдсөн тогтмол хаяг эсвэл арчилж буй хостын нэр. Салбарт танигдах тогтвортой арга хэрэгтэй бөгөөд IKEv2-д энэ нь баталгаажуулалтын үед түүний танилцуулж буй таних мэдээллийн ачаа бөгөөд пакетууд нь санамсаргүй авч буй эх хаягаас хамааралгүй. @branch-a.vpn.example шиг мөр нь хөдөлгөөнт хаяг цаг тутам өөрчлөгдөж байсан ч тэр таних мэдээлэл болж ажиллана.

Тэр мөрийг бодлоготой тулгадаг, DNS-ээр шийддэггүй, тиймээс туннель тохируулах үед хайлт болно гэж бүү хүлээ. Хабын тохиргоо хүлээгдэж буй таних мэдээллийг тодорхой нэрлэх ёстой бөгөөд гэрчилгээгээр баталгаажуулах үед таних мэдээлэл нь гэрчилгээний бодит баталж буй зүйлтэй ч тохирох ёстой.

Эх хаяг үнэмшилтэй харагдаж байгаа учраас дурын таних мэдээллийг хүлээж авах нь зайлсхийх ёстой алдааны горим юм. Хариулагч талд энэ нь таних мэдээллийн орлуулагч тэмдэгт ба хуваалцсан нууцтайгаар дурын түншийг хүлээж авахыг хэлнэ, энэ нь төхөөрөмжийг бус мөрийг баталгаажуулдаг.

Хабын талыг нэрлэсэн түншээр бич

strongSwan-ийн нэр томьёогоор хариулагч тал нь right=%any бүхий холболт бөгөөд дурын эх хаягаас түншийг хүлээж авдаг, дээр нь [email protected], тэр түнш ямар хүн гэдгээ зарлах ёстойг бэхэлдэг. Салбарын LAN-уудад rightsubnet=10.20.0.0/16, холболт залгалгүй ачаалагдахын тулд auto=add, амьдрах чадварт dpd_delay=30s, хаягийн өөрчлөлтийг шинэ түнш гэж үзэхгүйгээр шингээхийн тулд mobike=yes нэм.

Бусад үйлдвэрлэгчид ижил объектуудыг өөр нэрээр илэрхийлдэг, ихэвчлэн таних мэдээллийн талбар болон хамгаалагдсан дэд сүлжээний талбар бүхий динамик эсвэл салбарын түншийн төрөл. Хоёуланг нь бөглө; ерөнхий динамик чагтлах хайрцаг нийцлийн төлөвлөгөө биш.

Салбарыг эхлүүлэгч байлга

Салбар дээр толин тусгал үйлчилнэ: орон нутгийн хөдөлгөөнт хаягийг одоогийн байдлаар нь ашиглахын тулд left=%defaultroute, таних мэдээллийг танилцуулахын тулд [email protected], тогтвортой хабын нэрний хувьд right=hub.example.com, туннель хүнгүйгээр босохын тулд auto=start. Хөдөлгөөнт холбоос дахин холбогдоход салбар дахин эхэлж, хаб ижил таних мэдээллийг ижил бодлогын объекттой тулгана.

Хоёр талд UDP 500 дээр IKE, UDP 4500 дээр NAT-ийн дамжуулалт, дараа нь ирэх инкапсуллагдсан ESP-ийг зөвшөөр. Дараа нь тэдгээрийг зөвшөөрөгдсөн хэвээр үлдээ: зөвхөн ажлын цагаар нээгддэг дүрэм тасалддаг туннель мэт харагдана.

Хаягийн өөрчлөлтийг турш, зөвхөн эхний гар барилтыг бус

Туннелийг босгож, баталгаажуул, дараа нь нэг минутын турш хөдөлгөөнт өгөгдөл эсвэл нисэх онгоцны горимыг асааж унтрааж салбарыг шинэ хаяг руу албад. Хабын аюулгүй байдлын нэгдлийн жагсаалтыг ажиглаж, түншийн хаяг өөрчлөгдсөн боловч таних мэдээлэл өөрчлөгдөөгүйг шалга. Зөвхөн операторын эхний дахин хуваарилалт хүртэл ажилладаг туннель огт туршаагүй гэсэн үг.

Дараа нь хамгаалагдсан дэд сүлжээг тусдаа шалга. Тогтоосон SA нь түншүүд баталгаажсаныг хэлнэ; хаб салбарын LAN руу чиглэлтэй гэдгийг эсвэл салбар хабын талаас урсгалыг хүлээж авдаг гэдгийг хэлэхгүй. Чиглүүлэлтийн хүснэгт болон галт ханын бодлогыг тусдаа уншаад, дараа нь ping-ийг гарцаас бус хостос илгээ, учир нь гарц нь аливаа сүлжээний хамгийн бага төлөөлөл бүхий төхөөрөмж.

Тогтвортой таних мэдээлэл салбарыг хаб нэрлэж чадах бодлогын объект болгоно. Энэ нь операторын NAT хаягийг хүртээмжтэй болгодоггүй бөгөөд өөрөө байгууллагын бусад хэсэгт салбар руу нэвтрэх эрх өгдөггүй.