4G वर शाखा VPN: IP बदलल्यावर ओळख स्थिर ठेवा

शाखेपासूनच सुरुवात करा, 4G राउटरच्या WAN स्थिती पृष्ठावर. तुम्हाला दिसणारा पत्ता सार्वजनिक श्रेणीऐवजी ऑपरेटरच्या खाजगी श्रेणीत असल्यास, त्या बॉक्सवरील कोणतेही पोर्ट फॉरवर्डिंग हबला आत डायल करू देणार नाही, आणि बोगदा शाखेपासून बाहेरच्या दिशेने बांधावा लागेल. ते एकच निरीक्षण रचना ठरवते. उर्वरित काम म्हणजे दर काही तासांनी बदलणाऱ्या पत्त्यापेक्षा चांगल्या कशाने तरी हब शाखेला ओळखते याची खात्री करणे.

बोगदा कुठून सुरू झाला पाहिजे

पत्ता ऑपरेटर त्यांच्या स्वतःच्या NAT साठी वापरत असलेल्या सामायिक पत्ता जागे, 100.64.0.0/10, आणि नेहमीच्या खाजगी श्रेणींशी तपासा. मोबाइल अपलिंकवर त्यापैकी एक दिसणे सामान्यतः अर्थ असा की ऑपरेटर-स्तरीय NAT शाखा आणि इंटरनेटच्या मध्ये आहे, आणि येणारे कनेक्शन शाखा देऊ शकेल अशा कोणत्याही किमतीत उपलब्ध नाहीत. WAN पत्ता सार्वजनिक पण बदलणारा असेल तर तुमची समस्या दुसरी आणि सोपी आहे.

डायनॅमिक DNS फक्त दुसऱ्या बाबतीत मदत करते. ते बदलणाऱ्या सार्वजनिक पत्त्याला डायल करण्यासाठी स्थिर नाव देते, आणि ऑपरेटरने कधीही न दिलेले मॅपिंग तयार करू शकत नाही. सार्वजनिक बाबतीत ते कॉन्फिगर करणे तरीही योग्य आहे, कारण पुनर्क्रमांकनातील एकमेव हाताने करावयाची पायरी ते काढून टाकते. ते ज्यात बदलू नये तो आहे अशा शाखेसाठीचे उत्तर जिला ऑपरेटरने कधीही पोहोचण्यायोग्य केले नाही.

तुम्ही डायल करता तो पत्ता आणि तुम्ही जुळवता ती ओळख वेगळी करा

हबला सापडण्यासाठी स्थिर गोष्ट हवी: मंजूर निश्चित पत्ता किंवा देखभाल केलेले होस्टनाव. शाखेला ओळखले जाण्याचा स्थिर मार्ग हवा, आणि IKEv2 मध्ये तो ओळख पेलोड आहे जो ती प्रमाणीकरणाच्या वेळी सादर करते, तिच्या पॅकेट्स अपघाताने वाहत असलेल्या स्रोत पत्त्यापासून स्वतंत्र. @branch-a.vpn.example सारखी स्ट्रिंग मोबाइल पत्ता दर तासाला बदलत असला तरी ती ओळख म्हणून काम करते.

ती स्ट्रिंग धोरणाशी जुळवली जाते, DNS ने सोडवली जात नाही, म्हणून बोगदा स्थापित करताना लुकअप होईल अशी अपेक्षा ठेवू नका. हबच्या कॉन्फिगरेशनने अपेक्षित ओळख स्पष्टपणे नावाने नमूद केली पाहिजे, आणि प्रमाणपत्र प्रमाणीकरणासह ओळख प्रमाणपत्र खरेच जे सांगते त्याशीही जुळली पाहिजे.

स्रोत पत्ता विश्वासार्ह वाटतो म्हणून कोणतीही ओळख स्वीकारणे ही टाळावयाची अयशस्वी पद्धत आहे. प्रतिसादकाकडे याचा अर्थ ओळख वाइल्डकार्ड आणि सामायिक रहस्यासह कोणताही पीअर स्वीकारणे, जे उपकरणाला नव्हे तर स्ट्रिंगला प्रमाणित करते.

हबची बाजू नामांकित पीअर म्हणून लिहा

strongSwan च्या संज्ञांमध्ये प्रतिसादक बाजू ही right=%any असलेले कनेक्शन आहे, जे कोणत्याही स्रोत पत्त्यावरून पीअर स्वीकारते, शिवाय [email protected], जे त्या पीअरने स्वतःला काय म्हणवावे हे पिन करते. शाखेच्या LAN साठी rightsubnet=10.20.0.0/16, कनेक्शन डायल न करता लोड व्हावे म्हणून auto=add, जिवंतपणासाठी dpd_delay=30s, आणि पत्ता बदल नवीन पीअर म्हणून न घेता शोषून घेण्यासाठी mobike=yes जोडा.

इतर विक्रेते त्या वस्तू वेगळ्या नावांनी व्यक्त करतात, सामान्यतः ओळख क्षेत्र आणि संरक्षित सबनेट क्षेत्र असलेला डायनॅमिक किंवा शाखा-कार्यालय पीअर प्रकार. दोन्ही भरा; सामान्य डायनॅमिक चेकबॉक्स सुसंगतता योजना नाही.

शाखेला आरंभकर्ता ठेवा

शाखेवर आरशातील प्रतिबिंब लागू होते: स्थानिक मोबाइल पत्ता आतासारखाच वापरला जावा म्हणून left=%defaultroute, ओळख सादर करण्यासाठी [email protected], स्थिर हब नावासाठी right=hub.example.com, आणि माणसाशिवाय बोगदा वर यावा म्हणून auto=start. मोबाइल लिंक पुन्हा जोडल्यावर शाखा पुन्हा सुरू करते आणि हब तीच ओळख त्याच धोरण वस्तूशी जुळवते.

दोन्ही बाजूंना UDP 500 वर IKE, UDP 4500 वर NAT ट्राव्हर्सल आणि त्यानंतर येणाऱ्या एनकॅप्स्युलेटेड ESP ला परवानगी द्या. नंतर त्या परवानगी दिलेल्या ठेवा: फक्त कार्यालयीन वेळेत उघडणारा नियम अधूनमधून तुटणाऱ्या बोगद्यासारखा दिसेल.

पत्ता बदल तपासा, फक्त पहिला हॅंडशेक नाही

बोगदा वर आणा, त्याची पुष्टी करा, नंतर एका मिनिटासाठी मोबाइल डेटा किंवा हवाई विमान मोड टॉगल करून शाखेला नव्या पत्त्यावर भाग पाडा. हबवरील सुरक्षा संलग्नता यादी पाहा आणि पीअर पत्ता बदलला पण ओळख बदलली नाही याची खात्री करा. फक्त ऑपरेटरच्या पहिल्या पुनर्वाटपापर्यंत चालणारा बोगदा अजिबात तपासलेला नाही.

नंतर संरक्षित सबनेट स्वतंत्रपणे तपासा. प्रस्थापित SA सांगते की पीअर प्रमाणित झाले; हबला शाखेच्या LAN पर्यंत मार्ग आहे किंवा शाखा हबच्या बाजूने रहदारी स्वीकारते हे ते सांगत नाही. राउटिंग तक्ता आणि फायरवॉल धोरण स्वतंत्रपणे वाचा, नंतर गेटवेऐवजी होस्टवरून ping पाठवा, कारण कोणत्याही नेटवर्कमध्ये गेटवे हे सर्वात कमी प्रातिनिधिक उपकरण आहे.

स्थिर ओळख शाखेला हब नाव देऊ शकेल अशा धोरण वस्तूत बदलते. ते ऑपरेटर-NAT पत्त्याला पोहोचण्यायोग्य करत नाही, आणि स्वतःहून संस्थेच्या उर्वरित भागाला शाखेपर्यंत प्रवेश देत नाही.